Artykuł 40

1. Państwa członkowskie zapewniają, aby podmioty sprawujące nadzór stosowały do nadzoru podejście oparte na analizie ryzyka. W tym celu państwa członkowskie zapewniają, aby organy te:

a) wyraźnie rozumiały ryzyka prania pieniędzy i finansowania terroryzmu obecne w ich państwie członkowskim;

b) oceniały wszystkie istotne informacje dotyczące szczególnych form ryzyk na poziomie krajowym i międzynarodowym związanych z klientami, produktami i usługami podmiotów zobowiązanych;

c) uzależniały częstotliwość i intensywność nadzoru na miejscu, nadzoru zdalnego i nadzoru tematycznego od profilu ryzyka podmiotów zobowiązanych oraz od ryzyk prania pieniędzy i finansowania terroryzmu w tym państwie członkowskim.

Do celów lit. c) akapitu pierwszego niniejszego ustępu podmioty sprawujące nadzór opracowują roczne programy nadzoru, które uwzględniają również planowanie i zasoby niezbędne do szybkiego reagowania w przypadku wystąpienia obiektywnych i znaczących przesłanek wskazujących na przypadki naruszenia rozporządzeń (UE) 2024/1624 i (UE) 2023/1113.

2. Do dnia 10 lipca 2026 r. AMLA opracuje projekty regulacyjnych standardów technicznych i przedłoży je Komisji do przyjęcia. W tych projektach regulacyjnych standardów technicznych określa się poziomy odniesienia i metodykę oceny i klasyfikacji ryzyka nieodłącznego i szczątkowego podmiotów zobowiązanych, a także częstotliwość, z jaką dokonuje się przeglądu takiego profilu ryzyka. Częstotliwość taka uwzględnia wszelkie istotne zdarzenia lub zmiany w zarządzaniu i działalności podmiotu zobowiązanego, a także charakter i wielkość działalności.

Komisja jest uprawniona do uzupełniania niniejszego rozporządzenia przez przyjęcie regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 49–52 rozporządzenia (UE) 2024/1620.

3. Do dnia 10 lipca 2028 r. MLA wyda wytyczne skierowane do podmiotów sprawujących nadzór i dotyczące:

a) cech charakterystycznych podejścia do nadzoru opartego na analizie ryzyka;

b) środków, które należy wprowadzić w ramach podmiotów sprawujących nadzór w celu zapewnienia adekwatnego i skutecznego nadzoru, w tym w celu szkolenia ich personelu;

c) kroków, które należy podjąć przy prowadzeniu nadzoru z uwzględnieniem ryzyka.

W stosownych przypadkach wytyczne, o których mowa w akapicie pierwszym, uwzględniają wyniki ocen przeprowadzonych zgodnie z art. 30 i 35 rozporządzenia (UE) 2024/1620.

4. Państwa członkowskie zapewniają, aby podmioty sprawujące nadzór uwzględniały stopień swobody decyzyjnej, jaki przyznano podmiotowi zobowiązanemu, oraz dokonywały stosownego przeglądu ocen ryzyka stanowiących podstawę przedmiotowej swobody decyzyjnej, a także adekwatności wewnętrznych strategii, procedur i środków kontroli tego podmiotu.

5. Państwa członkowskie zapewniają, aby podmioty sprawujące nadzór sporządzały szczegółowe roczne sprawozdanie z działalności, a streszczenie tego sprawozdania było upublicznione. Streszczenie to nie może zawierać informacji poufnych i obejmuje:

a) kategorie podmiotów zobowiązanych objętych nadzorem oraz liczbę podmiotów zobowiązanych w podziale na kategorie;

b) opis uprawnień powierzonych podmiotom sprawującym nadzór i przypisanych im zadań, oraz – w stosownych przypadkach –mechanizmów, o których mowa w art. 37 ust. 4, w których uczestniczą, a w przypadku głównego podmiotu sprawującego nadzór – streszczenie przeprowadzonych działań koordynacyjnych;

c) przegląd przeprowadzonych działań nadzorczych.