Πολιτική ΚΝΕΠΔ και καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες

1) Σκοπός και κάλυψη

Σκοπός της πολιτικής ΚΕΠΔ είναι η πρόληψη της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, η διασφάλιση της συμμόρφωσης με τις κανονιστικές απαιτήσεις και η προστασία της πλατφόρμας, των παραγόντων και των εταίρων. Η πολιτική εφαρμόζεται σε όλες τις νομικές οντότητες του ομίλου, τους εργαζομένους, τις ομάδες εξωτερικής ανάθεσης, καθώς και σε τρίτους (ΠΥΠ, θυγατρικές, παρόχους περιεχομένου) που αλληλεπιδρούν με τις ταμειακές ροές και τα δεδομένα των πελατών.

• Προϊόντα: καζίνο/στοιχήματα, μεταφορές P2P, τουρνουά, μπόνους/cashback, υπηρεσίες αγοράς.
• Κανάλια: web, mobile applications, API integrations, crypto-on/off-ramp.
• Γεωγραφικές περιοχές: όλες οι χώρες/κράτη υπηρέτησαν, λαμβάνοντας υπόψη τις τοπικές απαιτήσεις.

2) Κανονιστική στήριξη και αρχές

Η βάση της πολιτικής είναι οι συστάσεις της FATF (προσέγγιση προσανατολισμένη στον κίνδυνο, KYC/KYB, κυρώσεις, παρακολούθηση, υποβολή εκθέσεων), οι τοπικοί νόμοι για την AML/CFT (Ευρώπη - οδηγίες AMLD, Ηνωμένο Βασίλειο - MLR, ΗΠΑ - BSA/Πατριωτικός νόμος κ.λπ.), καθώς και οι απαιτήσεις για την προστασία δεδομένων (GDD) PR/παρεμφερής).

• RBA (προσέγγιση βάσει κινδύνου): Οι πόροι επικεντρώνονται σε υψηλότερους κινδύνους.
• Αναλογικότητα: Τα μέτρα συνάδουν με τον κίνδυνο πελάτη/συναλλαγής/προϊόντος.
• Λογοδοσία - Λήψη, λογιστικός έλεγχος και ιχνηλασιμότητα.
• Προστασία της ιδιωτικής ζωής εκ σχεδιασμού: ελάχιστα δεδομένα, νομιμότητα της επεξεργασίας, ασφάλεια.

3) Ρόλοι και αρμοδιότητες (διαχείριση)

Συμβούλιο: εγκρίνει την πολιτική, την όρεξη ανάληψης κινδύνων, την περιοδική έκθεση.
Ανώτερα διοικητικά στελέχη: παρέχει πόρους, ΒΔΕ, εφαρμογή.
Υπεύθυνος MLRO/AML: ιδιοκτήτης διαδικασίας, ρυθμιστική αναφορά, SAR/STR, μεθοδολογία παρακολούθησης, αλληλεπίδραση με LEA.
Ομάδα συμμόρφωσης: KYC/KYB, κυρώσεις/PEP, διαχείριση υποθέσεων, κατάρτιση.
Risk & Analytics: μοντέλα βαθμολόγησης, σενάρια, βαθμονόμηση κανόνων.
Μηχανική/Ασφάλεια: ενοποιήσεις παρόχων, αρχεία καταγραφής, έλεγχος πρόσβασης, κρυπτογράφηση.
Πράξεις/Πληρωμές: έλεγχος μολύβδου, χειροκίνητοι έλεγχοι, ποιότητα δεδομένων.

RACI (упрощенно): Διοικητικό Συμβούλιο - A, MLRO - R/A, Συμμόρφωση - R, Κίνδυνος - R, Eng - C/R, Ops - C/R, Εσωτερικός Έλεγχος - I/C.

4) RBA: υπόδειγμα κινδύνου

• Πελάτης (χώρα, κατοικία, επάγγελμα, ΜΑΠ/κυρώσεις, κίνδυνος συμπεριφοράς).
• Προϊόν (καζίνο/στοιχήματα, P2P, κρυπτογράφηση, υψηλά όρια, διασυνοριακά).
• Κανάλι (επιγραμμική επιβίβαση, χωρίς παρουσία, ανώνυμα εργαλεία).
• Γεωγραφία (δικαιοδοσίες υψηλού κινδύνου, καθεστώτα κυρώσεων).
• Συναλλαγές (όγκος, ποσοστό κύκλου εργασιών, μοντέλα ταμειακών ροών).

Αξιολόγηση: ταχύτητα εκκίνησης κατά την επιβίβαση + δυναμικοί παράγοντες (ιστορικό, συσκευές, πρότυπα πληρωμών) ⇒ κατάτμηση σε χαμηλό/μεσαίο/υψηλό κίνδυνο και επιλογή του επιπέδου των μέτρων: CDD/EDD/SOW.

5) KYC/KYB και έλεγχος κυρώσεων (σύνδεση με την AML)

KYC για ιδιώτες: έγγραφο + βιωσιμότητα, διεύθυνση, ηλικία, κυρώσεις/REP, δυσμενή μέσα ενημέρωσης.
KYB για εταιρείες/θυγατρικές/παρόχους υπηρεσιών: εγγραφή, UBO/διευθυντές, κυρώσεις/POP, επαλήθευση δραστηριοτήτων και πηγών κεφαλαίων.
Κυρώσεις/REP: πρωτογενής και περιοδικός έλεγχος ασφάλειας, ασαφής αντιστοιχία, χειροκίνητη εκκαθάριση.
SOW/SOF: με υψηλά όρια και ανωμαλίες - επιβεβαίωση της προέλευσης των κεφαλαίων/πλούτου.
Re-KYC: προγραμματισμένο και ενεργοποιημένο γεγονός.

6) Παρακολούθηση συναλλαγών και ανάλυση συμπεριφοράς

• Ταχύς κύκλος κατάθεσης-ανάληψης χωρίς πραγματικό κίνδυνο παιχνιδιού.
• Προσκολλήσεις κατά ποσά/συχνότητα, διαχωρισμένες πληρωμές («στρουμφισμό»).
• Αναντιστοιχία χώρας IP/BIN/διεύθυνσης, συχνή αλλαγή μεθόδων πληρωμής.
• Άτυπη νυχτερινή/μαζική κυκλοφορία, συστάδες συσκευών (διάγραμμα συσκευών).
• Χρησιμοποιώντας ανώνυμα/VPN, πληρεξούσια αγροκτήματα, spoofing OS/browser.
• Ύποπτα μοτίβα μπόνους, πολλαπλοί υπολογισμοί, κύκλοι φόρτισης.

ML/μοντέλα συμπεριφοράς: πιθανολογικές ανωμαλίες, συνδέσεις γραφημάτων, ταχύτητα κινδύνου των παικτών/θυγατρικών, κατάτμηση υψηλού κυλίνδρου.

Διαχείριση υποθέσεων: δημιουργία συναγερμού → χαρακτηρισμός → αίτηση για έγγραφα/εξηγήσεις → απόφαση (κλιμάκωση/αποκλεισμός/ΕΔΠ).

7) «Κόκκινες σημαίες» (ιδιαιτερότητα iGaming)

Τακτικές καταθέσεις από τρίτους/πολλές ενιαίες κάρτες ανά παίκτη.
μεταφορές μεταξύ συνδεδεμένων λογαριασμών.
Έντονη αναντιστοιχία των προφίλ (ηλικία, επάγγελμα έναντι κύκλου εργασιών).
Διακρατική μετάβαση χωρίς σαφή λόγο.
Συστηματική εξαργύρωση χωρίς δραστηριότητα τυχερών παιχνιδιών ή ελάχιστα περιθώρια.
Απόπειρες παράκαμψης των ορίων CUS/εκροών/πριμοδοτήσεων, λογαριασμών «εκμετάλλευσης».
Αφιλιώνει με ασαφή πηγή κυκλοφορίας ή ασυνήθιστα υψηλή CR→WD.

8) SAR/STR: εσωτερικές έρευνες και υποβολή εκθέσεων

Όριο υπόνοιας: «εύλογη υποψία» ανεξαρτήτως ποσού.
Διαδικασία: προειδοποίηση → συλλογή στοιχείων → λύση MLRO → υποβολή SAR/STR εγκαίρως, χωρίς διακοπή.
Κλιμάκωση: προσωρινή δέσμευση, δέσμευση κεφαλαίων κατόπιν αιτήματος της LEA/ρυθμιστικής αρχής, σχέδιο επικοινωνίας με τον πελάτη.
Τεκμηρίωση: χρονοδιαγράμματα εκδηλώσεων, πηγές δεδομένων, ομαδικές δράσεις, αποφάσεις και αιτιολόγηση.

9) Αποθήκευση και ασφάλεια δεδομένων

Όροι: κατά κανόνα, τουλάχιστον 5 έτη μετά τη λήξη της σχέσης (ορίζεται τοπικά).
Αποθήκευση στόχου: προφίλ, έγγραφα, καταχωρίσεις, SAR/STR, ημερολόγιο πρόσβασης, βάση αποδεικτικών στοιχείων.
Ασφάλεια: κρυπτογράφηση κατά την ανάπαυση/κατά τη διαμετακόμιση, HSM/μυστική αποθήκευση, RBAC/ABAC, αμετάβλητα αρχεία καταγραφής (WORM), παρακολούθηση της πρόσβασης και ενέργειες των εργαζομένων.

10) Κατάρτιση, ποιοτικός έλεγχος και έλεγχος

Κατάρτιση: ετήσια για όλους, σε βάθος - για εργαζομένους σε λειτουργίες κινδύνου· δοκιμές και πιστοποίηση.
Διάγνωση: επιλεκτική εξέταση κρουσμάτων, διπλοί έλεγχοι (4 μάτια), ρετρό για εσφαλμένες αποφάσεις.
Εσωτερικός έλεγχος: ανεξάρτητη αξιολόγηση της συμμόρφωσης με τις πολιτικές, τις κανονιστικές απαιτήσεις και την αποτελεσματικότητα της διαδικασίας.
Προσομοιώσεις ακραίων καταστάσεων: ασκήσεις συμβάντων (κυρώσεις, μεγάλη τυπολογία, μαζικές προειδοποιήσεις).

11) Κρυπτογράφηση και VASP (κατά περίπτωση)

Κανόνας ταξιδιού: ανταλλαγή χαρακτηριστικών αποστολέα/παραλήπτη μεταξύ παρόχων.
Αναλυτική αλυσίδα: ποσοστό κινδύνου διευθύνσεων, συσπειρώσεων, κυρώσεων/ετικετών μίξερ.
Έλεγχος θέσης/εκτός διαδρόμου: συμμόρφωση ιδιοκτήτη πορτοφολιού, αντιστοίχιση δεδομένων, όρια και εξωτερικό ημερολόγιο διευθύνσεων.
Δυναμική τιμών/μεταβλητότητα: ειδικοί κανόνες για τα ποσά, αποτίμηση των «ασυνήθιστων» μετατροπών.

12) Αλληλεπίδραση με τρίτους

PSP/τράπεζες/πάροχοι KYC: συμβάσεις, SLA, DPIA, σχέδια δοκιμών ανοχής βλάβης.
Θυγατρικές: KYB, παρακολούθηση της ποιότητας της κυκλοφορίας, απαγόρευση των πηγών κινδύνου, έλεγχος μετά το κλικ.
Σχέσεις ανταποκριτών: εις βάθος επαλήθευση των εταίρων, περιοδική επανεξέταση.

13) Αρχιτεκτονική λύσεων AML (συστάσεις)

Ενσωμάτωση: πάροχοι CUS/κυρώσεων, ΠΥΠ, καταπολέμηση της απάτης, αναλυτική αλυσίδα μπλοκ.
Λεωφορείο εκδήλωσης: όλες οι συναλλαγές/γεγονότα εμπίπτουν σε ένα νήμα (Kafka/ισοδύναμο) με αμετάβλητη αποθήκευση.
Κινητήρας κανόνων + ML: online βαθμολόγηση (χιλιοστά του δευτερολέπτου) και αναθεωρήσεις εκτός σύνδεσης (παρτίδα/σχεδόν πραγματικό χρόνο).
Σύστημα περιπτώσεων: σειρά αναμονής με προτεραιότητα, πρότυπα αιτήσεων πελατών, SLA, ενσωμάτωση με ταχυδρομικούς/άμεσους αγγελιοφόρους.
Παρατηρησιμότητα: κούτσουρα, μετρήσεις, ίχνη. έκδοση και αποτέλεσμα κανόνα/υποδείγματος.
Υποβάθμιση: ασφαλής απλούστευση (μη ανοικτή/κοντά στην πολιτική), εφεδρικοί πάροχοι, ρετράι/απαρτία.

14) Μετρήσεις επιδόσεων και KPI

Ποσοστό μετατροπής SAR: Ποσοστό καταχωρίσεων που έχουν μετατραπεί σε SAR/STR.
Χρόνος συναγερμού/χρόνος προς απόφαση: ταχύτητα ανίχνευσης και λήψης απόφασης.
Ψευδής θετικός ρυθμός/ανάκληση ακριβείας σε ειδοποιήσεις.
Κάλυψη: ποσοστό των συναλλαγών που παρακολουθούνται/ελέγχονται.
Επανεργασία/Προσφυγές: μερίδιο των υποθέσεων με αναθεώρηση της λύσης.
Ολοκλήρωση κατάρτισης:% των εργαζομένων με σχετική κατάρτιση.
Vendor SLA: πάροχοι uptime, TTV για CUS/κυρώσεις.

15) Κατάλογοι ελέγχου

• KYC/KYB, ηλικία/γεωγραφία, κυρώσεις/PEP, δυσμενή μέσα ενημέρωσης.
• Βαθμολόγηση RBA, βασικά όρια, δακτυλικά αποτυπώματα συσκευής.
• Συγκατάθεση, προστασία της ιδιωτικής ζωής, αναφορά ελέγχων.

• Επανεγκριτικός έλεγχος, SOF/SOW εάν είναι απαραίτητο.
• Αντιστοιχεί με τον ιδιοκτήτη του μέσου πληρωμής.
• Επικύρωση συμπεριφοράς και ιστορικό συναλλαγών.

• Συλλογή πραγματικών περιστατικών και εγγράφων.
• Εσωτερική γνώμη MLRO.
• Υποβολή εκθέσεων εγκαίρως· απαγόρευση της απόσυρσης.
• Μετά τη θάλασσα, επικαιροποίηση κανόνων/μοντέλων.

16) Τυπικά λάθη και τρόπος αποφυγής τους

Τυφλό πλαίσιο ελέγχου KYC χωρίς RBA: ενίσχυση δυναμικής ανάλυσης και ορίων.
Έλλειψη ανάδρασης σε μοντέλα: εφαρμογή μιας απόφασης → βρόχου έκβασης.
Υπερβολικά σκληρή «εξάλειψη» αντί της διαχείρισης κινδύνου: χρήση EDD/SOW και ελεγχόμενων ορίων αντί για ολικές απαγορεύσεις.
Μη συνεκτίμηση των περιφερειακών κανόνων/κυρώσεων: διατήρηση των «γεωγραφικών χαρακτηριστικών».
Αδύναμο αρχείο καταγραφής αποφάσεων: Τυποποίηση της λογικής και αποθήκευση τεχνουργημάτων.

17) Πρότυπο δομής πολιτικής AML (για το wiki σας)

1. Εισαγωγή και πεδίο εφαρμογής

2. Ορισμοί και όροι (AML/CFT, CDD/EDD, SOF/SOW, PEP κ.λπ.)

3. Κανονιστικό πλαίσιο και παραπομπές στην τοπική νομοθεσία

4. Διαχείριση και ρόλοι (Διοικητικό Συμβούλιο, MLRO, RACI)

5. Μεθοδολογία RBA και όρεξη για κίνδυνο

6. KYC/KYB και έλεγχος κυρώσεων

7. Παρακολούθηση συναλλαγών (κανόνες + ML) και διαχείριση υποθέσεων

8. «Κόκκινες σημαίες» και σενάρια iGaming

9. Διαδικασίες SAR/STR και ρυθμιστικές αλληλεπιδράσεις/LEA

10. Αποθήκευση δεδομένων, ιδιωτικότητα, ασφάλεια

11. Κατάρτιση και ευαισθητοποίηση του προσωπικού

12. Πωλητές και τρίτοι (SLA, έλεγχος)

13. Έλεγχος, διασφάλιση ποιότητας και συνεχής βελτίωση

14. Προσαρτήματα: πίνακες ελέγχου, έντυπα, υποδείγματα γραμμάτων, μετρήσεις

18) Παράδειγμα πίνακα κινδύνου (θραύσμα)

Αποτέλεσμα: μέτρα χαμηλού/μεσαίου/υψηλού κινδύνου: CDD/EDD + SOF/SOW/περιορισμοί/απόδοση.

19) Σχέδιο εφαρμογής και συντήρησης

Προσδιορισμός των ιδιοκτητών διεργασιών και των SLA.
Χάρτης ενσωμάτωσης (PSP, KYC, κυρώσεις, ανάλυση).
Εκτελείται με βασικό σύνολο κανόνων + έλεγχος FP/FN.
Τριμηνιαία βαθμονόμηση σεναρίου, ετήσια επανεξέταση πολιτικής.
Προγράμματα σπουδών και έλεγχος πρόσβασης.
Τακτικές εκθέσεις συμβουλίου/διοίκησης (ΒΔΕ, περιστατικά, αλλαγές κινδύνου).

Σύνολο

Μια αποτελεσματική πολιτική ΚΕΠΔ δεν είναι ένα «έγγραφο στο ράφι», αλλά ένας κύκλος ζωής: εκτίμηση κινδύνου → μέτρα ελέγχου → παρακολούθηση → διερεύνηση → υποβολή εκθέσεων → βελτίωση. Οικοδόμηση μιας διαδικασίας γύρω από την RBA, διασφάλιση ενός ισχυρού κύκλου KYC/KYB και κυρώσεων, εφαρμογή υψηλής ποιότητας παρακολούθησης των συναλλαγών με διαχείριση υποθέσεων και συμμόρφωση με την πειθαρχία της αποθήκευσης δεδομένων, της κατάρτισης και του ελέγχου - με αυτόν τον τρόπο θα μειωθούν οι κανονιστικοί κίνδυνοι και οι κίνδυνοι φήμης, διατηρώντας παράλληλα τη μετατροπή και τη βιωσιμότητα των επιχειρήσεων.