Hlava VI – Řízení kontinuity činností

Aniž jsou dotčeny příslušné požadavky podle nařízení DORA, měli by vydavatelé tokenů vázaných na aktiva v rámci provádění svých zásad a plánů zachování kontinuity činností zavedených v souladu s čl. 34 odst. 9 nařízení (EU) 2023/1114 zavést řádné řízení kontinuity činností a plány reakce a obnovy, aby zajistili svou schopnost průběžně fungovat, zvládat incidenty, které by mohly narušit provádění kritických činností v souladu s jejich ochotou podstupovat riziko a tolerancí k narušení, a omezili ztráty a přerušení poskytování služeb v případě vážného narušení provozu. Vydavatelé tokenů vázaných na aktiva mohou zřídit zvláštní nezávislou funkci kontinuity činností s přihlédnutím ke kritériím proporcionality uvedeným v hlavě I.

Vydavatel tokenů vázaných na aktiva se opírá o několik kritických zdrojů (jako jsou informační systémy, včetně cloudových služeb, komunikační systémy, základní pracovníci a budovy). Účelem řízení kontinuity činností je snížit provozní, finanční a právní důsledky, důsledky pro pověst vydavatele tokenů vázaných na aktiva a ostatní podstatné důsledky vyplývající z katastrofické události nebo déle trvajícího přerušení těchto zdrojů a následného narušení obvyklých provozních postupů vydavatele. Ostatní opatření v oblasti řízení rizik mohou být určena ke snížení pravděpodobnosti takových incidentů nebo přenesení jejich finančního dopadu (např. prostřednictvím pojištění) na třetí strany.

Aby zavedl řádný plán řízení kontinuity činností, měl by vydavatel tokenů vázaných na aktiva pečlivě analyzovat svou expozici vůči závažným narušením provozu a rizikové faktory narušení provozu a posoudit (z kvantitativního a kvalitativního hlediska) jejich možný dopad pomocí analýzy interních a/nebo externích dat a scénářů. Tato analýza by měla otestovat schopnost vydavatele tokenů vázaných na aktiva provádět kritické činnosti během narušení a měla by zahrnovat všechny linie podnikání a interní útvary, včetně funkce řízení rizik nebo postupů řízení rizik, a měla by zohledňovat jejich vzájemnou závislost. Výsledky analýzy by měly přispět ke stanovení priorit a cílů vydavatele tokenů vázaných na aktiva s ohledem na obnovu.

Na základě výše uvedené analýzy by vydavatel tokenů vázaných na aktiva měl zavést:

• a. plány pro nepředvídané události a plány zachování kontinuity činností k zajištění toho, aby vydavatel tokenů vázaných na aktiva vhodně reagoval na nepředvídané události a byl schopen provádět kritické činnosti a zachovat nezbytné údaje, pokud dojde k narušení jeho obvyklých provozních postupů;
• b. plány obnovy kritických zdrojů a kritických nebo důležitých funkcí s cílem obnovit činnost po narušení a umožnit vydavateli tokenů vázaných na aktiva vrátit se v přiměřeném časovém rámci k obvyklým provozním postupům. Jakékoli zbytkové riziko potenciálních narušení provozu by mělo být v souladu s ochotou podstupovat riziko vydavatele tokenů vázaných na aktiva;
• c. u jiných činností nebo v případech, kdy není možné zajistit zachování kontinuity kritických základních funkcí, by vydavatelé tokenů vázaných na aktiva měli mít zavedeny postupy pro včasnou obnovu dat a funkcí a včasné obnovení svých činností.

Plány pro nepředvídané události, plány zachování kontinuity činností a plány obnovy by měly být zdokumentovány a pečlivě prováděny. Dokumentace by měla být k dispozici v liniích podnikání, interních útvarech a ve funkci řízení rizik pracovníkům odpovědným za postupy řízení rizik a měla by být uložena v systémech, které budou fyzicky odděleny a v případě nepředvídané události budou okamžitě přístupné. Měla by být zajištěna odpovídající odborná příprava. Plány by měly být pravidelně testovány a aktualizovány. Veškeré problémy nebo selhání, k nimž v testech dojde, by měly být zdokumentovány a analyzovány a plány by měly být odpovídajícím způsobem upraveny.