12. Gestão dos riscos operacionais e resiliência operacional

Os emitentes de criptofichas referenciadas a ativos devem dispor de um quadro de gestão dos riscos operacionais e de um quadro de resiliência operacional adequados. Isto inclui políticas e processos eficazes para:

• a. identificar, avaliar, monitorizar, comunicar e atenuar o risco operacional em tempo oportuno; e
• b. identificar e proteger-se de ameaças e potenciais falhas, responder e adaptar-se a eventos perturbadores, bem como recuperar e aprender com os mesmos, a fim de minimizar o seu impacto na realização de funções essenciais ou importantes¹² .

¹² Princípios do CBSB para a Resiliência Operacional, março de 2021, https://www.bis.org/bcbs/publ/d516.pdf

O órgão de administração de um emitente de criptofichas referenciadas a ativos deve, como parte do quadro de gestão dos riscos, aprovar estratégias, políticas e processos de gestão do risco operacional e da resiliência operacional, incluindo a apetência pelo risco do quadro de risco operacional e a tolerância ao risco de perturbação de funções essenciais ou importantes¹³ . Essas estratégias, políticas e processos devem ser revistos e atualizados periodicamente, se for caso disso.

¹³ A tolerância à perturbação é o nível de perturbação decorrente de qualquer tipo de risco operacional que um emitente está disposto a aceitar, tendo em conta uma série de cenários graves mas plausíveis.

O órgão de administração assegura que estas políticas e processos são implementados de forma eficaz, plenamente integrados no quadro geral de gestão do risco do emitente das criptofichas referenciadas a ativos, incluindo o risco relacionado com a utilização de entidades terceiras, e são efetivamente comunicados ao pessoal relevante.

Um emitente de criptofichas referenciadas a ativos deve atribuir claramente as responsabilidades pelo sistema de avaliação e gestão do risco operacional e da resiliência operacional.

Um emitente de criptofichas referenciadas a ativos deve identificar as suas exposições ao risco operacional, rastrear os dados relevantes do risco operacional, incluindo dados significativos relativos às perdas, e realizar análises de cenários.

O emitente de criptofichas referenciadas a ativos deve identificar as suas operações críticas, de forma coerente com a sua abordagem de resiliência operacional, e cartografar as pessoas, a tecnologia, os processos, os dados, as instalações, os terceiros, incluindo as entidades intragrupo, e as interligações e interdependências entre elas que são necessárias para o desempenho de funções críticas ou importantes numa situação de atividade normal e através de perturbações.

O quadro de gestão do risco operacional e da resiliência operacional deve ser objeto de revisões periódicas realizadas por auditores internos ou externos que possuam os conhecimentos necessários para efetuar essas revisões. O quadro de gestão do risco operacional e o quadro de resiliência operacional devem ser estruturados com recursos humanos e técnicos suficientes e adequados. O sistema de avaliação do risco operacional e o quadro de resiliência operacional do emitente de criptofichas referenciadas a ativos devem ser plenamente integrados no quadro de gestão do risco do emitente.

Deverá ser implementado um sistema de apresentação de relatórios ao órgão de direção que preveja a apresentação de relatórios adequados sobre o risco operacional e a resiliência operacional por parte das funções relevantes do emitente de criptofichas referenciadas a ativos. O emitente de criptofichas referenciadas a ativos deve ter procedimentos para tomar as medidas adequadas sem demora, se for caso disso.

O emitente de criptofichas referenciadas a ativos deve identificar e avaliar o risco operacional inerente às atividades, processos e sistemas do emitente de criptofichas referenciadas a ativos para se certificar de que os riscos inerentes são bem compreendidos.

Tendo em conta o Título I sobre a aplicação do princípio da proporcionalidade, o emitente de criptofichas referenciadas a ativos deve identificar, analisar e medir uma série de cenários, incluindo eventos de baixa probabilidade e de elevada gravidade, alguns dos quais podem resultar em perdas graves em termos de risco operacional. Os contributos para a análise de cenários incluem dados pertinentes sobre perdas internas e externas, informações provenientes de autoavaliações, pareceres de peritos, o quadro de controlo interno, métricas prospetivas, análises das causas profundas e o quadro do processo, se for caso disso. O processo de análise de cenários deve ser utilizado para desenvolver um conjunto de consequências de potenciais eventos, incluindo avaliações de impacto para fins de gestão dos riscos, complementando outras ferramentas baseadas em dados históricos ou avaliações de risco atuais.

Considerando o título I, os emitentes de criptofichas referenciadas a ativos podem utilizar métodos de avaliação qualitativa dos riscos, enquanto os emitentes de criptofichas referenciadas a ativos significativos devem adotar uma abordagem mais sofisticada, incluindo, se for caso disso, a utilização de dados internos e externos sobre perdas para fundamentar a análise de cenários.