Əməliyyat və Uyğunluq → KYC prosedurları və yoxlama səviyyələri

KYC prosedurları və yoxlama səviyyələri

1) Niyə KYC lazımdır

KYC (Know Your Customer) iGaming platformasının məsuliyyətli və təhlükəsiz istismarının təməlidir: yetkinlik yaşına çatmayanların girişinin qarşısını alır, çirkli pulların yuyulması riskini azaldır, lisenziyaların və ödəniş tərəfdaşlarının tələblərini dəstəkləyir, nüfuzunu qoruyur.

• Şəxsiyyəti və yaşını təsdiq edin.
• Oyunçu əsas risk qiymətləndirmək və risk-based tədbirlər qurmaq.
• Tranzaksiyaların izlənilebilirliyini və əlaqəni təmin edin.
• AML/Responsible Gaming və provayderlərin/tənzimləyicilərin tələblərini dəstəkləyin.

2) KYC prinsipləri

1. Risk-Based Approach (RBA): yoxlama dərinliyi profil asılıdır (ölkə, ödəniş metodları, davranış).
2. Progressive Disclosure: mövcud risk səviyyəsində lazım olan qədər məlumat toplayırıq.
3. Evidence-by-Design: Bütün qərarlar və sənədlər sübut kimi saxlanılır (audit trail).
4. Privacy-first: PD-ni minimuma endirmək, maskalamaq, rol- və vaxt məhdud giriş.
5. Re-Verification: risk hadisələri zamanı təkrar yoxlamalar (nəticələr, limitlərin artması, rekvizitlərin dəyişdirilməsi).
6. Explainable & Consistent: qaydalar və istisnalar sənədləşdirilmiş və yoxlanılır.

3) Yoxlama səviyyələri (Tiered KYC)

KYC0 - Ön qeydiyyat/Freekshen Light

Ölkənin, yaşın toplanması (self-attest), email/telefon (OTP).
Ad/telefon/poçt (aşağı inam) ilə əvvəlcədən sanksiya/RER-skrininq.
Məhdudiyyətlər: depozitlər/çıxarışlar olmadan, yalnız məzmun/heç bir bahis bonuslar baxış.

KYC1 - Əsas identifikasiya

Şəxsiyyət sənədi (pasport/ID/su. + selfie/biometric liveness (bazarda).
MRZ/barkod validasiya, etibarlılıq tarixinə nəzarət, buraxılış ölkəsi.
Yaş testi, ilkin sanksiya/RER-skrininq.
Depozitlərin/dərəcələrin/çıxarışların limitləri bazadır.

KYC2 - Ünvanın təsdiqi (PoA)

Ünvanı təsdiq edən sənəd (utility bill/bank çıxarışı/reyestr), zəruri hallarda KBA.
Geo-uyğunluq: IP/cihaz/ödəniş metodu ≈ qeydiyyat ünvanı.
Genişləndirilmiş limitlər və nəticələrə çıxış.

KYC3 - EDD (Advanced Check )/SoF/SoW

Risk tetikleyicilərinə görə: böyük dövriyyələr/nəticələr, VIP, şübhəli nümunələr, yüksək riskli geolar/metodlar.
Vəsaitin mənbəyi (SoF) və vəziyyətin mənşəyi (SoW): gəlir arayışı, əmək haqqı, vergilər, çıxarışlar.
Müsahibə/yazılı izahat ola bilər.
Yüksək limitlərə/sürətləndirilmiş nəticələrə giriş - təsdiqləndikdən sonra.

4) Yüksək səviyyəli tetikleyicilər/Re-KYC

Maliyyə: tək çıxarış məbləği, dövr dövriyyəsi, ödəniş metodlarında tez-tez dəyişikliklər.
Davranış: anormal win/loss profili, gecə fəaliyyəti, bir çox qısa sessiyalar.
Texniki :/IP/ASN, proxy/yüksək riskli şəbəkələrin tez-tez dəyişdirilməsi.
Profil: mənbələr arasında ad/ünvan/doğum tarixi uyğunsuzluqları.
Tədbir: ödəniş rekvizitlərinin dəyişdirilməsi, limitlərin artması, VIP planın qoşulması.

5) Sanksiyalar, PEP və mənfi media

Qeydiyyat, KYC1/2/3 başa çatması, böyük nəticədən əvvəl, rekvizitlərin dəyişdirilməsi zamanı skrininq.
Kataloqlar yeniləndikdə revalid (gündəlik/həftəlik).
Uyğunluq məntiqi: fuzzy match tezliklə, manual triage sərhəd hallarda.
Mənbə/iş linkləri - evidence.

6) Sənədlər və alternativlər

ID/pasport/su. hüquqlar, PoA: kommunal hesab, bank çıxarışı ≤ 3 ay.
Alternativlər: eID/BankID/proaktiv API provayderləri, KBA (knowledge-based), mikrotranzaksiya təsdiqi.
Biometric: liveness-yoxlama ilə selfie; biometrik şablonları yalnız lazım olduqda və yerli normalara uyğun olaraq saxlayın.
Sapmalar: ağ-qara nüsxələr, vaxtı keçmiş sənədlər, bulanıq fotolar - avtomatik sapma qaydaları.

7) Data & Privacy

Minimallaşdırma: yalnız zəruri tələb; KYC artefaktlarını və oyun/marketinq məlumatlarını bölüşürük.
Access: RBAC/ABAC, oxu/fayl jurnalları, watermarks.
Retenshn: yurisdiksiya/lisenziya (adətən 5 + il sonra son əməliyyat).
Şifrələmə: at rest/in transit, HSM/Vault açarları, baxmaq üçün müvəqqəti URL.
Məlumat subyektinin sorğuları: SLA ixrac/düzəliş/silmə üçün icazə verilən həddə.

8) Controls-/Policy-as-Code (fraqmentlər)

yaml policy_id: KYC-TIERING-001 tiers:
- name: KYC1 allow: deposits<=base_limit & withdrawals<=0 require: [id_doc, selfie_liveness, sanctions_check]
- name: KYC2 allow: deposits<=mid_limit & withdrawals<=mid_limit require: [proof_of_address, ip_geo_consistency]
- name: KYC3_EDD allow: deposits<=high_limit & withdrawals<=high_limit require: [source_of_funds, enhanced_screening]
overrides:
- country: <ISO>
set: {mid_limit: <amount>, high_limit: <amount>}
review_sla_days: 180 owner: head_of_compliance

yaml control_id: KYC-REVERIFY-PAYOUT scope: payouts trigger:
expr: payout_destination_changed==true actions:
- block: payout
- request: "kyc_level>=KYC2"
- notify: aml_ops evidence:
fields: [old_dest,new_dest,kyc_level,player_id]

yaml control_id: SANCTIONS-RESCREEN scope: player_profile trigger:
expr: sanctions_list_version_updated==true OR risk_band>=high actions:
- rescreen: full
- flag: manual_review_if_score>threshold

9) SOP (fraqmentlər)

SOP: KYC1 yoxlanılması

1. Paketin tamlığını yoxlayın (ID + selfi, yükləmə metadata).
2. Sənədi təsdiqləyin (MRZ/barkod, müddət, ölkə), tam adını/DR-ni yoxlayın.
3. Selfie müqayisə (face match, liveness).
4. Sanksiyaları qovun/RER; üst-üstə düşdükdə → triaj.
5. KYC1 təyin edin, limitləri yeniləyin, evidence yazın.

SOP: KYC2 (PoA)

1. 90 gün ≤ sənədi, ünvanı icazə verilən formatda/dildə yoxlayın.
2. Ünvanı IP/cihaz/ödəniş üsulları ilə müqayisə edin.
3. KYC2 verin, limitləri/nəticələri genişləndirin, evidence yazın.

SOP: EDD/SoF (KYC3)

1. Sənədlərin siyahısını (əmək haqqı/vergilər/çıxarışlar) və izahatları tələb edin.
2. Məbləğləri/tezlikləri/mənbələri dövriyyə və profil ilə müqayisə edin.
3. Həll: təsdiq/məhdudlaşdırmaq/bağlamaq; şübhəli olduqda - SAR/AML prosesi.
4. Risk profilini, limitləri, evidence yeniləyin.

10) İnteqrasiya

KYC provayderləri: IDV, PoA, biometrik, sanksiyalar/RER (batch + event-driven).
Payments: source-to-source control, velocity, KYC tamamlamadan əvvəl hold.
AML/Case-management: birgə oyunçu kartı, statuslar, SLA.
CRM/Support: rabitə şablonları, KYC, ETA statusları və xatırlatmalar.
DWH/BI: KYC hadisələrinin vitrinləri, lisenziya dövrləri üzrə hesabatlar.

11) KPI/OKR

• KYC1 median TAT, KYC2 PoA TAT, EDD Turnaround, Re-KYC TAT.
• Auto-pass Rate (əl olmadan), Manual Tail (əl payı).
• Sanctions/PEP Hit Rate və Precision təsdiq hallarda.

• Saxta Reject Rate sənədləri, Doc Quality Fail%.
• Mismatch IP/Address tezlik, Payout Bloked due to KYC (median vaxt kilidini əvvəl).
• Evidence Completeness ≥ 98%.

• KYC Drop-off addımlarında, CSAT/NPS KYC proseslərində.

12) Çek vərəqləri

• Razılıq/məlumat siyasəti qəbul edilmişdir.
• İlkin sanksiya skrininqi keçirilib.
• Rabitə kanalları təsdiq edilmişdir (OTP/email).

• Validen ID və selfie, həyata keçdi.
• Tam adı/DR/ölkə.
• Sanksiyalar/RER: «clear» və ya triaj yolu.

• PoA təzə və oxunabilir; ünvan normallaşdırılmışdır.
• Geo-uyğunluq (IP/cihaz/ödəniş metodu).

• Sənədlərin tam paketi, məbləğlər dövriyyəyə uyğundur.
• Həll və əsaslandırma qeyd (evidence), yenilənmiş risk profili.

• Səbəb və tarix, kilid/limitlər düzgün tətbiq olunur.
• Rabitə oyunçu göndərilib (ETA/addımlar).

13) Anti-nümunələr

Hamı üçün universal «ağır» yoxlama - yüksək uğursuzluqlar və xərclər.
SLA/log və ikiqat nəzarət olmadan əl yoxlamaları.
Ciddi əsaslar olmadan biometrik/sənədlərin saxlanması və gecikdirilməsi.
Ödənişlərlə heç bir əlaqə yoxdur: geri çəkilmə KYC2/3 qədər mümkündür.
Sanksiyaların və re-KYC hadisələrinin yenidən yoxluğu.
Həqiqətin iki versiyası: Excel-də KYC və DWH-də əlaqə olmadan əməliyyat məlumatları.

14) 30/60/90 - tətbiq planı

• KYC (tiers, tetikleyicilər, SLA, retenshn) siyasətini təsdiq edin.
• IDV/sanksiyalar/PEP qoşulmaq, KYC1 və PoA-flow başlamaq.
• Controls-as-Code: payout-change-də re-KYC-ni konfiqurasiya, sanksiya reskrininqi.
• evidence-saxlama və RBAC daxil edin.

• EDD/SoF prosesləri, kommunikasiya şamplon və case-management.
• Ödənişlərlə inteqrasiya (source-to-source, velocity), KYC2/3-ə qədər avtomatik blok.
• KPI daşbordları (TAT, Auto-pass, Manual Tail, Hit-Rate).
• Pilot biometric liveness/BankID (harada mövcuddur).

• Manual Tail azaldılması ≥ 30%, KYC1 median TAT hədəf ≤, False Reject ↓.
• re-KYC və sanksiya reskrininq qaydaları, uyğunluq auditi.
• KPI-ni OKR komandalarına bağlamaq (Compliance/Ops/Payments/Support).

15) FAQ

Q: Ünvan (PoA) nə vaxt tələb olunur?
A: depozitlər/çıxarışlar həddinə çatdıqda, geo/metod və ya ölkə/lisenziya tələblərinə uyğun gəlmir.

Q: Nə zaman SoF/SoW lazımdır?
A: Yüksək dövriyyədə/VIP, anomaliyalar, yüksək riskli geo/metodlar, böyük çıxarışdan əvvəl.

Q: KYC-də nasazlıqları necə azaltmaq olar?
A: Mobil ipuçları/ocr-validasiya, başa düşülən foto tələbləri, BankID/eID dəstəyi, addımlara bölünmə, sürətli rəy.

Q: Gizliliyi necə qorumaq olar?
A: Minimallaşdırma, şifrələmə, ciddi RBAC/giriş jurnalları, avtomatik retenshn və silinmə siyasəti.