Εσωτερικός έλεγχος και εξωτερικός έλεγχος

1) Σκοπός και περιοχή

Διασφάλιση συστηματικού, ανεξάρτητου και αναπαραγώγιμου ελέγχου των διαδικασιών λειτουργίας και συμμόρφωσης: συμμόρφωση με τις άδειες/νόμους, αξιοπιστία της χρηματοοικονομικής και επιχειρησιακής αναφοράς, αποτελεσματικότητα του ελέγχου κινδύνων (KYC/AML/RG, GDPR/PII, πληρωμές/ΕΚΕ, ειλικρίνεια παιχνιδιών, ασφάλεια πληροφοριών, μάρκετινγκ/θυγατρικών, παρόχων). Το τμήμα καθορίζει τις αρχές, τους ρόλους, τη μεθοδολογία, τον προγραμματισμό, τη μορφή και τη διαδικασία κλεισίματος των περιπτώσεων μη συμμόρφωσης.

2) Αρχές και «τρεις γραμμές άμυνας»

1η γραμμή: ιδιοκτήτες διαδικασιών (λειτουργίες, πληρωμές, πάροχοι παιχνιδιών, μάρκετινγκ/θυγατρικές, υπηρεσία υποστήριξης) - διαχείριση καθημερινών κινδύνων.
2η γραμμή: Συμμόρφωση/Κίνδυνος/Ασφάλεια/ΥΠΔ - πολιτικές, παρακολούθηση, διαβούλευση, επιβολή.
3η γραμμή: Εσωτερικός έλεγχος (ΕΑ) - ανεξάρτητη αξιολόγηση της επάρκειας και της αποτελεσματικότητας του ελέγχου· εκθέσεις προς το εποπτικό συμβούλιο/την ελεγκτική επιτροπή.
Εξωτερικός έλεγχος (EA): ανεξάρτητα τρίτα μέρη - χρηματοοικονομική αναφορά, πιστοποίηση (ISO/SOC/ΕΚΕ), κανονιστικές επιθεωρήσεις.

Αρχές: ανεξαρτησία, αντικειμενικότητα, αποδεικτικά στοιχεία, εμπιστευτικότητα, εστίαση σε κινδύνους και αξίες, διαφάνεια και ιχνηλασιμότητα.

3) IA έναντι EA δεδουλευμένου

4) Ρόλοι και ΠΓΣ

Προϊστάμενος εσωτερικού ελέγχου (επικεφαλής ΕΑ) - στρατηγική, ανεξαρτησία, σχέδιο/υποβολή εκθέσεων. (A)

Εσωτερικοί ελεγκτές - επιτόπιοι έλεγχοι, έγγραφα εργασίας, συμπεράσματα. (R)

Ιδιοκτήτες διεργασιών (1η γραμμή) - παροχή δεδομένων/αντικειμένων, CAPA. (R)

Συμμόρφωση/InfoSec/AML/RG (2η γραμμή) - από κοινού έλεγχοι, μεθοδολόγοι. (C/R)

CFO/Ελεγκτής - χρηματοοικονομικό κύκλωμα, GL, συμφωνίες. Γ)

Νομική/ΥΠΔ - ερμηνεία των κανόνων, ΠΙ και διατήρηση. Γ)

Επιτροπή λογιστικού ελέγχου - εγκρίνει το σχέδιο εκτίμησης επιπτώσεων, αποδέχεται εκθέσεις, ελέγχει την ανεξαρτησία. (A)

Εξωτερικοί ελεγκτές/αξιολογητές - διεξαγωγή ΕΑ· πρόσβαση σε τεχνουργήματα από την NDA. (Σύμβαση I/R)

5) Ετήσιο σχέδιο λογιστικού ελέγχου

1. Μητρώο κινδύνου: πιθανότητα × επίπτωση (χρηματοδότηση/GGR, άδειες, φήμη, ασφάλεια των παικτών).
2. Χάρτης διαδικασίας: πληρωμές/PSP, πορτοφόλι, KYC/AML/KYB, RG, πάροχοι παιχνιδιών/RTP, μάρκετινγκ/θυγατρικές, ασφάλεια πληροφοριών/GDPR, περιστατικά/κοινοποιήσεις, κανονιστικές εκθέσεις.
3. Πίνακας προτεραιότητας: Συχνότητα υψηλής/μεσαίας/χαμηλής → (τρίμηνο/εξάμηνο/έτος).
4. Πεδίο εφαρμογής: στόχοι, κριτήρια, διαδικασίες, δείγματα, πόροι, χρονοδιάγραμμα, εξαρτήσεις.
5. Έγκριση: Η επιτροπή λογιστικού ελέγχου εγκρίνει το ετήσιο σχέδιο. επιτρέπονται ad-hoc για S1/S2 περιστατικά.

6) Μεθοδολογία: στάδια ελέγχου

A. σχεδιασμός: Αίτημα εγγράφου, κατανόηση διαδικασίας, εκτίμηση σχεδιασμού ελέγχου, εκτίμηση κινδύνου, πρόγραμμα δοκιμών.
B. επιτόπια εργασία: συνεντεύξεις, περπάτημα, δοκιμές σχεδιασμού/ανταπόκρισης, αναλυτικές διαδικασίες, επιθεώρηση τεχνουργημάτων, δειγματοληψία.
Γ. Συμπεράσματα και διαβάθμιση: σύγκριση των πραγματικών περιστατικών με τα κριτήρια. ταξινόμηση των πορισμάτων.
Δ. Έκθεση: σχέδιο έγκρισης των πραγματικών περιστατικών τελική παρουσίαση στη διεύθυνση/επιτροπή.
E. CAPA και παρακολούθηση: σχέδιο διορθωτικών/προληπτικών μέτρων, παρακολούθηση, επαλήθευση.

7) Αποδεικτικά στοιχεία και δείγματα

Είδη αποδεικτικών στοιχείων: τεκμηρίωση (πολιτικές, κούτσουρα, εισιτήρια), φυσική (στιγμιότυπα οθόνης, διαμορφώσεις), προφορική (συνεντεύξεις), αναλυτική (συμφιλίωση, τάσεις).
Ποιότητα: επάρκεια (όγκος), καταλληλότητα, εγκυρότητα (πηγή).
Δείγματα: τυχαία, συστηματική, κατευθυνόμενη (με βάση τον κίνδυνο), από ανωμαλίες. το μέγεθος καθορίζεται από τον κίνδυνο και τον όγκο του γενικού πληθυσμού.
Ιχνηλασιμότητα: κάθε έξοδος συνδέεται με μια δοκιμή, η δοκιμή με αποδεικτικά στοιχεία (μοναδική ταυτότητα)· «συνεχής αρίθμηση».

8) Ταξινόμηση των περιπτώσεων μη συμμόρφωσης και των ικανοτήτων

Κρίσιμη (S1): κίνδυνος αδειοδότησης/νόμου/σημαντική οικονομική ζημία/παραβίαση PII. Απαιτείται άμεση δράση, υποβολή έκθεσης στην Επιτροπή/το Συμβούλιο.
Υψηλό (S2): σημαντικό ελάττωμα ελέγχου. Σύντομη SLA για να διορθώσετε.
Μέσο (S3): περιορισμένο ελάττωμα. σχέδιο προσαρμογής.
Χαμηλή (S4): βελτιώσεις/παρατηρήσεις (βελτιστοποίηση).

Αξιολόγηση ελεγχόμενης διαδικασίας: Αποτελεσματική/γενικά αποτελεσματική με βελτιώσεις/μερικώς αποτελεσματική/αναποτελεσματική.

9) Έγγραφα εργασίας και διατήρηση

Έγγραφα εργασίας: πρόγραμμα, λίστες ελέγχου, δείγματα, πρωτόκολλα συνεντεύξεων, αποδεικτικά στοιχεία, υπολογισμοί, συμπεράσματα.
Πρότυπα σύνταξης: δείκτης, έκδοση, ιδιοκτήτης, ημερομηνία, υπερσυνδέσεις σε τεχνουργήματα, αλλαγή ελέγχου.
Ιδιωτική ζωή και PII: πρόσβαση RBAC, κρυπτογραφημένη αποθήκευση, κάλυψη ευαίσθητων πεδίων.
Περίοδοι διατήρησης: ανά πολιτική (συνήθως 5-7 έτη) ή περισσότερο, εάν το απαιτούν οι άδειες/ρυθμιστικές αρχές.

10) Έλεγχος θεμάτων (κατάλογος IA)

1. Πληρωμές/PSP/PCI: auth/decline/chargebacks, ψευδώνυμο PAN, αρχεία καταγραφής πρόσβασης, μητρώο πωλητή.
2. KYC/AML/KYB: πληρότητα και ακρίβεια KYC, PEP/κυρώσεις, χρονοδιάγραμμα SAR/STR, ποιότητα των ερευνών, διαχείριση υποθέσεων.
3. Υπεύθυνο παιχνίδι (RG): όρια/αυτοαποκλεισμοί, διαδικασίες επαφής, αποτελεσματικότητα των παρεμβάσεων, περιορισμοί διαφήμισης.
4. GDPR/PII/DPO: μητρώο επεξεργασίας, DSAR, περιστατικά προστασίας της ιδιωτικής ζωής, συμβάσεις επεξεργαστών.
5. Πάροχοι/εντιμότητα: μετατόπιση RTP, περιστατικά στρογγυλοποίησης, συγχρονισμός ισορροπίας, έκδοση RNG/κατασκευής.
6. Μάρκετινγκ/Συνδεόμενες επιχειρήσεις: συμμόρφωση με δημιουργικούς/στοχευμένους περιορισμούς, απόδοση, συμβάσεις, πληρωμές.
7. Διαδικασίες συμβάντων: χρόνος εφαρμογής (TTS), επικαιρότητα των κοινοποιήσεων προς τις ρυθμιστικές αρχές, πληρότητα των αντικειμένων.
8. Υποβολή ρυθμιστικών εκθέσεων: συστήματα, προθεσμίες, DQ, συμφωνία με GL/PSP.
9. Έλεγχοι ΤΠ/ασφάλεια πληροφοριών: προσβάσεις, SOD, αλλαγές/εκλύσεις, αρχεία καταγραφής ελέγχων, εφεδρείες, ασκήσεις DR/BCP.

) Μορφή αναφοράς IA (Πρότυπο)

Σύνοψη: Πεδίο εφαρμογής, στόχοι, αξιολόγηση, βασικά ευρήματα και κίνδυνοι.
Πλαίσιο: διαδικασία/σύστημα/δικαιοδοσίες, προθεσμία, εφαρμοστέες απαιτήσεις.
Μεθοδολογία και περιορισμοί (εάν υπάρχουν).
Λεπτομερή συμπεράσματα σχετικά με την προτεραιότητα: γεγονός κριτήριο τον κίνδυνο τις συστάσεις.

Πίνακας CAPA - Ιδιοκτήτης, βήματα, χρονοδιαγράμματα, μετρήσεις επιτυχίας

Προσαρτήματα: δείγματα, διαγράμματα, μητρώο αποδεικτικών στοιχείων, γλωσσάριο.

12) Αλληλεπίδραση με τον εξωτερικό έλεγχο (EA)

Χρηματοοικονομική αναφορά: προετοιμασία της ΓΠ, συμφωνία, επιβεβαιώσεις από ΠΥΠ/τράπεζες/παρόχους, διαχειριστικές επιστολές.
Πιστοποιήσεις/αξιολογήσεις συμμόρφωσης: ISO 27001/9001, SOC 2, PCI DSS, κανονιστικές επιθεωρήσεις του κλάδου.
Ρόλοι εκτίμησης επιπτώσεων: προκαταρκτική αξιολόγηση (ανάλυση διαφορών), υποστήριξη ερωτημάτων, επιτάχυνση CAPA, αποφυγή αλληλεπικαλύψεων.
Διαφάνεια: ενιαία έκθεση αντικειμένων, χρονοδιάγραμμα επισκέψεων, κανόνες πρόσβασης, NDA.
Ανακοινώσεις: τακτικές εφεδρείες «ετοιμότητα για την εκτίμηση των περιβαλλοντικών επιπτώσεων», σημείο εισόδου - συντονιστής ελέγχου.

13) CAPA και παρακολούθηση

Σχέδιο CAPA: συγκεκριμένα βήματα, μέτρηση, ιδιοκτήτης, όρος, εξαρτώμενα συστήματα/ομάδες.
Επαλήθευση: αποδεικτικά στοιχεία εφαρμογής (οθόνες, αρχεία καταγραφής, πολιτικές, αποτελέσματα δοκιμών), ημερομηνία, υπεύθυνος ελεγκτής.
Κλιμάκωση: S1/S2 - υποχρεωτική ενημέρωση της επιτροπής· καθυστερήσεις - η «κόκκινη ζώνη» του ταμπλό.
Μεταβολή στην εκτίμηση επικινδυνότητας: μετά από επιτυχή CAPA - επανεξέταση του υπολειπόμενου κινδύνου και της συχνότητας των επιθεωρήσεων.

14) Πίνακας ελέγχου (διαχειριστικός έλεγχος)

Κατάσταση σχεδίου:% ολοκλήρωση ανά τρίμηνο και κατεύθυνση.
Χαρτοφυλάκιο ευρημάτων: λόγω σοβαρότητας και εγκληματικότητας.
CAPA πρόοδος: ολοκληρώθηκε/βρίσκεται σε εξέλιξη/έληξε, διάμεσος χρόνος κλεισίματος.
Χάρτης θερμότητας διεργασίας: κίνδυνος/αποτελεσματικότητα των ελέγχων πριν/μετά το CAPA.
Επαναλαμβανόμενες ανιχνεύσεις: δείκτης προβλημάτων συστήματος.

15) Δεοντολογικές απαιτήσεις και ανεξαρτησία

Σύγκρουση συμφερόντων: οι ελεγκτές δεν ελέγχουν τις προηγούμενες πράξεις τους ≤ 12 μηνών· δήλωση σύγκρουσης.
Πρόσβαση στα δεδομένα: μόνο βάσει της αρχής του «ελάχιστου αναγκαίου»· προσωπική απαγόρευση αντιγράφων PII.
Επικοινωνίες: ουδέτερη γλώσσα, χωρίς «αιτιολογικό» τόνο. γεγονότα πριν από τις ερμηνείες.

16) Κατάλογοι ελέγχου

Έναρξη του ελέγχου

• Καθορισμένοι στόχοι/κριτήρια/όρια.
• Ζητήθηκαν και ελήφθησαν αντικείμενα, συμφωνήθηκαν μορφότυποι/χρονοδιαγράμματα.
• Επιβεβαίωση ανεξαρτησίας, καμία σύγκρουση.
• Εγκεκριμένο πρόγραμμα δοκιμών και δειγματοληψίας.

Στάδιο πεδίου

• Διεξήχθησαν συνεντεύξεις Walkthrough και βασικών ρόλων.
• Δοκιμές σχεδιασμού και λειτουργικής απόδοσης.
• Δημιουργείται μητρώο αποδεικτικών στοιχείων με αναγνωριστικούς/συνδέσμους.
• Ενδιάμεση ενημέρωση για τους ιδιοκτήτες μεταποίησης (καμία έκπληξη στον τελικό).

Έκθεση και CAPA

• Συμφωνήθηκαν γεγονότα, επιλύθηκαν σημεία διαφοράς.
• Συμπεράσματα ταξινομημένα (S1-S4), εκτίμηση κινδύνου/επιπτώσεων.
• Σχέδιο CAPA με εγκεκριμένους ιδιοκτήτες και ημερομηνίες.
• Οι ημερομηνίες παρακολούθησης παρατίθενται στο χρονοδιάγραμμα.

17) Μοτίβα τεχνουργημάτων (ταχεία εισαγωγή)

Κατάλογος αιτήσεων (PBC): κατάλογος εγγράφων/μεταφορτώσεων/προσβάσεων με προθεσμίες.
Φύλλο δοκιμής: διαδικασία ελέγχου δείγματος αποτέλεσμα απόδειξης συμπεράσματος.
Εύρεση κάρτας: κωδικός, τίτλος, περιγραφή, κίνδυνος, επίπτωση, αιτία, σύσταση, επίπεδο S, ιδιοκτήτης, όρος.
Φύλλο CAPA: βαθμίδα, μέτρηση, τεχνουργήματα επιβεβαίωσης, ημερομηνία, ελεγμένη.

18) Συχνά λάθη και τρόπος αποφυγής τους

Οι συνδυασμένοι ρόλοι της ΕΑ και της 2ης γραμμής → μειωμένη ανεξαρτησία. Απόφαση: ΑΑ που υποβάλλει απευθείας έκθεση στην επιτροπή.
Η ανεπαρκής ιχνηλασιμότητα των αποδεικτικών στοιχείων → η ανεπαρκής προστασία των συμπερασμάτων. Λύση: ενιαίο μητρώο και αρίθμηση.
«Κυνήγι μη συμμόρφωσης» αντί της εκτίμησης κινδύνου και αξίας. Λύση: εστίαση των κινδύνων και ιεράρχηση προτεραιοτήτων.
Υπερφόρτωση CAPA χωρίς πόρους → καθυστέρηση. Λύση: Στόχοι SMART και όριο WIP.
Αγνοώντας τα δεδομένα ποιότητας/φρεσκάδας κατά τον έλεγχο της αναφοράς. Διάλυμα: κατάλογος ελέγχου DQ.

19) Ταχεία έναρξη (εφαρμογή 30 ημερών)

Εβδομάδα 1: Έγκριση του χάρτη εκτίμησης αντικτύπου (εντολή/λογοδοσία), διενέργεια εκτίμησης κινδύνων, σχέδιο ετήσιου σχεδίου.
Εβδομάδα 2: δημιουργία προτύπων (φύλλα PBC, Test/Finding/CAPA), δημιουργία μητρώου αποδεικτικών στοιχείων και πίνακα κατάστασης.
Εβδομάδα 3: Διεξαγωγή 2 «συνοπτικών» πιλοτικών ελέγχων (π.χ. PSP/PCI και RG/DSAR), εκθέσεις έκδοσης, μητρώο CAPA.
Εβδομάδα 4: διεξαγωγή παρακολούθησης των χειριστών, προσαρμογή της μεθοδολογίας, υποβολή του ετήσιου σχεδίου προς έγκριση από την επιτροπή, συμφωνία σχετικά με χρονοδιάγραμμα εξωτερικών ελέγχων/πιστοποιήσεων.

• Κανονιστικές εκθέσεις και μορφότυποι δεδομένων
• Ανακοινώσεις παραβάσεων και προθεσμίες υποβολής εκθέσεων
• Ταμπλό συμμόρφωσης και παρακολούθηση
• Βιβλία και σενάρια περιστατικών
• Διαχείριση κρίσεων και επικοινωνίες
• Σχέδιο επιχειρησιακής συνέχειας (BCP )/DRP
• Αρχεία καταγραφής ελέγχου συναλλαγών