12.3 Vereinbarungen mit Drittunternehmen über die Verwaltung des Reservevermögens, die Anlage des Reservevermögens, die Verwahrung des Reservevermögens oder den öffentlichen Vertrieb der vermögenswertreferenzierten Token

Das Leitungsorgan eines Emittenten von ART, der Vereinbarungen mit Drittunternehmen für die Verwaltung des Reservevermögens, für die Anlage des Reservevermögens , die Verwahrung des Reservevermögens oder gegebenenfalls für den öffentlichen Vertrieb der vermögenswertreferenzierten Token getroffen hat oder den Abschluss solcher Vereinbarungen plant, sollte eine Richtlinie über die Anforderungen an die operationelle Zuverlässigkeit dieser Drittunternehmen genehmigen, regelmäßig überprüfen und aktualisieren und deren Umsetzung auf individueller und gegebenenfalls gruppenweiter Basis sicherstellen.

Diese Richtlinien sollten die zentralen Phasen des Lebenszyklus dieser Vereinbarungen mit Drittunternehmen umfassen und Definitionen der Grundsätze, Zuständigkeiten und Prozesse bezüglich der Inanspruchnahme von Drittunternehmen enthalten. Insbesondere sollten die Richtlinien mindestens folgende Gesichtspunkte abdecken:

• a. die Zuständigkeiten des Leitungsorgans, einschließlich seiner Beteiligung an der Entscheidungsfindung, soweit angemessen;
• b. die Einbindung der Geschäftsbereiche, der internen Kontrollfunktionen und sonstiger Personen in diese Vereinbarungen;
• c. die Planung und Strukturierung von Vereinbarungen mit Dritten, einschließlich der Definition der geschäftlichen Anforderungen in Bezug auf die Inanspruchnahme von Drittunternehmen;
• d. die Ermittlung, Bewertung und Steuerung von Risiken gemäß Abschnitt 11;
• e. Due-Diligence-Prüfungen potenzieller Drittunternehmen;
• f. Strategien und Verfahren zur Ermittlung, Vermeidung, Regelung und Offenlegung von Interessenkonflikten gemäß Artikel 32 der Verordnung (EU) 2023/1114;
• g. Geschäftsfortführungsplanung und Ausstiegsstrategien, um die operationale Resilienz des Emittenten von ART im Falle eines Ausfalls oder einer Störung bei einem Drittunternehmen, die sich auf die Bereitstellung wesentlicher Tätigkeiten auswirkt, sicherzustellen. Der Emittent von ART sollte in seinen Geschäftsfortführungs- und Ausstiegsplänen die Substituierbarkeit des Drittunternehmens, das er für kritische Tätigkeiten in Anspruch nimmt, sowie andere praktikable Alternativen bewerten, die die operationale Resilienz im Falle eines Ausfalls eines Drittunternehmens erleichtern könnten, z. B. die Wiederaufnahme der Tätigkeit intern;
• h. den Genehmigungsprozess für neue Vereinbarungen;
• i. die Umsetzung, Überwachung und Verwaltung dieser Vereinbarungen, einschließlich der laufenden Bewertung der Leistung der Drittunternehmen, um sicherzustellen, dass die Beziehung im Rahmen des Risikoappetits des Emittenten von ART und der Toleranz für die Störung kritischer Prozesse und Kerngeschäftsbereiche bleibt;
• j. die Verfahren für die Unterrichtung und die Reaktion auf Änderungen einer Vereinbarung durch Drittunternehmen;
• k. die unabhängige Prüfung der Erfüllung der rechtlichen und aufsichtlichen Anforderungen und Richtlinien;
• l. die Verfahren zur Verlängerung von Vereinbarungen mit Drittunternehmen;
• m. die Dokumentation und die Aufzeichnungen; und
• n. die Ausstiegsstrategien und Kündigungsverfahren, einschließlich der Anforderung eines dokumentierten Ausstiegsplans für jede Vereinbarung mit einem Drittunternehmen, wenn ein solcher Ausstieg unter Berücksichtigung möglicher Dienstleistungsunterbrechungen oder einer unerwarteten Beendigung einer Vereinbarung für möglich erachtet wird.

Emittenten von ART sollten die potenziellen Auswirkungen von Vereinbarungen mit Drittunternehmen auf ihr operationelles Risiko und ihre operationale Resilienz gemäß Abschnitt 12 bewerten und die Bewertungsergebnisse berücksichtigen, wenn sie entscheiden, ob eine Funktion von einem Drittunternehmen wahrgenommen werden sollte, und sollten geeignete Schritte unternehmen, um unangemessene zusätzliche operationelle Risiken zu vermeiden, bevor sie diese Vereinbarungen schließen.

Bei der Risikobewertung sollte der Emittent von ART auch den erwarteten Nutzen und die erwarteten Kosten der vorgeschlagenen Vereinbarung berücksichtigen, einschließlich einer Abwägung aller Risiken, die verringert oder besser gesteuert werden können, gegen alle Risiken, die sich aus der vorgeschlagenen Vereinbarung ergeben könnten, wobei zumindest die vom Emittenten von ART und vom Dienstleister zur Steuerung und Minderung dieser Risiken ergriffenen Maßnahmen zu berücksichtigen sind.

Bei der Durchführung der Risikobewertung vor der Inanspruchnahme eines Drittunternehmens und während der fortlaufenden Überwachung der Leistung des Drittunternehmens sollte der Emittent von ART mindestens:

• a. die einschlägigen Funktionen und entsprechenden Daten und Systeme hinsichtlich ihrer Sensitivität und Kritikalität sowie der erforderlichen Sicherheitsmaßnahmen ermitteln und einstufen;
• b. eine gründliche risikobasierte Analyse der Funktionen und zugehörigen Daten und Systeme, die für die Vereinbarung in Betracht gezogen werden, und Bewältigung der potenziellen Risiken, insbesondere der operationellen Risiken, einschließlich der Vergabe von Unteraufträgen, rechtlichen Risiken, IKT-Risiken, Compliance- und Reputationsrisiken sowie der Einschränkungen bei der Beaufsichtigung in Bezug auf die Länder, in denen die Dienstleistungen erbracht werden oder erbracht werden könnten, durchführen;
• c. die geografischen Abhängigkeiten und das Management der damit verbundenen Risiken berücksichtigen. Diese Risiken können sich auf das wirtschaftliche, finanzielle, politische, rechtliche und regulatorische Umfeld in der/den Rechtsordnung(en) beziehen, in dem/denen die betreffende Dienstleistung erbracht werden wird.

Vor dem Abschluss einer Vereinbarung mit einem Drittunternehmen und unter Berücksichtigung der Risiken, einschließlich der operationellen Risiken und des Gegenparteirisikos, sollten die Emittenten von ART in ihrem Auswahl- und Bewertungsverfahren sicherstellen, dass das Drittunternehmen geeignet ist.

Emittenten von ART sollten sicherstellen, dass das Drittunternehmen über eine hinreichende geschäftliche Reputation, angemessene und ausreichende Fähigkeiten, die Fachkenntnisse, die Kapazitäten, die Mittel (z. B. personelle und finanzielle Mittel, IT-Ressourcen), die Organisationsstruktur und gegebenenfalls die erforderliche(n) aufsichtliche(n) Zulassung(en) oder Registrierung(en) zur Wahrnehmung der Funktion in zuverlässiger und professioneller Weise verfügt, um seine Verpflichtungen während der Laufzeit des Vertragsentwurfs zu erfüllen.

Zu den zusätzlichen Faktoren, die bei der Durchführung einer Due-Diligence-Prüfung eines potenziellen Drittunternehmens zu berücksichtigen sind, zählen Folgende:

• a. sein Geschäftsmodell, seine Art, sein Umfang, seine Komplexität, Finanzlage, Eigentums- und Gruppenstruktur;
• b. die langfristigen Beziehungen mit dem Drittunternehmen, die bereits bewertet wurden, und Dienstleistungen für den Emittenten von ART erbringen;
• c. das Ausmaß der Substituierbarkeit der Dienstleistung und des Dienstleisters, einschließlich der Möglichkeit, aus der Vereinbarung mit dem Drittanbieter auszusteigen und entweder zu einem anderen Dienstleister zu wechseln oder die kritische Dienstleistung wieder intern zu erbringen, sowie die potenziellen Auswirkungen einer solchen Substitution auf die kritischen Tätigkeiten des Emittenten von ART;
• d. der Umstand, ob das Drittunternehmen von zuständigen Behörden beaufsichtigt wird.

Die Emittenten von ART sollten geeignete Schritte unternehmen, um sicherzustellen, dass die Drittunternehmen in einer mit ihren Werten und ihrem Verhaltenskodex im Einklang stehender Weise handeln.

Emittenten von ART sollten jederzeit sicherstellen, dass der Drittanbieter, den sie für den öffentlichen Vertrieb von ART einsetzen, die Verfahren einhält, mit denen die Einhaltung der Verpflichtungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung gemäß der Richtlinie (EU) 2015/849 und gegebenenfalls der Verordnung (EU) 2023/1113 über die Übermittlung von Angaben bei Geldtransfers und Transfers bestimmter Kryptowerte sichergestellt wird. Der Drittanbieter sollte in seinen internen Kontrollsystemen die kontinuierliche Einhaltung der Verpflichtungen in Bezug auf die Verhinderung von Geldwäsche und Terrorismusfinanzierung gemäß der Richtlinie (EU) 2015/849 und gegebenenfalls der Verordnung (EU) 2023/1113 über die Übermittlung von Angaben bei Geldtransfers und Transfers bestimmter Kryptowerte sicherstellen.