Banki podejmują ryzyko. Pożyczają pieniądze, których nie da się spłacić. Obracają papierami wartościowymi, których wartość może spaść. Polegają na systemach komputerowych, które mogą zawieść. Zarządzanie ryzykiem to dyscyplina polegająca na identyfikowaniu tych ryzyk, ich mierzeniu i ograniczaniu. Nie chodzi o eliminację ryzyka. Chodzi o jego zrozumienie i zapewnienie bankowi możliwości przetrwania.

Banki narażone są na kilka rodzajów ryzyka. Ryzyko kredytowe to ryzyko niewypłacalności kredytobiorców. Ryzyko rynkowe to ryzyko zmian cen w kierunku niekorzystnym dla banku. Ryzyko płynności to ryzyko braku możliwości wywiązania się banku ze swoich zobowiązań. Ryzyko operacyjne to ryzyko oszustw, cyberataków lub awarii procesów. Ryzyko braku zgodności to ryzyko naruszenia przepisów prawa. Ryzyko utraty reputacji to ryzyko utraty wizerunku banku. Każde z tych ryzyk wymaga innych narzędzi.

Narzędzia te obejmują dywersyfikację, zabezpieczenia, hedging, ubezpieczenia i kapitał. Bank dywersyfikuje swój portfel kredytowy w różnych branżach i regionach geograficznych. Pozyskuje zabezpieczenia, aby pokryć straty. Wykorzystuje instrumenty pochodne do zabezpieczenia ryzyka stopy procentowej i walutowego. Utrzymuje kapitał, aby pokryć nieoczekiwane straty. Kupuje ubezpieczenie od ryzyka operacyjnego, takiego jak oszustwa. Przeprowadza testy warunków skrajnych, aby sprawdzić, jak poradzi sobie w przypadku poważnej recesji.

Zarządzanie ryzykiem nie jest centrum zysku. Jest centrum kosztów. Ale banki, które je zaniedbują, nie przetrwają. Kryzys z 2008 roku był w swojej istocie wynikiem porażki w zarządzaniu ryzykiem. Banki niedoszacowały ryzyka związanego z papierami wartościowymi zabezpieczonymi hipotekami i przeceniły swoje możliwości ich sprzedaży. W rezultacie nastąpił najgorszy kryzys finansowy od czasów Wielkiego Kryzysu.