12.3 Afspraken met derde entiteiten voor de exploitatie van de activareserve, voor de belegging van de reserveactiva, de bewaarneming van de reserveactiva of de distributie van de activagerelateerde tokens aan het publiek

Het leidinggevend orgaan van een uitgever van ART’s die regelingen heeft getroffen met derde entiteiten voor het beheren van de activareserve, voor de belegging van de reserveactiva, voor de bewaarneming van de reserveactiva of, waar toepasselijk, voor de distributie van de activagerelateerde tokens aan het publiek of voor plannen voor het aangaan van dergelijke regelingen, moet een beleid inzake de vereisten voor de operationele afhankelijkheid van deze derde entiteiten goedkeuren, regelmatig herzien en actualiseren en zorgen voor de uitvoering ervan op individuele en, indien van toepassing, groepsbrede basis.

Dit beleid omvat de belangrijkste fasen van de levenscyclus van deze regelingen met derde partijen, met een omschrijving van de beginselen, verantwoordelijkheden en processen in relatie tot de uitbesteding. Het beleid dient met name ten minste het volgende te behelzen:

• a. de verantwoordelijkheden van het leidinggevend orgaan, met inbegrip van zijn betrokkenheid, indien van toepassing, bij de besluitvorming;
• b. de betrokkenheid van bedrijfsonderdelen, internecontrolefuncties en andere personen ten aanzien van die regelingen;
• c. de planning en structurering van regelingen met derden, inclusief de definitie van bedrijfsvereisten met betrekking tot het gebruik van derden.
• d. de identificatie, beoordeling en het beheer van risico’s in overeenstemming met afdeling 11;
• e. due diligence-controles bij toekomstige derde partijen;
• f. beleid en procedures voor het identificeren, voorkomen, beheren en openbaar maken van belangenconflicten, overeenkomstig artikel 32 van Verordening (EU) 2023/1114;
• g. bedrijfscontinuïteitsplanning en exitstrategieën om de operationele weerbaarheid van de uitgever van ART’s te garanderen in het geval van een storing of verstoring bij een derde entiteit die de levering van kritieke activiteiten beïnvloedt. In de bedrijfscontinuïteits- en exitplannen van de uitgever van ART’s dient de substitueerbaarheid van de derde entiteit die hij gebruikt voor kritieke bedrijfsactiviteiten beoordeeld te worden, evenals andere haalbare alternatieven die de operationele weerbaarheid kunnen vergemakkelijken in het geval van een storing bij een derde entiteit, zoals het weer intern terughalen van de activiteit;
• h. de wijze van goedkeuring van nieuwe regelingen;
• i. de implementatie, het toezicht op en het beheer van deze regelingen, met inbegrip van de voortdurende beoordeling van de prestaties van de derde entiteiten om ervoor te zorgen dat de relatie binnen de risicobereidheid van de uitgever van ART’s en de tolerantie voor verstoring van kritieke bedrijfsactiviteiten en kernbedrijfsonderdelen blijft;
• j. de procedures voor kennisgeving aan en reactie op wijzigingen van een regeling door derde entiteiten;
• k. de onafhankelijke toetsing van en controle op de naleving van de wettelijke en regelgevingsvereisten en dito beleid;
• l. de verlengingsprocessen voor regelingen met derde entiteiten;
• m. de documentatie en het bijhouden van gegevens; en
• n. de exitstrategieën en de beëindigingsprocedures, inclusief een voorschrift voor een gedocumenteerd exitplan voor elke regeling met een derde entiteit, wanneer een dergelijke exit mogelijk wordt geacht, rekening houdend met mogelijke dienstonderbrekingen of de onverwachte beëindiging van een regeling.

Uitgevers van ART’s dienen de potentiële impact van regelingen met derde entiteiten op hun operationele risico en operationele weerbaarheid te beoordelen, in overeenstemming met afdeling 12, en dienen rekening te houden met de beoordelingsresultaten wanneer ze beslissen of een functie moet worden uitgevoerd door een derde entiteit en dienen eveneens passende maatregelen te treffen om onnodige bijkomende operationele risico’s te vermijden alvorens deze regelingen aan te gaan.

In het kader van de risicobeoordeling moet de uitgever van ART’s ook rekening houden met de verwachte baten en kosten van de voorgestelde regeling, met inbegrip van het afwegen van eventuele risico’s die kunnen worden verminderd of beter kunnen worden beheerst tegen de risico’s die voortvloeien uit de voorgestelde regeling, waarbij ten minste rekening wordt gehouden met de maatregelen die door de uitgever van ART’s en door de dienstverlener zijn genomen om die risico’s te beheren en te beperken.

Bij de uitvoering van de risicobeoordeling voorafgaand aan de afhankelijkheid van een derde entiteit en tijdens de voortdurende monitoring van de prestaties van de derde entiteit, dient de uitgever van ART’s ten minste:

• a. de relevante functies en de bijbehorende gegevens en systemen te inventariseren en in te delen naar gevoeligheid en benodigde veiligheidsmaatregelen;
• b. een grondige op risico’s gebaseerde analyse te verrichten van de functies en de bijbehorende gegevens en systemen die worden overwogen voor de regeling, en de potentiële risico’s aan te pakken, vooral de operationele risico’s, inclusief juridische, ICT-, nalevings- en reputatierisico’s, en de beperkingen van het toezicht in verband met de landen waar de diensten worden of kunnen worden verleend.
• c. de geografische afhankelijkheden en het beheer van gerelateerde risico’s in aanmerking te nemen. Deze risico’s kunnen betrekking hebben op de economische, financiële, politieke, juridische en regelgevende omgeving in de jurisdictie(s) waar de desbetreffende dienst zal worden verleend.

Alvorens een overeenkomst aan te gaan met een derde partij en rekening houdend met de risico’s, waaronder operationele risico’s en tegenpartijrisico, dienen uitgevers van ART’s er in hun selectie- en beoordelingsproces voor te zorgen dat de derde entiteit geschikt is.

Uitgevers van ART’s dienen erop toe te zien dat de derde entiteit een adequate bedrijfsreputatie, passende en toereikende bekwaamheden, deskundigheid, capaciteit, middelen (bijv. personeel, IT, financieel), organisatiestructuur en, indien van toepassing, de vereiste wettelijke vergunning(en) of registratie(s) heeft om de kritieke of belangrijke functie op betrouwbare en professionele wijze te verrichten zodat deze tijdens de loop van het conceptcontract aan zijn verplichtingen kan voldoen.

Aanvullende factoren die bij het verrichten van een due diligence-onderzoek naar een potentiële derde entiteit in ogenschouw worden genomen, zijn onder meer, zonder hiertoe beperkt te zijn:

• a. haar bedrijfsmodel, karakter, omvang, complexiteit, financiële situatie, eigendoms- en groepsstructuur;
• b. de reeds beoordeelde langetermijnrelaties met de derde entiteit die diensten verleent aan de uitgever van ART’s;
• c. de mate waarin de dienst en de dienstverlener substitueerbaar zijn, met inbegrip van de mogelijkheid om de overeenkomst met een derde partij te beëindigen en over te stappen op een andere dienstverlener of de kritieke dienst weer intern te verlenen, of de mogelijke gevolgen van een dergelijke substitutie voor de kritieke activiteiten van de uitgever van ART’s;
• d. of de dienstverlenende derde partij al dan niet onder toezicht van de bevoegde autoriteiten staat.

Uitgevers van ART’s dienen de nodige maatregelen te treffen om ervoor te zorgen dat dienstverleners handelen op een wijze die strookt met hun waarden en gedragscode.

Uitgevers van ART’s dienen er te allen tijde voor te zorgen dat de derde partij die zij gebruiken om ART’s onder het publiek te verspreiden, voldoet aan de procedures die de naleving waarborgen van de verplichtingen met betrekking tot de preventie van het witwassen van geld en de financiering van terrorisme op grond van Richtlijn (EU) 2015/849 en, indien van toepassing, Verordening (EU) 2023/1113 betreffende bij geldovermakingen en overdrachten van bepaalde cryptoactiva te voegen informatie. De derde entiteit dient in haar internecontrolesystemen te zorgen voor een voortdurende naleving van de verplichtingen met betrekking tot de preventie van het witwassen van geld en de financiering van terrorisme krachtens Richtlijn (EU) 2015/849 en, indien van toepassing, Verordening (EU) 2023/1113 betreffende bij geldovermakingen en overdrachten van bepaalde cryptoactiva te voegen informatie.