Banker tar risikoer. De låner ut penger som kanskje ikke blir tilbakebetalt. De handler med verdipapirer som kan falle i verdi. De er avhengige av datasystemer som kan svikte. Risikostyring er disiplinen med å identifisere disse risikoene, måle dem og redusere dem. Det handler ikke om å eliminere risiko. Det handler om å forstå den og sørge for at banken kan overleve den.

Banker står overfor flere typer risiko. Kredittrisiko er risikoen for at låntakere misligholder. Markedsrisiko er risikoen for at prisene beveger seg mot bankens posisjoner. Likviditetsrisiko er risikoen for at banken ikke kan oppfylle sine forpliktelser. Operasjonell risiko er risikoen for svindel, cyberangrep eller prosessfeil. Compliance-risiko er risikoen for å bryte lover og forskrifter. Omdømmerisiko er risikoen for skade på bankens image. Hver av dem krever forskjellige verktøy.

Verktøyene inkluderer diversifisering, sikkerhet, sikring, forsikring og kapital. En bank diversifiserer låneporteføljen sin på tvers av bransjer og geografiske områder. Den tar sikkerhet for å dekke tap. Den bruker derivater for å sikre rente- og valutarisiko. Den holder kapital for å absorbere uventede tap. Den kjøper forsikring for operasjonelle risikoer som svindel. Den kjører stresstester for å se hvordan den ville klare seg i en alvorlig resesjon.

Risikostyring er ikke et profittsenter. Det er et kostnadssenter. Men banker som forsømmer det, overlever ikke. Krisen i 2008 var i kjernen en svikt i risikostyringen. Bankene undervurderte risikoen ved boliglånssikrede verdipapirer og overvurderte sin evne til å selge dem. Resultatet var den verste finanskrisen siden den store depresjonen.