Evaluarea riscului clientului: cum încadrezi fiecare client în risc redus, standard sau sporit, pe factorii din Legea 129/2019, cu un exemplu de punctaj

Două firme cu aceeași activitate pot avea clienți foarte diferiți: una lucrează cu SRL-uri din județ care plătesc prin bancă, cealaltă cu cumpărători nerezidenți care vin cu numerar. Legea 129/2019 nu le cere să aplice aceleași verificări tuturor clienților, ci să aplice fiecărui client măsurile potrivite riscului lui. Ca să poți face asta, trebuie mai întâi să știi ce risc are fiecare client și să poți arăta, la control, cum ai ajuns la concluzie.

Articolul explică pas cu pas încadrarea pe risc: ce spun legea și Normele ONPCSB, care sunt cei patru factori, când riscul e sporit indiferent de ce crezi tu, un exemplu de punctaj pe care îl poți adapta, patru cazuri concrete și ce trebuie să rămână scris la dosarul clientului.

Răspunsul scurt

• Fiecare client primește o categorie de risc, consemnată la dosar. Normele ONPCSB dau ca exemplu trei categorii: redus, standard, sporit (art. 14 alin. (2)). În limbaj curent: scăzut, mediu, ridicat.
• Categoria rezultă din patru factori: clientul, produsul sau tranzacția, canalul prin care lucrezi cu el și zona geografică (art. 25 alin. (1) din lege; Norme art. 13 lit. c)).
• Unele situații sunt risc sporit prin lege, oricât de bine ar arăta restul: client PEP, client legat de o țară terță cu risc ridicat, tranzacții complexe sau neobișnuite (art. 17 alin. (1) și (2)).
• Riscul redus nu se presupune: trebuie să te asiguri, pe baza factorilor din art. 16 alin. (2), că riscul e într-adevăr redus, și nu îl aplici niciodată când ai o suspiciune (art. 16 alin. (3) și (5)).
• Din categorie decurg măsurile: simplificate, standard sau suplimentare (Norme art. 12 alin. (4)), și cât de des actualizezi datele (Norme art. 17 lit. d)).
• Sarcina probei e a ta: trebuie să demonstrezi că măsurile au fost proporționale cu categoria fiecărui client (art. 11 alin. (7); Norme art. 14 alin. (3)).

Ce cere legea: o evaluare pentru fiecare client

Art. 25 alin. (3) din lege spune că evaluările de risc stau la baza „determinării setului de măsuri de cunoaștere a clientelei ce sunt aplicabile fiecărui client”. Art. 11 alin. (6) enumeră ce iei în considerare cel puțin: scopul relației sau al tranzacției, nivelul activelor sau mărimea tranzacțiilor, regularitatea și durata relației, reglementările sectoriale.

Normele ONPCSB transformă asta într-o procedură. Evaluarea riscurilor e „procesul global prin care entitățile reglementate identifică factorii de risc specifici, individualizează situațiile concrete de risc aferente fiecărui factor și cuantifică gradul de risc aferent fiecărui client” (art. 12 alin. (1)). Scopul ei: să determini „într-o manieră motivată” măsurile KYC, atât la intrarea clientului, cât și pe durata relației, pentru clienții noi și pentru cei existenți (alin. (3)). Rezultatul se scrie: factorii „vor fi evaluați pentru fiecare client în parte cu scopul încadrării acestuia într-o categorie de risc, care poate fi, spre exemplificare, «redus», «standard», «sporit» și care se va consemna în evidențele de acceptare a clientului” (art. 14 alin. (2)).

Normele cer și ca procedura internă să spună cum cântărești factorii, dacă le dai ponderi diferite, și cum calculezi gradul de risc „prin însumarea valorilor/relevanței atribuite fiecărui factor” (art. 13 lit. d)-e)). Cu alte cuvinte, un sistem de punctaj e exact ce așteaptă Oficiul, cu condiția să fie al tău și să-l poți explica.

Două evaluări diferite: a organizației și a clientului

Se confundă des. Evaluarea riscului organizației (art. 25) e un document făcut o dată și actualizat periodic: la ce riscuri te expune activitatea ta, în ansamblu. Evaluarea riscului clientului se face pentru fiecare client, la intrare și apoi pe durata relației. Ghidurile Autorității Bancare Europene le numesc „business-wide risk assessment” și „individual risk assessment” și cer ca ambele să parcurgă doi pași: identificarea factorilor și evaluarea riscului (EBA/GL/2021/02, pct. 1.2). Prima o informează pe a doua: dacă evaluarea organizației spune că numerarul e riscul tău principal, atunci numerarul trebuie să cântărească mult în punctajul fiecărui client. Despre evaluarea organizației, în ghidul programului AML.

Cei patru factori de risc

Legea nu are anexe cu factori de risc: îi listează direct în text, cei de risc redus la art. 16 alin. (2), cei de risc mărit la art. 17 alin. (14). Ghidul ONPCSB privind criteriile de recunoaștere a situațiilor de risc ridicat sau scăzut (anexa la Ordinul nr. 24/2021) îi reia sub formă de tabel și adaugă exemple pe sectoare.

Ghidul ONPCSB adaugă, pentru instituțiile financiare nebancare, situații concrete care pot indica risc ridicat: clientul care pare să acționeze pentru altcineva fără să spună; scindarea operațiunilor ca să rămână sub pragul de raportare; mai multe operațiuni cu numerar sub prag într-un timp scurt; creșterea bruscă și nejustificată a frecvenței sau valorii operațiunilor; reticența de a spune cine e beneficiarul real; surse publice de încredere care indică implicarea clientului în infracțiuni. Și, la risc scăzut: tranzacții de valoare proporțională cu situația financiară a clientului; tranzacții cu justificare economică clară; clienți stabili, cu relație lungă și tipologie de tranzacții neschimbată.

Pentru fiecare sector, contează și concluzia evaluării naționale. Actualizarea pentru 2021-2024, publicată de ONPCSB în 2026, încadrează IFN din Registrul general la risc mediu, „determinat de caracterul specific al activităților desfășurate și de profilul clientelei”, casele de amanet la risc mediu din cauza numerarului și a dificultății de a verifica proveniența bunurilor, iar casele de ajutor reciproc la risc redus, cu observația că riscul rămas este ca rambursările să fie făcute din bani cu proveniență ilicită.

Situațiile în care riscul e sporit prin lege

Art. 17 alin. (1) cere măsuri suplimentare „în toate situațiile care, prin natura lor, pot prezenta un risc sporit”, și enumeră câteva care sunt sporite indiferent de punctaj:

• Persoanele expuse public, clienții ai căror beneficiari reali sunt PEP, membrii lor de familie și asociații apropiați (art. 17 alin. (1) lit. c) și alin. (10)). După încetarea funcției, persoana rămâne PEP un an, cu încă un an dacă mai prezintă risc (art. 3 alin. (6), în forma din Legea 86/2025). Cum o verifici, în ghidul verificărilor PEP.
• Persoanele stabilite în țări terțe cu grad înalt de risc identificate de Comisia Europeană (lit. d)), cu măsurile de la art. 17^1: informații suplimentare despre client, beneficiarul real, natura relației, sursa fondurilor și a averii, justificarea tranzacțiilor, aprobarea conducerii, monitorizare sporită.
• Persoanele din țări care nu aplică sau aplică insuficient standardele internaționale (lit. a)), pe care ONPCSB le publică pe site (alin. (4)).
• Tranzacțiile complexe, neobișnuit de mari, în afara tiparului sau fără scop economic evident, al căror context și scop trebuie examinate (alin. (2)).
• Cazurile din reglementările sectoriale ale autorității tale de supraveghere (lit. e)).

Ghidurile europene spun același lucru despre punctaje: ponderarea factorilor nu poate anula prevederile legale care califică o situație drept risc ridicat (EBA/GL/2021/02, pct. 3.6). Un client PEP cu punctaj mic rămâne client cu risc sporit.

Atenție la două lucruri. PEP nu înseamnă „de refuzat”: ghidul ONPCSB din 2025 spune că refuzul unei relații doar pe baza calității de PEP „este contrar standardelor internaționale”. Iar o persoană pe o listă de sancțiuni nu e un client cu risc sporit, e un client cu care nu poți face tranzacții: fondurile se îngheață și se raportează la Oficiu (vezi ghidul sancțiunilor internaționale).

Țările cu risc ridicat, la zi

Lista Uniunii Europene (Regulamentul delegat (UE) 2016/1675, modificat ultima dată prin Regulamentele delegate 2026/46 și 2026/83, în vigoare de la 29 ianuarie 2026) cuprinde 26 de țări: Afganistan, Algeria, Angola, Bolivia, Camerun, Côte d'Ivoire, Haiti, Insulele Virgine Britanice, Iran, Kenya, Laos, Liban, Monaco, Myanmar, Namibia, Nepal, Republica Democratică Congo, Republica Populară Democrată Coreeană, Rusia, Siria, Sudanul de Sud, Trinidad și Tobago, Vanuatu, Venezuela, Vietnam și Yemen. Rusia a intrat pe listă printr-o categorie nouă, a țărilor al căror statut de membru GAFI e suspendat. Din aceeași dată au ieșit de pe listă Burkina Faso, Mali, Mozambic, Nigeria, Africa de Sud și Tanzania. Ce înseamnă Rusia pentru verificări, în ghidul despre sancțiunile împotriva Rusiei.

Listele GAFI se schimbă de trei ori pe an. După plenara din 28-30 octombrie 2026, lista neagră (apel la acțiune) a rămas neschimbată: Coreea de Nord, Iran, Myanmar. De pe lista gri (jurisdicții sub monitorizare sporită) au ieșit Bulgaria, Côte d'Ivoire, Republica Democratică Congo și Monaco. Lista UE se actualizează mai târziu decât cea GAFI, de aceea trei dintre aceste țări sunt încă pe lista UE. Pentru încadrarea clientului, obligatorie e lista UE (art. 17 alin. (1) lit. d)); lista GAFI și lista publicată de ONPCSB intră la factorul geografic.

Un exemplu de punctaj

Tabelul de mai jos e un exemplu pentru o firmă mică, nu un model oficial. Normele te lasă să-ți alegi ponderile (art. 13 lit. d)), iar ghidurile europene spun că firmele „atribuie adesea «scoruri» diferite factorilor” (EBA/GL/2021/02, pct. 3.5). Adaptează punctele la ce spune evaluarea riscului organizației tale.

Încadrarea:

• Sporit: oricare dintre situațiile de la art. 17 alin. (1) (PEP, familie sau asociat, țară de pe lista UE, tranzacție complexă sau neobișnuită) sau 5 puncte ori mai mult.
• Standard: tot ce nu e sporit și nu îndeplinește condițiile de risc redus. La o firmă mică, majoritatea clienților.
• Redus: 0 puncte și cel puțin un factor de risc redus din art. 16 alin. (2) documentat (de exemplu, instituție publică, societate cotată, client stabil cu relație lungă și tranzacții neschimbate) și nicio suspiciune.

Trei reguli din ghidurile europene pe care orice punctaj trebuie să le respecte (EBA/GL/2021/02, pct. 3.6-3.7):

• un singur factor nu trebuie să decidă totul, iar considerentele comerciale („e un client important”) nu au voie să influențeze scorul;
• punctajul nu trebuie construit așa încât niciun client să nu poată ajunge vreodată la risc ridicat;
• poți modifica manual un scor calculat automat, dar motivul se documentează. Dacă folosești un program cumpărat, trebuie să înțelegi cum calculează și să poți explica asta autorității.

Patru cazuri, încadrate pas cu pas

1. Cabinet de contabilitate, client nou: SRL de comerț cu amănuntul din județ. Asociat unic român, administrator același, înființat acum 6 ani, activ la ANAF, plătește onorariul prin bancă, întâlnit la sediu. Verificarea PEP și de sancțiuni: fără rezultat. Puncte: 2 (comerț cu amănuntul, numerar). Standard. Măsuri standard, actualizare la cel mult 3 ani sau la orice schimbare.

2. Agenție imobiliară, cumpărător: SRL înființat acum 4 luni, cu asociat unic o firmă din Cipru. Plata avansului vine din contul unei terțe firme. Puncte: structură greu de urmărit (3), firmă sub un an (2), plăți de la terți (2) = 7. Sporit. Beneficiarul real al firmei cipriote, sursa fondurilor, motivul plății prin terț, aprobarea conducerii agenției. Dacă explicațiile nu se leagă, analiza unui raport de tranzacție suspectă.

3. Birou notarial, vânzător al unui apartament: fost secretar de stat, ieșit din funcție acum 8 luni. Puncte: 0. Dar e PEP (sub un an de la încetarea funcției, art. 3 alin. (6)). Sporit prin lege, indiferent de punctaj. Aprobarea conducerii, sursa averii (de unde provine apartamentul), monitorizare sporită pe durata relației. Nu un refuz.

4. Casă de ajutor reciproc, membru pensionar, împrumut de 20.000 de lei acordat acum două luni. La intrare: risc redus (venit cunoscut din talonul de pensie, sumă mică, membru vechi). Acum vrea să ramburseze anticipat 40.000 de lei în numerar. Ghidul ONPCSB din 2025 pentru IFN, case de amanet și case de ajutor reciproc descrie exact situația ca indicator de suspiciune: rambursări anticipate în numerar, disproporționate față de venit, la scurt timp după acordare. Reîncadrare la sporit, explicație și documente despre sursa banilor; dacă nu există, raport de tranzacție suspectă. Și, separat de suspiciune, dacă suma atinge 10.000 de euro în numerar, raportul de numerar în 3 zile lucrătoare.

Ce faci la fiecare nivel de risc

Detalii despre măsurile suplimentare și ce se pune la dosar, în ghidul măsurilor suplimentare de cunoaștere a clientelei.

Ce pui la dosar

Normele cer ca toate documentele prin care faci evaluarea să fie înregistrate și păstrate, pe hârtie sau electronic, și puse la dispoziția controlului (art. 14 alin. (4)). Pentru fiecare client, o fișă de risc de o pagină ajunge:

• data evaluării și cine a făcut-o;
• factorii constatați, pe cei patru, cu sursa fiecăruia (document, registru, verificare PEP și de sancțiuni, declarația clientului);
• punctajul sau raționamentul, categoria rezultată și, dacă ai modificat manual rezultatul, motivul;
• măsurile aplicate pentru categoria respectivă și, la riscul sporit, aprobarea conducerii;
• data următoarei revizuiri.

Fișa se păstrează 5 ani după încheierea relației, alături de restul dosarului (art. 21).

Când schimbi categoria

Categoria nu e definitivă. Normele cer ca procedura să precizeze „modalitatea de trecere” a clienților dintr-o categorie în alta (art. 17 lit. c)) și reevaluarea periodică „în situațiile când intervin elemente de natură să modifice gradul de risc” (art. 13 lit. f)). Ghidul ONPCSB din 2021 insistă că încadrarea trebuie să fie flexibilă, iar o informație nouă poate muta oricând clientul în altă categorie. Tot acolo: un client evaluat la risc redus „poate efectua oricând o tranzacție care prezintă un risc sporit”.

Semnale tipice de reîncadrare: clientul devine PEP sau apare pe o listă de sancțiuni; firma lui schimbă asociații sau administratorii, devine inactivă fiscal ori intră în insolvență; apar tranzacții în afara tiparului; apar informații publice negative. Cât de des verifici și cum prinzi aceste semnale fără să reiei manual tot portofoliul, în ghidul monitorizării continue.

Greșelile care se văd la control

• Toți clienții la „risc redus”. Fără factorii din art. 16 alin. (2) documentați, încadrarea nu se susține, iar măsurile simplificate aplicate fără temei încalcă art. 16.
• Niciun client la „risc sporit”, ani la rând. E semnul că punctajul e construit greșit (EBA/GL/2021/02, pct. 3.6) sau că verificarea PEP lipsește.
• Categoria există, dar măsurile sunt aceleași pentru toți. Încadrarea fără consecințe nu respectă art. 14 alin. (3) din Norme.
• Încadrare fără motivare. O bifă „risc standard” fără factori și surse nu poate fi apărată.
• Evaluare făcută o singură dată, la intrare. Fără revizuire, clientul care a devenit PEP sau a început să plătească în numerar rămâne „redus”.
• Client PEP refuzat automat. Contrar ghidului ONPCSB; soluția e măsurile suplimentare.

Ce te ajută și ce rămâne decizia ta

Încadrarea pe risc e o judecată pe care o semnează entitatea. Un program o poate face mai rapidă și mai consecventă, nu o poate lua în locul tău. Ce aduce fiecare dintre instrumentele noastre:

• PepCheck îți dă semnalele care intră în punctaj: dacă clientul sau beneficiarul real e PEP, rudă sau asociat al unui PEP, pe o listă de sancțiuni sau de excludere, cu țările asociate, pe baze internaționale și pe registrul propriu al funcțiilor publice din România, inclusiv foștii titulari. Pentru firme: starea din registrul comerțului, administratorii, inactivitatea fiscală, bilanțurile, dosarele din instanță. Fiecare potrivire se închide cu o decizie motivată (fals pozitiv sau confirmat), salvată cu autor și dată. PepCheck nu calculează categoria de risc a clientului și nu are date despre beneficiarii reali.
• AMLTracer, pentru casele de ajutor reciproc și IFN, ține fișa de risc a fiecărui client pe cei patru factori ONPCSB, cu verde, galben sau roșu și defalcarea pe factori. Roșul sau calitatea de PEP duc la măsuri suplimentare, iar simplificarea nu e propusă niciodată automat. Ofițerul poate schimba nivelul, dar numai cu motiv scris, exact cum cer ghidurile europene.

Întrebări frecvente

Trebuie să folosesc exact categoriile „redus, standard, sporit”?
Nu. Normele le dau „spre exemplificare” (art. 14 alin. (2)). Poți folosi „scăzut, mediu, ridicat” sau mai multe niveluri, cu condiția ca procedura să spună ce măsuri corespund fiecărui nivel. Ghidurile europene confirmă că trei categorii sunt cele mai folosite, dar nu singurele posibile (EBA/GL/2021/02, pct. 3.8).

Toți clienții mei sunt firme mici din România. Pot să-i trec pe toți la risc redus?
Doar după o evaluare globală care arată riscul redus pe baza factorilor din art. 16 alin. (2) și doar dacă nu ai suspiciuni (art. 16 alin. (3) și (5)). Faptul că sunt din România e un factor geografic de risc redus, dar nu e suficient singur dacă, de exemplu, lucrează mult cu numerar.

Clientul a ieșit de pe lista PEP. Îl trec înapoi la standard?
Nu imediat. Rămâne PEP cel puțin un an de la încetarea funcției și încă un an dacă mai prezintă risc (art. 3 alin. (6)). După aceea, reîncadrarea se face motivat și se notează la dosar.

Pot cumpăra un program care calculează automat riscul?
Da, dar trebuie să înțelegi cum combină factorii, să poți explica scorul autorității și să poți corecta manual, cu motiv scris, orice scor care nu reflectă realitatea (EBA/GL/2021/02, pct. 3.6-3.7).

Cât de des reevaluez riscul unui client?
Legea română cere o frecvență stabilită „pe bază de risc”, în procedura ta (Norme art. 17 lit. d)). Din 10 iulie 2027, Regulamentul (UE) 2024/1624 pune maxime: un an pentru clienții cu risc ridicat, cinci ani pentru ceilalți (art. 26 alin. (2)). Detalii în ghidul monitorizării.

Surse: Legea nr. 129/2019, forma consolidată la 19.12.2025, art. 3 alin. (6), 11 alin. (6)-(7), 16, 17, 17^1, 21, 25; Normele aprobate prin Ordinul președintelui ONPCSB nr. 37/2021, art. 12-14, 16, 17; Ghidul ONPCSB privind criteriile și regulile de recunoaștere a situațiilor de risc ridicat sau scăzut (anexa la Ordinul nr. 24/2021, completat în decembrie 2023); Ghidul ONPCSB privind identificarea persoanelor expuse public (2025); Ghidul ONPCSB privind indicatorii de suspiciune în domeniul IFN, caselor de amanet și caselor de ajutor reciproc (2025); Raportul de actualizare a Evaluării naționale a riscurilor 2021-2024 (ONPCSB, 2026), secțiunea 6.3.5; Regulamentul delegat (UE) 2016/1675, consolidat la 29.01.2026 (modificări prin Regulamentele delegate 2026/46 și 2026/83); GAFI, rezultatele plenarei din 28-30.10.2026; Ghidurile EBA privind factorii de risc (EBA/GL/2021/02, consolidate cu EBA/GL/2023/03), pct. 1.2, 3.3-3.9, adresate instituțiilor de credit și financiare și folosite aici ca bune practici. Punctajul este un exemplu ilustrativ, nu un model aprobat de vreo autoritate. Articolul nu este consultanță juridică.