1. Meldingsplichtige entiteiten nemen passende maatregelen, die evenredig zijn met hun omvang en de aard van hun bedrijfsactiviteiten, met inbegrip van de risico’s en de complexiteit ervan, om de risico’s van witwassen en terrorismefinanciering waaraan zij worden blootgesteld, alsmede de risico’s van niet-uitvoering en ontduiking van gerichte financiële sancties te inventariseren en houden daarbij ten minste rekening met:
a) | de in bijlage I vermelde risicovariabelen en de in de bijlagen II en III vermelde risicofactoren; |
b) | de bevindingen van de op grond van artikel 7 van Richtlijn (EU) 2024/1640 door de Commissie uitgevoerde risicobeoordeling op Unieniveau; |
c) | de resultaten van de op grond van artikel 8 van Richtlijn (EU) 2024/1640 door de lidstaten uitgevoerde nationale risicobeoordelingen, en van alle door de lidstaten uitgevoerde sectorspecifieke risicobeoordelingen; |
d) | relevante informatie die is gepubliceerd door internationale opstellers van standaarden op het gebied van AML/CFT of, op Unieniveau relevante publicaties van de Commissie of de AMLA; |
e) | door de bevoegde autoriteiten verstrekte informatie over risico’s op witwassen en terrorismefinanciering; |
f) | informatie over het cliëntenbestand. |
Voorafgaand aan de lancering van nieuwe producten, diensten of zakelijke praktijken, met inbegrip van het gebruik van nieuwe leveringskanalen en nieuwe of in ontwikkeling zijnde technologieën, in combinatie met nieuwe of reeds bestaande producten en diensten of voordat een bestaande dienst of een bestaand product aan een nieuw cliëntensegment of in een nieuw geografisch gebied wordt aangeboden, inventariseren en beoordelen de meldingsplichtige entiteiten met name de daarmee verband houdende risico’s op het gebied van witwassen en terrorismefinanciering en nemen zij passende maatregelen om die risico’s te beheren en te beperken.
2. De bedrijfsbrede risicobeoordeling die de meldingsplichtige entiteit op grond van lid 1 heeft opgesteld, wordt gedocumenteerd, actueel gehouden en regelmatig geëvalueerd, onder meer wanneer een interne of externe gebeurtenis aanzienlijke gevolgen heeft voor de risico’s op witwassen en terrorismefinanciering die verbonden zijn aan de activiteiten, producten, transacties, leveringskanalen, cliënten of geografische zones van activiteiten van de meldingsplichtige entiteit. Ze wordt op verzoek ter beschikking gesteld van toezichthouders.
De bedrijfsbrede risicobeoordeling wordt opgesteld door de nalevingsfunctionaris en goedgekeurd door het leidinggevend orgaan in zijn leidinggevende functie en, indien een dergelijk orgaan bestaat, medegedeeld aan het leidinggevend orgaan in zijn toezichthoudende functie.
3. Behalve in het geval van kredietinstellingen, financiële instellingen, crowdfundingdienstverleners en crowdfundingbemiddelaars, kunnen toezichthouders besluiten dat afzonderlijke gedocumenteerde bedrijfsbrede risicobeoordelingen niet vereist zijn wanneer de aan de sector inherente specifieke risico’s duidelijk en inzichtelijk zijn.
4. Uiterlijk op 10 juli 2026 vaardigt de AMLA richtsnoeren uit inzake de minimumvereisten betreffende de inhoud van de bedrijfsbrede risicobeoordeling die de meldingsplichtige entiteit op grond van lid 1 heeft opgesteld, en inzake aanvullende informatiebronnen waarmee rekening moet worden gehouden bij het verrichten van de bedrijfsbrede risicobeoordeling.