Artykuł 10

1. Podmioty zobowiązane podejmują odpowiednie środki – proporcjonalne do charakteru ich działalności, w tym jej ryzyk i złożoności, i ich wielkości – w celu identyfikacji i oceny ryzyk prania pieniędzy i finansowania terroryzmu, na które są narażone, jak również ryzyk niewykonania ukierunkowanych sankcji finansowych i uchylania się od nich, biorąc pod uwagę co najmniej:

a) zmienne ryzyka określone w załączniku I oraz czynniki ryzyka określone w załącznikach II i III;

b) wyniki oceny ryzyka na poziomie Unii przeprowadzone przez Komisję na podstawie art. 7 dyrektywy (UE) 2024/1640;

c) wyniki krajowych ocen ryzyka sporządzonych przez państwa członkowskie na podstawie art. 8 dyrektywy (UE) 2024/1640, a także wszelkich stosownych sektorowych ocen ryzyka przeprowadzonych przez państwa członkowskie;

d) istotne informacje publikowane przez międzynarodowe organy normalizacyjne w dziedzinie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu lub, na poziomie Unii – odpowiednie publikacje Komisji lub AMLA;

e) informacje na temat ryzyk prania pieniędzy i finansowania terroryzmu przekazywane przez właściwe organy;

f) informacje na temat bazy klientów.

Przed wprowadzeniem nowych produktów, usług lub praktyk handlowych, w tym wykorzystaniem nowych kanałów dostawy oraz nowych lub rozwijających się technologii, w połączeniu z nowymi lub wcześniej istniejącymi produktami i usługami, lub przed rozpoczęciem świadczenia istniejącej usługi lub dostarczania istniejącego produktu na rzecz nowego segmentu klientów lub na nowym obszarze geograficznym, podmioty zobowiązane określają i oceniają w szczególności powiązane ryzyka prania pieniędzy i finansowania terroryzmu oraz podejmują odpowiednie środki w celu zarządzania tymi ryzykami i ich ograniczania.

2. Ocena ryzyka obejmująca całą działalność sporządzona przez podmiot zobowiązany zgodnie z ust. 1 jest dokumentowana, aktualizowana i regularnie poddawana przeglądowi, w tym w przypadku gdy jakiekolwiek zdarzenia wewnętrzne lub zewnętrzne znacząco wpływają na ryzyka prania pieniędzy i finansowania terroryzmu związane z działalnością, produktami, transakcjami, kanałami dostawy, klientami lub strefami geograficznymi działalności podmiotu zobowiązanego. Udostępnia się ją podmiotom sprawującym nadzór na ich wniosek.

Ocena ryzyka obejmująca całą działalność jest sporządzana przez pracownika ds. zgodności z prawem i zatwierdzana przez organ zarządzający pełniący funkcję zarządzającą oraz jest przekazywana organowi zarządzającemu pełniącemu funkcję nadzorczą, jeżeli taki organ istnieje.

3. Z wyjątkiem instytucji kredytowych, instytucji finansowych, dostawców usług finansowania społecznościowego i pośredników w zakresie finansowania społecznościowego podmioty sprawujące nadzór mogą zdecydować, że indywidualne udokumentowane oceny ryzyka obejmujące całą działalność nie są wymagane, jeżeli szczególne ryzyka nieodłącznie związane z danym sektorem są jasne i zrozumiałe.

4. Do dnia 10 lipca 2026 r. AMLA wyda wytyczne co do minimalnych wymogów dotyczących treści oceny ryzyka obejmującej całą działalność sporządzonej przez podmiot zobowiązany zgodnie z ust. 1 oraz co do dodatkowych źródeł informacji, które należy uwzględnić przy przeprowadzaniu takiej oceny ryzyka.