Audit Checklisten und Revue

1) Ernennung

• Vergleichbarkeit der Kontrollen zwischen Teams und Zeiträumen;
• Vollständigkeit und Evidenz der Ergebnisse;
• transparente Verwaltung von Patches (CAPAs) und Wiederholungsprüfungen.

2) Rollen und RACI

Eigentümer: Head of Compliance/Head of Internal Audit - Methodik, Versionen von Checklisten. (A)

Prozesseigentümer (1. Zeile): Selbstbewertung, Artefakte, CAPA. (R)

Compliance/InfoSec/AML/RG (2. Linie): Peer-Review, Co-Audits, Normauslegung. (R/C)

Internal Audit (3. Zeile): Unabhängige Reviews, Ratings, Follow-up. (R)

Management (Exec Sponsor) - Genehmigt Leads und Ressourcen auf der CAPA. (A/C)

3) Arten von Revue

1. Self-Assessment (SA): monatlich/vierteljährlich von den Prozessverantwortlichen der Short Checklisten.
2. Peer-Review (PR): Gegenprüfung durch ein benachbartes Team (kein Interessenkonflikt).
3. Management Review (MR): Einmal im Quartal - Überblick über KPIs/KRIs, Trends und ungedeckte CAPAs.
4. Internal Audit Review (IA): unabhängige Prüfung nach Plan IA.
5. External-Audit Readiness (EAR): Vorbereitung auf Zertifizierungen/Inspektionen (ISO/SOC/PCI/Regulator).

4) Allgemeine Regeln der Checkliste

ID: CL- <code >/Version: v <MAJOR. MINOR >/Owner: <role>
Область: <KYC/AML/RG, GDPR/PII, Payments/PCI, Games/Providers, Reporting, Incidents...>
Frequency: M     Q      Ad-hoc
Material: <criteria for High/Medium/Low>
Sampling: <method and size>
Evidence: <list of files/screenshots/logs>
Question List: [X] Yes [] No [] N/A + Comment + Artifact + Severity
Bottom line: Score/Rating/CAPA

• Fully Met (100–90%) / Largely Met (89–75%) / Partially Met (74–50%) / Not Met (<50%).
• Nichtübereinstimmungsgrad: S1 kritisch/S2 hoch/S3 mittel/S4 niedrig.
• Materialität: monetärer Effekt (GGR/NGR), Kundenreichweite/PII, Lizenz-/Strafrisiko, Auswirkungen auf die Integrität des Spiels.

5) Checklisten-Katalog (Skelette mit Kontrollpunkten)

CL-KYC-01 — KYC/KYB

• Die Richtlinien und Verifizierungsstufen sind genehmigt und relevant.
• KYC-Anbieter haben gültige Verträge/DPAs.
• Verification SLAs werden eingehalten (Metrik D-1).
• Die Unterlagen werden entsprechend der Retention aufbewahrt; Zugang - RBAC.
• Ausfälle/Eskalationen werden dokumentiert; Der FP-Anteil ist normal.
• KYB für Partner: aktuelle Auszüge/Begünstigte.

Beweis: KYC-Statusentladungen, DPA-Register, Zugangsprotokoll, Probe von 25 Fällen.

CL-AML-02 — AML/CFT

• Aktualisierte AML-Richtlinie und Risikoscoring-Technik.
• Peer Review/Sanktionen für On-Boarding und periodisch.
• SAR/STR werden fristgerecht übermittelt; Es gibt Empfangsbestätigungen.
• Qualität der Untersuchungen: Vollständigkeit, Timing, Schließung.
• Überwachungsregeln decken Velocity/Structuring/Maultiere ab.
• „no tipping-off“ -Test: Keine Kundenmitteilungen bei SAR.

Nachweise: SAR/STR-Fälle, Sanktionsprüfungsprotokolle, Fallabschlusszeitberichte.

CL-RG-03 - Verantwortungsvolles Spielen

• Das Register der Limits/Selbstausschlüsse ist synchronisiert (Register/naz. System).
• Schwachstellenauslöser → Kontakt im SLA; Kommunikationsvorlagen.
• Die Wirksamkeit der Interventionen wird gemessen und analysiert.
• Werbung/Boni entsprechen den Beschränkungen des Marktes.
• RG-Vorfälle und Mitteilungen an die Regulierungsbehörde - rechtzeitig.

Beweise: Selbstausschluss-Protokolle, Kommunist. Vorlagen, Outreach-Metriken.

CL-PCI-04 - Zahlungen/PCI

• PCI-Segmentierung und PAN/CHD-Inventar auf dem neuesten Stand.
• Tokenisierung/Verschlüsselung im Transit/at-rest; Die Schlüssel schwanken.
• Auth-rate/decline/latency durch PSP in Schwellenwerten; fallback-Routen.
• Chargeback-Prozess und Evidenzbasis für Dispute.
• Schwachstellen aus ASV-Scans werden rechtzeitig behoben.
• Protokolle für den Zugang zum Zahlungsbereich - vollständig und unveränderlich.

Beweise: Netzwerkdiagramme, ASV-Berichte, Chargebacks-Fälle, KMS-Schlüsselpolitik.

CL-GAMES-05 - Spieleanbieter/Integrität

• Verträge und Technik. Spezifikationen sind relevant; RNG/Bildversionen - im Register.
• RTP-drift-Überwachung und Reaktionsschwellen; freeze ist prozedural gesichert.
• Synchronisation von Round/Session/Wallet Salden.
• Vorfälle des Anbieters: Zeitlinie, Fixierung, Spielerentschädigung.
• Berichte an die Integritäts-/RTP-Regulierungsbehörde - übergeben und bestätigt.

Nachweise: RTP-Uploads, Anbieter-API-Protokolle, Freeze-Ticket-Beispiele.

CL-REP-06 - Regulatorische Berichterstattung

• Terminkalender: Status „bereit/gesendet/akzeptiert“.
• Datenschemata sind versioniert; Dateien sind mit/mit Hashes signiert.
• Reconciliation: Wallet ↔ PSP ↔ GL ohne Diskrepanzen> X%.
• Die Empfangsbestätigungen (ID/Quittungen) werden gespeichert und den Artefakten zugeordnet.
• Lokalisierung/Sprache eingehalten.

Beweis: Dashboard von Terminen, Quittungen, SQL-Abstimmungen.

CL-INC-07 - Vorfälle/Benachrichtigungen

• TTS (erste Nachricht) in SLA durch S1/S2.
• Mitteilungen an DPA/Regulierungsbehörden/PSP/CERT - fristgerecht, mit Bestätigungen.
• Vollständigkeit der Artefakte: Zeitleiste, Protokolle, Nachrichten, Listen der Betroffenen.
• Retro ≤ 7 Tage, CAPA registriert und in Bewegung.
• Die Entschädigung der Spieler wird gemäß den Richtlinien berechnet.

Beweise: Ereignisprotokoll, Statusseite, Artefaktpakete.

CL-GDPR-08 — GDPR/PII

• Das Behandlungsregister (RoPA) ist aktuell. Die Rechtsgrundlage ist richtig.
• DSARs schließen ≤ 30 Tage. Verspätungen erklärt.
• DPIAs sind für risikoreiche Prozesse ausgelegt.
• Pseudonymisierung/Maskierung bei Uploads und Berichten.
• Verträge mit Verarbeitern und SCC in Kraft.

Beweise: RoPA, DSAR-Magazin, DPIA, Beispiele für Masken in Berichten.

CL-ITGC-09 - Allgemeine IT-Kontrollen

• Change Management: PR-Prozess, Tests, Genehmigungen, Trennung von Pflichten.
• Zugriffe: RBAC/ABAC, periodische Revision, Off-Boarding ≤ 24 Stunden.
• Backup/Wiederherstellung, regelmäßige DR-Tests.
• Die Prüfprotokolle sind unveränderlich, die Retention wird eingehalten.
• Beobachtbarkeit: SLO/fehlerhafte Budgets, Warnungen vor kritischen Metriken.

Nachweise: PR-Stichproben, IAM-Protokolle, DR-Testberichte, Retentionsrichtlinien.

6) Stichprobenverfahren und Nachweise

Größe: Fokus auf Operationsvolumen und Risiko (z.B. min 25, pps/Schichtung für große Arrays).
Methoden: zufällig, systematisch, gerichtet (Anomalien/Randfälle), nach Spitzenzeiten.
Ausreichend: mindestens 2-3 unabhängige Quellen pro Schlüsselausgabe (Protokolle, Screenshots, Uploads, Tickets).
Rückverfolgbarkeit: Für jeden Punkt der Checkliste gibt es einen Nachweis mit Ausweis und Link im Register.

7) Revue Rating-Rubrikierer

Effective - Kontrolle ist entworfen und arbeitet stabil, es gibt S1/S2 keine Inkonsistenzen.
Generally Effective (mit Verbesserungen) - es gibt S3/S4, aber die Risiken sind unter Kontrolle.
Partially Effective - System S2; hohes Restrisiko.
Ineffektiv - S1/Vielzahl von S2; Ein sofortiger Wiederherstellungsplan ist erforderlich.

8) CAPA и follow-up

Für jedes Finding: Wurzel → Aktion → Besitzer → Zeitraum → Erfolgsmetrik.
SLA Schließung: S1 - ≤ 30 Tage; S2 - ≤ 60 Tage; S3 - ≤ 90 Tage; S4 - nach Vereinbarung.
Verifizierung: Der Auditor legt den Nachweis der Implementierung (Skins/Protokolle/Richtlinien) an, ändert den Status in Verified.
Eskalation: Verspätete S1/S2 - im wöchentlichen MR, im Audit-Ausschuss vierteljährlich.

9) Arbeitsartefakte (Vorlagen)

9. 1 Checkliste (Checkliste)

9. 2 Finding Card

Code Header Fakt Kriterium Risiko/Einfluss Ursache (Wurzelursache) Empfehlung S-Level.

9. 3 CAPA Sheet

Finding → Schritte → Eigentümer → Zeitraum → Metrik/Schwellenwert → Nachweis → Status → Verifizierungsdatum.

9. 4 PBC-Blatt (Vom Client bereitgestellt)

Anfrage → Format → Quelle → Verantwortlich → Frist → Erhalten (Datum) → Kommentare.

10) Dashboard Revue

Abdeckung:% der von der Revue abgedeckten Prozesse pro Zeitraum.
Findings by Severity: Verteilung der S1-S4.
CAPA-Fortschritt: abgeschlossen/in Arbeit/überfällig; Median der Schließzeit.
Repeat Findings: Anteil der Wiederholungen in 12 Monaten.
Timeliness: Einhaltung des SA/PR/MR/IA-Zeitplans.
Effectiveness Trend: Dynamik der Bewertungen nach Bereichen.

11) Kalender und Frequenzen

Monatlich: SA durch KYC/Zahlungen/DSGVO DSAR, Vorfälle/Benachrichtigungen.
Quarterly: PR nach AML/RG/Providers/Reporting, MR für alle Destinationen.
Semi-Annual/Annual: IA nach Hochrisikogebieten; EAR vor Zertifizierungen/Inspektionen.

12) Checkkarten „Schnellstart“ (je 7 Punkte)

KYC (7-Punkt): Richtlinie Anbieter/DPA SLA Warteschlangen> SLA RBAC Ausfälle/Eskalationen FP-Bericht.
AML (7-Punkt): RER-Listen/Sanktionen SAR Fristen Qualität der Untersuchungen Velocity/Strukturierung Kein Tipping-off Caseboard KPI-Trainings.
RG (7-Punkt): Registrierung/Synchronisation Kontakte in SLA Effizienz Werbebeschränkungen Beschwerden Vorfälle Berichte an die Regulierungsbehörde.
PCI (7-Punkt): Segmentierung Schlüssel/Rotation ASV/Vulna Zugriffsprotokolle Tokenisierung Chargebacks Fallback PSP.
Spiele (7-Punkt): RTP-drift Freeze-Verfahren Balance-Synchron-Vorfälle des Anbieters RNG-Versionen/Bilder Berichte zur Integrität der SLA-API.
Reporting (7-Punkt): Kalender Diagramme/Versionen Signatur/Hash Reconciliation Sprache/Ort Quittungen DQ-Metriken.
Incidents (7-Punkt): TTS Benachrichtigungen im Zeitrahmen Vollständigkeit der Artefakte Kompensation Retro CAPA Dashboard.

13) Häufige Fehler und wie man sie vermeidet

Checklisten ohne Beweise → alle Artikel erfordern ein ID-Artefakt.
Bewertung ohne Materialität → Notieren Sie die Schwellenwerte in der Checklist-Karte.
SA/PR/IA-Duplikate → einen konsistenten Kalender und ein einheitliches Anforderungsregister (PBC).
„Dokumentenzentrismus“ ohne Operationalitätstests → immer eine Stichprobe von Operationen nehmen.
CAPA ohne Metriken → Stellen Sie messbare Ergebnisse ein (z. B. DSAR ≤ 30 Tage ≥ 98%).

14) Implementierungsplan (30 Tage)

Woche 1

1. Genehmigung der Methodik und der Bewertungsskalen.
2. Erstellen Sie 8 grundlegende Checklisten (CL-KYC/AML/RG/PCI/GAMES/REP/INC/GDPR).
3. Erstellen Sie eine Artefaktregistrierung und PBC/Finding/CAPA-Vorlagen.

Woche 2

4. SA-Pilot in 2 Prozessen und PR in 1 Prozess durchführen.
5. Konfigurieren Sie das Revue-Dashboard und das CAPA-Protokoll.
6. Geben Sie eine Schulung zu „Evidenz und Stichproben“ aus.

Woche 3

7. EAR-Sitzung zur nächsten Zertifizierung/Inspektion.
8. Vereinbaren Sie einen MR/IA-Zeitplan für das Quartal.
9. Festlegung der Schwellenwerte für die Materialität und die Größe der Stichproben.

Woche 4

10. V1 freigeben. 0 Checklisten-Katalog und Kalenderkarten.
11. Halten Sie einen Retro-Piloten, aktualisieren Sie die Versionen der Checklisten (v1. 1).
12. Die Revue in die KPIs der Prozesseigner aufnehmen.

15) Verwandte Abschnitte

Interne Revision und externe Revision

Regulatorische Berichte und Datenformate

Meldungen von Unregelmäßigkeiten und Meldefristen

Compliance Dashboards und Monitoring

Incident Playbooks und Szenarien

Krisenmanagement und Kommunikation