12.3 Aftaler med tredjepartsenheder om drift af reserven af aktiver, investering af reserven af aktiver, opbevaring af reserven af aktiver eller distribution af de aktivbaserede tokens til offentligheden

Ledelsesorganet for en udsteder af ART'er, der har indført ordninger med tredjepartsenheder til drift af reserven af aktiver, til investering af reserven af aktiver, til opbevaring af reserven af aktiver eller, hvor det er relevant, til distribution af de aktivbaserede tokens til offentligheden, eller som planlægger at indgå sådanne ordninger, bør godkende, regelmæssigt gennemgå og opdatere en politik om kravene til operationel afhængighed af disse tredjepartsenheder og sikre deres gennemførelse på individuelt niveau og, hvor det er relevant, på koncernniveau.

Politikken bør indeholde de vigtigste faser af disse tredjepartsordningers livscyklus og fastlægge principper, ansvarsområder og processer i forbindelse med brugen af tredjeparter. Politikken bør som minimum omfatte følgende:

• a. ledelsesorganets ansvarsområder, herunder dets inddragelse i beslutningsprocessen, hvor det er relevant
• b. inddragelse af forretningsområder, interne kontrolfunktioner og andre personer i forbindelse med disse ordninger
• c. planlægning og strukturering af tredjepartordninger, herunder definition af forretningsmæssige krav vedrørende brug af tredjeparter
• d. risikoafdækning, -vurdering og -styring, jf. afsnit 11
• e. due diligence-kontrol af potentielle tredjeparter
• f. politikker og procedurer til at identificere, forebygge, håndtere og offentliggøre interessekonflikter, jf. artikel 32 i forordning (EU) 2023/1114
• g. planlægning af forretningskontinuitet og for at sikre udstederen af ART'ers operationelle modstandsdygtighed i tilfælde af en drifts- eller anden forstyrrelse hos en tredjepartsenhed, der påvirker udførelsen af kritiske operationer. Udstederen af ART'ers forretningskontinuitets- og exitplaner bør vurdere substituerbarheden af den tredjepartsenhed, som udstederen gør brug af til kritiske operationer, og andre brugbare alternativer, der kan fremme operationel modstandsdygtighed i tilfælde af et udfald hos en tredjepartsenhed, f.eks. tilbagetagelse af aktiviteten;
• h. godkendelsesproces for nye ordninger
• i. gennemførelse, overvågning og administration af disse ordninger, herunder løbende vurdering af tredjepartsenhedernes resultater, for at sikre, at forholdet fortsat ligger inden for udstederen af ART'ers risikoappetit og -tolerance med hensyn til forstyrrelser, der rammer kritiske operationer og centrale forretningsområder
• j. procedurer for modtagelse af underretning om og håndtering af ændringer i en ordning foretaget af tredjepartsenheder
• k. uafhængig kontrol og revision af overholdelsen af retlige og forskriftsmæssige krav og politikker
• l. processer for forlængelse af ordninger med tredjepartsenheder
• m. dokumentation og opbevaring af dokumentation
• n. exitstrategier og opsigelsesprocesser, herunder et krav om en dokumenteret exitplan for hver ordning med en tredjepartsenhed, hvor et sådant exit anses for muligt under hensyntagen til eventuelle driftsforstyrrelser eller uventet opsigelse af en aftale.

Udstedere af ART'er bør vurdere den potentielle indvirkning af ordninger med tredjepartsenheder på deres operationelle risiko og operationelle modstandsdygtighed, jf. afsnit 12 og bør tage hensyn til vurderingsresultaterne, når de beslutter, om en funktion skal varetages af en tredjepartsenhed, og bør tage passende skridt til at undgå unødvendige yderligere operationelle risici, før de indgår aftale om sådanne ordninger.

I risikovurderingen bør udstederen af ART'er også tage hensyn til de forventede fordele og omkostninger ved den foreslåede ordning, herunder en afvejning af risici, der kan begrænses eller styres bedre mod risici, der kan opstå som følge af den foreslåede ordning, idet der som minimum tages hensyn til de foranstaltninger, som udstederen af ART'er og tjenesteudbyderen har gennemført for at styre og begrænse disse risici.

I forbindelse med udførelsen af risikovurderingen forud for brugen af en tredjepartsenhed og under løbende overvågning af tredjepartsenhedens resultater bør udstederen af ART'er som minimum:

• a. identificere og klassificere de relevante funktioner og dermed forbundne data og systemer ud fra følsomhed, kritikalitet og påkrævede beskyttelsesforanstaltninger
• b. foretage en grundig risikobaseret analyse af funktionerne og dermed forbundne data og systemer, der tages i betragtning i forbindelse med ordningen, og håndtere potentielle risici, navnlig operationelle risici, herunder underleverandørrisici, juridiske risici, IKT-risici, compliancerisici og omdømmerisici, og de tilsynsmæssige begrænsninger i forbindelse med de lande, hvortil tjenesterne leveres eller kan leveres
• c. overveje de geografiske afhængighedsforhold og styringen af dermed forbundne risici. Sådanne risici kan vedrøre de økonomiske, finansielle, politiske, juridiske og regulatoriske forhold i den eller de jurisdiktioner, hvor den pågældende tjeneste vil blive leveret.

Inden der indgås en aftale med en tredjepart, og under hensyntagen til risiciene, herunder operationelle risici og modpartsrisici, bør udstedere af ART'er i deres udvælgelses- og vurderingsproces sikre, at tredjepartsenheden er egnet.

Udstedere af ART'er bør sikre, at tredjepartsenheden har et tilfredsstillende forretningsmæssigt omdømme, relevante og hensigtsmæssige muligheder, ekspertise, kapacitet, ressourcer (f.eks. menneskelige, IT-mæssige, finansielle), organisatorisk struktur og, hvor det er relevant, den eller de påkrævede myndighedstilladelser eller registreringer til at varetage funktionen pålideligt og professionelt for at opfylde sine forpligtelser i kontraktudkastets løbetid.

Yderligere faktorer, der skal tages i betragtning ved udførelsen af due diligence vedrørende en potentiel tredjepartsenhed, omfatter, men er ikke begrænset til:

• a. tredjepartsenhedens forretningsmodel, art, omfang, kompleksitet, finansielle situation, ejerskab og koncernstruktur
• b. de langsigtede relationer med tredjepartsenheden, der allerede er blevet vurderet, og som udfører tjenester for udstederen af ART'er
• c. graden af substituerbarhed af tjenesten og tjenesteudbyderen, herunder muligheden for at forlade tredjepartsaftalen og enten skifte til en anden tjenesteudbyder eller tilbagetage den kritiske tjeneste eller en sådan substitutions potentielle indvirkning på udstederen af ART'ers kritiske operationer
• d. hvorvidt tjenesteudbyderen er underlagt de kompetente myndigheders tilsyn.

Udstedere af ART'er bør tage passende skridt til at sikre, at tjenesteudbyderen handler i overensstemmelse med deres værdier og adfærdskodeks.

Udstedere af ART'er bør til enhver tid sikre, at den tredjepart, de gør brug af til at distribuere ART'er til offentligheden, overholder de procedurer, der sikrer overholdelse af forpligtelserne i forbindelse med forebyggelse af hvidvask af penge og finansiering af terrorisme i henhold til direktiv (EU) 2015/849 og, hvor det er relevant, forordning (EU) 2023/1113 om oplysninger, der skal medsendes ved pengeoverførsler og visse former for kryptoaktiver. Tredjepartsenheden bør i sine interne kontrolsystemer sikre løbende overholdelse af forpligtelserne vedrørende forebyggelse af hvidvask af penge og finansiering af terrorisme i henhold til direktiv (EU) 2015/849 og, hvor det er relevant, forordning (EU) 2023/1113 om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver.