Det fjärde penningtvättsdirektivet beskriver i skäl 22 att finansiella verksamheter ska använda ett riskbaserat förhållningssätt, där åtgärder och kontroller som vidtas ska utgå från de identifierade penningtvättsriskerna. Verksamheter ska se till helheten, risker, åtgärder och kontroller, vilket kan representeras genom kundens riskprofil, där kundens användande av produkter och tjänster samt omständigheter i övrigt ska beaktas. Ett evidensbaserat beslutsfattande innebär att verksamheten ska beakta extern information såväl som information som framkommer i den egna verksamheten och vidta åtgärder och implementera kontroller utifrån informationen. Enligt Propositionens 2016/17:173 lagförslag förespråkas genomförande av en allmän riskbedömning där verksamhetsutövare ska identifiera de faktiska riskerna. Verksamheter ska göra en bedömning av penningtvätt- och terrorismfinansieringsrisker utifrån hot, sårbarhet, sannolikhet och konsekvenser av riskens inträffande, och riskerna kan klassificeras genom en låg-, medel- och högriskskala. Det finns flera tillvägagångssätt för genomförande av riskbedömning bland annat riskmatriser eller ESA:s och Wolfsbergsgruppens riktlinjer, där alla har sina fördelar, men även nackdelar i form av aggregeringsproblem, kognitiva bedömningssvårigheter av bland annat sannolikhet och konsekvens, viktningsproblematik för riskfaktorers påverkan samt svårighet i att förstå hur den faktiska penningtvättsrisken påverkar verksamheten. Verksamhetsutövaren ska identifiera verksamhetens riskexponering och ställa penningtvättsriskerna i relation till övriga risker i verksamheten. Det kommande regelverket ställer höga krav på de finansiella aktörerna och det finns svårigheter för verksamheter att förstå hur de ska kunna uppfylla lagkraven.