1. Instytucje obowiązane identyfikują i oceniają ryzyko związane
z praniem pieniędzy i finansowaniem terroryzmu odnoszące się do ich działalności,
z uwzględnieniem czynników ryzyka dotyczących klientów, państw lub obszarów
geograficznych, produktów, usług, transakcji lub kanałów ich dostaw. Działania te są
proporcjonalne do charakteru i wielkości instytucji obowiązanej.
2. Przy ocenianiu ryzyka instytucje obowiązane mogą uwzględniać
obowiązującą krajową ocenę ryzyka, jak również sprawozdanie Komisji Europejskiej,
o którym mowa w art. 6 ust. 1–3 dyrektywy 2015/849.
3. Oceny ryzyka, o których mowa w ust. 1, instytucje obowiązane sporządzają
w postaci papierowej lub elektronicznej i w razie potrzeby, nie rzadziej jednak niż co
2 lata, aktualizują, w szczególności w związku ze zmianami czynników ryzyka
dotyczących klientów, państw lub obszarów geograficznych, produktów, usług,
transakcji lub kanałów ich dostaw albo dokumentów, o których mowa w ust. 2.
4. Oceny ryzyka, o których mowa w ust. 1, instytucje obowiązane mogą
udostępniać organom samorządów zawodowych lub stowarzyszeń skupiających te
instytucje obowiązane.