Sensibilización del personal sobre el cumplimiento

1) Objetivo y zona de cobertura

Formar una cultura sostenible de cumplimiento en la que cada empleado entienda «lo que se puede/no se puede», sepa reconocer riesgos y sepa actuar (escaladas, canales de ayuda). Cobertura: todas las funciones (Operaciones, Pagos, RG/AML/KYC/KYB, Marketing/Afiliados, Game Ops, Data/Engineering, CS, Finanzas, Legal/DPO, IB), contratistas y trabajadores temporales

2) Principios del programa

Tone from the top: apoyo público de CEO/Exec.
Simplicidad y aplicabilidad: «qué hacer mañana en el turno».
Micro formato: módulos cortos de 5-10 min, regularidad.
Localización: lenguaje de mercado, casos/reglas locales.
Prueba: registro de pasajes, artefactos, certificación.
Continuidad: el ciclo «aprende → aplica → mide → mejora».

3) Roles y RACI

Owner: Head of Compliance/Compliance Awareness Lead - estrategia, contenido, calendario. (A)

L & D/Training Lead: LMS, horario, control de asistencia. (R)

Process Owners (KYC/AML/RG/Payments/Marketing/Game Ops/Data/Legal/InfoSec): exámenes y casos. (R)

DPO/Legal: redacción correcta, privacidad, localización. (C)

Auditoría interna: comprobación independiente de la integridad/registros. (C)

HR: onboarding/offboarding, disciplina de pasajes. (R)

Comms/Brand: diseño visual, campañas. (R)

Exec Sponsor: mensajes públicos, recursos, escaladas. (I/A)

4) Marco de contenido (módulos de sensibilización)

1. Código de conducta y canales de ayuda (whistleblowing, sin represalias).
2. KYC/KYB y la protección de los jugadores vulnerables (el papel de todos).
3. AML/sanciones/PEP (señales, prohibición de tipping-off, escaladas).
4. RG es un juego responsable (límites, auto-exclusión, scripts correctos).
5. GDPR/PII (minimización, DSAR, «no dividir superfluo»).
6. PCI/Pagos (datos pan, tokenización, prohibiciones de chat/tickets).
7. Marketing/Afiliados/Publicidad (filtros de edad, creativos prohibidos).
8. Incidentes y notificaciones (cuándo y qué informar, primeros pasos).
9. Antifishing/higiene IB (contraseñas, MFA, simulaciones de phishing).
10. Conflictos de intereses/regalos/ética.

Cada módulo: 5-7 diapositivas + mini-caso 2-3 preguntas + «qué hacer mañana» (lista de verificación por turno).

5) Formatos y frecuencias

Onboarding (T + 14 días): paquete básico (módulos 1-7), prueba breve ≥ 85%.
Campañas trimestrales: temáticas (semana GDPR, semana AML...).
Micro-lecciones mensuales: 5-10 min con 1 caso y 3 preguntas.
Table-top/role-play (trimestre): script de extremo a extremo por función.
Simulaciones de phishing (2-4 veces/año): con entrenamiento después de un clic.
Carteles/intranet/bot: «Regla de 3 pasos», «Lo que no se puede escribir en un ticket».
Vendor workshops: KYC/PSP/proveedores de juegos - 1-2 veces/año.

6) Campañas y Messeji (ejemplos)

Semana GDPR: «No almacenamos - no perdemos» → lista de verificación: no enviar PII en el correo, enmascarar las capturas de pantalla, DSAR ≤ 30 días.
Semana AML: «Nota la estructura - ahorra la licencia» → lista de verificación: velocity/structuring señales donde escalar.
Semana RG: «Juega de manera responsable, apoya a los jugadores» → respuestas CS correctas, el orden de acción en los briaches de límites.
Semana PCI: «PCI comienza contigo» → campos prohibidos en el chat/tickets, reemplazos seguros.
Ads/Affiliates-semana: «Publicidad sin multas» → creativos prohibidos, filtros de edad, queja por tráfico «tóxico».

7) Herramientas

LMS: cursos, pruebas, certificados, informes de coverage/on-time.
Bot de comunicación (Slack/Teams): preguntas 1-2 quiz por semana, recordatorios.
Intranet-hub: «1 páginas» por temas, preguntas frecuentes, plantillas de mensajes.
Carteles/capturas de pantalla: reglas breves, QR por hub.
Plataforma de phishing: simulaciones, pistas personales.
Formulario «Pedir cumplimiento»: respuesta rápida/escalada.

8) Métricas de eficiencia (KPI/KRI)

Cobertura:% de los empleados con un tipo de cambio actual (objetivo ≥ 98%).
Compleción en tiempo real:% de los completados a tiempo (objetivo ≥ 95%).
Recall: porcentaje de respuestas fieles en 30 días (> 80%).
Behavior change: reducción de incidentes de tipping-off, proporción de scripts CS correctos.
Resiliencia física: CTR ↓, informes de simulaciones de ↑.
Escalation quality: integridad de artefactos en escaladas (plantilla, ID, registros).
Whistleblowing: llamamientos ≠ cero; tiempo de reacción y cierre.

9) Hojas de cheques

9. 1 Antes de iniciar el programa

• Aprobado «tone from the top» (carta/video de CEO).
• Calendario de campañas para el año; los propietarios de los temas están asignados.
• Contenido localizado; ejemplos - sobre mercados y funciones.
• El LMS está conectado a HRIS (onboarding/offboarding).
• Los informes de cobertura/on-time/pass rate están configurados.
• Carteles listos, 1 página, bots quiz.

9. 2 Durante la campaña

• Recordatorios por canales (chat en vivo/correo/tablas).
• Sesión de Q&A con expertos (30 minutos).
• Breve encuesta «Entienda la esencia» (3 preguntas).
• Recogida de fidback y preguntas «en el campo».

9. 3 Después de la campaña

• Informe: coverage/recall/behavior.
• CAPA por espacios (scripts, macros, procesos).
• Actualización de FAQ y 1 página.

10) Scripts (role-play) - inserciones rápidas

• El jugador ha superado el límite de pérdidas.
• Eso sí: "Vemos que el límite que has establecido se ha alcanzado. Bajo las reglas del juego responsable, restringiremos temporalmente el acceso para protegerte. Así es como se pueden ajustar los límites.."

• Salida de verificación.
• Correcto: "El pago pasa por un control de seguridad estándar. Lo notificaremos tan pronto como termine"

• El cliente envió el PAN al chat.
• Correcto: "Por razones de seguridad, no envíe un número de tarjeta. Por favor, utilice el formulario de pago protegido"

• El socio ofrece un creativo agresivo para 18-.
• Eso sí: "Necesitamos filtros de edad y disclamers correctos. De lo contrario, una negativa"

• Solicitud de un colega para la exportación completa de PII «para análisis».
• Correcto: "Se necesitan fundamentos y minimización. Proporcionaremos agregados/alias a petición a través de DPO"

11) Comunicaciones y «tono»

Vídeo trimestral de Exec: «Por qué el cumplimiento es parte de la estrategia».
Casos de éxito: «El empleado de N notó el riesgo a tiempo - evitó la multa».
Insignias/gamificación: puntos por quiz, «Compliance Champion» del mes.
Ambiente seguro: los errores se tratan como aprendizaje, no como castigo (excepto malicia).

12) Artefactos y retén

Protocolos de paso (LMS), resultados de pruebas, certificados.
Material de campaña (diapositivas, grabaciones), Q&A, carteles/1 página.
Informes KPI/KRI, planes CAPA y estado de ejecución.
Período de retención - por políticas de capacitación/auditoría (generalmente 5-7 años).

13) Gestión de cambios de contenido

Versificación (vMAJOR. MINOR. PATCH), changelog.
Desencadenantes de actualización: nuevas reglas/incidentes/auditorías-findings.
Proceso: Draft → Legal/DPO rugiendo → piloto → lanzamiento → medición.

14) Riesgos y prevención

«Entrenamiento de marca» → añadir casos y métricas de comportamiento observadas.
La sobrecarga de contenido → micro-lecciones, 1 página, la repetición de la clave.
Falta de localización → ejemplos locales/lenguaje/realidades de pago.
Cero llamadas a la línea directa → recuerde: es un riesgo de silencio. Promover la confianza y los canales anónimos.

15) Inicio rápido (30 días)

Semana 1

1. Asignar un propietario, aprobar los objetivos de KPI (coverage ≥ 98%, on-time ≥ 95%).
2. Formar un calendario anual de campañas y roles.
3. Preparar «tone from the top» (carta/vídeo).

Semana 2

4. Expandir hub (intranet) y LMS; conectar HRIS/SSO.
5. Recoger el curso básico (módulos 1-6) + prueba; preparar carteles/1 página.
6. Configurar bota quiz y phishing simulación # 1.

Semana 3

7. Piloto en 2-3 equipos (CS, Pagos, Marketing).
8. Recoger fidback; ajustar los scripts y casos.
9. Iniciar micro-lecciones semanales (sobre un tema).

Semana 4

10. Inicio masivo; control de coverage/on-time diario.
11. Informe de gestión: primeros KPI/incidentes-cambios de comportamiento.
12. Plan v1. 1: agregar casos RG/Ads y localizaciones.

• Formación de personal y AML
• Playbooks y scripts de incidentes
• Notificaciones de infracciones y plazos de presentación de informes
• Dashboard de cumplimiento y monitoreo
• Informes regulatorios y formatos de datos
• Auditoría interna y auditoría externa
• Cheques de auditoría y rugidos
• Renovación de licencias e inspección
• Cambios en las normas reglamentarias por región