風險評估的另一關鍵要素在於重新評估風險，確定何時應調升或調降客戶的風險等級。
除對客戶固有風險的初次評估外，亦須考慮客戶與機構的關係及其風險將隨時間而變化。
風險基礎法的核心包括評估金融機構的客戶、地域和產品或服務。
高風險客戶及風險評等因活動而調高的客戶，應接受增強盡職調查以緩解風險。

設計風險評分模型的關鍵步驟包括司法管轄區風險。
在大型機構內，整體風險管理策略中可能要求高階管理層審查和簽核洗錢/資助恐怖活動模型得出的結果。
由於沒有明確獨立的系統可針對不同區域和國家存在的洗錢風險進行評估，部分企業自行設計評估方法。

金融機構應制定並持續改進其政策、程序和控制措施，是建立成功防制洗錢/打擊資助恐怖主義活動制度的基礎。政策、程序和控制措施三部分共同定義和支撐完整的防制洗錢/打擊資助恐怖主義活動制度，同時也是概述機構履行監管規定的藍圖。三部分的內容應旨於緩解已識別的防制洗錢/打擊資助恐怖主義活動風險，同時應考慮金融機構必須遵守的防制洗錢/打擊資助恐怖主義活動法律規章。大型金融機構中，更是必須採取全企業層面的措施，讓全金融機構在面對洗錢/資助恐怖活動的風險上維持一致的管理方式。

職責包括但不限於設計並實施法規遵循制度、對制度進行必要的修改和更新、向核心員工傳達制度實施的成功經驗與失敗教訓、在員工培訓方案中設計與防制洗錢/打擊資助恐怖主義活動相關的內容、讓機構遵守適 用的防制洗錢/打擊資助恐怖主義活動法律規章

管理和協調監管檢查。
定期審查和更新制度。
協調業務部門和支援小組共同實施活動，以確保業務程序已配合制度變動進行更新。
監控監管環境以隨時調整制度。
可參與編制培訓教材，針對業務支援小組無法解決的複雜防制洗錢/打擊資助恐怖主義活 動問題提供指導和建議。

業務員：機構的業務部門內即使不面對客戶的員工亦屬第一道防線，特殊培訓活動不應忽視這群員工。
防制洗錢/打擊資助恐怖主義活動法規遵循人員：在指定的法規遵循專員領導下，負責協調和監督機構日常防制洗錢/打擊資助恐怖主義活動的法規遵循計畫。
獨立測試員工：由於該部門負責獨立評估機構的防制洗錢/打擊資助恐怖主義活動的法規遵循計畫是否適當，該部門員工應定期接受培訓，瞭解有關監管規定、法規、洗錢手段和執法行動的變化及其對機構的影響。
高階管理層和董事會：董事會和高階管理層無需接受與第一、二、三道防線的員工同等程度的培訓。專門針對機構領導層的培訓應介紹防制洗錢/打擊資助恐怖主義活動監管規定的重要性、違反規定的懲罰措施、個人責任和機構的獨有風險。
面對客戶的員工：這些員工是金融機構的第一道防線—他們必須深入瞭解防制洗錢/打擊資助恐怖主義活動工作的重要性，以及為防範洗錢所應採取的措施。

審查用於監督可疑活動的相關政策、程序和流程。
審查用於確保來源交易處理系統提供數據完整、正確和及時的流程。
評估用於建立和分析預期行為或篩選標準的方法。
評估監督報告的適當性。
比對交易監督態樣和防制洗錢/打擊資助恐怖主義活動風險評估的態樣，以確保合理性。

董事會必須審查核准整體的防制洗錢/打擊資助恐怖主義活動法規遵循制度，以及防制洗錢/打擊資助恐怖主義活動制度受到持續監督。董事本身不必成為防制洗錢/打擊資助恐怖主義活動的專家，亦無須負責日常的制度管理。

健全的客戶盡職調程序是防範洗錢及其他金融犯罪活動的最佳方法之一。認知是整體防制洗錢/打擊資助恐怖主義活動法規遵循計畫的基礎。機構對客戶瞭解越深，成功防範洗錢活動的機率就越大。

文件
監督
風險評等
客戶接納

私人銀行業務。
匿名交易。
非面對面的商業關係或交易。
從未知或無關聯第三方收到付款。

健全的客戶盡職調查程序應包含可靠的客戶身份識別和開戶流程，讓金融機構確定客戶的真實身份。機構應根據特定客戶產生的風險制定適合的識別標準。在某些國家或地區，主管機關已頒布具體法律規章，規定機構在識別客戶身份方面應採取的措施。銀行在建立銀行業務關係或進行任何交易前，必須按照防制洗錢金融行動工作組織第 10 項建議充分確認並核實客戶身份。巴塞爾委員會在其 2014 年 1 月發佈的《防制洗錢及資助恐怖主義相關風險的健全管理指導》中指出，銀行應建立系統化程序，識別和核實客戶的身分，必要時包括其代理人和受益所有人的身份。

先前的銀行徵信報告，及聯繫客戶往來的銀行。
透過適當措施核實收入來源，確認的資金和財富。

監管和約束法人的權力機關
法律實體的活動性質和目的及其合法性

取得企業登記、組織章程大綱和細則、合作協議或其他證明實體存在的證明文件。
對於已成立的公司，審核其財務報表副本。

海洋銀行未保存足夠的完整文件，建立正確的客戶檔案。
抽查其國內外零售客戶的檔案，發現多處錯誤和遺漏，包括客戶從事行業的性質、所有者 / 營運者身份的驗證以及帳戶預期活動均有闕漏。
海洋銀行未充分核實外籍客戶的身份和帳戶開立文件，所有開戶文件僅透過郵袋寄送至銀行。
海洋銀行政策、流程和控管措施均未能確保已收集和檢視充分的國內外客戶資訊，足以評估洗錢的風險和可能性。

如果金融機構執行零散的客戶盡職調查，將導致其面臨的洗錢和資助恐怖活動風險大幅上升。為確保執行有效的客戶盡職調查制度，金融機構可整合和簡化全機構的開戶和持續監督程序，可適用於國內和全球客戶。金融機構應致力於將客戶接納政策、客戶身份識別程序、高風險帳戶監督流程和全球風險管理框架運用至其全球的所有辦事處、分支機搆和附屬機構。政府間組織已確認實施整體客戶盡職調查的重要性，並為金融機構制定專門的指導原則。

金融機構開始與新客戶進行交易或從事特定交易前，應參考該國的各項制裁計畫規定和已公佈的確知或可疑恐怖分子、毒販等犯罪分子的名單。機構遵守制裁規定，應根據定期更新的名單篩查客戶和交易紀錄。利用制裁名單識別出恐怖分子、恐怖主義組織、恐怖主義支持者，以及前文所述三種制裁類型列出的制裁對象。任何交易若涉及制裁名單列出的任何對象，金融機構必須特別警惕。當篩查名單上的名字並非羅馬字母時，難度就更高，如來自中東國家或亞洲國家制裁名單上的恐怖分子嫌疑人。

儘管金融機構極力制定健全流程和篩查程序，以遵守制裁或其他客戶篩查規定，但所有控管措施不一定總能發現可疑的高風險個人或企業，有時還是會失敗。政府發佈的規定，特別是歐洲聯盟第 4 號防制洗錢指令亦針對政治公眾人物做出明確詳細的規定。背景篩查是有效的風險管理工具，能協助管理層稍微確定求職者提供的資訊無誤，且擬聘僱員工無犯罪紀錄。制定和執行有效的篩查程序將產生成本。

防制洗錢/打擊資助恐怖主義活動領域逐中漸達成共識，必須制定相同的制度瞭解您的客戶和瞭解您的員工。為將不受歡迎員工拒之門外並識別需要辭退的員工，對潛在員工和現有員工進行背景調查非常重要。管理層應像查核客戶身份一般查核求職者身份。管理層亦應制定相關政策，說明篩查發現求職者或員工提供不實資訊時應採取的措施。英國國家基礎設施保護中心進一步說明瞭解您的員工，並針對內部威脅和風險管理的主題制定部分內容豐富的指南。

透過不同管道識別可疑或異常交易或活動的程序，包括員工觀察或識別，執法機關的查詢或交易監督系統產生的警報。對異常交易或活動的每一個案及其後續情形的正式評估。定期向高階管理層或董事會通報可疑交易報告的程序。偵測可疑交易或活動的員工培訓。

自動化客戶驗證
監控名單過濾
自動提交監管報告
稽核軌跡
案例管理

能監控交易並識別也許為可疑活動的異常情況。
能收集新舊客戶的客戶盡職調查資訊，對客戶回應評分並儲存客戶盡職調查數據以備後續使用。
能根據各客戶的風險狀況及其同業團體的風險特徵，更進一步評估和分析由監督系統識別的可疑或異常交易。
能管理可疑活動調查的任務分配、上報路徑、核准和持續監督等事項。

客戶提及金融機構的交易記錄保存制度或申報制度時，表現出明顯的規避意圖。
客戶得知交易必須申報後，不願意繼續進行交易。
客戶明顯有事隱瞞或行為異常，如拒絕利用帳戶大量現金餘額取得更高利率。

客戶存入與該帳戶目的或業務性質不相符的支票或匯票。
存入帳戶的資金迅速移轉，且透過不符合帳戶開立目的的支付方式移轉。

同一人在短期內利用多個地點進行交易。
改變交易以規避現金交易報告的提交。

以借款人/買方帳戶開立的保付支票、銀行本票或「非現金科目支票」，偽造成金融機構帳戶開立的支票。借款人/買方以主要住宅申請貸款，卻未住在貸款申請上填寫的新主要住所。公共文件和個人文件顯示借款人/買方實際居住地與貸款申請書上填寫的地址不同，借款人/買方申請「主要住宅」再融資。

多筆電匯從美國各地匯給西南邊境沿線的美國或墨西哥城市的同一受益人。客戶帳戶明顯是漏斗帳戶，辦理現金存款的城市/州非客戶的居住地或業務所在地。無法解釋／不合理的生活方式，不符合職業或業務型態。

產品購買金額超出客戶正常財力或財產規劃需求。更改保單指定的受益人，新受益人與要保人之間的關係不明確。

異常運用匯票、旅行支票或資金轉帳。改變交易以規避銀行對 3,000 美元及以上金額的轉帳、匯票或旅行支票進行記錄。