12.3 Arrangemang med tredjepartsenheter för drift av tillgångsreserven, för investering av reservtillgångarna, förvaring av reservtillgångarna eller distribution av tillgångsanknutna token till allmänheten

Ledningsorganet för en utgivare av tillgångsanknutna token som har arrangemang med tredjepartsenheter för drift av tillgångsreserven, för investering av reservtillgångarna, förvaring av reservtillgångarna eller, i tillämpliga fall, för distribution av tillgångsanknutna token till allmänheten eller planer på att ingå sådana arrangemang bör godkänna, regelbundet se över och uppdatera en policy för kraven på dessa tredjepartsenheters operativa beroende och säkerställa att de genomförs individuellt och, i tillämpliga fall, på koncernnivå.

Denna policy bör omfatta de huvudsakliga faserna i livscykeln för dessa tredjepartsarrangemang och definiera principer, ansvarsområden och processer i förhållande till användningen av tredje part. I synnerhet bör policyn minst omfatta

• a. ledningsorganets ansvar, inbegripet, när så är lämpligt, dess deltagande i beslutsfattandet,
• b. involveringen av affärsområden, interna kontrollfunktioner och andra enskilda personer när det gäller dessa arrangemang,
• c. planeringen och struktureringen av tredjepartsarrangemang, inbegripet fastställandet av verksamhetskrav rörande användning av tredje parter,
• d. identifiering, bedömning och hantering av risker i enlighet med avsnitt 11,
• e. kundkännedomskontroller av presumtiva tredje parter,
• f. policyer och förfaranden för att identifiera, förebygga, hantera och redovisa intressekonflikter i enlighet med artikel 32 i förordning (EU) 2023/1114,
• g. kontinuitetsplanerings- och exitstrategier för att säkerställa den operativa motståndskraften hos utgivaren av tillgångsanknutna token i händelse av ett fel eller en störning hos en tredjepartsenhet som påverkar tillhandahållandet av kritisk verksamhet. Kontinuitets- och exitplanerna för utgivaren av tillgångsanknutna token bör bedöma utbytbarheten hos den tredjepartsenhet som används för kritisk verksamhet och andra genomförbara alternativ som kan underlätta den operativa motståndskraften i händelse av avbrott vid en tredjepartsenhet, t.ex. genom att åter utföra verksamheten internt,
• h. godkännandeförfarandet för nya arrangemang,
• i. genomförandet, övervakningen och hanteringen av dessa arrangemang, inbegripet den pågående bedömningen av tredjepartsenheternas resultat för att säkerställa att förbindelsen ligger inom ramen för riskaptiten och toleransen för störningar av kritiska verksamheter och kärnaffärsområden hos utgivaren av tillgångsanknutna token,
• j. förfarandena för att underrättas om och svara på ändringar i ett arrangemang från tredjepartsenheter,
• k. den oberoende granskningen och revisionen av efterlevnad av lagar och andra författningar samt policyer,
• l. förnyelseprocesserna för arrangemang med tredjepartsenheter,
• m. dokumentation och registerföring och
• n. exitstrategier och uppsägningsprocesser, inbegripet ett krav på en dokumenterad exitplan för varje arrangemang med en tredjepartsenhet, om en sådan exit anses vara möjlig, med beaktande av eventuella avbrott i tjänsten eller oväntad uppsägning av avtal.

Utgivare av tillgångsanknutna token bör bedöma den potentiella effekten av arrangemang med tredjepartsenheter på deras operativa risk och operativa motståndskraft, i enlighet med avsnitt 12, och bör ta hänsyn till bedömningsresultaten när de beslutar om huruvida en funktion bör utföras av en tredjepartsenhet och bör vidta lämpliga åtgärder för att undvika onödiga ytterligare operativa risker innan de ingår dessa arrangemang.

Inom ramen för riskbedömningen bör utgivaren av tillgångsanknutna token också ta hänsyn till de förväntade fördelarna och kostnaderna med det föreslagna arrangemanget, inbegripet en avvägning av eventuella risker som kan reduceras eller hanteras bättre mot eventuella risker som kan uppstå till följd av det föreslagna arrangemanget, med beaktande av åtminstone de åtgärder som vidtagits av utgivaren av tillgångsanknutna token och av tjänsteleverantören för att hantera och minska dessa risker.

Vid genomförandet av riskbedömningen, innan man förlitar sig på en tredjepartsenhet och under den pågående övervakningen av tredjepartsenhetens resultat, bör utgivare av tillgångsanknutna token åtminstone göra följande:

• a. Identifiera och klassificera relevanta funktioner och tillhörande data och system med avseende på deras känslighet och kritikalitet samt nödvändiga säkerhetsåtgärder.
• b. Genomföra en grundlig riskbaserad analys av de funktioner och tillhörande data och system som övervägs för arrangemanget och hantera de potentiella riskerna, särskilt de operativa riskerna, inbegripet underleverantörsrisker, rättsliga risker, IKT-risker, efterlevnadsrisker och anseenderisker, och de tillsynsbegränsningar som rör de länder där tjänsterna tillhandahålls eller kan komma att tillhandahållas.
• c. Beakta de geografiska beroendena och hanteringen av tillhörande risker. Dessa risker kan hänföra sig till den ekonomiska, finansiella, politiska och rättsliga miljön i den eller de jurisdiktioner där den berörda tjänsten kommer att finnas.

Innan de ingår ett avtal med en tredje part och med beaktande av riskerna, inbegripet operativa risker och motpartsrisker, bör utgivare av tillgångsanknutna token i sin urvals- och bedömningsprocess säkerställa att tredjepartsenheten är lämplig.

Utgivare av tillgångsanknutna token bör säkerställa att tredjepartsenheten har ett gott affärsanseende, lämplig och tillräcklig kompetens, sakkunskap, kapacitet, resurser (t.ex. personal, it, ekonomi), organisationsstruktur och, i tillämpliga fall, de lagstadgade tillstånd eller registreringar som krävs för att utföra funktionen på ett tillförlitligt och professionellt sätt för att uppfylla sina skyldigheter under avtalets löptid.

Ytterligare faktorer som ska beaktas vid kundkännedomsgranskning av en potentiell tredjepartsenhet omfattar, men är inte begränsade till, följande:

• a. Dess affärsmodell, karaktär, omfattning, komplexitet, finansiella situation, ägarstruktur och koncernstruktur.
• b. De långsiktiga förbindelserna med den tredje part som redan har bedömts och utför tjänster för utgivaren av tillgångsanknutna token.
• c. Graden av utbytbarhet hos tjänsten och tjänsteleverantören, inbegripet möjligheten att lämna tredjepartsarrangemanget och antingen övergå till en annan tjänsteleverantör eller åter utföra den kritiska tjänsten internt, eller hur sådant utbyte kan påverka den kritiska verksamheten hos utgivaren av tillgångsanknutna token.
• d. Huruvida tredjepartsenheten står under de behöriga myndigheternas tillsyn.

Utgivare av tillgångsanknutna token bör vidta lämpliga åtgärder för att säkerställa att tredje parten agerar på ett sätt som är förenligt med deras värderingar och uppförandekod.

Utgivare av tillgångsanknutna token bör alltid säkerställa att den tredje part de använder för att distribuera tillgångsanknutna token till allmänheten följer de förfaranden som säkerställer efterlevnad av skyldigheterna när det gäller förebyggande av penningtvätt och finansiering av terrorism enligt direktiv (EU) 2015/849 och, i tillämpliga fall, förordning (EU) 2023/1113 om uppgifter som ska åtfölja överföringar av medel och vissa kryptotillgångar. Tredjepartsenheten bör i sina interna kontrollsystem säkerställa en kontinuerlig efterlevnad av skyldigheterna avseende förhindrande av penningtvätt och finansiering av terrorism enligt direktiv (EU) 2015/849 och, i tillämpliga fall, förordning (EU) 2023/1113 om uppgifter som ska åtfölja överföringar av medel och vissa kryptotillgångar.