12.3 Ujednání se subjekty třetích stran o vedení rezervy aktiv a jejich investování, o úschově rezervních aktiv nebo o veřejné distribuci tokenů vázaných na aktiva

Vedoucí orgán vydavatele tokenů vázaných na aktiva, který uzavřel ujednání se subjekty třetích stran o vedení rezervy aktiv a jejich investování, o úschově rezervních aktiv nebo případně

• o veřejné distribuci tokenů vázaných na aktiva nebo uzavření takových ujednání plánuje, by měl schválit, pravidelně přezkoumávat a aktualizovat zásady týkající se požadavků na provozní odolnost těchto subjektů třetích stran a zajistit jejich uplatňování na individuálním a případně na skupinovém základě.

Tyto zásady by měly obsahovat hlavní fáze životního cyklu ujednání s těmito třetími stranami a stanovit principy, povinnosti a procesy související s využíváním služeb třetí strany. Tyto zásady by zejména měly přinejmenším zahrnovat:

• a. povinnosti vedoucího orgánu, včetně jeho případného zapojení do rozhodování;
• b. zapojení linií podnikání, funkcí vnitřní kontroly a dalších osob, pokud jde o tato ujednání;
• c. plánování a strukturování ujednání se třetími stranami, včetně vymezení obchodních požadavků týkajících se využívání služeb třetích stran;
• d. určení, posouzení a řízení rizik podle oddílu 11;
• e. hloubkové kontroly potenciálních třetích stran;
• f. zásady a postupy pro zjišťování, prevenci, řízení a zveřejňování střetů zájmů v souladu s článkem 32 nařízení (EU) 2023/1114;
• g. plánování zachování kontinuity činností a strategie ukončení smluvního vztahu k zajištění provozní odolnosti vydavatele tokenů vázaných na aktiva v případě selhání nebo narušení činnosti subjektu třetí strany, které má dopad na zajišťování kritických činností. Plány zachování kontinuity činností a plány pro ukončení smluvního vztahu vydavatele tokenů vázaných na aktiva by měly vyhodnotit nahraditelnost subjektu třetí strany, jehož vydavatel využívá pro kritické činnosti, a jiné proveditelné alternativy, jež mohou usnadnit provozní odolnost v případě výpadku u subjektu třetí strany, jako je obnovení zajišťování dané činnosti interně;
• h. postup schvalování nových ujednání;
• i. provádění, monitorování a řízení těchto ujednání, včetně průběžného hodnocení výkonnosti subjektů třetích stran, aby se zajistilo, že vztah zůstane v rámci ochoty podstupovat riziko vydavatele tokenů vázaných na aktiva a jeho tolerance k narušení kritických činností a hlavních linií podnikání;
• j. postupy pro oznamování změn ujednání subjekty třetích stran a reagování na tyto změny;
• k. nezávislý přezkum a audit dodržování právních a regulačních požadavků a zásad;
• l. postupy obnovy ujednání se subjekty třetích stran;
• m. vedení dokumentace a záznamů a
• n. strategie ukončení smluvního vztahu a postupy ukončení, včetně požadavku na zdokumentovaný plán ukončení smluvního vztahu pro každé ujednání se subjektem třetí strany, je - li ukončení považováno za možné s přihlédnutím k případnému přerušení služeb nebo neočekávanému ukončení smlouvy.

Vydavatelé tokenů vázaných na aktiva by měli posoudit potenciální dopad ujednání se subjekty třetích stran na své operační riziko a provozní odolnost v souladu s oddílem 12 a měli by zohlednit výsledky posouzení při rozhodování, zda by určitou funkci měl vykonávat subjekt třetí strany, přičemž před uzavřením těchto ujednání by měli přijmout vhodná opatření, aby se zabránilo nepřiměřeným dodatečným operačním rizikům.

V rámci posouzení rizik by měl vydavatel tokenů vázaných na aktiva zohlednit rovněž očekávané přínosy a náklady navrhovaného ujednání a mimo jiné zvážit všechna rizika, která mohou být snížena nebo lépe řízena, v kontextu rizik, jež mohou vzniknout v důsledku navrhovaného ujednání, přičemž by měl zohlednit alespoň opatření zavedená vydavatelem tokenů vázaných na aktiva a poskytovatelem služeb k řízení a zmírnění těchto rizik.

Při posuzování rizik před tím, než se začne spoléhat na subjekt třetí strany, a při průběžném monitorování výkonnosti subjektu třetí strany by měl vydavatel tokenů vázaných na aktiva přinejmenším:

• a. určit a klasifikovat příslušné funkce a související údaje a systémy, pokud jde o citlivost a kritičnost a požadovaná bezpečnostní opatření;
• b. provést důkladnou, na posouzení rizik založenou analýzu funkcí a souvisejících údajů a systémů, u kterých se zvažuje ujednání, a řešit potenciální rizika, zejména operační rizika, včetně rizik spojených se subdodávkami, právních rizik, rizik v oblasti IKT, rizik nedodržení předpisů a reputačních rizik, a omezení dohledu v souvislosti se zeměmi, kde jsou nebo mohou být poskytovány služby;
• c. zvážit zeměpisné závislosti a řízení souvisejících rizik. Tato rizika se mohou týkat hospodářského, finančního, politického, právního a regulačního prostředí v jurisdikci nebo jurisdikcích, kde bude příslušná služba poskytována.

Před uzavřením ujednání se třetí stranou a s ohledem na rizika, včetně operačních rizik a rizika selhání protistrany, by vydavatelé tokenů vázaných na aktiva měli v rámci svého postupu výběru a hodnocení zajistit, aby byl subjekt třetí strany vhodný.

Vydavatelé tokenů vázaných na aktiva by měli zajistit, aby měl subjekt třetí strany dobrou obchodní pověst, náležité a dostatečné schopnosti, odborné znalosti, kapacitu, zdroje (např. lidské, IT, finanční), organizační strukturu a povolení nebo registrace případně vyžadované právními předpisy k tomu, aby vykonával funkce spolehlivě a odborně a plnil svoje povinnosti během doby platnosti navrhované smlouvy.

Dalšími faktory, které by při provádění hloubkové kontroly potenciálního subjektu třetí strany měly být zváženy, jsou mimo jiné:

• a. jeho obchodní model, povaha, rozsah, složitost, finanční situace, vlastnická struktura a struktura skupiny;
• b. dlouhodobé vztahy se subjektem třetí strany, který již byl podroben hodnocení a poskytuje služby danému vydavateli tokenů vázaných na aktiva;
• c. míra nahraditelnosti služby a jejího poskytovatele, včetně možnosti ukončit smluvní vztah se třetí stranou a buď přejít k jinému poskytovateli služeb, nebo obnovit zajišťování kritické služby interně, nebo potenciální dopad takovéto náhrady na kritické činnosti vydavatele tokenů vázaných na aktiva;
• d. skutečnost, zda nad subjektem třetí strany vykonávají dohled příslušné orgány.

Vydavatelé tokenů vázaných na aktiva by měli přijmout vhodná opatření k zajištění toho, aby třetí strana jednala způsobem, který je v souladu s jejich hodnotami a kodexem chování.

Vydavatelé tokenů vázaných na aktiva by měli vždy zajistit, aby třetí strana, kterou využívají k veřejné distribuci tokenů, dodržovala postupy zajišťující soulad s povinnostmi v souvislosti s předcházením praní peněz a financování terorismu podle směrnice (EU) 2015/849 a případně nařízení (EU) 2023/1113 o informacích doprovázejících převody peněžních prostředků a některých kryptoaktiv. Subjekt třetí strany by měl ve svých systémech vnitřní kontroly zajistit průběžné plnění povinností v souvislosti s předcházením praní peněz a financování terorismu podle směrnice (EU) 2015/849 a případně nařízení (EU) 2023/1113 o informacích doprovázejících převody peněžních prostředků a některých kryptoaktiv.