Risklərin qiymətləndirilməsi və təhlükə səviyyələri

1) Məqsədləri və tətbiq sahəsi

Məqsəd: iGaming əməliyyatlarının identifikasiyasına, ölçülməsinə və risklərin idarə edilməsinə, tənzimləmə tələblərinə uyğunluğuna və biznesin ümumi zəifliyinin azaldılmasına vahid, təkrar və yoxlanıla bilən yanaşmanı təmin etmək.
əhatə: AML/KYC/KYB, sanksiya və PEP skrininq, ödəniş və davranış saxtakarlıq sxemləri, məlumat sızması və kiber təhdidlər, platforma mövcudluğu (SLA/SLO), tənzimləyici dəyişikliklər, tərəfdaş/təchizatçı riskləri, məsuliyyətli oyun (RG).

2) Əsas anlayışlar və şkalalar

Risk = hadisə ehtimalı × zərərin miqdarı (maliyyə, hüquqi nəticələr, SLA/oyunçu təcrübəsi, nüfuz).
Təhlükə hadisənin mənbəyidir (xarici/daxili aktyor, proses, zəiflik).

• Informational (Info) - dərhal təsir etmədən siqnal, monitorinq.
• Low - yerli insidentlər, növbə çərçivəsində aradan qaldırılması.
• Orta - bir bölgəyə/prosesə təsir, 4 saat ərzində eskalasiya tələb olunur.
• High - xaç-xidmət təsiri/itkilərin artması, məcburi eskalasiya ≤ 1 saat
• Critical - əhəmiyyətli zərər/tənzimləyici risklər/kütləvi əlçatmazlıq; dərhal Bridge insident, rəhbərliyə və vəkillərə bildiriş.

• 1 - olduqca nadirdir; 2 - nadir hallarda; 3 - mümkündür; 4 - ehtimal ki; 5 - demək olar ki, əmindir.

• 1 - cüzi; 2 - aşağı; 3 - orta; 4 - yüksək; 5 - kritik.

3) 5 × 5-matris və eskalasiya astanaları

Risk qiymətləndirilməsi = L × I (1-25).

• 1-5 Yaşıl (məqbul): monitorinq, profilaktika.
• 6-10 Sarı (plan tələb edir): uzunmüddətli və məsuliyyətli.
• 11-15 Narıncı (sürətləndirilmiş azalma): sprint tapşırıqları, tez-tez nəzarət.
• 16-25 Qırmızı (qəbuledilməz): dərhal eskalasiya, müvəqqəti «örtüklər» və qoruyucu tədbirlər.

• Sarı: 24 saat → risk sahibinə qədər.
• Narıncı: 4 saat → istiqamət rəhbəri qədər.
• Qırmızı: ≤ 15 dəq → hadisə-körpü, C-level/hüquq xidməti/PR/komplayens.

4) iGaming üçün risk kateqoriyaları

1. AML/Sanksiyalar/PEP: saxta/müsbət işlənmə, məhdudiyyətləri aşma, «molling», vasitələrin qarışdırılması.
2. KYC/KYB: saxta sənədlər, sintetik şəxsiyyətlər, partnyor/affiliats.
3. Ödəniş frod: çarjbeklər, bonus abuz, «cash-autlar vasitəsilə yuyulma», multiakkountinq.
4. Kibertəhlükəsizlik/Məlumatlar: fişinq, ATO (hesabların sındırılması), PII, DDoS sızmaları, API zəiflikləri.
5. Əməliyyat sabitliyi: SLA deqradasiyası, buraxılış hadisələri, ödəniş zəncirindəki nasazlıqlar.
6. Tənzimləyici və cərimələr: yerli qaydalara əməl edilməməsi, hesabat, reklam.
7. Məsuliyyətli oyun (RG): asılılığa görə eskalasiya, özünü açma, limitlər.
8. Üçüncü kontur/Satıcılar: təchizatçının düşməsi, məlumatların işlənməsində pozuntular, sanksiya riskləri.

5) Qiymətləndirmə metodologiyası (keçid dövrü)

1. İdentifikasiya:

mənbələr: antifrod qeydləri, SIEM/SOAR, case management, tənzimləyici hesabatlar, oyunçuların şikayətləri, tərəfdaşların monitorinqi, pentest hesabatları.

2. Səbəblərin və ssenarilərin təhlili:

«əgər» kanalları vasitəsilə: qeydiyyat → yoxlama → depozitlər → bonuslar → nəticələr → sapport.

3. Kvantifikasiya:

SLE/ALE: birdəfəlik və illik gözlənilən zərər;

Diapazonlar: P10/P50/P90 (o cümlədən mövsümilik);

Stress testləri: trafik/kampaniya/idman hadisələrinin artması.
4. Nəzarət qiymətləndirilməsi: profilaktik, detektiv, düzəliş tədbirləri; effektivlik (kilidlərin payı, FPR/FNR).
5. Emal planı: qəbul/aşağı/transfer (sığorta/autsors )/aradan qaldırılması (proses dəyişikliyi).
6. Monitorinq və hesabat: KRI/KPI, daşbordlar, post-insident retrospektivləri.

6) Əsas risk göstəriciləri (KRI) və KPI

• 1k qeydiyyat üçün sanksiyalar/RER alertlərinin payı; əl yoxlama vaxtı;% yanlış müsbət.

• Chargeback Rate; Net Fraud Loss% GGR;% abuza bonusu; frod siqnalının bloka çevrilməsi.

• ATO rate 1k login; deteksiya (MTTD) və bərpa (MTTR) qədər vaxt; kritik zəifliklərin sayı.

• SLO aptaym; buraxılış hadisələrinin tezliyi; avtokatın müvəffəqiyyəti (rollback success).

• % özünü açma; limitləri aşmış oyunçuların payı; sapport reaksiya vaxtı.

7) Təhlükə səviyyələri və hərəkətlərə bağlanması

8) Eşiklər (nümunəvi göstəricilər - yurisdiksiyalara uyğunlaşdırmaq)

Sanksiyalar/RER: Hit-rate> 1. 5% qeydiyyat (Orta), 3% (Yüksək).
KYC FPR: > 8% (Medium), 12% (High).
Chargeback Rate: > 0. 8% (Medium), 1. 2% (High), 1. 5% (Critical).
ATO: > 0. 3 1k login (Orta), 0. 6 (High).
SLA ödəniş provayderləri: aptaym <99. 5% həftə (Orta), 99. 0% (High).
RG eskalasiya: asılılıq şikayətləri> 50% (High) baza xətti.

9) Nəzarət tədbirləri və memarlıq nümunələri

Preventiv: on-boarding və ödənişdən əvvəl sanksiya/RER-skrininq; davranış biometrikası; device-fingerprinting; depozit/çıxarış limitləri; 2FA/WebAuthn; şəbəkələrin seqmentləşdirilməsi; PII şifrələmə; verifikasiyalarda «iki gözlü».
Detektiv: real-time antifrod qaydaları; SIEM korrelyasiya; KRIs üzrə anomaliyalar alertləri; honeypot hesabları.
Korrektorlar: müvəqqəti funksiya blokları (bonuses/payouts), artan AML yoxlama səviyyələri, buraxılış katı ssenariləri, açarların/sirlərin rotasiyası, hot fiks.
Proseslər: Hadisələr üçün RACI, məcburi post-mortemlər (5 Whys ilə), dəyişiklik nəzarəti (CAB), müntəzəm tabletop təlimləri.

10) Risk reyestri (sahə şablonu)

ID, Kateqoriya, Ssenari, Səbəblər/boşluqlar, Sahibləri (biznes/tech), L, I, Bal, Zona, Nəzarət (cari/plan), KRI-lərin həddi, Status, Müddət, Yenidən baxılma tarixi.

Qeyd nümunəsi

11) Ssenari təhlili və stress testləri

Böyük bir turnir zamanı bonus abuz: yeni başlayanların artması, bir kart/cihaz üzrə depozitlərin kəskin artması → velocity qaydalarını sərtləşdirin, promo limitləri, əl yoxlamaları.
KYC satıcısının uğursuzluğu: ehtiyat provayderi işə salmaq, icazə verilən limitlərin dəhlizini daraltmaq, lazım gələrsə, müvəqqəti olaraq sürətli nəticələrə qadağa qoymaq.
DDoS/aptaym deqradasiyası: WAF/Rate-Limit aktivləşdirilməsi, geo-kəsmə, trafikin marşrutlaşdırılması, relizlərin dondurulması.

12) Hesabat və kommunikasiyalar

Dashbord: Domen KRIs, «svetofor» zonaları, cari High/Critical cases.
Kadens: operatorlara gündəlik hesabatlar, trendlər üzrə həftəlik körpülər, aylıq risk komitəsi (reyestrin yenilənməsi, azalma planları).
Məcburi bildirişlər: AML pozuntuları/sızmalar/kütləvi insidentlər zamanı tənzimləyici/bank/ödəniş tərəfdaşları - yerli tələblər üzrə.
Dock-track: həll jurnalı, post-mortem artefaktları, CAPA (Corrective and Preventive Actions) icrasına nəzarət.

13) Rollar və məsuliyyət (RACI, genişlənmiş)

Risk sahibi (Business/Compliance): L/I qiymətləndirilməsi, azalma planı, hesabat.
Security/FRM: deteksiya, antifrod qaydaları, SOAR playbook.
Data/ML: skoring modelləri, eşik kalibrləmə, A/B qaydaları.
Ops/SRE: stabillik, SLO, avtokat/fiça bayraqları.
Legal/PR: tənzimləyicilərlə/banklarla/ictimaiyyətlə əlaqə.
Support/VIP: oyunçuların hallarına ilkin reaksiya.

14) Implementasiya (yol xəritəsi)

1. Həftə 1-2: risklərin inventarlaşdırılması, şkalaların razılaşdırılması, baza 5 × 5-matrisin və reyestrin işə salınması.
2. Həftə 3-4: KRI-lərin bağlanması, alertlərin inteqrasiyası, RACI və post-mortem şablonları.
3. Ay 2: ehtiyat provayderləri (KUS/sanksiyalar), SOAR playbukları, qaydaların bektestləri.
4. Ay 3 +: ssenari stress testi, effektivlik auditi, hədlərin və risk iştahının yenidən nəzərdən keçirilməsi.

15) Proqramlar

• Ehtimal: {1: ≤ 1/il, 2: rüblük, 3: aylıq, 4: həftəlik, 5: gündəlik}
• Təsir (maliyyə): {1: <€5k, 2: €5-25k, 3: €25-100k, 4: €100-500k, 5:> €500k}
• Təsir (tənzimləyici): {1: yox, 2: sorğu, 3: göstəriş, 4: cərimə riski, 5: yüksək geri çağırma/böyük cərimə riski}

• AML/KYC, sanksiyalar/RER, RG, DLP, PII, SRE, relizlər ,/FRM.

• Şkalalar/matris razılaşdırılır; KRIs axını hesab olunur; eşik sabit; SOAR pleybukları sınaqdan keçirildi; ehtiyat provayderləri qoşuldu; aylıq risk komitəsi aktivdir; CAPA tracker aparılır.

Qısa TL; DR

Vahid 5 × 5 matrisi + aydın KRIs və eşiklər → avtomatik alertlər və aydın playbook 'və → sürətli səviyyələr eskalasiyası (Info → Critical) → müntəzəm post-mortemlər və risklərin yenidən qiymətləndirilməsi. Bu itkiləri azaldır, reaksiyaları sürətləndirir və iGaming-də uyğunluq mövqeyini gücləndirir.