Artykuł 12

1. W celu wykonywania zadań wymienionych w art. 5 ust. 2 Urząd, we współpracy z podmiotami sprawującymi nadzór finansowy, przeprowadza okresową ocenę instytucji kredytowych i instytucji finansowych oraz grup instytucji kredytowych i instytucji finansowych, jeżeli działają one, czy to za pośrednictwem zakładów, czy w ramach swobody świadczenia usług, w co najmniej sześciu państwach członkowskich, łącznie z państwem członkowskim pochodzenia, niezależnie od tego, czy prowadzą działalność za pośrednictwem infrastruktury na danym terytorium czy zdalnie.

2. Organy nadzorcze i podmioty zobowiązane podlegające ocenie okresowej przekazują Urzędowi wszelkie informacje niezbędne do przeprowadzenia oceny okresowej, o której mowa w ust. 1.

3. Profil ryzyka nieodłącznego i szczątkowego podmiotu zobowiązanego, ocenianego zgodnie z ust. 1 Urząd klasyfikuje jako niski, średni, znaczny lub wysoki na podstawie poziomów odniesienia i metodyki określonych w regulacyjnych standardach technicznych, o których mowa w ust. 7. Jeżeli oceniany podmiot zobowiązany jest częścią grupy instytucji kredytowych lub instytucji finansowych, profil ryzyka klasyfikuje się na poziomie całej grupy.

4. Metodykę klasyfikacji profili ryzyka nieodłącznego i szczątkowego ustala się oddzielnie dla co najmniej następujących kategorii podmiotów zobowiązanych:

a) instytucje kredytowe;

b) kantory wymiany walut;

c) przedsiębiorstwa wspólnego inwestowania;

d) kredytodawcy inni niż instytucje kredytowe;

e) instytucje pieniądza elektronicznego;

f) firmy inwestycyjne;

g) instytucje płatnicze;

h) zakłady ubezpieczeń prowadzące działalność w zakresie ubezpieczeń na życie;

i) pośrednicy ubezpieczeniowi;

j) dostawcy usług w zakresie kryptoaktywów;

k) pozostałe instytucje finansowe.

5. Dla każdej kategorii podmiotów zobowiązanych, o których mowa w ust. 4, poziomy odniesienia na potrzeby oceny ryzyka nieodłącznego w metodyce oceny opierają się na kategoriach czynników ryzyka związanych z klientami, produktami, usługami, transakcjami, kanałami dystrybucji i obszarami geograficznymi. Poziomy odniesienia ustanawia się dla co najmniej następujących wskaźników ryzyka nieodłącznego w każdym państwie członkowskim, w którym podmioty zobowiązane prowadzą działalność:

a) w odniesieniu do ryzyka związanego z klientami: udział niebędących rezydentami klientów z państw trzecich zidentyfikowanych zgodnie z rozdziałem III sekcja 2 rozporządzenia (UE) 2024/1624 oraz obecność i udział klientów zidentyfikowanych jako osoby zajmujące eksponowane stanowiska polityczne;

b) w odniesieniu do oferowanych produktów i usług:

(i) znaczenie i wielkość obrotu produktami i usługami uznanymi za najbardziej narażone na ryzyko prania pieniędzy lub finansowania terroryzmu na poziomie rynku wewnętrznego w ocenie ryzyka na szczeblu Unii lub na szczeblu krajowym w krajowej ocenie ryzyka;

(ii) w przypadku dostawców usługi przekazów pieniężnych – znaczenie zagregowanego rocznego wolumenu przekazów wychodzących i przychodzących realizowanych przez każdego dostawcę tych usług w krajach zidentyfikowanych zgodnie z rozdziałem III sekcja 2 rozporządzenia (UE) 2024/1624;

(iii) względny wolumen produktów, usług i transakcji, które zapewniają znaczny poziom ochrony prywatności i tożsamości klientów lub inną formę anonimowości;

c) w odniesieniu do obszarów geograficznych:

(i) roczny wolumen usług bankowości korespondenckiej lub usług w zakresie kryptoaktywów korespondenckich świadczonych przez podmioty sektora finansowego z Unii w państwach trzecich zidentyfikowanych zgodnie z rozdziałem III sekcja 2 rozporządzenia (UE) 2024/1624;

(ii) liczba i udział klientów bankowości korespondenckiej i klientów usług w zakresie kryptoaktywów w państwach trzecich zidentyfikowanych zgodnie z rozdziałem III sekcja 2 rozporządzenia (UE) 2024/1624.

6. W odniesieniu do każdej z kategorii podmiotu zobowiązanego, o których mowa w ust. 4, ocena ryzyka szczątkowego w metodyce oceny obejmuje poziomy odniesienia na potrzeby oceny jakości wewnętrznych zasad, mechanizmów kontroli i procedur wprowadzonych przez podmioty zobowiązane w celu ograniczenia ryzyka nieodłącznego.

7. Urząd opracowuje projekty regulacyjnych standardów technicznych, w których określa:

a) minimalne działania, które instytucja kredytowa lub instytucja finansowa ma prowadzić w ramach swobody świadczenia usług, niezależnie czy za pośrednictwem infrastruktury, czy na odległość, aby można było uznać, że prowadzi działalność w państwie członkowskim innym niż to, w którym ma siedzibę;

b) metodykę opartą na poziomach odniesienia, o których mowa w ust. 5 i 6, na potrzeby klasyfikacji profilów ryzyka nieodłącznego i ryzyka szczątkowego instytucji kredytowych lub instytucji finansowych bądź grup instytucji kredytowych lub instytucji finansowych jako niskiego, średniego, znacznego lub wysokiego.

Urząd przedstawia Komisji projekty regulacyjnych standardów technicznych do dnia 1 stycznia 2026 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia poprzez przyjmowanie regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 49 niniejszego rozporządzenia.

8. Urząd przeprowadza przegląd poziomów odniesienia i metodyki co najmniej raz na trzy lata. Jeżeli wymagane są zmiany, Urząd przedstawia Komisji projekt zmienionych regulacyjnych standardów technicznych.