12. Gestion du risque opérationnel et résilience opérationnelle

Un émetteur de jetons se référant à un ou des actifs devrait disposer d’un cadre adéquat de gestion du risque opérationnel et d’un cadre adéquat de résilience opérationnelle. Cela comprend des politiques et des processus efficaces pour:

• a. détecter, évaluer, suivre, déclarer et atténuer le risque opérationnel en temps utile; et
• b. détecter et se protéger contre les menaces et les défaillances potentielles, réagir et s’adapter aux événements perturbateurs ainsi que se rétablir après de tels événements et en tirer des enseignements afin de réduire au minimum leur incidence sur l’exercice de fonctions critiques ou importantes¹³ .

¹³ Comité de Bâle sur le contrôle bancaire (CBCB), Principles for Operational Resilience (principes de résilience opérationnelle), mars 2021, https://www.bis.org/bcbs/publ/d516.pdf

L’organe de direction de l’émetteur de jetons se référant à un ou des actifs devrait, dans le contexte du cadre de gestion des risques, approuver des stratégies, des politiques et des processus de gestion du risque opérationnel et de la résilience opérationnelle, y compris l’appétit pour le risque opérationnel et la tolérance au risque de perturbation de fonctions critiques ou importantes¹⁴ . Ces stratégies, politiques et processus devraient être réexaminés périodiquement et actualisés, le cas échéant.

¹⁴ La tolérance aux perturbations est le niveau de perturbation résultant de tout type de risque opérationnel qu’un émetteur est disposé à accepter dans différents scénarios graves mais plausibles.

L’organe de direction veille à ce que ces politiques et processus soient mis en œuvre de manière efficace, pleinement intégrés dans le cadre global de gestion des risques de l’émetteur de jetons se référant à un ou des actifs, y compris en ce qui concerne le risque lié au recours à des entités tierces, et communiqués de manière efficace au personnel concerné.

L’émetteur de jetons se référant à un ou des actifs devrait répartir clairement les responsabilités pour le système d’évaluation et de gestion du risque opérationnel et de la résilience opérationnelle.

L’émetteur de jetons se référant à un ou des actifs devrait déterminer ses expositions au risque opérationnel, suivre les données pertinentes relatives à ce risque, notamment celles concernant les pertes significatives, et procéder à une analyse de scénarios.

L’émetteur de jetons se référant à un ou des actifs devrait recenser ses opérations critiques, conformément à son approche de résilience opérationnelle, et répertorier les personnes, la technologie, les processus, les données, les installations, les tiers, y compris les entités au sein du groupe, ainsi que les interconnexions et les interdépendances entre eux qui sont nécessaires à l’exercice de fonctions critiques ou importantes dans une situation normale et en cas de perturbation.

Le cadre de gestion du risque opérationnel et de la résilience opérationnelle devrait être réexaminé régulièrement par des auditeurs internes ou externes possédant les connaissances nécessaires pour effectuer ces examens. Le cadre de gestion du risque opérationnel et le cadre de résilience opérationnelle devraient être dotés de ressources humaines et techniques suffisantes et adéquates. Le système d’évaluation du risque opérationnel et le cadre de résilience opérationnelle de l’émetteur de jetons se référant à un ou des actifs devraient être pleinement intégrés dans le cadre de gestion des risques de l’émetteur.

Il convient de mettre en œuvre un système de déclaration à l’organe de direction prévoyant l’établissement de rapports adéquats sur le risque opérationnel et la résilience opérationnelle par les fonctions pertinentes au sein de l’émetteur de jetons se référant à un ou des actifs. L’émetteur de jetons se référant à un ou des actifs devrait mettre en place des procédures à suivre pour prendre des mesures appropriées sans délai, le cas échéant.

L’émetteur de jetons se référant à un ou des actifs devrait déterminer et évaluer les risques opérationnels inhérents à ses activités, à ses processus et à ses systèmes afin de s’assurer que les risques inhérents sont bien compris.

Compte tenu du titre I sur l’application du principe de proportionnalité, l’émetteur de jetons se référant à un ou des actifs devrait déterminer, analyser et mesurer différents scénarios, y compris des événements dont la probabilité est faible et dont le degré de gravité est élevé, dont certains pourraient entraîner des pertes graves liées au risque opérationnel. Les éléments contribuant à l’analyse de scénarios comprennent des données internes et externes pertinentes sur les pertes, des informations issues d’auto-évaluations, des avis d’experts, le cadre de contrôle interne, des indicateurs prospectifs, des analyses des causes profondes et le cadre du processus, le cas échéant. Le processus d’analyse de scénarios devrait être utilisé pour déterminer une série de conséquences d’événements potentiels, y compris des analyses d’impact à des fins de gestion des risques, en complément d’autres outils fondés sur des données historiques ou des évaluations actuelles des risques.

Compte tenu du titre I, les émetteurs de jetons se référant à un ou des actifs peuvent adopter des approches qualitatives de l’évaluation des risques, tandis que les émetteurs de jetons se référant à un ou des actifs d’importance significative devraient adopter une approche plus sophistiquée, notamment, le cas échéant, utiliser des données internes et externes sur les pertes pour éclairer l’analyse de scénarios.