12.3 Acorduri cu entități terțe pentru exploatarea rezervei de active, pentru investirea activelor de rezervă, pentru custodia activelor de rezervă sau pentru distribuirea către public de tokenuri raportate la active

Organul de conducere al unui emitent de tokenuri raportate la active care are acorduri cu entități terțe pentru operarea rezervei de active, investirea în active de rezervă, pentru custodia activelor de rezervă sau, după caz, pentru distribuirea către public de tokenuri raportate la active sau planuri de încheiere a unor asemenea acorduri trebuie să aprobe, să revizuiască și să actualizeze periodic o politică privind cerințele de încredere operațională a acestor entități terțe și să asigure punerea lor în aplicare la nivel individual și, după caz, la nivelul întregului grup.

Această politică trebuie să includă principalele etape ale ciclului de viață al acordurilor cu terți și să definească principiile, responsabilitățile și procesele legate de folosirea de terți. În special, politica trebuie să vizeze cel puțin:

• a. responsabilitățile organului de conducere, inclusiv implicarea acestuia, după caz, în procesul de decizie;
• b. implicarea liniilor de activitate, a funcțiilor de control intern și a altor persoane în ceea ce privește aceste acorduri;
• c. planificarea și structurarea acordurilor cu terți, inclusiv definirea cerințelor operaționale privind utilizarea de terți;
• d. identificarea, evaluarea și administrarea riscurilor în conformitate cu secțiunea 11 ;
• e. verificări privind obligația de diligență în ceea ce privește viitori terți;
• f. politici și proceduri pentru identificarea, prevenirea, gestionarea și divulgarea conflictelor de interese, în conformitate cu articolul 32 din Regulamentul (UE) 2023/1114;
• g. planificarea continuității activității și a strategiilor de ieșire pentru a asigura reziliența operațională a emitentului de tokenuri raportate la active în cazul unei disfuncționalități sau al unei întreruperi la o entitate terță care afectează furnizarea de operațiuni critice. Planurile de continuitate a activității și de ieșire ale emitentului de tokenuri raportate la active trebuie să evalueze substituibilitatea entității terțe pe care
• o utilizează pentru operațiunile critice, precum și alte alternative viabile care ar putea facilita reziliența operațională în cazul unei întreruperi a activității la o entitate terță, cum ar fi readucerea activității la nivel intern;
• h. procesul de aprobare a noilor acorduri;
• i. punerea în aplicare, monitorizarea și gestionarea acestor acorduri, inclusiv evaluarea continuă a performanței entităților terțe pentru a se asigura că relația rămâne în limitele apetitului pentru risc al emitentului de tokenuri raportate la active și a toleranței la întreruperea operațiunilor critice și a liniilor de activitate de bază;
• j. procedurile de notificare și de răspuns la modificările aduse unui acord de către entități terțe;
• k. examinarea independentă și auditul conformității cu cerințele juridice și de reglementare și cu politicile;
• l. procesele de reînnoire pentru acordurile cu entități terțe;
• m. documentarea și ținerea evidențelor și
• n. strategiile de ieșire și procesele de reziliere, inclusiv cerința privind un plan de ieșire documentat pentru fiecare acord cu o entitate terță, în cazul în care o astfel de ieșire este considerată posibilă, având în vedere eventualele întreruperi ale serviciilor sau rezilierea neprevăzută a unui acord de externalizare.

Emitenții de tokenuri raportate la active trebuie să evalueze impactul potențial al acordurilor cu entități terțe asupra riscului operațional și a rezilienței lor operaționale, în conformitate cu secțiunea 1 2 , și trebuie să țină seama de rezultatele evaluării când decid dacă o funcție trebuie îndeplinită de o entitate terță și trebuie să ia măsurile adecvate pentru a evita riscurile operaționale suplimentare nejustificate înainte de a încheia aceste acorduri.

În cadrul evaluării riscurilor, emitentul de tokenuri raportate la active trebuie, de asemenea, să ia în considerare beneficiile și costurile preconizate ale acordului propus, inclusiv evaluarea riscurilor care ar putea fi reduse sau mai bine administrate în raport cu riscurile care pot apărea ca urmare a acordului propus, ținând seama cel puțin de măsurile implementate de emitentul de tokenuri raportate la active și de furnizorul de servicii pentru a administra și a atenua riscurile respective.

Când efectuează evaluarea riscurilor înainte de a se baza pe o entitate terță și în timpul monitorizării continue a performanței entității terțe, emitentul de tokenuri raportate la active trebuie, cel puțin:

• a. să identifice și să clasifice funcțiile relevante și datele și sistemele asociate în ceea ce privește sensibilitatea și caracterul critic și măsurile de securitate necesare;
• b. să efectueze o analiză aprofundată, bazată pe riscuri, a funcțiilor și a datelor și a sistemelor asociate care sunt avute în vedere pentru acorduri și să abordeze riscurile potențiale, în special riscurile operaționale, inclusiv riscurile de subcontractare, de natură juridică, TIC, de conformitate și pentru reputație, precum și limitările de supraveghere aferente țărilor în care sunt sau pot fi furnizate serviciile;
• c. să ia în considerare dependențele geografice și gestionarea riscurilor aferente. Aceste riscuri se pot referi la mediul economic, financiar, politic, juridic și de reglementare din jurisdicția (jurisdicțiile) în care va fi furnizat serviciul relevant.

Înainte de a încheia un acord cu un terț și de a lua în considerare riscurile, inclusiv riscurile operaționale și riscul de contraparte, emitenții de tokenuri raportate la active să se asigure, în procesul lor de selecție și evaluare, că entitatea terță este adecvată.

În ceea ce privește funcțiile critice și importante, emitenții de tokenuri raportate la active trebuie să se asigure că prestatorul de servicii are o bună reputație de afaceri, abilități adecvate și suficiente, expertiza, capacitatea, resursele (de exemplu, resurse umane, informatice, financiare), structura organizatorică și, dacă este cazul, autorizația (autorizațiile) de reglementare sau înregistrarea (înregistrările) necesare pentru a îndeplini fiabil și profesional funcția critică sau importantă cu scopul de a - și îndeplini obligațiile pe durata proiectului de contract.

Factorii suplimentari care trebuie avuți în vedere când se aplică obligația de diligență cu privire la o potențială entitate terță includ, dar nu se limitează la:

• a. modelul său de afaceri, natura, amploarea, complexitatea afacerii sale, situația sa financiară, structura sa de acționariat și structura grupului;
• b. relațiile pe termen lung cu prestatorii de servicii care au fost deja evaluați și care furnizează servicii emitentului de tokenuri raportate la active;
• c. nivelul de substituibilitate al serviciului și al furnizorului de servicii, inclusiv capacitatea de a ieși din acordul încheiat cu terți și fie de a trece la alt furnizor de servicii, fie de a readuce serviciul critic la nivel intern sau impactul potențial al unei astfel de înlocuiri asupra operațiunilor critice ale emitentului de tokenuri raportate la active;
• d. dacă entitatea terță este sau nu supravegheată de autorități competente.

Emitenții de tokenuri raportate la active trebuie să ia măsurile necesare pentru a se asigura că prestatorii de servicii acționează în conformitate cu valorile și codul lor de conduită.

Emitenții de tokenuri raportate la active trebuie să se asigure în permanență că terțul pe care îl utilizează pentru a distribui publicului tokenuri raportate la active respectă procedurile care asigură respectarea obligațiilor în materie de prevenire a spălării banilor și a finanțării terorismului în temeiul Directivei (UE) 2015/849 și, după caz, al Regulamentului (UE) 2023/1113 privind informațiile care însoțesc transferurile de fonduri și de anumite criptoactive. Entitatea terță trebuie să asigure în sistemele sale de control intern respectarea continuă a obligațiilor în ceea ce privește prevenirea spălării banilor și a finanțării terorismului în temeiul Directivei (UE) 2015/849 și, după caz, al Regulamentului (UE) 2023/1113 privind informațiile care însoțesc transferurile de fonduri și anumite criptoactive.