1. Forpligtede enheder skal træffe egnede foranstaltninger, som står i rimeligt forhold til deres virksomheds art, herunder dens risici og kompleksitet, og deres størrelse med henblik på at identificere og vurdere de risici for hvidvask af penge og finansiering af terrorisme, som de er eksponeret for, samt risici for manglende gennemførelse og omgåelse af målrettede finansielle sanktioner, idet de som minimum tager hensyn til følgende:
a) | de risikovariabler, der er fastsat i bilag I, og de risikofaktorer, der er fastsat i bilag II og III |
b) | resultaterne af den risikovurdering på EU-plan, der er foretaget af Kommissionen i henhold til artikel 7 i direktiv (EU) 2024/1640 |
c) | resultaterne af de nationale risikovurderinger, som medlemsstaterne har udarbejdet i henhold til artikel 8 i direktiv (EU) 2024/1640, samt af en eventuel relevant sektorspecifik risikovurdering, som medlemsstaterne har udarbejdet |
d) | relevante oplysninger offentliggjort af internationale standardsættere på området for bekæmpelse af hvidvask af penge og finansiering af terrorisme eller, på EU-plan, relevante Kommissions- eller AMLA- publikationer |
e) | oplysninger om hvidvask af penge og finansiering af terrorisme, som stilles til rådighed af de kompetente myndigheder |
f) | oplysninger om kundegrundlaget. |
Forpligtede enheder skal, før de lancerer nye produkter, tjenesteydelser eller forretningsprocedurer, herunder anvendelse af nye leveringskanaler og nye teknologier eller teknologier under udvikling, sammenholdt med nye eller allerede eksisterende produkter og tjenesteydelser, eller før de begynder at levere en eksisterende tjenesteydelse eller et eksisterende produkt til et nyt kundesegment eller i et nyt geografisk område, identificere og vurdere navnlig de hermed forbundne risici for hvidvask af penge og finansiering af terrorisme og træffe passende foranstaltninger til at styre og afbøde disse risici.
2. Den risikovurdering på virksomhedsplan, som den forpligtede enhed har udarbejdet i henhold til stk. 1, skal dokumenteres, ajourføres og regelmæssigt revideres, herunder hvis en intern eller ekstern hændelse i betydelig grad påvirker de risici for hvidvask af penge og finansiering af terrorisme, som er forbundet med den forpligtede enheds aktiviteter, produkter, transaktioner, leveringskanaler, kunder eller geografiske aktivitetsområder. Den stilles efter anmodning til rådighed for tilsynsorganer.
Risikovurderingen på virksomhedsplan udarbejdes af compliancemedarbejderen og godkendes af ledelsesorganet i dets ledelsesfunktion og, hvis et sådant organ findes, meddeles ledelsesorganet i dets tilsynsfunktion.
3. Med undtagelse af kreditinstitutter, finansieringsinstitutter, crowdfundingtjenesteudbydere og crowdfundingformidlere kan tilsynsorganerne beslutte, at der ikke stilles krav om individuelle dokumenterede risikovurderinger på virksomhedsplan, hvis de specifikke risici i forbindelse med sektoren er klare og forståelige.
4. Senest den 10. juli 2026 udsteder AMLA retningslinjer om minimumskravene til indholdet af den risikovurdering på virksomhedsplan, som den forpligtede enhed udarbejder i henhold til stk. 1, og om yderligere informationskilder, som skal tages i betragtning ved gennemførelsen af risikovurderingen på virksomhedsplan.