Postanowienie FinCEN w sprawie Bank of America pozwala sformułować następujący wniosek - podejście oparte na ryzyku nie jest uprawnieniem do ograniczania obowiązków AML według uznania instytucji obowiązanej. Jest metodą ustalania, jakie środki są niezbędne i adekwatne do rzeczywiście rozpoznanych zagrożeń, a następnie sprawdzania, czy środki te działają. 

Proporcjonalność mechanizmów ochrony i brak automatyzmu 

W postanowieniu FinCEN nr 2026-03 znajduje się kilka fragmentów, które szczególnie dobrze wyjaśniają sens zasady risk-based approach (RBA). FinCEN nie utożsamia podejścia opartego na ryzyku ani z maksymalizacją obowiązków AML, ani z ograniczaniem ich kosztów. Z dokumentu wyłania się następująca zasada - należy rozpoznać konkretne ryzyko, dobrać do niego adekwatne środki, sprawdzić ich skuteczność i zmienić je, kiedy ryzyko lub wyniki kontroli się zmieniają. Co istotne, podwyższone ryzyko nie oznacza obowiązku zakończenia relacji

“FinCEN does not suggest that account closure is the only appropriate response to heightened financial crime risk.”

FinCEN wyraźnie zaznacza, że zamknięcie rachunku nie jest jedyną prawidłową reakcją na podwyższone ryzyko przestępczości finansowej. W dalszej części przypisu nr 42 wskazuje możliwość stosowania wzmocnionego monitoringu ("enhanced monitoring"), ograniczeń produktowych lub usługowych oraz innych mechanizmów ograniczających ryzyko.

Nie istnieje jeden uniwersalny miernik skuteczności mechanizmów AML

“Banks and other financial institutions may find it useful to measure SAR yield”

W postanowieniu uznaje się użyteczność wskaźnika SAR yield, lecz z zastrzeżeniem, że nie jest to jedyny miernik, który można brać pod uwagę (przypis nr 24). Przy ocenie mierników skuteczności mechanizmów (środków) kontroli instytucja obowiązana powinna uwzględniać własny profil ryzyka, w tym jego zmiany w czasie.

Z punktu widzenia zasady RBA oznacza to, że dobór metody pomiaru skuteczności także powinien być oparty na ryzyku. Nie wystarczy wybrać jeden wskaźnik i optymalizować działania systemu tak, aby ten wskaźnik wyglądał coraz lepiej.

Środki (mechanizmy) kontroli muszą odpowiadać konkretnemu klientowi (rachunkowi) i jego rzeczywistej aktywności

“assessing the money laundering risk presented by such correspondent account”

FinCEN przedstawia obowiązek oceny ryzyka konkretnego rachunku korespondenckiego na podstawie wszystkich istotnych czynników, m.in. działalności instytucji zagranicznej, rynków, przewidywanej aktywności rachunku, charakteru i czasu trwania relacji oraz informacji o wcześniejszym przestrzeganiu wymogów AML. Następnie oczekuje zastosowania procedur i kontroli adekwatnych do tego ryzyka oraz okresowego porównywania rzeczywistej aktywności z przewidywaną.

Z punktu widzenia zasady RBA oznacza to, że nie wystarczy raz zakwalifikować dany podmiot do określonego rodzaju i przypisać mu określoną kategorię ryzyka. Trzeba ustalić, do czego konkretny rachunek służy i czy jego rzeczywiste wykorzystanie odpowiada temu, czego bank miał prawo oczekiwać.

Punktem wyjścia jest zrozumienie charakteru klienta, a nie przypisanie mu kategorii ryzyka

“understanding the nature and purpose of customer relationships”

FinCEN wskazuje, że bank powinien rozumieć charakter i cel relacji z klientem, opracować profil ryzyka klienta oraz monitorować jego działalność. W części dotyczącej "klientów A – C" organ krytykuje sytuację, w której bank nadawał klientowi B kategorię „Standard”, „Elevated” lub „High”, ale zmiany tych ocen nie przekładały się na odpowiednie zmiany zasad stosowania CDD i monitorowania jego aktywności.

Z punktu widzenia zasad RBA oznacza to, że klasyfikacja klienta do określonej kategorii ryzyka nie jest celem samym w sobie. Jest narzędziem doboru konkretnych środków bezpieczeństwa finansowego. Wysoka ocena ryzyka, która niczego nie zmienia w działaniach instytucji, ma ograniczoną wartość praktyczną.

Profil ryzyka powinien być aktualizowany w świetle rzeczywistej działalności klienta

To jeden z najważniejszych fragmentów całego postanowienia, ponieważ FinCEN określa tutaj, co ma zostać zbadane w ramach niezależnego przeglądu CDD.

“material deviations between expected and actual activity”

FinCEN wymaga oceny tego, czy bank identyfikuje i analizuje istotne różnice między przewidywaną a rzeczywistą aktywnością klienta. Wskazuje przy tym na zmiany wolumenu, wartości, produktów, kontrahentów i geografii transakcji.

Co więcej, weryfikacji ma podlegać wykorzystanie informacji pochodzących z alertów, dochodzeń, zapytań organów ścigania i innych instytucji finansowych oraz powiązań gospodarczych między klientami.

Oznacza to, że ocena ryzyka ma charakter dynamiczny i powinna opierać się na rzeczywistych informacjach. Nie można jej zamknąć w formularzu KYC sporządzonym na początku relacji.

To szczególnie dobry przykład różnicy między statyczną oceną ryzyka klienta a rzeczywistym monitorowaniem stosunków gospodarczych.