Renovación de licencias e inspección

1) Objetivo y área

Garantizar la renovación oportuna de las licencias existentes y el éxito de las inspecciones programadas/no programadas sin detener el negocio y los riesgos para la marca/jugadores. Cobertura: licencias B2C/B2B, permisos de juego/pago, RG/AML/GDPR/circuitos de IB, certificaciones técnicas (RNG/PCI/SOC/ISO), permisos locales de publicidad/afiliados.

2) Principios

Cero riesgo de retraso. Deduplines en el calendario, recordatorios duplicados y propietarios de respaldo.
Una fuente de verdad. Registro único de requisitos, versiones de documentos y estados.
Prueba. Cada afirmación está confirmada por un artefacto (archivo/registro/script/número de ticket).
Preparación continua. «Siempre listo» para la inspección: dashboard de cumplimiento, políticas actuales, registros de auditoría.
CAPA transparente. Cualquier observación del regulador se cierra con acciones medibles en el SLA.

3) Roles y RACI

Programa de Licencia (Head of Compliance) - estrategia, registro de requisitos, calendario. (A)

Consejo Legal - formas legales, declaraciones juradas, interpretación de las normas. (R/C)

Finanzas/CFO: cargos/derechos, garantías bancarias, informes. (R)

AML Officer/RG Lead/DPO/CISO - un cumplimiento significativo por áreas. (R)

Payments Lead/Game Providers Ops - Evidencia de PSP/PCI y honestidad del juego. (R)

Auditoría interna - pre-evaluación, rugido independiente, control CAPA. (C/R)

Exec Sponsor (CEO/COO) - Escalada S1, interacción de alto nivel. (I/A)

4) Ciclo de vida de renovación de licencia

T-120...T-90 días: auditoría de requisitos, auditoría de preparación (análisis gap), confirmación de indicadores financieros/estructura de propiedad/beneficiarios.
T-90...T-60: recopilación y actualización de documentos (políticas, informes, certificados), armonización de formularios, preparación de pagos y garantías.
T-60...T-30: carga del paquete en el portal/SFTP/mail, solicitudes de aclaración, fijación de recibos, reserva previa on-site/remote ranuras.
T-30...T-0: cierre de las preguntas del regulador, confirmación de pago, publicación/recepción de un nuevo certificado/carta de renovación.
T +: post-check: actualizar los escaparates, los estados en el sitio/en las oficinas de los socios, guardar los artefactos, llevar a cabo retro.

5) Registro de requisitos (estructura de la tarjeta)

LIC-ID: <code >/Jurisdiction: <regulator >/Type: B2C    B2B    other
Valid from <date> to <date >/Renewal Deadline: <date, TZ>
Compliance formulas: GGR/capital/guarantees/technical certs
List of documents: policies/reports/certificates/questionnaires/affidavits
Feed Channel: Portal    API    SFTP    Mail/Format: PDF    CSV    XML    XLSX
Fees/guarantees: amount, currency, invoice, payment terms
Regulator contacts: email/portal ID/phone
Special conditions: localization of language, certification, notary/apostille
Package version: vX. Y/Owner/Reserve/Last Check

6) Documentos y pruebas (lista modelo)

Corporative: estatutos, estructura de propiedad/beneficiarios (UBO), Good Standing.
Finanzas: informes auditados, comprobantes de pago de cargos/impuestos, garantías bancarias/seguros.
Operaciones/Cumplimiento: políticas actualizadas (KYC/KYB, AML/CFT, RG, GDPR/PII, marketing/afiliados), revistas de capacitación del personal.
Técnica/IB: arquitecturas de zona, segmentación PCI, SOC/ISO, informes pentest, vulnerabilidades ASV, registros de cambios/accesos.
Honestidad del juego: registro de RNG/versiones de build, informes RTP, incidentes de proveedores y procedimientos libres.
Procesos de incidentes: página de estado, plantillas de notificación, informes DPA/reguladores, registros MTTA/MTTR/TTS.
Informes a los reguladores: registro de deadline, recibos de recepción, conciliaciones con GL/PSP.

7) Inspecciones: formatos y expectativas

Revisión remota: correspondencia/portal, sesiones de vídeo, demostración de sistemas (screen-share), descarga de registros y configuraciones.
On-site: entrevistas (Compliance, AML, RG, DPO, Tech/Payments, IA), walkthrough-demo, muestras de casos (KYC, SAR/AMB, DSAR, intervenciones RG, chargebacks), verificación de la política de acceso, inspección de la zona PCI/espacio DR.
Sampling & Evidence: el regulador selecciona la muestra; disposición a proporcionar datos anonimizados/seudonimizados, números de tickets, capturas de pantalla con indicaciones de tiempo.

8) Listas de verificación de preparación (abreviadas)

8. 1 Común antes de la presentación

• Calendario y fecha límite confirmadas; Se ha creado un recordatorio duplicado (T-90/T-60/T-30).
• Cargos/garantías pagados; recibos y bank advice guardados.
• Versiones de políticas/procedimientos: están actualizadas y firmadas.
• Los certificados (PCI/SOC/ISO/RNG) son válidos en la fecha de renovación.
• El paquete está localizado (idioma, formato), se han cumplido las certificaciones/apostillas.
• Todos los formularios se completan sin omisiones; control de «cuatro ojos».

8. 2 Por direcciones

AML/CFT: SAR/AMB a tiempo; Registros PEP/Sanctions; técnicas de puntuación; caseboard KPI.
KYC/KYB: niveles de verificación, DPA con proveedores, colas ≤ SLA, evidencia de fallas/escalaciones.
RG: self-exclusion/limites sincronizados; plantillas de comunicación; eficacia de las intervenciones.
GDPR/DPO: RoPA, DSAR ≤ 30 días, DPIA, contratos con manejadores/SCC, incidentes y notificaciones.
PCI/Payments: segmentación, tokenización, ASV/pentests, registros de acceso, chargebacks/disputs, fallback PSP.
Honestidad del juego: monitoreo de RTP-drift, versiones de RNG/builds, registros de incidentes del proveedor.
Informes: recibos de los reguladores; conciliaciones GL/PSP; validadores de circuitos.
Incidentes: TTS/MTTR en SLA, confirmaciones de notificaciones, paquetes de artefactos.

9) Riesgos y precauciones

Retraso en la renovación (S1): desencadenadores T-90/T-60/T-30, propietario de respaldo; «Plan B» (suspensión temporal de la comercialización/registros en la jurisdicción, información a los socios).
Paquetes incompletos/errores de formularios: lista de comprobación previa a la validación + control de «cuatro ojos», carga piloto en la caja de arena, linternas automáticas de formatos.
Auditorías/serts no realizadas: análisis gap temprano y CAPA con buffer ≥ 30 días.
Cambios de gestión/UBO: preparación de declaraciones juradas/notarías por adelantado, seguimiento legal.
Un cambio en el t-paisaje: notas de liberación para el regulador, mapa de conformidad «qué ha cambiado y por qué es seguro».

10) CAPA sobre observaciones de inspección

Finding Card: el hecho → el criterio → el riesgo → la influencia → la recomendación → vorkplan → el propietario → el plazo → la partida de nacimiento del éxito.
Cierre SLA: S1 ≤ 30 días; S2 ≤ 60; S3 ≤ 90; S4 - de acuerdo.
Verificación: pruebas de implementación (scripts/registros/políticas/resultados de pruebas), firma de Auditoría Interna, estado verificado.
Escalamiento: S1/S2 atrasos en la revisión semanal de gestión, informe trimestral al Comité de auditoría.

11) Finanzas de la prórroga

Tarifas/derechos: tabla de tasas, tipos de cambio, cuentas de destinatarios, líneas de pago.
Garantías/seguros: cantidades, tipo (bono de garantía bancaria/seguro), fecha de vencimiento, condiciones de renovación.
Presupuesto: calendario de pagos por jurisdicción, buffer para inspecciones no programadas/traducciones de documentación.

12) Dashboard «License & Inspections»

Tiempo de licencia: fecha de caducidad, T-90/T-60/T-30 de fecha de vencimiento, progreso del paquete (% de preparación de documentos).
Inspection Queue: próximas visitas/reuniones, cheques de estado.
Evidence Coverage: proporción de puntos con artefactos adjuntos.
CAPA Progress: completado/en trabajo/vencido, mediana de tiempo de cierre.
Risk Heatmap: probabilidad de × influencia por jurisdicciones/destinos.
Índice de lectura: puntuación de preparación integral (AML/KYC/RG/GDPR/PCI/Games/Reporting).

13) Plantillas (inserciones rápidas)

A) Cover Letter (renovación)

B) Response to Queries (RFI/RFQ)

C) On-site Agenda

D) Post-Inspection Update

14) Gestión de documentos y privacidad

DMS/Repo: estructuración por jurisdicciones, versiones, clases de documentos; control de acceso RBAC/ABAC.
PII/privacidad: seudonimización/enmascaramiento, área de almacenamiento de datos sensibles separada, encriptación en tránsito.
Registros de acceso: revisiones periódicas y sin cambios.

15) Procesos interconectados

Informes regulatorios y formatos de datos: fuentes de descargas y recibos.
Dashboard de cumplimiento - métricas para inspección.
Incident Playbucks/Notificaciones - Pruebas de puntualidad.
Auditoría interna/externa - pre-evaluación y preparación para la certificación.

16) Errores frecuentes y cómo evitarlos

Se envía «policy on paper», pero no hay registros operativos → aplicar siempre la alerta de la operación (muestras, registros, tickets).
Las fechas/temporizadores no acolchados → todos los temporizadores en UTC, local por separado.
Certificados caducados (PCI/SOC/ISO) en el paquete → búfer de 60 días y recordatorios.
Cambios no registrados en la arquitectura → changelog y mapa de conformidad para el regulador.
La falta de un propietario de respaldo → asignar un backup-owner a cada licencia.

17) Plan de implementación (30 días)

Semana 1

1. Inventario de todas las licencias/permisos y fechas de caducidad.
2. Crear un registro de requisitos y tarjetas (sección 5).
3. Configurar el calendario de los deadline y recordatorios (T-90/T-60/T-30).

Semana 2

4. Análisis gap de la preparación para el destino (AML/KYC/RG/GDPR/PCI/Games/Reporting).
5. Recopilar un paquete básico de documentos; alineación de formatos/locales.
6. Preparación de plantillas Cover Letter/On-site Agenda/Response to Queries.

Semana 3

7. Inspección piloto «seca» (table-top) y corrección de lagunas.
8. Configuración del dashboard License & Inspections y los indicadores Readiness Index.
9. Crea un registro CAPA y rutas de negociación.

Semana 4

10. Enviar las prórrogas más cercanas al «sandbox »/portal (si está disponible).
11. Retro por piloto, revisiones en paquetes y hojas de cheques, aprobación v1. 0.
12. Aprobación del calendario anual de inspecciones y nombramiento de propietarios de reservas.

• Informes regulatorios y formatos de datos
• Notificaciones de infracciones y plazos de presentación de informes
• Dashboard de cumplimiento y monitoreo
• Auditoría interna y auditoría externa
• Cheques de auditoría y rugidos
• Gestión de crisis y comunicaciones