12. Řízení operačního rizika a provozní odolnost

Vydavatel tokenů vázaných na aktiva by měl mít odpovídající rámec řízení operačního rizika a rámec provozní odolnosti. To zahrnuje účinné zásady a postupy za účelem:

• a. včasného určení, posouzení, vyhodnocení, monitorování, vykazování a zmírňování operačního rizika a
• b. určení hrozeb a možných selhání a ochrany před nimi, reakce na narušení a přizpůsobení se jim, jakož i jejich překonání a poučení se z nich, aby se minimalizoval jejich dopad na vykonávání kritických nebo důležitých funkcí¹³ .

¹³ Basilejský výbor pro bankovní dohled, Zásady provozní odolnosti, březen 2021, https://www.bis.org/bcbs/publ/d516.pdf.

Vedoucí orgán vydavatele tokenů vázaných na aktiva by měl v rámci rámce řízení rizik schvalovat strategie, zásady a postupy pro řízení operačního rizika a provozní odolnosti, včetně ochoty podstupovat riziko pro rámec operačního rizika a rizikovou toleranci v případě narušení kritických nebo důležitých funkcí¹⁴ . Tyto strategie, zásady a postupy by měly být pravidelně přezkoumávány a podle potřeby aktualizovány.

¹⁴ Tolerance narušení je úroveň narušení způsobená jakýmkoli typem operačního rizika, kterou je vydavatel ochoten akceptovat s ohledem na řadu závažných, avšak pravděpodobných scénářů.

Vedoucí orgán zajišťuje, aby tyto zásady a postupy byly účinně prováděny, plně začleněny do celkového rámce řízení rizik vydavatele tokenů vázaných na aktiva, včetně rizika souvisejícího s využíváním subjektů třetích stran, a aby o nich byli účinně informováni příslušní pracovníci.

Vydavatel tokenů vázaných na aktiva by měl jasně určit odpovědnost za systém hodnocení a řízení operačního rizika a provozní odolnosti.

Vydavatel tokenů vázaných na aktiva by měl určit své expozice vůči operačnímu riziku, sledovat relevantní údaje o operačním riziku, včetně údajů o významných ztrátách, a provádět analýzu scénářů.

Vydavatel tokenů vázaných na aktiva by měl určit své kritické činnosti v souladu se svým přístupem k provozní odolnosti a zmapovat osoby, technologie, postupy, údaje, zařízení, třetí strany, včetně subjektů uvnitř skupiny, a propojení a vzájemné závislosti mezi nimi, které jsou nezbytné k plnění kritických nebo důležitých funkcí v běžných situacích i během narušení.

Rámec řízení operačního rizika a provozní odolnosti by měl být předmětem pravidelných přezkumů prováděných interními nebo externími auditory, kteří mají znalosti potřebné k jejich provádění. Rámce řízení operačního rizika a provozní odolnosti by měly být strukturovány s dostatečnými a přiměřenými lidskými a technickými zdroji. Systém posuzování operačního rizika a rámec provozní odolnosti vydavatele tokenů vázaných na aktiva by měl být plně začleněn do jeho rámce řízení rizik.

Měl by být zaveden systém vykazování údajů vedoucímu orgánu, který zajišťuje odpovídající vykazování operačního rizika a provozní odolnosti relevantními funkcemi v rámci vydavatele tokenů vázaných na aktiva. Vydavatel tokenů vázaných na aktiva by měl mít zavedeny postupy pro bezodkladné přijetí vhodných opatření, je - li to relevantní.

Vydavatel tokenů vázaných na aktiva by měl určit a posoudit operační riziko spojené s jeho činnostmi, procesy a systémy, aby se zajistilo náležité pochopení inherentních rizik.

S ohledem na hlavu I týkající se uplatňování zásady proporcionality by měl vydavatel tokenů vázaných na aktiva určit, analyzovat a vyhodnotit řadu scénářů, včetně událostí s nízkou pravděpodobností výskytu a vysokou závažností, z nichž některé by mohly vést k závažným ztrátám souvisejícím s operačním rizikem. Vstupní údaje pro analýzu scénářů zahrnují příslušné interní a externí údaje o ztrátách, informace ze sebehodnocení, názory odborníků, rámec vnitřní kontroly, výhledové ukazatele, analýzy hlavních příč in a případně rámec procesů. Proces analýzy scénářů by se měl používat k vypracování celé řady důsledků potenciálních událostí, včetně posouzení dopadů pro účely řízení rizik, a měl by doplňovat jiné nástroje založené na historických údajích nebo současných posouzeních rizik.

S přihlédnutím k hlavě I mohou vydavatelé tokenů vázaných na aktiva používat kvalitativní přístupy k hodnocení rizik, zatímco vydavatelé významných tokenů vázaných na aktiva by měli mít sofistikovanější přístup, který zahrnuje použití interních a externích údajů o ztrátách, jsou - li k dispozici, k poskytnutí vstupních informací při analýze scénářů.