Unter operationellen Risiken wird die Gefahr von Verlusten verstanden, die in Folge der Unangemessenheit oder des Versagens von internen Verfahren, Menschen und Systemen oder in Folge von externen Ereignissen eintreten. Das operationelle Risikomanagement der GKB verfolgt das Ziel die aufgrund der Geschäftstätigkeit der Bank entstehenden operationellen Risiken aus Risiko-Rendite-Sicht zu begrenzen. Bei der Beurteilung der operationellen Risiken und Compliance-Risiken werden die direkten finanziellen Verluste bewertet und die Folgen von Verlust von Kundenvertrauen sowie Reputation mitberücksichtigt.

Identifikation, Bewertung und Steuerung der operationellen Risiken liegen in der dezentralen Verantwortung der Fach- und Linienabteilungen. Quantifizierbare Einzelrisiken werden bezüglich Eintretenswahrscheinlichkeit und Schadenpotenzial beurteilt. Risiken, welche die GKB massgeblich negativ beeinträchtigen könnten, werden in einem Portfolio für Schlüsselrisiken (inkl. Gross- und Katastrophenrisiken) zusammengefasst und bewirtschaftet. Das Interne Kontrollsystem (IKS) stellt das wichtigste Instrument in der dezentralen Risikobegrenzung dar. Bei den Schlüsselrisiken wird durch spezifische Massnahmen (u. a. IKS) das Restrisiko auf die vom Bankrat definierte Risikotoleranz reduziert. Das Risk Controlling unterstützt zusammen mit der Organisationsabteilung die Linie bezüglich Methodik. Einzelne (Gross-)Risiken werden, zusätzlich zum implementierten IKS, auch durch Versicherungen begrenzt. Nicht unterschätzt werden darf die Bedeutung der Risikovermeidung: Durch den Verzicht auf Präsenz in ausländischen Märkten sowie auf komplexe Finanzprodukte kann die GKB viele Risiken a priori vermeiden.

Die GKB definiert auf Stufe des Einzelrisikos für die quantifizierbaren Risiken sowohl die Grenze der Tragbarkeit wie auch die Grenze der Wesentlichkeit. Für die qualitativ bestimmte Risikotoleranz nicht quantifizierbarer Risiken gelten sinngemäss die gleichen Regeln wie für die quantitativ definierten Risiken.

Das Risk Controlling informiert Geschäftsleitung und Bankrat regelmässig über erlittene Abwicklungsverluste, über Einschätzungen zu bestehenden operationellen Risiken und ihren Trend, über das Interne Kontrollsystem sowie über Verlustereignisse bei anderen Banken mit Relevanz für die GKB. Für Compliance- und Rechtsrisiken besteht zusätzlich ein separates internes Reporting.

Das Business Continuity Management (BCM) begrenzt mit branchenüblichen Notfallplänen im Katastrophenfall die negativen Auswirkungen auf die GKB. Besondere Berücksichtigung erfahren dabei geschäfts- und zeitkritische Prozesse aus der Abhängigkeit von der Informationstechnologie. Insgesamt orientiert sich das Business Continuity Management (Aufrechterhaltung oder zeitgerechte Wiederherstellung der kritischen Geschäftsfunktionen in Krisensituationen) an den massgeblichen aufsichtsrechtlichen Bestimmungen sowie den Empfehlungen der Schweizerischen Bankiervereinigung.

Die Interne Revision unterstützt die Organisation bei der Erreichung ihrer Ziele, indem sie mit einem systematischen und zielgerichteten Ansatz die Effektivität des Risikomanagements, der Kontrollen und der Führungs- und Überwachungsprozesse bewertet und diese zu verbessern hilft.

Neue Systeme werden von allen IT-Lieferanten gemäss den Richtlinien der verantwortlichen Stelle der GKB, den vereinbarten Verträgen (SLA) sowie den Sicherheitsmassnahmen aufgebaut und betrieben. Diese beruhen auf Best-Practice-Branchenstandards und werden mit unterschiedlichen externen Sicherheitsexperten abgestimmt und laufend weiterentwickelt. Alle zentralen Systeme werden durch die IT Provider maschinell überwacht und deren Abläufe aufgezeichnet. Als ein Teil des Sicherheitsdispositivs werden Auffälligkeiten durch den IT-Provider oder die GKB analysiert und wo notwendig neue Massnahmen definiert. Im Auftrag der Bank prüfen spezialisierte IT-Firmen die Systeme auf mögliche Schwachstellen. Sämtliche Gremien stellen der Graubündner Kantonalbank ein gutes Zeugnis aus. Sie attestieren der GKB die Erfüllung der FINMA-Anforderungen und ein adäquates Sicherheitsniveau. Die in Kraft stehenden Maßnahmen werden zudem regelmässig auf deren Wirksamkeit und die technischen Möglichkeiten hin überprüft.

Zur Berechnung der Eigenmittelanforderungen für operationelle Risiken verwendet die GKB den Basisindikatoransatz.