12.3 Kokkulepped kolmandate isikutega tagatisvara portfelli haldamise, tagatisvara portfelli investeerimise, tagatisvara portfelli hoidmise või varapõhiste tokenite avalikkusele jaotamise kohta

Varapõhiste tokenite emitendi juhtorgan, kes on sõlminud kokkulepped kolmandate isikutega tagatisvara portfelli haldamiseks, tagatisvara portfelli investeerimiseks, tagatisvara portfelli hoidmiseks või vajaduse korral varapõhiste tokenite avalikkusele jaotamiseks või kavatseb sõlmida selliseid kokkuleppeid, peaks heaks kiitma, korrapäraselt läbi vaatama ja ajakohastama poliitika, mis käsitleb nende kolmandate isikute tegevuskerksuse nõudeid, ning tagama nende rakendamise individuaalselt ja kogu konsolideerimisgrupi tasandil, kui asjakohane.

See poliitika peaks sisaldama nende kolmandate isikutega sõlmitud kokkulepete elutsükli põhietappe ning kolmandate isikute kasutamisega seotud põhimõtteid, kohustusi ja protsesse. Täpsemalt peaks poliitika käsitlema vähemalt järgmist:

• a. juhtorgani kohustused, sh vajaduse korral tema osalemine otsustusprotsessis;
• b. äriliinide, sisekontrolli funktsioonide ja teiste isikute kaasatus selles kokkuleppes;
• c. kolmandate isikute kokkulepete kavandamine ja struktureerimine, sh kolmandate isikute kasutamisega seotud tegevusnõuete määratlemine;
• d. riskide tuvastamine, hindamine ja juhtimine kooskõlas 11. jaoga;
• e. võimalike kolmandate isikute hoolsuskohustuse kontrollimine;
• f. huvide konfliktide tuvastamise, ennetamise, haldamise ja avalikustamise põhimõtted ja menetlused kooskõlas määruse (EL) 2023/1114 artikliga 32;
• g. talitluspidevuse ja väljumisstrateegiate kavandamine, et tagada varapõhiste tokenite emitendi talitluspidevus juhul, kui kolmanda isiku üksuses tekib rike või häire, mis mõjutab kriitilisi toiminguid. Varapõhiste tokenite emitent peaks hindama oma talitluspidevus- ja väljumiskavasid ning hindama kriitiliste toimingute teostamiseks kasutatava kolmanda isiku asendatavust ja muid sobivaid alternatiive, mis võivad hõlbustada tegevuskerksust kolmanda isiku üksuse tegevuse katkestuse korral, näiteks tegevuse asutusse tagasitoomine;
• h. tegevuse edasiandmise uute kokkulepete heakskiitmise kord;
• i. selliste kokkulepete rakendamine, järelevalve ja juhtimine, sealhulgas kolmandate isikute üksuste tulemuslikkuse pidev hindamine, tagamaks, et suhe jääks varapõhiste tokenite emitendi riskivalmiduse ja -taluvuse piiresse kriitiliste toimingute ja peamiste äriliinide häirete korral;
• j. kolmanda isiku poolsetest kokkuleppe muudatustest teavitamise ja neile reageerimise kord;
• k. õigus- ja regulatiivnõuetele vastavuse sõltumatu kontrollimine ja auditeerimine;
• l. kolmandate isikutega sõlmitud kokkulepete pikendamise protsessid;
• m. dokumenteerimine ja andmete säilitamine; ja
• n. väljumisstrateegia ja lõpetamisprotsess, sh nõue, et iga kolmanda isikuga sõlmitud kokkuleppe jaoks oleks olemas kirjalik väljumiskava, kui selline väljumine on võimalik, arvestades teenuse võimalike katkestustega või kokkuleppe ootamatu lõpetamisega.

Varapõhiste tokenite emitendid peaksid hindama kolmandate isikutega sõlmitud kokkulepete võimalikku mõju oma operatsiooniriskile ja tegevuskerksusele kooskõlas punktiga 12 ning võtma hindamistulemusi arvesse, kui nad otsustavad, kas funktsiooni peaks täitma kolmas isik, ning võtma enne selliste kokkulepete sõlmimist asjakohaseid meetmeid, et vältida põhjendamatuid täiendavaid operatsiooniriske.

Riskihinnangus peaks varapõhiste tokenite emitent võtma arvesse ka kavandatava kokkuleppe eeldatavat kasu ja kulusid, sealhulgas kaaluma kõiki riske, mida saab vähendada või paremini juhtida, võrreldes kavandatava kokkuleppe tulemusel tekkivate riskidega, võttes arvesse vähemalt emitendi enda ja teenuseosutaja rakendatud meetmeid nende riskide juhtimiseks ja maandamiseks.

Riskihindamise läbiviimisel enne kolmanda isikuga kokkuleppe sõlmimist ja kolmanda isikust tegevuse tulemuslikkuse pideva jälgimise ajal peaks varapõhiste tokenite emitent tegema vähemalt järgmist:

• a. tuvastama ja liigitama asjaomased funktsioonid ning seotud andmed ja süsteemid tundlikkuse, kriitilisuse ja nõutavate turbemeetmete alusel;
• b. tegema kokkuleppe aluseks olevate funktsioonide ning seotud andmete ja süsteemide põhjaliku riskianalüüsi, käsitledes võimalikke riske, eriti operatsiooniriske (sh tegevuse edasiandmine, õigus-, IKT-, vastavus- ja maineriskid) ja järelevalve piiranguid riikides, kus neid teenuseid osutatakse või hakatakse osutama;
• c. kaaluda geograafilist sõltuvust ja seonduvate riskide juhtimist. Need riskid võivad olla seotud majandusliku, rahalise, poliitilise, õigusliku ja regulatiivse keskkonnaga jurisdiktsiooni(de)s, kus asjaomast teenust osutatakse.

Enne kolmanda isikuga kokkuleppe sõlmimist ja riskide, sealhulgas operatsiooniriskide ja vastaspoole riski arvesse võtmist peaksid varapõhiste tokenite emitendid oma valiku- ja hindamisprotsessis tagama, et kolmas isik on sobiv.

Varapõhiste tokenite emitendid peaksid jälgima, et kolmandal isikul oleks funktsiooni ning muude lepingujärgsete kohustuste usaldusväärseks ja professionaalseks täitmiseks piisavalt hea maine, sobivad ja piisavad võimed, teadmised, võimekus, ressursid (nt inimesed, IT ja raha), organisatsiooniline ülesehitus ja (kui asjakohane) nõutavad regulatiivsed tegevusload või registreeringud.

Lisategurid, millega tuleks potentsiaalse kolmanda isikuga seotud hoolsuskohustuse hindamisel arvestada, on muu hulgas järgmised:

• a. tema ärimudel, olemus, ulatus, keerukus, finantsseisund, omanikud ja grupi ülesehitus;
• b. pikaajalised suhted kolmandate isikutega, keda on juba hinnatud ja kes juba osutavad varapõhiste tokenite emitendile teenuseid;
• c. teenuse ja teenuseosutaja asendatavuse tase, sealhulgas võimalus taganeda kolmanda isikuga sõlmitud kokkuleppest ja valida teine teenuseosutaja või tuua kriitiline teenus asutusse tagasi või sellise asendamise võimalik mõju varapõhiste tokenite emitendi olulisele tegevusele;
• d. kas pädevad asutused teostavad kolmanda isiku üle järelevalvet.

Varapõhiste tokenite emitendid peaksid tagama, et kolmas isik tegutseks kooskõlas nende väärtuste ja käitumisjuhendiga.

Varapõhiste tokenite emitendid peaksid alati tagama, et kolmas isik, keda nad kasutavad varapõhiste tokenite avalikkusele jaotamiseks, järgiks menetlusi, mis tagavad rahapesu ja terrorismi rahastamise tõkestamisega seotud kohustuste täitmise vastavalt direktiivile (EL) 2015/849 ja (kui asjakohane) määrusele (EL) 2023/1113, mis käsitleb rahaülekannetes ja teatavates krüptovaraülekannetes edastatavat teavet. Kolmas isik peaks oma sisekontrollisüsteemides tagama pideva vastavuse direktiivi (EL) 2015/849 ja (kui asjakohane) määruse (EL) 2023/1113 (mis käsitleb rahaülekannetes ja teatavates krüptovaraülekannetes edastatavat teavet) kohastele rahapesu ja terrorismi rahastamise tõkestamise kohustustele.