Gemäß dem Gesetz über das Kreditwesen (Kreditwesengesetz, KWG) muss eine ordnungsgemäße Geschäftsorganisation eines Kreditinstitutes insbesondere ein angemessenes und wirksames Risikomanagement umfassen, auf dessen Basis eine Bank die Risikotragfähigkeit laufend sicherzustellen hat. Charakteristisch für ein solches Risikomanagement ist:

•    Festlegung von Strategien/ Verfahren zur Ermittlung und Sicherstellung der Risikotragfähigkeit
•    Einrichtung interner Kontrollverfahren mit internem Kontrollsystem und interner Revision
•    aufbau- und ablauforganisatorische Regelungen mit klarer Abgrenzung der Verantwortungsbereiche
•    Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Risiken
•    angemessene personelle und technisch-organisatorische Ausstattung des Instituts
•    Festlegung eines angemessenen Notfallkonzepts, insbesondere für IT-Systeme

Im Allgemeinen (nicht nur bezogen auf Kreditinstitute) umfasst das Risikomanagement speziell die folgenden Punkte:

•    Zielfestlegung auf Basis der Definition von Strategie
•    Darstellen von Erfolgsfaktoren zur Erreichung der Ziele
•    Festlegung Risikomanagement-Strategie
•    Identifikation von Risiken
•    Analyse und Bewertung von Risiken
•    Bewältigung von Risiken
•    Steuerung der Risikodefensive
•    Risiko-Kontrolle (Risiko-Monitoring)
•    Dokumentation

Demnach kann das Risikomanagement in die folgenden Phasen grob eingeteilt werden:

1. Analyse
2. Bewertung
3. Minimierung
4. Kontrolle
5. Nachverfolgung

Zur Steuerung der Risiken im Rahmen des Managements gibt es grundsätzlich fünf Strategien, die man verfolgen kann:

a) Risikovermeidung - Verzicht auf ein Geschäft oder Aufgabe eines Geschäftsfelds
b) Risikoübertragung bzw. Risikoüberwälzung - Outsourcing
c) Risikoverminderung
d) Risikoakzeptanz
e) Risikobeseitigung -  Abstellen eines organisatorischen Mangels