2. La valutazione del rischio per l'intera attività elaborata dal soggetto obbligato a norma del paragrafo 1 è documentata, aggiornata e riesaminata periodicamente, anche quando eventi interni o esterni incidono in modo significativo sui rischi di riciclaggio e di finanziamento del terrorismo associati ad attività, prodotti, operazioni, canali di distribuzione, clienti o aree geografiche delle attività del soggetto obbligato. Deve essere messa a disposizione dei supervisori su richiesta.
La valutazione del rischio per l'intera attività deve essere elaborata dall'incaricato della funzione di controllo della conformità e approvata dall'organo di amministrazione nella sua funzione di gestione, nonché comunicata all'organo di amministrazione nella sua funzione di supervisione, qualora tale organo esista.