Kockázatalapú megközelítés (RBA)

Mit jelent

A RBA (Risk-Based Approach) azt mondja ki, hogy az AML/CFT-erőforrások és kontrollok intenzitása nem egyenletes, hanem az azonosított kockázathoz arányos. A FATF 2012-ben emelte be központi alapelvként a Recommendation 1-be, és minden későbbi ajánlásban (CDD, monitoring, EDD, technológiai felhasználás) erre épít. Az EU-szabályozás (AMLD, AMLR 2024) és a nemzeti felügyeletek ezt az elvet közvetítik a kötelezettek felé.

Három szint

• Szupranacionális szint: az EU 2-évente közzéteszi a Supranational Risk Assessmentet (SRA), amely az uniós piac szektorszintű kockázatait térképezi fel.
• Nemzeti szint: minden tagország köteles National Risk Assessmentet (NRA) készíteni, frissíteni és nyilvánossá tenni — ez kötelezi a felügyeletet és a kötelezetteket.
• Intézményi szint: minden kötelezett intézmény (bank, fizetési szolgáltató, VASP, ügyvéd, könyvelő, ingatlanügynök stb.) saját Business-Wide Risk Assessmentet készít, és ehhez igazítja a kontrollokat, eszkalációs küszöbeket és a felülvizsgálati gyakoriságot.

Mit nem jelent

Az RBA nem azt jelenti, hogy egy intézmény eldöntheti, mit nem ellenőriz — minden ügyletre és minden ügyfélre vonatkozik valamilyen alap-CDD. Az RBA azt szabályozza, hogy a magas kockázatú szegmensek fokozott figyelmet, az alacsony kockázatúak pedig egyszerűsített eljárást kapjanak. A FATF Rec 1 értelmező jegyzete kifejezetten tiltja az RBA-t mint teljes mentesülés alapját.

Kockázati dimenziók

Egy intézményi RBA tipikusan négy dimenzió mentén értékel: ügyfél (PEP, magas-kockázatú joghatóság, készpénz-intenzív üzlet, anonim struktúra), termék/szolgáltatás (privát banki, korrespondens, készpénz, kripto), csatorna (személyes, online, távoli, ügynök), földrajz (FATF-listás, szankcionált, magas-korrupciós ország).