Tytuł VI – Zarządzanie ciągłością działania

Bez uszczerbku dla mających zastosowanie wymogów rozporządzenia DORA emitenci tokenów powiązanych z aktywami powinni ustanowić, w ramach wdrażania swojej polityki i planów ciągłości działania ustanowionych zgodnie z art. 34 ust. 9 rozporządzenia (UE) 2023/1114, należyte zarządzanie ciągłością działania oraz plany reagowania i naprawy w celu zapewnienia sobie zdolności do bieżącego działania, w celu zarządzania incydentami, które mogłyby zakłócić wykonywanie operacji krytycznych zgodnie z apetytem emitenta tokenów powiązanych z aktywami na ryzyko oraz jego tolerancją na zakłócenia, a także w celu ograniczenia strat i zakłóceń w świadczeniu usług w przypadku poważnych zakłóceń działalności gospodarczej. Emitenci tokenów powiązanych z aktywami mogą ustanowić specjalną niezależną komórkę ds. ciągłości działania, biorąc pod uwagę kryteria proporcjonalności wymienione w tytule I.

Działalność emitentów tokenów powiązanych z aktywami jest uzależniona od pewnych zasobów o znaczeniu krytycznym (np. systemów informatycznych, w tym usług w chmurze, systemów łączności, personelu podstawowego i budynków). Celem zarządzania ciągłością działania jest zmniejszenie operacyjnych, finansowych, prawnych, reputacyjnych i innych istotnych konsekwencji katastrofy lub długotrwałej przerwy w dostępie do tych zasobów oraz wynikającego z niej zakłócenia zwykłych procedur biznesowych emitenta tokenów powiązanych z aktywami. Inne środki zarządzania ryzykiem mogą mieć na celu zmniejszenie prawdopodobieństwa takich incydentów lub przeniesienie ich skutków finansowych na osoby trzecie (np. dzięki ubezpieczeniu).

Aby ustanowić prawidłowy plan zarządzania ciągłością działania, emitent tokenów powiązanych z aktywami powinien poddać starannej analizie czynniki ryzyka i własną ekspozycję na poważne zakłócenia działalności oraz ocenić (w ujęciu ilościowym i jakościowym) ich potencjalne skutki, wykorzystując dane wewnętrzne lub zewnętrzne oraz analizę scenariuszową. W analizie tej należy przetestować zdolność emitenta tokenów powiązanych z aktywami do wykonywania operacji krytycznych podczas wystąpienia zakłócenia oraz uwzględnić wszystkie linie biznesowe i jednostki wewnętrzne, w tym KZR lub procedury zarządzania ryzykiem, a także ich wzajemne zależności. Wyniki analizy powinny przyczynić się do określenia priorytetów i celów emitenta tokenów powiązanych z aktywami w zakresie naprawy.

Na podstawie powyższej analizy emitent tokenów powiązanych z aktywami powinien ustanowić:

• a. plany awaryjne i plany ciągłości działania zapewniające odpowiednią reakcję emitenta tokenów powiązanych z aktywami na sytuacje awaryjne oraz zdolność do wykonywania operacji krytycznych i zachowania istotnych danych w razie zakłócenia jego zwykłych procedur biznesowych;
• b. plany naprawy dla krytycznych zasobów oraz krytycznych lub istotnych funkcji w celu odzyskania sprawności po zakłóceniu i umożliwienia emitentowi tokenów powiązanych z aktywami powrotu do zwykłych procedur biznesowych w odpowiednich ramach czasowych. Wszelkie ryzyko rezydualne wynikające z potencjalnego zakłócenia działalności powinno być zgodne z apetytem emitenta tokenów powiązanych z aktywami na ryzyko;
• c. w przypadku innych rodzajów działalności lub w przypadku gdy niemożliwe jest zapewnienie ciągłości krytycznych funkcji podstawowych, emitenci tokenów powiązanych z aktywami powinni dysponować procedurami umożliwiającymi terminowe odzyskanie danych i funkcji oraz terminowe wznowienie działalności.

Plany awaryjne, plany ciągłości działania i plany naprawy powinny być udokumentowane oraz należycie wdrożone. Dokumentacja powinna być dostępna w liniach biznesowych, jednostkach wewnętrznych i KZR dla pracowników odpowiedzialnych za procedury zarządzania ryzykiem oraz przechowywana w systemach oddzielonych fizycznie i łatwo dostępnych w razie wystąpienia sytuacji awaryjnej. Należy przeprowadzić odpowiednie szkolenia. Plany należy regularnie testować i aktualizować. Wszelkie trudności lub niepowodzenia ujawnione podczas testów należy udokumentować i przeanalizować, a plany poddać stosownemu przeglądowi.