金融机构应当在总部层面建立洗钱和恐怖融资风险自评估制度，必须定期评估洗钱和恐怖融资风险。