12. Hantering av operativa risker och operativ motståndskraft

En utgivare av tillgångsanknutna token bör ha en lämplig ram för hantering av operativa risker och en ram för operativ motståndskraft. Detta inbegriper effektiva policyer och processer för att

• a. i god tid identifiera, bedöma, utvärdera, övervaka, rapportera och minska operativa risker, och
• b. identifiera och skydda sig mot hot och potentiella fel, reagera på och anpassa sig till samt återhämta sig från och lära av störande händelser för att minimera deras inverkan på tillhandahållandet av kritiska eller viktiga funktioner¹³ .

¹³ Baselkommittén för banktillsyn, Principles for Operational Resilience, mars 2021, https://www.bis.org/bcbs/publ/d516.pdf

En utgivare av tillgångsanknutna token bör, som en del av ramen för riskhantering, godkänna strategier, policyer och processer för hantering av operativa risker och operativ motståndskraft, inbegripet riskaptiten för ramen för operativa risker och risktoleransen för störning av kritiska eller viktiga funktioner¹⁴ . Dessa strategier, policyer och processer bör regelbundet ses över och uppdateras vid behov.

¹⁴ Toleransen för störningar är nivån på störningar till följd av alla typer av operativa risker som en utgivare är villig att godta mot bakgrund av en rad allvarliga men rimliga scenarier.

Ledningsorganet säkerställer att dessa riktlinjer och processer genomförs på ett ändamålsenligt sätt och integreras fullt ut i utgivarens övergripande ram för riskhantering, inbegripet risken i samband med användningen av tredjepartsenheter, och effektivt kommuniceras till relevant personal.

En utgivare av tillgångsanknutna token bör på ett tydligt sätt fastställa ansvaret för bedömnings- och förvaltningssystemet för operativ risk och operativ motståndskraft.

En utgivare av tillgångsanknutna token bör identifiera sina exponeringar för operativ risk, spåra relevanta operativa riskdata, inklusive data om väsentliga förluster, och utföra scenarioanalyser.

Utgivare av tillgångsanknutna token bör identifiera sin kritiska verksamhet, i enlighet med sin strategi för operativ motståndskraft, samt kartlägga personer, teknik, processer, data, anläggningar, tredje parter, inbegripet koncerninterna enheter, samt de kopplingar och ömsesidiga beroenden mellan dem som är nödvändiga för att tillhandahålla kritiska eller viktiga funktioner i en situation med oförändrade förhållanden och vid störningar.

Ramen för hantering av operativ risk och operativ motståndskraft bör vara föremål för regelbundna granskningar som utförs av interna eller externa revisorer som har den kunskap som krävs för att utföra sådana granskningar. Ramen för hantering av operativa risker och ramen för operativ motståndskraft bör vara uppbyggda med tillräckliga och lämpliga mänskliga och tekniska resurser. Utgivaren av tillgångsanknutna token bör ha ett system för bedömning av operativa risker och en ram för operativ motståndskraft som är helt integrerad i utgivarens ram för riskhantering.

Det bör införas ett system för rapportering till ledningsorganet som omfattar adekvata rapporter om operativa risker och operativ motståndskraft från relevanta funktioner hos utgivaren av tillgångsanknutna token. Utgivaren av tillgångsanknutna token bör förfoga över förfaranden som gör det möjligt att utan dröjsmål vidta lämpliga åtgärder, när så är tillämpligt.

Utgivaren av tillgångsanknutna token bör identifiera och bedöma den operativa risk som är inneboende i utgivarens verksamhet, processer och system för tillgångsanknutna token för att säkerställa en god förståelse av de inneboende riskerna.

Med beaktande av avdelning I om tillämpningen av proportionalitetsprincipen bör utgivare av tillgångsanknutna token identifiera, analysera och mäta ett antal scenarier, inbegripet händelser med låg sannolikhet och hög allvarlighetsgrad, varav vissa kan leda till allvarliga förluster till följd av operativa risker. Bidrag till scenarioanalysen omfattar relevanta interna och externa förlustdata, information från självbedömningar, expertutlåtanden, ramen för intern kontroll, framåtblickande mått, orsaksanalyser och processramen, i förekommande fall. Scenarioanalysprocessen bör användas för att utveckla en rad konsekvenser av potentiella händelser, inbegripet konsekvensbedömningar för riskhanteringsändamål, som komplement till andra verktyg baserade på historiska data eller aktuella riskbedömningar.

Med beaktande av avdelning I kan utgivare av tillgångsanknutna token använda kvalitativa riskbedömningsstrategier, men utgivare av betydande tillgångsanknutna token bör ha en mer sofistikerad metod som förekommande fall inbegriper användning av interna och externa förlustdata som underlag för scenarioanalysen.