11. Ram för riskhantering

Som en del av den övergripande ramen för intern kontroll bör utgivare av tillgångsanknutna token ha en övergripande ram för riskhantering som omfattar hela utgivaren och alla deras affärsområden och interna enheter, däribland interna kontrollfunktioner, och fullt ut erkänner den ekonomiska substansen i alla deras riskexponeringar, inbegripet de risker som utgivaren av tillgångsanknutna token innebär för sig själv, innehavarna av tillgångar, operativa risker och risker som härrör från tillgångsreserver.

Ramen för riskhantering bör göra det möjligt för utgivaren av tillgångsanknutna token att fatta välgrundade beslut om alla risker som de är eller kan bli exponerade för, inbegripet IKT-risker i enlighet med förordning (EU) 2022/2554 (DORA-förordningen) och¹² avsnitt 12. Ramen för riskhantering bör omfatta alla risker, inbegripet faktiska risker och framtida risker som utgivaren av tillgångsanknutna token kan bli exponerad för. Riskerna bör utvärderas nedifrån och upp och uppifrån och ned, inom och mellan affärsområden eller interna enheter, med hjälp av konsekvent terminologi och kompatibla metoder hos hela utgivaren av tillgångsanknutna token och i tillämpliga fall på gruppnivå. Alla relevanta risker bör ingå i ramen för riskhantering med vederbörlig hänsyn till både finansiella och icke-finansiella risker, inbegripet koncentrationsrisker, operativa risker, IKT-risker, anseenderisker, rättsliga risker, uppföranderisker och ESG-risker. Hänsyn bör också tas till kreditrisk, marknadsrisk, koncentrationsrisk och likviditetsrisk som härrör från reservtillgångarna.

¹² Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn: Publikationsbyrån (europa.eu)

Ramen för riskhantering för en utgivare av tillgångsanknutna token bör inkludera riktlinjer, förfaranden, riskgränser och riskkontroller som säkerställer lämplig, snabb och kontinuerlig identifiering, mätning eller bedömning, övervakning, hantering, begränsning och rapportering av risker inom affärsområden och interna enheter samt på utgivar- och koncernnivå, i tillämpliga fall.

Ramen för riskhantering för en utgivare av tillgångsanknutna token bör ge särskild vägledning om genomförandet av riskstrategier. Denna vägledning bör, när så är lämpligt, fastställa och upprätthålla interna gränser som är förenliga med utgivarens risktolerans och riskaptit och stå i proportion till utgivarens sunda funktion, operativa motståndskraft, finansiella styrka, likviditetsbehov och strategiska mål. Riskprofilen för utgivare av tillgångsanknutna token bör hållas inom de fastställda gränserna. Ramen för riskhantering bör säkerställa att det finns en fastställd process för att rapportera, anmäla och åtgärda överträdelser av riskgränserna genom ett lämpligt uppföljningsförfarande.

Ramen för riskhantering bör vara föremål för oberoende intern granskning, som till exempel utförs av internrevisionsfunktionen, och regelbundet bedömas gentemot risktoleransen och riskaptiten för utgivaren av tillgångsanknutna token.

Regelbundna och transparenta rapporteringsmekanismer bör inrättas så att ledningsorganet och alla relevanta enheter hos utgivaren av tillgångsanknutna token får rapporter i tid och på ett korrekt, koncist, begripligt och meningsfullt sätt samt kan utbyta relevant information om identifiering, mätning eller bedömning, övervakning och hantering av risker. Rapporteringsramen bör vara tydligt definierad och dokumenterad.

Ändamålsenlig kommunikation och medvetenhet om risker och riskstrategin är avgörande för hela riskhanteringsprocessen, inbegripet översyns- och beslutsprocesserna, och bidrar till att förhindra beslut som oavsiktligt kan öka riskerna. Ändamålsenlig riskrapportering innebär ett sunt internt övervägande och kommunikation av riskstrategin och relevanta riskdata, både horisontellt mellan utgivaren av finansiella transaktioner och uppåt och nedåt i hanteringskedjan.