1. As empresas-mãe devem assegurar que os requisitos em matéria de procedimentos internos, avaliação do risco e pessoal a que se refere a secção 1 do presente capítulo sejam aplicados em todas as sucursais e filiais do grupo nos Estados-Membros, bem como, no caso dos grupos cuja sede esteja situada na União, em países terceiros. Para o efeito, uma empresa-mãe deve realizar uma avaliação do risco a nível do grupo, tendo em conta a avaliação do risco a nível da atividade realizada por todas as sucursais e filiais do grupo, e estabelecer e aplicar políticas, procedimentos e controlos a nível do grupo, incluindo em matéria de proteção de dados e de partilha de informações para efeitos de CBC/CFT e para assegurar que os funcionários do grupo tenham conhecimento dos requisitos decorrentes do presente regulamento. As entidades obrigadas do grupo devem aplicar essas políticas, procedimentos e controlos a nível do grupo, tendo em conta as suas especificidades e os riscos aos quais estão expostas.
As políticas, procedimentos e controlos a nível do grupo e as avaliações do risco a nível do grupo referidas no primeiro parágrafo devem incluir todos os elementos enumerados nos artigos 9.o e 10.o, respetivamente.
Para efeitos do primeiro parágrafo, caso um grupo tenha estabelecimentos em mais do que um Estado-Membro e, no caso dos grupos cuja sede esteja situada na União, em países terceiros, as empresas-mãe devem ter em conta as informações publicadas pelas autoridades de todos os Estados-Membros ou países terceiros em que os estabelecimentos do grupo estejam situados.