Med udgangspunkt i risikovurderingen skal spiludbyderen prioritere og vægte de områder, der for spiludbyderen er mest sårbare over for misbrug til hvidvask af penge og finansiering af terrorisme. Dette skal gøres for, at spiludbyderen kan koncentrere sin indsats der, hvor risikoen for hvidvask er størst, og spiludbyderen skal i forlængelse heraf således tilrettelægge sine politikker, forretningsgange og kontroller på den mest ressourceeffektive måde.
Der skal tages hensyn til det skøn, som spiludbyderen kan udøve i forhold til at prioritere deres ressourcer for bedst at bekæmpe risikoen for at blive benyttet til at hvidvaske økonomiske midler. Det er dog en forudsætning, at grundlaget for prioriteringen fremgår af fx risikovurderingen. Det betyder ikke, at spiludbyderen kan undlade at tage stilling til den enkelte risiko med henvisning til, at den ikke er prioriteret. De interne forretningsgange skal tage hensyn til alle relevante risici, som fremkommer på baggrund af spiludbyderens forretningsmodel.
Den risikobaserede tilgang omfatter som ovenfor nævnt en prioritering og en vægtning af de områder, hvor der er risiko for hvidvask og terrorfinansiering. Dette kræver, at spiludbyderen:
- Identificerer relevante risici for hvidvask og terrorfinansiering.
- Udarbejder og implementerer politikker, forretningsgange og kontroller, der er operationelt anvendelige til at bekæmpe hvidvask og terrorfinansiering.
- Overvåger og opdaterer disse politikker, forretningsgange og kontroller.
- Registrerer, hvad der er blevet gjort og hvorfor.
En risikobaseret tilgang kræver direktionens fulde engagement og støtte og medarbejdernes samarbejde. Politikkerne, forretningsgangene og kontrollerne skal formidles klart til alle relevante medarbejdere, og det skal sikres, at de ansatte forstår betydningen og vigtigheden af, at forretningsgangene bliver fulgt. Hvis spiludbyderen er en del af en koncern, skal der være tilstrækkeligt opsyn med risikohåndteringen fra direktionens side.
Spiludbyderen skal på baggrund af den overordnede risikovurdering fastlægge en risikostyringspolitik. Risikostyringen anvendes bl.a. til at vurdere, hvornår der er mistanke om, at en transaktion har eller har haft tilknytning til hvidvask af penge eller finansiering af terrorisme, hvorefter spiludbyderen skal undersøge transaktionen nærmere.
Spiludbyderen skal ud fra risikostyringen vedtage forskellige politikker, som er skræddersyede til at mindske risikoen for hvidvask af penge og finansiering af terrorisme. De forretningsgange, der udarbejdes til at håndtere hvidvask af penge og finansiering af terrorisme hos spiludbyderen, bør udformes, så den ulovlige aktivitet identificeres eller forhindres i at opstå. Dette kan ske gennem en kombination af forebyggende foranstaltninger, såsom:
- Evaluering af kunde- og transaktionsrisiko.
- Hensigtsmæssige identifikationsforanstaltninger for spillere.
- Opbevaring af registreringer, der kan være nyttige ved strafferetlig efterforskning.
Ved risikovurdering af produkter, leveringssystemer samt forretnings- og transaktionsomfang skal spiludbyderen identificere og vurdere risici ved de enkelte ydelser, de tilbyder spillerne. I vurderingen inddrages, hvilke risici spiludbyderen er udsat for, herunder:
- Forretningsmodellens indflydelse på risici og risikoniveauer.
- Hvilke aktiviteter de pågældende risici er tilknyttet.
- Omfanget af de enkelte risici.
- Hvorledes risikotyperne påvirker hinanden.
Risikovurderingen skal afdække risikoen i forhold til både hvidvask og terrorfinansiering.