(1) Die Verpflichteten haben diejenigen Risiken der Geldwäsche und der Terrorismusfinanzierung zu ermitteln und zu bewerten, die für Geschäfte bestehen, die von ihnen betrieben werden. Dabei haben sie insbesondere die in den Anlagen 1 und 2 genannten Risikofaktoren sowie die Informationen, die auf Grundlage der nationalen Risikoanalyse zur Verfügung gestellt werden, zu berücksichtigen. Der Umfang der Risikoanalyse richtet sich nach Art und Umfang der Geschäftstätigkeit der Verpflichteten.

(2) Die Verpflichteten haben

1. 1. die Risikoanalyse zu dokumentieren,
2. 2. die Risikoanalyse regelmäßig zu überprüfen und gegebenenfalls zu aktualisieren und
3. 3. der Aufsichtsbehörde auf Verlangen die jeweils aktuelle Fassung der Risikoanalyse zur Verfügung zu stellen.

(3) Für Verpflichtete als Mutterunternehmen einer Gruppe gelten die Absätze 1 und 2 in Bezug auf die gesamte Gruppe.

(4) Die Aufsichtsbehörde kann einen Verpflichteten auf dessen Antrag von der Dokumentation der Risikoanalyse befreien, wenn der Verpflichtete darlegen kann, dass die in dem jeweiligen Bereich bestehenden konkreten Risiken klar erkennbar sind und sie verstanden werden.