12.3 Umowy z podmiotami zewnętrznymi na obsługę rezerwy aktywów, inwestowanie aktywów rezerwowych, przechowywanie aktywów rezerwowych lub dystrybucję publiczną tokenów powiązanych z aktywami

Organ zarządzający emitenta tokenów powiązanych z aktywami, który zawarł z podmiotami zewnętrznymi umowy na obsługę rezerwy aktywów, inwestowanie aktywów rezerwowych, przechowywanie aktywów rezerwowych lub, w stosownych przypadkach, dystrybucję publiczną tokenów powiązanych z aktywami lub planuje zawrzeć tego rodzaju umowę, powinien zatwierdzić, regularnie poddawać przeglądowi i aktualizować politykę w zakresie wymogów dotyczących niezawodności operacyjnej tych podmiotów zewnętrznych oraz zapewnić wdrożenie tych wymogów na poziomie indywidualnym i, w stosownych przypadkach, na poziomie grupy.

Polityka powinna obejmować główne fazy cyklu funkcjonowania umów z podmiotami zewnętrznymi i określać zasady, zakres odpowiedzialności i procesy dotyczące korzystania z podmiotów zewnętrznych. W szczególności polityka powinna obejmować co najmniej:

• a. zakres odpowiedzialności organu zarządzającego, w tym – w stosownych przypadkach
• – jego zaangażowanie w proces podejmowania decyzji;
• b. zaangażowanie linii biznesowych, komórek kontroli wewnętrznej i innych osób fizycznych w związku z tymi umowami;
• c. planowanie i strukturyzowanie umów z podmiotami zewnętrznymi, w tym definiowanie wymogów biznesowych dotyczących korzystania z podmiotów zewnętrznych.
• d. identyfikację i ocenę ryzyka oraz zarządzanie ryzykiem zgodnie z sekcją 11;
• e. kontrole należytej staranności w odniesieniu do przyszłych podmiotów zewnętrznych;
• f. polityki i procedury mające na celu identyfikowanie konfliktów interesów, zapobieganie im, zarządzanie nimi i ich ujawnianie zgodnie z art. 32 rozporządzenia (UE) 2023/1114;
• g. planowanie ciągłości działania i strategie wyjścia w celu zapewnienia odporności operacyjnej emitenta tokenów powiązanych z aktywami w przypadku awarii lub zakłóceń w podmiocie zewnętrznym mających wpływ na świadczenie operacji krytycznych. Plany ciągłości działania i plany wyjścia emitenta tokenów powiązanych z aktywami powinny zawierać ocenę możliwości zastąpienia podmiotu zewnętrznego, z którego korzysta się na potrzeby operacji krytycznych, oraz ocenę możliwości zastosowania innych realnych rozwiązań alternatywnych, które mogą usprawnić odporność operacyjną w przypadku awarii w podmiocie zewnętrznym, takich jak przywrócenie danego działania na poziom wewnętrzny;
• h. proces zatwierdzania nowych umów;
• i. wdrażanie, monitorowanie i zarządzanie tymi umowami, w tym bieżącą ocenę wyników podmiotów zewnętrznych w celu zapewnienia, aby stosunek umowny pozostawał w granicach apetytu na ryzyko cechującego emitenta tokenów powiązanych z aktywami i jego tolerancji na zakłócenia operacji krytycznych i głównych linii biznesowych;
• j. procedury otrzymywania powiadomień o zmianach w umowie od podmiotów zewnętrznych i reagowania na takie zmiany;
• k. niezależną weryfikację i audyt zgodności z wymogami prawnymi i regulacyjnymi oraz politykami;
• l. procesy dotyczące przedłużania umów z podmiotami zewnętrznymi;
• m. dokumentację i prowadzenie dokumentacji; oraz
• n. strategie wyjścia i procesy dotyczące rozwiązywania umów, w tym wymóg dotyczący udokumentowanego planu wyjścia dla każdej umowy z podmiotem zewnętrznym, jeżeli wyjście uznaje się za możliwe, biorąc pod uwagę ewentualne zakłócenia świadczenia usługi lub nieoczekiwane rozwiązanie umowy.

Emitenci tokenów powiązanych z aktywami powinni ocenić potencjalny wpływ uzgodnień z podmiotami zewnętrznymi na ich ryzyko operacyjne i odporność operacyjną zgodnie z sekcją 12 oraz powinni wziąć pod uwagę wyniki tej oceny przy podejmowaniu decyzji, czy dana funkcja powinna być wykonywana przez podmiot zewnętrzny, a także powinni podjąć odpowiednie kroki w celu uniknięcia nadmiernego dodatkowego ryzyka operacyjnego przed zawarciem takich umów.

W ramach oceny ryzyka emitenci tokenów powiązanych z aktywami powinni również uwzględnić przewidywane korzyści i koszty proponowanej umowy, w tym uwzględniając znaczenie wszelkich rodzajów ryzyka, które można ograniczyć lub którym można skuteczniej zarządzać, względem ryzyka, które może wystąpić na skutek zawarcia proponowanej umowy, uwzględniając co najmniej środki wdrażane przez emitenta tokenów powiązanych z aktywami i usługodawcę z myślą o zarządzaniu tymi rodzajami ryzyka i ich ograniczeniu.

Podczas przeprowadzania oceny ryzyka przed powierzeniem zadań podmiotowi zewnętrznemu i podczas bieżącego monitorowania wyników działalności podmiotu zewnętrznego emitent tokenów powiązanych z aktywami powinien co najmniej:

• a. określić i sklasyfikować odpowiednie funkcje i związane z nimi dane oraz systemy w odniesieniu do ich wrażliwości oraz krytycznego charakteru i wymaganych środków ochrony;
• b. przeprowadzić dogłębną ocenę opartą na analizie ryzyka w odniesieniu do funkcji i związanych z nimi danych i systemów, w odniesieniu do których rozważa się objęcie umową, oraz zareagować na potencjalne ryzyko, w szczególności ryzyko operacyjne, w tym ryzyko podwykonawstwa, prawne, ryzyko związane z ICT, ryzyko braku zgodności z prawem i ryzyko utraty reputacji, a także ograniczenia w zakresie nadzoru dotyczące krajów, gdzie usługi są lub mogą być świadczone;
• c. wziąć pod uwagę zależności geograficzne i zarządzanie powiązanym ryzykiem. Ryzyko to może być związane z otoczeniem gospodarczym, finansowym, politycznym, prawnym i regulacyjnym w jurysdykcjach, w których świadczona będzie dana usługa.

Przed zawarciem umowy z podmiotem zewnętrznym i biorąc pod uwagę ryzyko, w tym ryzyko operacyjne i ryzyko kontrahenta, emitenci tokenów powiązanych z aktywami w procesie wyboru i oceny powinni zapewnić adekwatność danego podmiotu zewnętrznego.

Emitenci tokenów powiązanych z aktywami powinni zapewnić, aby podmiot zewnętrzny posiadał odpowiednią reputację biznesową, odpowiednie i wystarczające umiejętności, fachową wiedzę, zdolność, zasoby (np. ludzkie, informatyczne, finansowe), strukturę organizacyjną oraz, w stosownych przypadkach, wymagane zezwolenia regulacyjne lub rejestracje na potrzeby wykonywania funkcji w sposób wiarygodny i profesjonalny, aby wywiązać się ze swoich zobowiązań w okresie obowiązywania projektu umowy.

Dodatkowe czynniki, które należy uwzględnić podczas zastosowania należytej staranności w odniesieniu do potencjalnego podmiotu zewnętrznego, obejmują między innymi:

• a. jego model biznesowy, charakter, skalę, złożoność, sytuację finansową, strukturę własnościową i grupy;
• b. długoterminowe relacje z podmiotami zewnętrznymi, którzy zostali już poddani ocenie i świadczą usługi na rzecz emitenta tokenów powiązanych z aktywami;
• c. możliwość zastąpienia usługi i usługodawcy, w tym zdolność do rozwiązania umowy z podmiotem zewnętrznym i albo zmiany usługodawcy na innego, albo przywrócenia usługi krytycznej na poziom wewnętrzny emitenta, lub potencjalny wpływ takiego zastąpienia na operacje krytyczne emitenta tokenów powiązanych z aktywami;
• d. informację, czy podmiot zewnętrzny jest nadzorowany przez właściwe organy.

Emitenci tokenów powiązanych z aktywami powinni podjąć odpowiednie kroki w celu zapewnienia, aby usługodawcy działali w sposób zgodny z ich wartościami i kodeksem postępowania.

Emitenci tokenów powiązanych z aktywami powinni zawsze zapewniać, aby osoba trzecia, z której usług korzystają w celu publicznej dystrybucji tokenów powiązanych z aktywami, przestrzegała procedur zapewniających zgodność z zobowiązaniami w dziedzinie zapobiegania praniu pieniędzy i finansowaniu terroryzmu przewidzianymi dyrektywą (UE) 2015/849 oraz, w stosownych przypadkach, rozporządzeniem (UE) 2023/1113 w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów. Podmiot z ewnętrzny powinien w ramach swoich systemów kontroli wewnętrznej zapewnić ciągłe zachowywanie zgodności z zobowiązaniami w dziedzinie zapobiegania praniu pieniędzy i finansowaniu terroryzmu przewidzianymi dyrektywą (UE) 2015/849 oraz, w stosownych przypadkach, rozporządzeniem (UE) 2023/1113 w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów.