Operaciones y Cumplimiento → Marco de cumplimiento de Gamble Hub

Marco de cumplimiento de Gamble Hub

1) Objetivo y valor

Gamble Hub es un único marco operativo y de cumplimiento para operar en muchas jurisdicciones. Convierte los requisitos dispares de reguladores, bancos, proveedores y plataformas publicitarias en políticas estandarizadas, procesos, auditorías automatizadas y pruebas de cumplimiento.

• Conecte rápidamente nuevos mercados sin violar los requisitos.
• Reducir los riesgos operativos (multas/bloqueos/chargeback/lavado).
• Hacer reproducible el cumplimiento: «como código», con rugido, rastreo y audit trail.
• Reducir el costo de cumplimiento (C/Compliance) cuando aumente la escala.

2) Alcance y términos

Jurisdicciones: EU/EEE, Reino Unido, Europa del Este, LatAm, algunos mercados de APR.
Dominios: Licencias, KYC/AML, Juego Responsable (RG), Publicidad/Afiliados, Pagos, PD/Privacy (enfoque GDPR), Seguridad, Honestidad de Juegos/RNG, Anti Frod, informes a los reguladores.
Artefactos: Política, SOP/Runbook, Control, Alerta, Registro, Informe.

3) Principios del marco

1. Policy-as-Code: reglas y controles descritos formalmente (YAML), validados en CI.
2. Evidence-by-Design: cualquier operación deja una prueba de conformidad.
3. Least Effort for Ops: compliance cosido en flow de productos, mínimo pasos manuales.
4. Risk-based: priorización por riesgo (país/canal/método de pago/comportamiento).
5. Privacy-first: minimizar los datos, enmascarar, acceder por roles, retocar.
6. Explainable & Auditable: cada solución es explicable, registrable y reproducible.
7. Una fuente de verdad: registros y paneles únicos; sin tablas «sombras» duplicadas.

4) Arquitectura Gamble Hub

Políticas: licencias, KYC/AML, RG, publicidad, pagos, datos, seguridad.
Procesos (SOP/Runbook): poner a un jugador, escalar AML, bloquear, devolver.
Controles: controles automáticos en los flujos (registro/depósito/retiro/bonificación).
Datos y registros (Registros): licencias/proveedores/afiliados/incidentes/quejas/RAE.
Monitoreo (Monitoring): dashboards de cumplimiento, alertas, KPI/OKR.
Reporting (Reporting): reguladores/socios de pago/fiscales/vendedores.
Auditoría (Audit): inspecciones periódicas, pruebas de diseño/rendimiento de los controles.

5) Matriz jurisdiccional (aproximada)

6) Puntos de control del ciclo de vida

• Edad/geo/sanciones/RR, toma de cuentas, consentimiento para el procesamiento de datos.
• Bloqueo geográfico de países no permitidos, CBA/verificación de riesgos.

• Fuente de fondos (por disparadores), límites RG/reglas de bonificación, señales antifraude.
• Notificaciones de riesgo: picos agudos de cantidad/frecuencia, no coincidencia de geo/pago.

• Re-KYC y activadores AML, comprobación de coincidencia de nombre/IBAN/tarjeta, hold con banderas rojas.

• Due Diligence Enhanced (EDD), origen de los fondos, revisión una vez cada N meses.

• Restricciones de edad y geo de los creativos, prohibición de la orientación desencadenante de grupos vulnerables, registro UTM.

• Licencias, SLA, cuotas, pruebas de integridad/RNG, monitoreo de incidentes e interrupciones.

7) Políticas (fragmentos)

• KYC básico para todos, EDD por desencadenantes (suma/velocidad/patrones/sanciones/RR).
• Auto-bloque/escalada en MLRO cuando se activan las reglas «rojas».
• SAR/AMB: fecha límite para la formación/presentación, formatos de prueba.

• Límites únicos: depósito/tasa/tiempo; auto-exclusión, enfriamiento.
• Disparadores de monitoreo de RG: aumento dramático de frecuencia/suma/fracción de pérdida, patrones nocturnos.
• Comunicaciones al aire libre: vocabulario correcto, prohibición de «empujar».

• Verificación de socios (KYB), catálogo de creativos con etiquetas de edad.
• Prohibición de promesas incorrectas de ganancia/lenguaje «libre de riesgo».
• Registro UTM y «origen del cliente» para auditoría.

• Sólo métodos con nombre; los fondos se retiran a la herramienta original.
• Velocity-rules, 2do factor cuando se cambian los detalles, retoque de registros.

• Minimización de datos, RBAC/accesos temporales, cifrado, retransmisión por jurisdicciones.
• Derechos del interesado: Solicitud/rectificación/eliminación - SLA y registro.

• Secretos en vault, red de confianza cero, auditoría de acceso, registro de actividades administrativas.
• Incidentes de seguridad: clasificación/SLA de notificaciones/playbooks.

8) Controls-as-Code (ejemplo)

yaml control_id: AML-TR-011 name: "Velocity: unusual deposit spikes"
scope: deposits jurisdictions: ["EU","UK","LATAM-"]
trigger:
expr: avg_over(15m, amount) > baseline_30d 3 AND count_unique(payment_method,1h)>=3 actions:
- flag: aml_review
- limit: withdrawals "hold_24h"
- notify: "team:mlro"
evidence:
store: s3://compliance-evidence/aml-tr-011/{player_id}/{ts}
fields: [player_id, amounts_1h, devices, ip_geo, payment_methods, session_ids]
owner: mlro review_sla_days: 180

yaml control_id: RG-LIM-004 name: "Daily loss limit"
scope: bets trigger: loss_today > limit_loss_daily actions:
- block: further_bets
- notify: "player:rg_message_template_7"
- log: rg_register evidence:
fields: [loss_today, limit, messages_sent, player_ack]
owner: rg_officer

9) Registros y base de pruebas

License Register: número/término/país/marca/condiciones.
Proveedor Registrador: estados de auditoría, incidentes, cuotas, SLA, contactos.
Affiliate Register: contratos, grupos UTM, comprobaciones de KYB, infracciones.
Incident & Breach Register: tipo/efecto/SLA/notificaciones/post mortem.
SAR/NAT Register: fechas, causas, materiales, resultados.
Complaints Register: quejas de los jugadores/respuestas/plazos/soluciones.

Todos los registros: en un solo almacén con versiones, acceso por rol, exportación para auditoría.

10) Monitoreo y alertas de cumplimiento

• Compliance Overview: infracciones de dominio, tendencias, riesgos superiores.
• AML/RG Watch: devoluciones/chargeback, velocity, self-exclusion/limites.
• Privacidad y acceso: accesos PII, muestras anormales, vida útil.
• Providers & Ads: incidentes de proveedores, calidad del tráfico de afiliados.

• RG: «3 advertencias por 24h sin confirmación por parte del jugador» → una pausa de bonificaciones.
• AML: «entrada por diferentes tarjetas + salida al nuevo método» → hold/EDD.
• Privacidad: «PD de exportación de bulk» → escalada instantánea de DPO.

11) Procesos y SOP

SOP: Sospecha de AML → SAR

1. Activación automática del control AML → el caso en AML-workflow.
2. Recolección de evidencia (auto) → verificación por parte de un oficial.
3. Decisión: SAR/hold/rechazo → registro/notificaciones/plazos.

SOP: autoexclusión RG

1. Confirmación de identidad → bloqueo inmediato del producto.
2. Sincronización con los registros del país (si corresponde).
3. Comunicación y retiro de eventos, retirada después del período de enfriamiento.

SOP: Inclusión de un nuevo país

1. Análisis legal y licencia → requisitos de mapping en Policies.
2. Localización KYC/Privacidad/Publicidad/Impuestos → banco de pruebas.
3. Control de prueba de batalla → piloto 1-5% de tráfico → informe y lanzamiento.

12) Roles y RACI

13) Documentación como código

Repositorio 'compliance-hub/' con carpetas:' policies/', 'controls/',' sop/', 'registers/',' templates/'.
Validación CI: campos obligatorios ('owner/version/jurisdiction/review _ sla _ days'), linters YAML/Markdown.
Auto-publicación en portal, changelog y recordatorios de revisión (SLA 180 días).

14) KPI/OKR de cumplimiento

• KYC Time-to-Verify (mediana), EDD Turnaround, SAR SLA.
• RG Interventions (proporción de casos con daño evitado), Chargeback Rate.
• Affiliate Violation Rate, Provider Incident MTTR.

• Coverage de flow crítico ≥ 95%.
• False Positive Rate por AML/RG ↓ sq/sq
• Control Drift (inconsistencias con la política) = 0.

• Audit Findings Resolved ≤ 90 дней, Evidence Completeness ≥ 98%.
• Privacy Violations = 0.

15) Hojas de cheques

• Licencia/autorización y restricciones locales (edad/obras/geo).
• Mapping KYC/AML/RG/Privacidad/Publicidad en Políticas.
• Proveedores/pagos (límites/cuotas/disponibilidad).
• Informes (formatos/frecuencias), pruebas de descarga.
• Entrenamiento de sapport y plantillas de mensajes localizados.

• RFC/PR incluye la evaluación de impacto (KYC/RG/Privacidad/Publicidad).
• Se han actualizado los controles, se han superado las pruebas en IC.
• Los logs/evidens están conectados.
• El plan de retroceso y comunicación está listo.

• CVM/sanciones/beneficiarios.
• Tratado/Reglas de los Grupos Creativos/UTM.
• SLA/OLA y el proceso de incidentes.
• Auditoría periódica.

16) Plantillas

yaml policy_id: RG-POL-001 title: "Responsible Gaming — Limits & Exclusions"
jurisdictions: ["EU-","UK","LATAM-CL"]
owner: head_of_compliance version: "1. 6"
last_review: "2025-09-20"
next_review_due_days: 180 references: ["SOP-RG-EXC-002","CTRL:RG-LIM-004"]

SOP: AML EDD Review
Scope: Deposits > threshold, red flags
Steps: collection of evidence → request for documents → decision → SAR/hold/decline
DoD: solution and evidence in registry, notifications sent
SLA: EDD ≤ 48h, SAR filed ≤ X days
Owners: MLRO, AML Ops

Period: YYYY-MM
Metrics: active players, deposits/conclusions, RG cases, complaints
AML: SARs filed N, rejected M, average TAT
Incidents: Impact/Measures/Notifications
Signatures: MLRO/DPO/Head of Compliance

17) Plan de implementación 30/60/90

• Crear un repositorio de 'compliance-hub/' y políticas básicas (KYC/AML, RG, Privacidad, Ads, Pagos).
• Digitalizar los controles superiores (registro, depósito, retiro, bonificaciones) como Controls-as-Code.
• Iniciar registros: licencias, proveedores, RAE, incidentes.
• Elevar el panel Completar la vista posterior; Negociar el KPI.

• Integrar los controles en el flow de productos (web/mobile/CRM/pagos).
• Implementar Evidence-by-Design (autoservicio y almacenamiento).
• Configurar informes de 2 a 3 jurisdicciones clave; automatizar las descargas.
• Realizar capacitaciones (AML/RG/Privacy) y «clínicas de cumplimiento».

• Auditoría del diseño y la eficacia de los controles; cerrar findings.
• Reducir False-Positive AML ≥ un 20% sin perder Recall.
• Normalizar procesos de proveedores/afiliados; Los rugidos trimestrales.
• Incluir KPI de cumplimiento en los comandos de producto/operación OKR.

18) Anti-patrones

«Cumplimiento como hojas de cheques manuales» sin integración en el flow.
Dos versiones de la verdad: informes en Excel + registros separados.
No hay base probatoria (evidence) y retiro.
Directivas sin revisión, límites obsoletos y referencias.
Filtración monolítica ciega (mar false-positivo).
La falta de control de publicidad/afiliados → sanciones regulatorias.

19) FAQ

P: ¿Cómo evitar el «frenado» del producto por el cumplimiento?
R: Controles para coser en UX (microdosis), rutas risk-based, reversibles y confirmaciones asíncronas.

P: ¿Qué hacer cuando hay un conflicto de normas locales?
R: La configuración específica del país de Policies, la prioridad de una regla más estricta.

P: ¿Cómo escalar a nuevos mercados?
R: Plantilla «Nuevo País»: mapping legal → configuración de Policy/Controls → pruebas → piloto → informes.