Entre los principales cambios realizados, las entidades deben realizar una autoevaluación anual de riesgos, la cual les permita determinar el nivel de riesgo de sus clientes, productos y servicios, canales de distribución y zonas geográficas. La norma, autoriza a las entidades a poder tercerizar aquellas tareas de identificación y verificación de la identidad de sus clientes.