风险管理的一个主要作用是估计未来收益和损失的分布。第一步很简单。以美元度量的收益率是初始投资的比例。换句话说，价值1亿美元的投资具有标准差σ(ΔP)=$1亿x 5.5%=$550万【σ(ΔP)=σ(ΔP/P)xP=σ(Rp)xP】。将当前头寸乘以2以便这个风险增加到110万美元。
 
　　美国股票月度收益率的分布
 
　　第二步是建立未来收益率的分布，相比之下就困难多了。在上图中，我们可以假设历史分布提供了一个未来风险的很好代表。因为我们拥有经历不同周期的大量历史收益率，这是一个可行的方法。
 
　　然而，事实并不总是这样。收益率可能在近期历史中保持恒定。这不意味着它在未来不发生变化。例如，黄金价格在1934年到1967年之间由美国政府保持恒定的35美元一盎司。因此，使用截止到1967年的30年历史分布表明没有风险。而黄金价格从那以后开始大幅浮动。到2008年，黄金价格达到1000美元一盎司。因此，风险经理的职责是判定历史数据是否直接相关。
 
　　我们如何评估一个风险管理过程的质量呢？大损失的发生并不意味着风险管理已经失败。这可以简单地归因于坏运气。股票投资在2008年可能损失17%。尽管这是一个非常严重的损失，但是在上图表明它不是不可能发生的。例如，股票市场在1931年9月损失了30%，在1987年10月19日损失了22%。因此，风险经理应该做一个预测收益率分布的漂亮工作。我们如何区分损失是由于坏运气造成的还是由于风险模型的缺陷造成的呢？
 
　　已知的已知风险
 
　　为了回答这一问题，应当将风险进行分类，我们称之为已知的已知风险、已知的未知风险以及未知的未知风险。第一类由可确定并可度量的风险组成，例如股票头寸例子中的风险。损失在坏运气和投资组合糟糕决定的组合下依然可以发生。
 
　　然而，这些风险并不能频繁发生。假设99%置信水平下的VAR未14.4%。在这些条件下，在数月中连续亏损15%的情况应当非常罕见。如果这种情况发生，那么就是模型缺陷的原因。
 
　　已知的未知风险
 
　　第二类，称为已知的未知风险，包括风险已知或者应当已知但却没有被风险经理恰当度量的模型缺陷。例如，第一，风险经理可能忽略了重要的已知风险因子。第二，风险因子的分布包括波动率和相关系数，可能没有被准确地度量。第三，映射过程，由暴露于风险因子的风险暴露来代替头寸，可能是不正确的。这通常称为模型风险（model risk）。这些风险可以用压力测试进行评估，它可以在正常范围外冲击金融随机变量或者风险模型。
 
　　作为一个例子，考虑瑞银集团于2007年在次级和alt-A级抵押贷款支撑的结构化信用证券头寸上遭受的190亿美元。瑞银投资于证券的高级层次，它认为这完全安全（且具有高收益）。结果，它累积了暴露于这些证券的900亿美元的头寸，而相比之下它的股权账面价值只有410亿美元。该银行称它的风险度量过程依赖于基于近期房屋价格正增长的简单模型。和黄金的例子一样，最近的历史价格得出了有偏差的结论并掩盖了真实的风险。另外，瑞银的风险经理过分依赖于信用评级机构提供的评级。由于风险管理几乎没有给出这些投资工具下行风险的提示，这些损失可以视为风险管理的失败。即使如此，瑞银的报告表明高级管理层实施的增长策略是“瑞银建立后来发生损失的次级贷款头寸的主要原因”。换句话说，高级管理层要对损失负主要责任。
 
　　另一个已知的未知风险形成是流动性风险（liquidity risk）。许多风险模型假设头寸可以在指定的时间范围内迅速变现。实际上这取决于很多因素。第一个因素是资产的内在流动性。例如，国债比高收益债券的流动性要好。它们在较低的买卖价差中交易并且很少遇到市场冲击。第二个因素是头寸的规模。这在头寸相对于正常交易行为过大的情况下是一个重要问题，这可能要求在执行交易的过程中经历一个非常大的价格下降。
 
　　未知的未知风险
 
　　最后一个类别的风险也是最难的。它们代表了大部分情景范围之外的所有事件。其中包括监管风险，例如突然对卖空交易的限制，这对对冲策略产生了严重影响，或者结构性的变化，例如将投资银行转变为商业银行加速了整个行业的去杠杆化。的确，一份2010年的调查报告表明风险经理高度关注“政府正在改变规则”。
 
　　同样地，考虑交易对手风险也非常困难。你无法充分地了解你的交易对手，你同样需要了解交易对手的交易对手。换句话说，这是网络关系。例如，对雷曼兄弟破产后果的深入探究就需要了解金融网络整体情况的信息。由于没有一家公司可以获得这些信息，这种传染性风险就无法进行直接度量。
 
　　同样地，一些流动性风险的形式评估起来也非常困难。这涉及相同交易者的行为和头寸情况，一般情况下是无法知道的。在非流动性市场，如果大量相同的投资组合同时出售，一个强制出售将会产生非常大的代价。