Banker tar risker. De lånar ut pengar som kanske inte återbetalas. De handlar med värdepapper vars värde kan falla. De förlitar sig på datorsystem som kan sluta fungera. Riskhantering är disciplinen att identifiera dessa risker, mäta dem och minska dem. Det handlar inte om att eliminera risker. Det handlar om att förstå dem och se till att banken kan överleva dem.

Banker står inför flera typer av risker. Kreditrisk är risken att låntagare inte betalar. Marknadsrisk är risken att priserna rör sig mot bankens positioner. Likviditetsrisk är risken att banken inte kan uppfylla sina skyldigheter. Operativ risk är risken för bedrägerier, cyberattacker eller processfel. Compliancerisk är risken att bryta mot lagar och förordningar. Ryktesrisk är risken att bankens image skadas. Var och en kräver olika verktyg.

Verktygen inkluderar diversifiering, säkerheter, säkring, försäkringar och kapital. En bank diversifierar sin låneportfölj över branscher och geografiska områden. Den tar säkerheter för att täcka förluster. Den använder derivat för att säkra ränte- och valutarisker. Den innehar kapital för att absorbera oväntade förluster. Den köper försäkringar för operativa risker som bedrägerier. Den genomför stresstester för att se hur den skulle klara sig i en allvarlig recession.

Riskhantering är inte en vinstcentral. Det är en kostnadscentral. Men banker som försummar den överlever inte. Krisen 2008 var i grunden ett misslyckande i riskhanteringen. Banker underskattade risken med bolånebaserade värdepapper och överskattade sin förmåga att sälja dem. Resultatet blev den värsta finanskrisen sedan den stora depressionen.