12. Zarządzanie ryzykiem operacyjnym i odporność operacyjna

Emitent tokenów powiązanych z aktywami powinien dysponować odpowiednimi ramami zarządzania ryzykiem operacyjnym i ramami odporności operacyjnej. Obejmuje to skuteczne polityki i procesy mające na celu:

• a. terminowe identyfikowanie, ocenianie, szacowanie skutków, monitorowanie, raportowanie i ograniczanie ryzyka operacyjnego; oraz
• b. identyfikowanie zagrożeń i potencjalnych awarii oraz ochronę przed nimi, reagowanie na zdarzenia powodujące zakłócenia i dostosowanie się do nich, a także powrót do działania i wyciąganie wniosków, aby zminimalizować ich wpływ na wykonywanie krytycznych lub istotnych funkcji¹³ .

¹³ Zasady Bazylejskiego Komitetu Nadzoru Bankowego dotyczące odporności operacyjnej, marzec 2021 r., https://www.bis.org/bcbs/publ/d516.pdf.

Organ zarządzający emitenta tokenów powiązanych z aktywami powinien w kontekście ram zarządzania ryzykiem zatwierdzać strategie, polityki i procesy zarządzania ryzykiem operacyjnym i odpornością operacyjną, w tym apetytem na ryzyko w odniesieniu do ram ryzyka operacyjnego oraz tolerancją ryzyka zakłócenia krytycznych lub istotnych funkcji¹⁴ . Te strategie, polityki i procesy powinny być okresowo poddawane przeglądowi i, w stosownych przypadkach, aktualizowane.

¹⁴ Tolerancja zakłóceń to poziom zakłóceń wynikający z dowolnego rodzaju ryzyka operacyjnego, który to poziom emitent jest skłonny zaakceptować, biorąc pod uwagę szereg poważnych, ale prawdopodobnych scenariuszy.

Organ zarządzający zapewnia skuteczne wdrażanie tych polityk i procesów, pełną integrację z ogólnymi ramami zarządzania ryzykiem emitenta tokenów powiązanych z aktywami, w tym ryzykiem związanym z korzystaniem z usługodawców zewnętrznych, oraz skuteczne informowanie o nich odpowiednich pracowników.

Emitent tokenów powiązanych z aktywami powinien wyraźnie przypisać odpowiedzialność za system oceny i zarządzania ryzykiem operacyjnym i odpornością operacyjną.

Emitent tokenów powiązanych z aktywami powinien określić swoje ekspozycje na ryzyko operacyjne, śledzić stosowne dane dotyczące ryzyka operacyjnego, w tym istotne informacje

• o stratach, a także przeprowadzać analizę scenariuszową.

Emitent tokenów powiązanych z aktywami powinien zidentyfikować swoje operacje krytyczne zgodnie ze swoim podejściem w dziedzinie odporności operacyjnej oraz wskazać osoby, technologię, procesy, dane, infrastrukturę, osoby trzecie, w tym podmioty wewnątrzgrupowe, a także ich wzajemne powiązania i współzależności między nimi, które są niezbędne do zapewnienia krytycznych lub istotnych funkcji w normalnej sytuacji biznesowej i podczas wystąpienia zakłócenia.

Ramy zarządzania ryzykiem operacyjnym i odpornością operacyjną powinny podlegać regularnym przeglądom przeprowadzanym przez audytorów wewnętrznych lub zewnętrznych, którzy posiadają wiedzę niezbędną do przeprowadzania takich przeglądów. Ramy zarządzania ryzykiem operacyjnym oraz ramy odporności operacyjnej powinny być zorganizowane z wykorzystaniem wystarczających i odpowiednich zasobów ludzkich i technicznych. System oceny ryzyka operacyjnego i ramy odporności operacyjnej emitenta tokenów powiązanych z aktywami powinny być w pełni zintegrowane z ramami zarządzania ryzykiem emitenta.

Należy wdrożyć system składania sprawozdań do organu zarządzającego, w którym to systemie przewidziano przekazywanie – przez odpowiednie komórki emitenta tokenów powiązanych z aktywami – sprawozdań dotyczących ryzyka operacyjnego i odporności operacyjnej. Emitent tokenów powiązanych z aktywami powinien dysponować procedurami umożliwiającymi niezwłoczne podejmowanie odpowiednich działań, stosownie do przypadku.

Emitent tokenów powiązanych z aktywami powinien zidentyfikować i ocenić ryzyko operacyjne nieodłącznie związane z jego działalnością, procesami i systemami, aby zapewnić dobre zrozumienie takiego nieodłącznego ryzyka.

Biorąc pod uwagę tytuł I dotyczący stosowania zasady proporcjonalności, emitent tokenów powiązanych z aktywami powinien zidentyfikować, przeanalizować i zmierzyć szereg scenariuszy, w tym zdarzenia o niskim prawdopodobieństwie wystąpienia i wysokim poziomie dotkliwości, z których niektóre mogą skutkować poważnymi stratami z tytułu ryzyka operacyjnego. Dane wejściowe do analizy scenariuszowej obejmują, stosownie do przypadku, odpowiednie wewnętrzne i zewnętrzne informacje o stratach, informacje pochodzące z samooceny, ekspertyzy, ramy kontroli wewnętrznej, pomiary wybiegające w przyszłość, analizy przyczyn źródłowych i ramy procesów. Proces analizy scenariuszowej powinien być wykorzystywany do określenia szeregu konsekwencji potencjalnych zdarzeń, w tym ocen skutków na potrzeby zarządzania ryzykiem, i stanowić uzupełnienie innych narzędzi opartych na danych historycznych lub bieżących ocenach ryzyka.

Uwzględniając postanowienia tytułu I, emitenci tokenów powiązanych z aktywami mogą stosować podejście jakościowe do oceny ryzyka, podczas gdy emitenci znaczących tokenów powiązanych z aktywami powinni stosować bardziej zaawansowane podejście, w tym, jeżeli to możliwe, zasilić analizę scenariuszową dostępnymi wewnętrznymi i zewnętrznymi informacjami o stratach.