Matriz de riesgos de cumplimiento

1) Nombramiento y cobertura

Objetivo: estandarizar la evaluación y gestión del riesgo de cumplimiento en iGaming, reducir la probabilidad de multas/revocaciones de licencias y garantizar operaciones sostenibles.
Cobertura: AML/CFT, KYC/KYB, sanciones/RER, pagos y bonificaciones, Juego responsable (RG), protección de datos/PII, publicidad/marketing, socios/afiliados/proveedores, informes regulatorios.

2) Escalas y base 5 × 5-matriz

• 1 - extremadamente raramente (≤1/god)· 2 - raramente (trimestre)· 3 - periódicamente (mes)· 4 - a menudo (semana)· 5 - muy a menudo (días)

• Finanzas: 1: <5k· 2 €: 5-25k· 3 €: 25-100k· 4 €: 100-500k· 5 €:> 500k €
• Regulación: 1: ninguna acción· 2: solicitud· 3: prescripción· 4: alto riesgo de multa· 5: alto riesgo de suspensión/revocación
• Operaciones/reputación: 1: mínimamente· 5: negativo masivo/salida

Puntuación final: R = L × I (1-25)

• 1-5 Verde - permitido, monitoreo.
• 6-10 Amarillo - plan de reducción y propietario.
• 11-15 Naranja - CAPA acelerada, control cada semana.
• 16-25 Rojo - escalamiento inmediato, incidente-puente, notificaciones si es necesario.

Escaladas SLA (ejemplo): Amarillo - 24 h· Naranja - 4 h· Rojo - 15 min.

3) Categorías de riesgos de cumplimiento (escenarios)

1. AML/CFT: pitufeo, mezcla de fondos, «mulas», estructuración, lavado a través de bonos/cash outs.
2. Sanciones/RR: eludir restricciones jurisdiccionales, falsas coincidencias, listas atrasadas.
3. KYC/KYB: sintéticos, falsificación de documentos, usuarios proxy, socios ficticios.
4. Frod de pago/bonus abuz: charjbeki, multiaccounting, dispositivos de granja, afiliados a CPA-frod.
5. RG (juego responsable): infracciones de límites, desencadenantes de actividad de juego dañina sin trabajar.
6. Protección de datos/PII: fugas, tratamiento indebido, violación de los derechos de los sujetos, transferencias transfronterizas.
7. Publicidad/marketing: dirigirse a audiencias prohibidas, promociones sin escrúpulos, no cumplir con las regulaciones locales.
8. Vendedores/subcontratistas: fallas de proveedores KYC, socios de alojamiento, PSP; cadena de subprocesadores.
9. Informes regulatorios: retrasos, informes incompletos, desajustes de datos.

4) Matriz de riesgos de cumplimiento - plantilla de representación

Si se ven afectadas las categorías de datos que requieren una notificación de 72 h - Escalamiento inmediato (rojo).

5) Métricas (KRI/KPI) y puntos de referencia de umbrales

• Hit-rate sanciones/RR en 1k registros; umbrales:> 1. 5% (amarillo),> 3% (naranja/rojo por contexto)
• FPR de sanciones/RR; umbrales:> 8% (amarillo),> 12% (naranja)
• SAR/NAT per 10k activos; Time-to-Review (TTR) alerta

• KYC fail %, Liveness dropout %, avg TAT; umbrales: fail%> 12% (amarillo),> 15% (naranja)
• KYB: porcentaje de socios sin beneficiarios/escáneres relevantes; umbrales:> 3% (amarillo),> 5% (naranja)

• Chargeback Rate (CBR); umbrales:> 0. 8% (amarillo),> 1. 2% (rojo)
• Net Fraud Loss % от GGR; umbral:> 0. 9% (naranja)

• Proporción de autoexpresiones; quejas/1000 jugadores; TTR por disparadores RG

• Cole en vulnerabilidades críticas en backklog; MTTD/MTTR incidente; consultas de los interesados en el SLA

• Quejas/100k proyecciones; la proporción de creativos rechazados por moderación; violaciones de geo/edad

• SLA de los proveedores de cumplimiento; La demora en la presentación de los informes reglamentarios; discrepancias informe-datos DWH

6) Tarjeta de control y su eficacia

Preventivos: cribado sancionador/RR (onboarding + antes de los pagos), 2FA/WebAuthn, límites, device-fingerprinting, geo-restricciones, política de la publicidad por edad/geo, DPIA para los nuevos fich.
Detectives: reglas antifraude en tiempo real, proveedor de sanciones duplicadas, correlaciones SIEM/SOAR, desencadenantes RG, auditoría de registros de acceso PII.
Correctivos: EDD/EDD +, hold/limites, congelación de retiros, desconexión temporal de promociones, notificaciones a reguladores/bancos, CAPA.

• Cobertura% (cobertura de scripts), FPR/FNR, Precision/Recall para reglas/modelos, TTR/MTTR, porcentaje de incidentes que han traspasado los límites de las zonas.

7) Riesgos-apetito y umbrales de aceptación

Risk Appetite Statement: Permitamos el riesgo agregado en la zona amarilla si hay planes de reducción; naranja/rojo - sólo con controles compensatorios temporales y un plan de salida de ≤30 días.
Decision Gates: conclusiones de los altos rollers> X sin EDD - prohibido; socios opacos - parar; publicidad sin garantías de edad - parar.

8) Escaladas y comunicaciones (playbook)

Desencadenadores: R≥16; Incidente PII; caso sancionador de alto valor; CBR> umbrales; Clústeres de riesgo RG.
Canal: puente de incidentes (Compliance + Security + Payments + Legal + PR + Ops).
Pasos: 1) disuasión 2) confirmación de escala 3) notificaciones obligatorias (bajo jurisdicción) 4) CAPA-plan 5) post-mortem a las 72 h.

• Responsable: titular de la categoría (AML/KYC/RG/Privacy/Ads/Payments)
• Accountable: Head of Compliance
• Consulted: Legal, DPO, Security, SRE, Finance
• Informados: C-level, Support/VIP, partners/PSP (según sea necesario)

9) Registro de riesgos - Estructura de escritura

ID· Categoría· Escenario· Causas/vulnerabilidades· L· I· R· Zona· KRI/KPI· Umbral/condición de escalada· Controles actuales/previstos· Propietario (bisn ./tech.) · Estado/SARA· Fecha límite· Fecha de revisión

10) Ejemplos de dominio (mini-playbook 'y)

A. AML/Sanciones

Condición: crecimiento anormal de la AMB y aciertos sancionadores.
Acciones: habilitar un proveedor secundario; perfeccionar las listas; reducir la sensibilidad para el riesgo bajo/reforzar para el alto riesgo; realizar EDD por cluster.

B. KYC/KYB

Condición: liveness-fail> 15%.
Acciones: cambiar a fallback; flujo manual para VIP; inspección SDK/cámara; límites de tiempo.

C. Pagos/bonus abuz

Condición: CBR> 1. 2% o un estallido de cuenta múltiple.
Acciones: Amplificar las firmas velocity/device; 3DS obligatorio; límites de bonificaciones; Auditoría post-Campaine de afiliados.

D. RG

Condición: desencadenantes de actividad dañina en un clúster de jugadores.
Acciones: contacto/consejo, limitación de depósitos, bloqueo temporal, documentación de acciones.

E. Datos/PII

Condición: filtración no confirmada.
Acciones: containment (claves/accesos), forensic, DPIA, notificaciones (si es necesario), post-mortem obligatorio.

F. Publicidad

Condición: denuncia de una promo a un menor.
Acciones: off instantáneo, auditoría de origen/destino, actualización de políticas, informar al regulador si es necesario.

11) Vendedores y tercer circuito

Antes del onboarding: due diligence, sanciones/RER, SOC2/ISO27001, DPIA/DTIA, DPA/SCCs.
En operación: monitoreo de SLA, incidentes, subprocesadores, localización de datos geo.
Offboarding: revocación de accesos, eliminación/devolución de datos, acto de cierre.

12) Incrustación en procesos

AMB/Change-control: los cambios en las reglas antifraude/compliance pasan a través de la AMB con una evaluación de impacto en KRI/FPR/FNR.
CI/CD: pruebas de conformidad (policy-as-code) en pipelines; reglas «asesinas» - sólo a través de banderas feature.
Reporting: snapshot diario de KRIs; Comité semanal de riesgos; retro mensual con la actualización de la matriz.

13) Lista de verificación de madurez de matriz

• Escala L/I aprobada y documentada
• Las categorías y escenarios cubren el 95% de los incidentes del año pasado
• KRIs automatizados (dashboards, alertas, reacciones SLA)
• Hay un segundo proveedor de sanciones/CUS y un plan de cambio
• RACI es comprensible, la lista de contactos y las plantillas de comunicación están actualizadas
• El rastreador CAPA está en un solo sistema y se cierra a tiempo
• Revisión trimestral del apetito de riesgo y los umbrales

14) Hoja de ruta para la implementación (ejemplo)

Semanas 1-2: inventario de riesgos, alineación de escalas, matriz de borrador, asignación de propietarios.
Semanas 3-4: automatización de KRIs, integración de alertas, RACI/escalaciones, plantillas de informes.
Mes 2: conexión de proveedores secundarios, SOAR playbooks, formación de equipos.
Mes 3 +: pruebas de estrés, auditoría de rendimiento, ajuste de umbrales y políticas.

TL; DR

Una matriz única de 5 × 5 + KRIs medibles y umbrales claros → escaladas predecibles y soluciones rápidas. El resultado es menos multas e incidentes, mayor sostenibilidad y cumplimiento en todas las jurisdicciones.