6. Utkontraktering

Ledningsorganet bör godkänna och regelbundet se över och uppdatera utkontrakteringspolicyn för en utgivare av tillgångsanknutna token och se till att lämpliga ändringar genomförs i rätt tid.

Utkontrakteringspolicyn bör beakta hur användningen av utkontraktering påverkar en utgivare av tillgångsanknutna token och de risker den står inför (t.ex. operativa risker, inbegripet rättsliga risker, anseenderisker och koncentrationsrisker).

Policyn bör omfatta de rapporterings- och övervakningsarrangemang som ska genomföras från början till slutet av utkontrakteringsarrangemangen (inbegripet processen för kundkännedom och riskbedömning, hanteringen och övervakningen av arrangemanget, uppsägning, beredskapsplaner och exitstrategier).

Utkontraktering av funktioner får inte leda till delegering av ledningsorganens ansvarsområden. En utgivare av tillgångsanknutna token förblir fullständigt ansvarig för alla utkontrakterade tjänster och verksamheter och ledningsbeslut som följer av dem. I enlighet med detta bör policyn för utkontraktering klargöra att utkontrakteringen inte befriar utgivaren av tillgångsanknutna token från dess förpliktelser enligt lagar och andra författningar.

I policyn bör det anges att utkontrakteringsarrangemang inte bör hindra en ändamålsenlig tillsyn av utgivaren av tillgångsanknutna token på plats eller på distans och att de inte bör strida mot eventuella tillsynsbegränsningar av tjänster och verksamhet. Policyn bör också omfatta koncerninterna utkontrakteringsarrangemang och, när så är lämpligt, ta hänsyn till eventuella särskilda koncernförhållanden.

Utgivare av tillgångsanknutna token bör alltid ha tillräckligt med substans och inte bli ”tomma skal” eller ”brevlådeföretag”. För detta ändamål bör de

• a. alltid uppfylla alla villkor för auktorisationen, inbegripet att ledningsorganet på ett ändamålsenligt sätt fullgör sina skyldigheter enligt avsnitt I i dessa riktlinjer,
• b. ha en tydlig och transparent organisatorisk ram och struktur som gör det möjligt för dem att säkerställa efterlevnad av de förpliktelser enligt lagar och andra författningar som avses i avsnitt 4,
• c. om interna kontrollfunktioners operativa uppgifter utkontrakteras, utöva lämplig tillsyn och kunna hantera de risker som genereras vid utkontrakteringen av kritiska eller viktiga funktioner,
• d. ha tillräckliga resurser och kapacitet för att säkerställa efterlevnad av punkterna a till c.