12. Operatsiooniriski juhtimine ja tegevuskerksus

Varapõhiste tokenite emitendil peaks olema asjakohane operatsiooniriski juhtimise raamistik ja tegevuskerksuse raamistik. See hõlmab tõhusaid põhimõtteid ja protsesse, et:

• a. õigeaegselt tuvastada, hinnata, seirata, teavitada ja maandada operatsiooniriski; ja
• b. tuvastada ohud ja võimalikud tõrked ning kaitsta end nende eest, reageerida tegevushäiretele, nendega kohaneda, neist taastuda ja õppida, et minimeerida nende mõju kriitiliste või oluliste funktsioonide täitmisele¹³ .

¹³ BCBS Principles for Operational Resilience, March 2021, https://www.bis.org/bcbs/publ/d516.pdf

Varapõhiste tokenite emitendi juhtorgan peaks riskijuhtimisraamistiku osana heaks kiitma operatsiooniriski ja tegevuskerksuse juhtimise strateegiad, põhimõtted ja protsessid, sealhulgas operatsiooniriski raamistiku riskivalmiduse ja kriitiliste või oluliste funktsioonide häirete riskitaluvuse¹⁴ . Need strateegiad, põhimõtted ja protsessid tuleks korrapäraselt läbi vaadata ja neid vajaduse korral ajakohastada.

¹⁴ Häiretaluvus on mis tahes liiki operatsiooniriskist tuleneva häire tase, mida emitent on valmis aktsepteerima, arvestades eri raskusastmetega, ent tõenäolisi stsenaariume.

Juhtorgan tagab, et neid põhimõtteid ja protsesse rakendatakse tõhusalt, need on täielikult integreeritud varapõhiste tokenite emitendi üldisesse riskijuhtimisraamistikku, sealhulgas kolmandate isikute kasutamisega seotud risk, ning neist teavitatakse tõhusalt asjaomaseid töötajaid.

Varapõhiste tokenite emitent peaks selgelt määrama vastutused operatsiooniriski ja tegevuskerksuse hindamis- ja juhtimissüsteemi eest.

Varapõhiste tokenite emitent peaks tuvastama enda kokkupuute operatsiooniriskiga, jälgima asjakohaseid operatsiooniriski andmeid, sealhulgas olulise kahju andmeid, ja tegema stsenaariumianalüüsi.

Varapõhiste tokenite emitent peaks tuvastama oma kriitilised toimingud kooskõlas tegevuskerksuse lähenemisviisiga ning kaardistama inimesed, tehnoloogiad, protsessid, andmed, rajatised, kolmandad isikud, sh grupisisesed üksused, ning nendevahelised seosed ja vastastikused sõltuvused, mis on vajalikud kriitiliste või oluliste funktsioonide täitmiseks tavapärases olukorras ja häirete korral.

Operatsiooniriski ja tegevuskerksuse juhtimise raamistikku peaksid korrapäraselt kontrollima sise- või välisaudiitorid, kellel on selliste kontrollide läbiviimiseks vajalikud teadmised. Operatsiooniriski juhtimise raamistik ja tegevuskerksuse raamistik peaksid olema varustatud piisavate ja sobivate inim- ja tehniliste ressurssidega. Varapõhiste tokenite emitendi operatsiooniriski hindamise süsteem ja tegevuskerksuse raamistik peaksid olema täielikult integreeritud emitendi riskijuhtimisraamistikku.

Rakendada tuleks juhtorganile teatamise süsteem, millega nähakse ette varapõhiste tokenite emitendi asjakohaste funktsioonide nõuetekohased operatsiooniriski ja tegevuskerksuse aruanded. Varapõhiste tokenite emitent peaks olema kehtestanud menetlused, et asjakohasel juhul viivitamata võtta asjakohaseid meetmeid.

Varapõhiste tokenite emitent peaks tuvastama ja hindama varapõhiste tokenite emitendile omase tegevuse, protsesside ja süsteemide operatsiooniriski, et tagada sellega kaasnevate riskide hea mõistmine.

Võttes arvesse proportsionaalsuse põhimõtte kohaldamist käsitlevat I jaotist, peaks varapõhiste tokenite emitent tuvastama, analüüsima ja mõõtma eri stsenaariume, sealhulgas väikese tõenäosuse ja suure raskusastmega juhtumid, millest mõni võib põhjustada operatsiooniriskist tulenevat suurt kahju. Stsenaariumianalüüsi sisendandmeteks on asjakohased asutusesisesed ja -välised kahjuandmed, enesehindamistest saadud teave, eksperdiarvamused, sisekontrolliraamistik, tulevikku suunatud parameetrid, algpõhjuste analüüsid ja protsessiraamistik, kui asjakohane. Stsenaariumianalüüsi protsessi tuleks kasutada võimalike sündmuste tagajärgede kogumi väljatöötamiseks, sealhulgas mõju hindamiseks riskijuhtimise eesmärgil, et täiendada varasematel andmetel või praegustel riskihinnangutel põhinevaid muid vahendeid.

Võttes arvesse I jaotist, võivad varapõhiste tokenite emitendid kasutada kvalitatiivse riskianalüüsi meetodeid, samas kui oluliste varapõhiste tokenite emitendid peaksid kasutama keerukamaid meetodeid (sh kasutama stsenaariumianalüüsis asutusesiseseid ja -väliseid kahjuandmeid, kui need on kättesaadavad).