Bankalar risk alırlar. Geri ödenmeyebilecek para ödünç verirler. Değeri düşebilecek menkul kıymetlerle işlem yaparlar. Arıza yapabilecek bilgisayar sistemlerine güvenirler. Risk yönetimi, bu riskleri belirleme, ölçme ve azaltma disiplinidir. Riski ortadan kaldırmakla ilgili değildir. Riski anlamak ve bankanın bu riskin üstesinden gelebilmesini sağlamakla ilgilidir.

Bankalar çeşitli risk türleriyle karşı karşıyadır. Kredi riski, borç alanların temerrüde düşmesi riskidir. Piyasa riski, fiyatların bankanın pozisyonlarına karşı hareket etmesi riskidir. Likidite riski, bankanın yükümlülüklerini yerine getirememesi riskidir. Operasyonel risk, dolandırıcılık, siber saldırılar veya süreç hataları riskidir. Uyumluluk riski, yasa ve yönetmeliklerin ihlal edilmesi riskidir. İtibar riski, bankanın imajına zarar verilmesi riskidir. Her biri farklı araçlar gerektirir.

Araçlar arasında çeşitlendirme, teminat, riskten korunma, sigorta ve sermaye yer alır. Bir banka, kredi portföyünü sektörler ve coğrafyalar arasında çeşitlendirir. Zararları karşılamak için teminat alır. Faiz oranı ve kur riskine karşı korunmak için türev araçlar kullanır. Beklenmedik kayıpları karşılamak için sermaye tutar. Dolandırıcılık gibi operasyonel risklere karşı sigorta yaptırır. Şiddetli bir durgunlukta nasıl performans göstereceğini görmek için stres testleri yapar.

Risk yönetimi bir kar merkezi değil, bir maliyet merkezidir. Ancak risk yönetimini ihmal eden bankalar ayakta kalamaz. 2008 krizi, özünde, risk yönetiminin başarısızlığıydı. Bankalar ipotek teminatlı menkul kıymetlerin riskini hafife aldılar ve bunları satma yeteneklerini abarttılar. Sonuç, Büyük Buhran'dan bu yana yaşanan en kötü finansal kriz oldu.