Audit- und Inspektionsverfahren

1) Warum Audits in iGaming erforderlich sind

Ein Audit ist eine systematische Überprüfung der Konformität eines Produkts und Betriebs mit den Anforderungen von Lizenzen, Gesetzen, Standards und internen Richtlinien.
Ziele: Reduzierung regulatorischer und finanzieller Risiken, Nachweis der Integrität von Spielen/Zahlungen/Daten, Verbesserung der Prozesse und der Compliance-Kultur.

2) Taxonomie der Kontrollen (was und wer)

3) Prüfungsbereich (Umfang)

Spiele: RNG, RTP, Versionskontrolle, unveränderliche Protokolle.
Zahlungen: Routing, Retouren, Chargeback, Net Loss, Limits.
KYC/AML: Verfahren, Sanktionslisten/RER, Fälle und SAR/STR.
Responsible Gaming: Limits, Timeouts, Selbstausschluss, Reality Checks.
Datenschutz/DSGVO/CCPA/LGPD: DPIA, Verarbeitungsgründe, Speicherdauer, Betroffenenrechte.
Sicherheit/IT: RBAC/ABAC, SoD, Journaling, CI/CD, Secrets, DR/BCP.
Marketing/CRM/Affiliates: Suppression, Einwilligungen, vertragliche Verbote.

4) Standards und methodische Grundlagen

ISO 19011 - Grundsätze des Audits und der Durchführung (Planung → Bericht → Follow-up).
ISO/IEC 27001/27701 - Sicherheits-/Datenschutzmanagement (Kontrollmaßnahmen).
PCI DSS - wenn Sie PAN/Karten verarbeiten.
GLI-11/19, ISO/IEC 17025 - in Verbindung mit Testlabors.
Der Rahmen der „drei Verteidigungslinien“ ist 1) Prozesseigner, 2) Risiko/Compliance, 3) unabhängige Prüfung.

5) Audit-Lebenszyklus

1. Planung: Definition von Scope/Kriterien, Risikokarte, Liste der Artefakte, NDAs und Zugriffe.
2. Feldarbeit: Interviews, Walkthrough, Kontrolltests, Stichproben, Log-/Systeminspektion.
3. Konsolidierung: Faktenfixierung, Nichtkonformitätsbewertung (High/Med/Low), Berichtsentwurf.
4. Bericht: Schlussfolgerungen, Beweise, Empfehlungen, Zeitpunkt der Beseitigung.
5. CAPA (Corrective and Preventive Actions): Ein Plan zur Korrektur und Verhinderung von Rückfällen.
6. Follow-up: Überprüfen Sie die Ausführung der CAPA, schließen Sie die Punkte.

6) Nachweise und Stichproben

Evidence (evidence): Richtlinien/Verfahren (neueste Versionen), Screenshots von Einstellungen, Log-Uploads (WORM), Hash-Summen von Bilds, Change-Management-Tickets, Trainingsakte, Incident-Protokolle, DPIAs, Zustimmungsregister, AML/RG-Berichte.

• RNG/RTP - statistische Stichproben ≥10⁶ Ergebnisse (oder konsistentes Volumen/Zeitraum).
• KYC/AML - Zufallsstichprobe von 60-100 Fällen/Zeitraum mit Verfolgung zu den Quellen.
• Privacy - 20-50 Subject Requests (DSAR), Überprüfung der SLA und Vollständigkeit der Antworten.
• Zahlungen - 100-200 Transaktionen pro Szenario (Einzahlung/Auszahlung/Chargeback/Bonus).
• RG - 50-100 Fälle von Limits/Timeouts/Selbstausschluss + Suppression-Logs.

Die Kette der Aufbewahrung (chain of custody): die Fixierung der Quelle, der Zeit, der Kontrolle der Ganzheit (der Hashes, der Unterschriften).

7) Nichtkonformitätsbewertungen und CAPAs

CAPA-Vorlage: Beschreibung des Problems → Wurzelursache → Aktion (Korrektur/Prävention) → Eigentümer → Zeitraum der → KPI-Effekt → evidence Schließung.

8) RACI (Rollen und Verantwortlichkeiten)

9) Checkliste Prüfungsbereitschaft

Dokumente und Richtlinien

• Versionsregister von Richtlinien und Verfahren (mit Eigentümern/Daten).
• DPIA/Records of Processing/Retention Data Matrix.
• Richtlinien RG/KYC/AML/Privacy/Incident/Change/Access/Logging.

Technische Artefakte

• WORM-Logspeicher (Spiele/Zahlungen/Zugriffe/Änderungen).
• CI/CD-Artefakte: SBOM, Hashes, Signaturen, Release Notes.
• RBAC/ABAC-Register, SoD-Kontrolle, Ergebnisse der Revue-Zugriffe.
• DR/BCP Pläne und Ergebnisse der Übungen.

Vorgänge

• Register der Personalschulungen und -bescheinigungen (RG/AML/Privacy).
• Protokoll der Vorfälle und Post-Morems.
• Register der Anträge betroffener Personen (DSAR) mit SLA.

10) Playbook: Inspektion vor Ort (onsite) und remote (remote)

1. Briefing, Abstimmung von Agenda und Route.

2. Arbeitsplatz-/Serverraum-Tour (falls zutreffend), körperliche Überprüfung. Maßnahmen.

3. Interview + Live-Demo Kontrollen, Stichproben aus prod/Repliken.

4. Tägliches Wrap-up, vorläufige Rückmeldung.

• Zugriff auf Read-Only-Panels/Dashboards, sichere Dateifreigabe, Sitzungsaufzeichnung, Time-Boxed-Slots.
• Vorladen von Artefakten, Wiedergabeskripte.

• Zentrale Anlaufstelle, Anfragen-Tracking (Ticketing), Nachweis-SLA (in der Regel T + 1/T + 2 Werktage).

11) Spezielle Szenarien: „dawn raid“ und ungeplante Inspektionen

Bereitschaft: rechtlicher Hinweis, Kontaktliste (Legal/Compliance), Regeln für die Begleitung des Abschlussprüfers, Verbot der Zerstörung/Änderung von Daten (Legal Hold).
Verfahren: Überprüfung des Mandats/der Identitäten, Registrierung von Kopien der beschlagnahmten Daten, Anwesenheit von Legal, Kopien von Integritätsprotokollen.
Im Anschluss: interne Untersuchung, Kommunikation an Board/Partner, CAPA.

12) Compliance-Datenarchitektur und Beobachtbarkeit

Compliance Data Lake: zentrale Speicherung von Berichten, Protokollen, Zertifikaten, DPIA, Metriken.
GRC-Plattform: Register der Risiken, Kontrollen, Audits und CAPAs, Kalender der Rezertifizierungen.
Audit API/Regulator Portal: Managed Access für externe Auditoren/Regulatoren.
Immutability: WORM/Object Storage, Merkle-Hashketten.
Dashboards: RTP Drift, Self-Exclusion Suppression Accuracy, Time-to-Enforce Limits, KYC SLA.

13) Prüfreifemetriken (SLO/KPI)

14) Vorlage Auditorenbericht (Struktur)

1. Zusammenfassung des Vorgesetzten (Executive Summary).
2. Bereich und Kriterien.
3. Methodik und Stichprobe.
4. Beobachtungen/Inkonsistenzen (mit Hinweisen auf Beweise).
5. Risikobewertung und Prioritäten.
6. Empfehlungen und CAPA-Plan (vereinbarte Termine/Eigentümer).
7. Anwendungen: Artefakte, Zeitschriften, Hashes, Screenshots, Interviewregister.

15) Häufige Fehler und wie man sie vermeidet

Irrelevante Richtlinien/Versionen → zentralisiertes Register, Erinnerungen.
Kein WORM/Speicherkette → kann nicht nachgewiesen werden; Immutabilität einführen.
Ein schwacher SoD/RBAC → vierteljährliche Reviews von Zugriffen und Zeitschriften.
Keine CAPA-Disziplin → Eigentümer/Fristen/Abschlussnachweise.
Dateninkonsistenzen (RTP/Berichte/Verzeichnis) → automatische Abgleiche und Alerts.
Ad-hoc-Reaktion auf Inspektionen → playbook und training (table-top).

16) Umsetzungsfahrplan (6 Schritte)

1. Politik und Methodik: Akzeptieren Sie den Prüfungsstandard, die Risikoskala und die Berichtsformate.
2. Controls Inventory: Eine Karte der Prozesse und Kontrollen nach Domäne.
3. Evidenzarchitektur: WORM, Compliance Data Lake, Audit API.
4. GRC & Kalender: Zeitplan für Audits/Rezertifizierungen, CAPA-Register.
5. Training/Training: Rollenspiel-Übungen, „Dawn Raid“ -Simulation, Table-Top.
6. Kontinuierliche Verbesserung: Monitoring von Metriken, Retrospektiven, Reduzierung von Re-Findings.

Ergebnis

Audit- und Inspektionsverfahren sind keine einmaligen Ereignisse, sondern ein ständiger Kreislauf nachweisbarer Konformität: klares Scope, qualitative Evidenz, CAPA-Disziplin, immutable Logs, Bereitschaft für regulatorische Besuche und transparente Metriken. Dieser Ansatz reduziert Risiken, stärkt Lizenzen und erhöht die Produkt- und Markenfestigkeit.