Os bancos assumem riscos. Emprestam dinheiro que pode não ser pago. Negociam títulos que podem perder valor. Dependem de sistemas informáticos que podem falhar. A gestão de riscos é a disciplina de identificar esses riscos, mensurá-los e mitigá-los. Não se trata de eliminar o risco, mas sim de o compreender e garantir que o banco lhe possa sobreviver.

Os bancos enfrentam diversos tipos de risco. O risco de crédito é o risco de incumprimento dos mutuários. O risco de mercado é o risco de flutuações de preços contrárias às posições do banco. O risco de liquidez é o risco de o banco não conseguir cumprir as suas obrigações. O risco operacional é o risco de fraude, ciberataques ou falhas nos processos. O risco de conformidade é o risco de violação de leis e regulamentos. O risco reputacional é o risco de danos na imagem do banco. Cada um destes riscos exige ferramentas diferentes.

As ferramentas incluem diversificação, garantias, proteção contra riscos, seguros e capital. Um banco diversifica a sua carteira de crédito em diferentes setores e regiões geográficas. Exige garantias para recuperar perdas. Utiliza derivados para se proteger contra riscos cambiais e de taxas de juro. Mantém capital para absorver perdas inesperadas. Contrata seguros para riscos operacionais, como fraudes. Realiza testes de stress para avaliar o seu desempenho numa recessão severa.

A gestão do risco não é um centro de lucro, mas sim um centro de custos. No entanto, os bancos que a negligenciam não sobrevivem. A crise de 2008 foi, na sua essência, uma falha na gestão do risco. Os bancos subestimaram o risco dos títulos garantidos por hipotecas e sobrestimaram a sua capacidade de os vender. O resultado foi a pior crise financeira desde a Grande Depressão.