12.3 Accordi con soggetti terzi per la gestione della riserva di attività, per l’investimento delle attività di riserva, per la custodia delle attività di riserva o per la distribuzione al pubblico dei token collegati ad attività.

L’organo di amministrazione di un emittente di ART che ha concluso accordi con soggetti terzi per la gestione della riserva di attività, per l’investimento delle attività di riserva, per la custodia delle attività di riserva o, se del caso, per la distribuzione al pubblico dei token collegati ad attività o che sta pianificando la conclusione di tali accordi dovrebbe approvare, riesaminare e aggiornare periodicamente una politica relativa ai requisiti per la resilienza operativa di tali soggetti terzi e garantirne l’attuazione a livello individuale e, se del caso, a livello di gruppo.

(¹⁵ ) Cfr. il regolamento (UE) 2022/2554 (GU L 333 del 27.12.2022, pagg. 1-79).

La politica dovrebbe includere le fasi principali del ciclo di vita degli accordi con i soggetti terzi e definire i principi, le responsabilità e i processi in relazione al ricorso a terze parti. In particolare, la politica dovrebbe riguardare almeno:

• a. le responsabilità dell’organo di amministrazione, compreso il suo coinvolgimento, se opportuno, nel processo decisionale;
• b. il coinvolgimento delle linee di business, delle funzioni di controllo interno e di altri soggetti in relazione a tali accordi;
• c. la pianificazione e la strutturazione di accordi con soggetti terzi, compresa la definizione dei requisiti aziendali relativi al ricorso a terze parti;
• d. l’individuazione, la valutazione e la gestione dei rischi conformemente alla sezione 11;
• e. controlli di due diligence su potenziali terze parti;
• f. politiche e procedure per individuare, prevenire, gestire e comunicare i conflitti di interesse, in linea con l’articolo 32 del regolamento (UE) 2023/1114;
• g. pianificazione della continuità operativa e strategie di uscita onde garantire la resilienza operativa dell’emittente di ART in caso di dissesto o interruzione presso un soggetto terzo che incide sullo svolgimento di operazioni essenziali. I piani di continuità operativa e di uscita dell’emittente di ART dovrebbero valutare la sostituibilità del soggetto terzo che utilizza per le operazioni essenziali e altre alternative praticabili che possono facilitare la resilienza operativa in caso di indisponibilità presso un soggetto terzo, come la reintegrazione dell’attività all’interno dell’azienda;
• h. il processo di approvazione di nuovi accordi;
• i. l’attuazione, il monitoraggio e la gestione di tali accordi, compresa la valutazione continua delle prestazioni di soggetti terzi per garantire che il rapporto rimanga all’interno della propensione e tolleranza al rischio dell’emittente di ART per l’interruzione delle operazioni essenziali e delle linee di business principali;
• j. le procedure di notifica e di risposta alle modifiche di un accordo da parte di soggetti terzi;
• k. l’esame e l’audit indipendenti sulla conformità alle politiche e alle previsioni di legge e agli obblighi normativi;
• l. i processi di rinnovo degli accordi con soggetti terzi;
• m. la documentazione e la tenuta dei registri;
• n. le strategie di uscita e i processi per porre termine all’accordo, compresa la richiesta di un piano di uscita documentato per ogni accordo con un soggetto terzo, qualora tale uscita sia considerata praticabile alla luce delle possibili interruzioni del servizio o della cessazione inattesa di un accordo.

Gli emittenti di ART dovrebbero valutare il potenziale impatto degli accordi con soggetti terzi sul loro rischio operativo e sulla loro resilienza operativa, conformemente alla sezione 12, e dovrebbero tenere conto dei risultati della valutazione nel decidere se una funzione debba essere svolta da un soggetto terzo e dovrebbero adottare misure adeguate per evitare indebiti rischi operativi aggiuntivi prima di concludere tali accordi.

Nell’ambito della valutazione del rischio, l’emittente di ART dovrebbe anche tenere conto dei benefici e dei costi previsti dell’accordo proposto, compresa la ponderazione di eventuali rischi che possono essere ridotti o meglio gestiti rispetto a eventuali rischi che possono derivare dall’accordo proposto, tenendo conto almeno delle misure attuate dall’emittente di ART e dal prestatore di servizi per gestire e mitigare tali rischi.

Nell’effettuare la valutazione del rischio prima del ricorso a soggetti terzi e nel corso del monitoraggio continuo delle prestazioni del soggetto terzo, l’emittente delle ART dovrebbe, come minimo:

• a. individuare e classificare le funzioni pertinenti e i relativi dati e sistemi in base alla loro sensibilità ed essenzialità nonché alle misure di sicurezza richieste;
• b. effettuare un’approfondita analisi basata sul rischio delle funzioni e dei relativi dati e sistemi che vengono considerati per un accordo e affrontare i potenziali rischi, in particolare i rischi operativi, compresi i rischi di subappalto, legali, informatici, di conformità e reputazionali, nonché eventuali limitazioni alle attività di controllo connesse ai paesi in cui sono prestati o è probabile che siano prestati i servizi;
• c. considerare le dipendenze geografiche e la gestione dei rischi correlati. Tali rischi possono riguardare l’ambiente economico, finanziario, politico, legale e normativo della giurisdizione o delle giurisdizioni in cui sarà prestato il servizio in questione.

Prima di concludere un accordo con terzi e prendere in considerazione i rischi, compresi i rischi operativi e il rischio di controparte, gli emittenti di ART dovrebbero assicurare, nel loro processo di selezione e valutazione, che il soggetto terzo sia idoneo.

Gli emittenti di ART dovrebbero far sì che il soggetto terzo abbia la reputazione commerciale, abilità adeguate e sufficienti, la competenza, la capacità, le risorse (ad esempio umane, informatiche, finanziarie), la struttura organizzativa e, se pertinente, le autorizzazioni

• o le registrazioni regolamentari necessarie per svolgere la funzione in modo affidabile e professionale al fine di adempiere ai propri obblighi per tutta la durata del contratto proposto.

Ulteriori fattori da prendere in considerazione nell’effettuare la due diligence su un potenziale soggetto terzo comprendono, tra l’altro:

• a. il modello di business, la natura, le dimensioni, la complessità, la situazione finanziaria, la struttura proprietaria e di gruppo del soggetto terzo;
• b. le relazioni a lungo termine con i soggetti terzi già valutati e che prestano servizi per l’emittente di ART;
• c. il livello di sostituibilità del servizio e del prestatore di servizi, compresa la capacità di porre termine all’accordo con il soggetto terzo e di passare a un altro prestatore di servizi o di reintegrare il servizio essenziale all’interno dell’azienda o il potenziale impatto di tale sostituzione sulle operazioni essenziali dell’emittente di ART;
• d. se il soggetto terzo è soggetto alla vigilanza da parte delle autorità competenti.

Gli emittenti di ART dovrebbero adottare misure adeguate per assicurare che i soggetti terzi agiscano coerentemente con i rispettivi valori e codici di condotta.

Gli emittenti di ART dovrebbero assicurarsi in ogni momento che i terzi di cui si avvalgono per distribuire gli ART al pubblico rispettino le procedure volte ad assicurare la conformità agli obblighi in materia di prevenzione del riciclaggio e del finanziamento del terrorismo ai sensi della direttiva (UE) 2015/849 e, ove applicabile, del regolamento (UE) 2023/1113 riguardante i dati informativi che accompagnano i trasferimenti di fondi e determinate cripto-attività. Il soggetto terzo dovrebbe garantire, nei propri sistemi di controllo interno, il costante rispetto degli obblighi in materia di prevenzione del riciclaggio e del finanziamento del terrorismo ai sensi della direttiva (UE) 2015/849 e, ove applicabile, del regolamento (UE) 2023/1113 riguardante i dati informativi che accompagnano i trasferimenti di fondi e determinate cripto-attività.