Das operationelle Risikomanagement der GKB verfolgt das Ziel die aufgrund der Geschäftstätigkeit der Bank entstehenden operationellen Risiken aus Risiko-Rendite-Sicht zu begrenzen. Für die Beurteilung der operationellen Risiken wird nicht nur der finanzielle Verlust herangezogen, sondern auch allfällige Effekte auf die Reputation der Bank miteingeschlossen.

Identifikation, Bewertung und Steuerung der operationellen Risiken liegen in der dezentralen Verantwortung der Fach- und Linienabteilungen. Quantifizierbare Einzelrisiken werden bezüglich Eintretenswahrscheinlichkeit und Schadenpotenzial beurteilt. Risiken, welche die GKB massgeblich negativ beeinträchtigen könnten, werden in einem Portfolio für Schlüsselrisiken (inkl. Gross- und Katastrophenrisiken) zusammengefasst und bewirtschaftet. Das Interne Kontrollsystem (IKS) stellt das wichtigste Instrument in der dezentralen Risikobegrenzung dar. Bei den Schlüsselrisiken wird durch spezifische Massnahmen (u. a. IKS) das Restrisiko auf die vom Bankrat definierte Risikotoleranz reduziert. Das Risk Controlling unterstützt zusammen mit der Organisationsabteilung die Linie bezüglich Methodik. Einzelne (Gross-)Risiken werden, zusätzlich zum implementierten IKS, auch durch Versicherungen begrenzt. Nicht unterschätzt werden darf die Bedeutung der Risikovermeidung: Durch den Verzicht auf Präsenz in ausländischen Märkten sowie auf komplexe Finanzprodukte kann die GKB viele Risiken a priori vermeiden.

Die GKB definiert auf Stufe des Einzelrisikos für die quantifizierbaren Risiken sowohl die Grenze der Tragbarkeit wie auch die Grenze der Wesentlichkeit. Für die qualitativ bestimmte Risikotoleranz nicht quantifizierbarer Risiken gelten sinngemäss die gleichen Regeln wie für die quantitativ definierten Risiken.

Das Risk Controlling informiert Geschäftsleitung und Bankrat regelmässig über erlittene Abwicklungsverluste, über Einschätzungen zu bestehenden operationellen Risiken und ihren Trend, über das Interne Kontrollsystem sowie über Verlustereignisse bei anderen Banken mit Relevanz für die GKB. Für Compliance- und Rechtsrisiken besteht zusätzlich ein separates internes Reporting.

Das Business Continuity Management (BCM) begrenzt mit branchenüblichen Notfallplänen im Katastrophenfall die negativen Auswirkungen auf die GKB. Besondere Berücksichtigung erfahren dabei geschäfts- und zeitkritische Prozesse aus der Abhängigkeit von der Informationstechnologie. Insgesamt orientiert sich das Business Continuity Management (Aufrechterhaltung oder zeitgerechte Wiederherstellung der kritischen Geschäftsfunktionen in Krisensituationen) an den massgeblichen aufsichtsrechtlichen Bestimmungen sowie den Empfehlungen der Schweizerischen Bankiervereinigung.

Die Interne Revision unterstützt die Organisation bei der Erreichung ihrer Ziele, indem sie mit einem systematischen und zielgerichteten Ansatz die Effektivität des Risikomanagements, der Kontrollen und der Führungs- und Überwachungsprozesse bewertet und diese zu verbessern hilft.

Neue Systeme werden von allen IT-Lieferanten gemäss den Richtlinien der verantwortlichen Stelle der GKB aufgebaut. Diese beruhen auf Best-Practice-Branchenstandards und werden mit unterschiedlichen externen Sicherheitsexperten abgestimmt und laufend weiterentwickelt. Alle zentralen Systeme werden maschinell überwacht und deren Abläufe aufgezeichnet. Als ein Teil des Sicherheitsdispositivs werden Auffälligkeiten analysiert und wo notwendig neue Massnahmen definiert. Im Auftrag der Bank prüfen spezialisierte IT-Firmen die Systeme auf mögliche Schwachstellen. Sämtliche Gremien stellen der Graubündner Kantonalbank ein gutes Zeugnis aus. Sie attestieren der GKB die Erfüllung der FINMA-Anforderungen und ein überdurchschnittliches Sicherheitsniveau. Die in Kraft stehenden Maßnahmen werden zudem regelmässig auf deren Wirksamkeit und die technischen Möglichkeiten hin überprüft.

Zur Berechnung der Eigenmittelanforderungen für operationelle Risiken verwendet die GKB den Basisindikatoransatz.