12.3 Megállapodások harmadik személy jogalanyokkal az eszköztartalék működtetésére, a tartalékeszközök befektetésére, a tartalékeszközökkel kapcsolatos letétkezelésre vagy az eszközalapú tokenek nyilvános forgalmazására vonatkozóan

Az olyan eszközalapútoken- kibocsátó vezető testületének, amely harmadik személy jogalanyokkal az eszköztartalék működtetésére, a tartalékeszközök befektetésére, a tartalékeszközökkel kapcsolatos letétkezelésre vagy adott esetben az eszközalapú tokenek nyilvános forgalmazására vonatkozóan kötött megállapodásokkal rendelkezik vagy ilyen megállapodások megkötését tervezi, jóvá kell hagynia, rendszeresen felül kell vizsgálnia és aktualizálnia kell az e harmadik személy jogalanyokra való operatív támaszkodásra vonatkozó követelményekkel kapcsolatos szabályzatot, és biztosítania kell azok egyéni és adott esetben csoportszintű végrehajtását.

Ennek a szabályzatnak tartalmaznia kell a harmadik felekkel kötött megállapodások életciklusának főbb szakaszait, és meg kell határoznia a harmadik fél igénybevételével kapcsolatos alapelveket, felelősségi köröket és folyamatokat. A szabályzatnak elsősorba n legalább a következőkre kell kiterjednie:

• a. a vezető testület felelősségi körei, beleértve adott esetben a döntéshozatalban való részvételét is;
• b. az üzletágaknak, a belsőkontroll -funkcióknak és más személyeknek az említett megállapodásokkal kapcsolatos szerepe;
• c. a harmadik felekkel kötött megállapodások tervezése és strukturálása, beleértve a harmadik felek igénybevételére vonatkozó üzleti követelmények meghatározását;
• d. a kockázatok 11. szakasznak megfelelően történő azonosítása, értékelése és kezelése;
• e. a leendő harmadik felekre vonatkozó átvilágítások;
• f. az összeférhetetlenségek azonosítására, megelőzésére, kezelésére és nyilvánosságra hozatalára vonatkozó szabályzatok és eljárások, az (EU) 2023/1114 rendelet 32. cikkével összhangban;
• g. üzletmenet-folytonossági tervezés és kilépési stratégiák, amelyek biztosítják az eszközalapútoken- kibocsátó működési rezilienciáját egy harmadik személy jogalanynál bekövetkező olyan hibák vagy fennakadások esetén, amelyek hatással vannak a kritikus művele tek nyújtására. Az eszközalapútoken-kibocsátó üzletmenet-folytonossági és kilépési terveiben értékelni kell a kritikus műveletek biztosításához igénybe vett harmadik személy jogalany helyettesíthetőségét, valamint más olyan életképes alternatívákat – például az adott tevékenység visszahelyezését a szervezeten belülre – , amelyek a harmadik személy jogalanynál bekövetkező üzemszünet esetén elősegíthetik a működési rezilienciát;
• h. az új megállapodások jóváhagyásának folyamata;
• i. az említett megállapodások végrehajtása, nyomon követése és kezelése, beleértve a harmadik személy jogalanyok teljesítményének folyamatos értékelését annak biztosítása érdekében, hogy a kapcsolat az eszközalapútoken-kibocsátó kockázatvállalási hajlandóságá n, valamint a kritikus műveletekben és a fő üzletágakban bekövetkező zavarokkal kapcsolatos toleranciáján belül maradjon;
• j. a megállapodásban a harmadik személy jogalanyok által végrehajtott változtatásokról való értesítésre és az azokra való reagálásra vonatkozó eljárások;
• k. független felülvizsgálat és a jogi és szabályozási követelményeknek és irányelveknek való megfelelés ellenőrzése;
• l. a harmadik személy jogalanyokkal kötött megállapodások megújításának folyamatai;
• m. a dokumentáció és a vonatkozó nyilvántartások vezetése; valamint
• n. a kilépési stratégiák és a felmondási eljárások, beleértve az egyes harmadik személy jogalanyokkal kötött megállapodásokra vonatkozó dokumentált kilépési tervet, amennyiben az ilyen kilépés lehetségesnek minősül, figyelembe véve a szolgáltatás esetleges zavarait vagy a megállapodás váratlan felmondását.

Az eszközalapútoken-kibocsátóknak a 12. szakasszal összhangban értékelniük kell a harmadik személy jogalanyokkal kötött megállapodásoknak a működési kockázatra és a működési rezilienciára gyakorolt lehetséges hatásait, és figyelembe kell venniük ennek az értékelésnek az eredményeit annak eldöntésekor, hogy egy adott funkciót harmadik személy jogalanynak kell- e ellátnia, továbbá meg kell tenniük a megfelelő lépéseket az indokolatlan további működési kockázatok elkerülése érdekében, mielőtt ilyen megállapodás okat kötnének.

A kockázatértékelés keretein belül az eszközalapútoken-kibocsátónak figyelembe kell vennie a javasolt megállapodás várható előnyeit és költségeit is, beleértve a csökkenthető vagy jobban kezelhető kockázatok összevetését a javasolt megállapodás eredményeké nt esetlegesen felmerülő kockázatokkal, figyelembe véve legalább az eszközalapútoken -kibocsátó és a szolgáltató által a kockázatok kezelése és csökkentése érdekében végrehajtott intézkedéseket.

A harmadik személy jogalanyra való támaszkodást megelőzően végzett kockázatértékelés, valamint a harmadik személy jogalany teljesítményének folyamatos nyomon követése során az eszközalapútoken- kibocsátónak legalább a következőket kell elvégeznie:

• a. a releváns funkciók és a kapcsolódó adatok és rendszerek azonosítása és osztályozása az érzékenységük, kritikus jellegük és a szükséges biztonsági intézkedések tekintetében;
• b. a megállapodással potenciálisan érintett funkciók, valamint a kapcsolódó adatok és rendszerek alapos kockázatalapú elemzésének elvégzése, valamint a potenciális kockázatok kezelése, különös tekintettel a működési kockázatokra, beleértve az alvállalkozó igénybevételével kapcsolatos, jogi, IKT-, megfelelési és hírnévvel kapcsolatos kockázatokat is, valamint az azokkal az országokkal kapcsolatos felügyeleti korlátozásokra, amelyekben a szolgáltatásokat nyújtják vagy nyújthatják;
• c. a földrajzi jellegű függőségek és a kapcsolódó kockázatok kezelésének mérlegelése. Ezek a kockázatok a gazdasági, pénzügyi, politikai, jogi és szabályozási környezethez kapcsolódhatnak azon joghatóság(ok)ban, ahol az érintett szolgáltatást nyújtani fogják.

Mielőtt megállapodást kötnének valamely harmadik féllel és mérlegelnék a kockázatokat, köztük a működési kockázatokat és a partnerkockázatot is, az eszközalapútoken -kibocsátóknak a kiválasztási és értékelési folyamatuk révén biztosítaniuk kell, hogy a harmadik személy jogalany megfelelő legyen.

A kritikus és fontos funkciók tekintetében az eszközalapútoken-kibocsátóknak meg kell győződniük arról, hogy a harmadik személy jogalany rendelkezik a szükséges üzleti jó hírnévvel, a megfelelő és elegendő képességekkel, szakértelemmel, kapacitással, erőfo rrásokkal (pl. emberi, IT- , pénzügyi erőforrások), szervezeti felépítéssel, valamint adott esetben a szóban forgó funkció megbízható és professzionális ellátásához szükséges, előírt szabályozói engedéllyel vagy engedélyekkel és bejegyzéssel vagy bejegyzésekkel annak érdekében, hogy a szerződéstervezet ideje alatt meg tudjon felelni a kötelezettségeinek.

A potenciális harmadik személy jogalannyal kapcsolatos átvilágítási eljárás elvégzése során figyelembe veendő további tényezők magukban foglalják többek közt az alábbiakat:

• a. üzleti modellje, jellege, mérete, összetettsége, pénzügyi helyzete, tulajdonosi és csoportszerkezete;
• b. a már értékelt és az eszközalapútoken-kibocsátó számára szolgáltatásokat nyújtó harmadik személy jogalannyal régóta fennálló kapcsolatok;
• c. a szolgáltatás és a szolgáltató helyettesíthetőségének szintje, ideértve a harmadik féllel kötött megállapodásból való kilépésnek és egy másik szolgáltató igénybevételének vagy a kritikus szolgáltatás szervezeten belülre történő visszahozásának a lehetőség ét, vagy az ilyen helyettesítés potenciális hatásait az eszközalapútoken-kibocsátó kritikus műveleteire;
• d. az a tény, hogy a harmadik személy jogalanyt felügyelik-e illetékes hatóságok.

Az eszközalapútoken- kibocsátóknak meg kell tenniük a megfelelő lépéseket annak biztosítására, hogy a harmadik felek az értékeikkel és a magatartási kódexükkel összhangban járjanak el.

Az eszközalapútoken-kibocsátóknak mindenkor biztosítaniuk kell, hogy az eszközalapú tokenek nyilvános forgalmazására általuk igénybe vett harmadik fél megfeleljen a pénzmosás és a terrorizmusfinanszírozás megelőzésével kapcsolatos, az (EU) 2015/849 irányel v és adott esetben a pénzátutalásokat és egyes kriptoeszköz- átruházásokat kísérő adatokról szóló (EU) 2023/1113 rendelet szerinti kötelezettségeknek való megfelelést biztosító eljárásoknak. A harmadik személy jogalanynak a belsőkontroll -rendszerében biztosítania kell a pénzmosás és a terrorizmusfinanszírozás megelőzésével kapcsolatos, az (EU) 2015/849 irányelv és adott esetben a pénzátutalásokat és egyes kriptoeszköz- átruházásokat kísérő adatokról szóló (EU) 2023/1113 rendelet szerinti kötelezettségeknek való folyamatos megfelelést.