Control y reglas de AML

1) Objetivos de monitoreo AML y principio RBA

• Identificación temprana de patrones placement → layering → integration.
• Reducción del riesgo regulatorio y de pago (bancos/PSP, esquemas de tarjetas).
• Coherencia con risk-based approach (RBA): la profundidad de control y la velocidad de reacción dependen del perfil del cliente/geo/producto y la cantidad.

2) Mapa de riesgos: qué tenemos en cuenta en el modelo

Riesgo del cliente (KYC): edad de la cuenta, Tier/KYC/EDD, SoF/SoW, PEP/adverse media.
Geo/jurisdicciones: sanciones, alto riesgo FATF, rutas cruzadas.
Métodos de pago: tarjetas (MCC 7995), A2A, carteras, cripto (entrada/salida).
Comportamiento y gráfico de vínculos: IP/dispositivos/medios de pago comunes (multiaccount/mulas).
Transacciones y movimiento de fondos: velocity, suma, frecuencia, time-to-withdrawal.
Contexto del juego: depósitos → actividad corta → retirada; rendimiento anormal de las sesiones.

3) Arquitectura de monitoreo AML (en línea + fuera de línea)

1. Recolección de eventos en tiempo real: depósitos, apuestas, retiros, transferencias, cambios KYC/KYB, alertas antifraude.
2. Motor de regla (≥ 50-150 ms por solución): disparadores de bloqueo/hold/escalado.
3. Scoring/ML capa: compuesto de riesgo-score, grafo-rasgos (mulas, «granjas» cuentas).
4. Sistema de casos (Case Management): priorización, hojas de comprobación, línea de tiempo, archivos adjuntos.
5. DWH & reporting: agregados, tendencias, KPI, modelos de entrenamiento.
6. Integraciones: KYC/KYB, PSP, proveedores KYT (cripto), cribado de sanciones, Travel Rule.

4) Biblioteca de reglas (núcleo)

1. Structuring/Smurfing

Muchos depósitos justo por debajo del límite de rugido/SoF por una ventana corta.
Una rotación muy fragmentada → una salida rápida a diferentes datos.

2. Rapid In–Out / Short Dwell

Depósito → juego mínimo o cero → retiro rápido (T + 0/T + 1).
Discrepancia entre el importe de la retirada y el perfil de ingresos del jugador.

3. Mule/Proxy Use

Uno 'device/IP' soporta varias cuentas con diferentes pagadores.
Tarjetas/carteras compartidas entre cuentas independientes.

4. Layering a través de la metodología

Cadenas A2A/billeteras/criptomonedas con conversión de divisas y transferencias entre sub-billeteras.

5. Bonus Abuse (AML-relevante)

Clústeres de cuentas en red, depósitos sincronizados por cantidades mínimas, retiros rápidos de las ganancias de bonificación.

6. High-Risk Geo / PEP / Adverse Media

Transacciones de clientes con etiquetas EDD o en una coincidencia de sanciones emergente.

7. Chargeback-prokachka

Una serie de depósitos con más charjbacks y puntuales retiros de «cobro».

8. Crypto-on/off-ramp anomalías

Entrada/salida a través de direcciones de alto riesgo (mezcladores, darknet, clústeres de skam), alto 'risk _ score' del proveedor KYT.

5) Parámetros y umbrales (ejemplo de normalización)

Velocity: depósitos ≥ N por 24h; medios de pago únicos ≥ M.
Time-to-withdrawal: porcentaje de retiros ≤ T minutos después del depósito.
Estructura: proporción de eventos de pago en el rango '[threshold − ε, threshold)' en 7 días.
Graph: degree (device/IP/card)> cuantil del percentil 99; proximidad a clústeres conocidos (embeddings).
KYT (cripto): dirección/intercambio con categoría de riesgo ≥ R; Conexiones ≤ 2 hopes con entidades prohibidas.
Geo risk: operaciones desde/hacia países de alto riesgo o sanciones.

Los umbrales son adaptativos: se reducen para nuevas cuentas/geos de alto riesgo y se elevan para clientes con historial limpio y Tier2 +.

6) Ejemplos de reglas (pseudo-SQL)

sql
-- Rapid In-Out: Deposit → Quick Withdrawal
IF sum(withdraw. amount WHERE ts BETWEEN now()-1d AND now()
AND withdraw. time_from_last_deposit <= 30m) >= X
AND gameplay. activity_score <= Y
THEN ALERT('RAPID_IN_OUT')

-- Structuring: SoF threshold crushing
IF count(deposit WHERE amount BETWEEN (S-δ) AND (S-1)
AND ts BETWEEN now()-7d AND now()) >= K
THEN ALERT('STRUCTURING')

-- Mule network: a common device/card for ≥ N accounts in 14 days
IF distinct(accounts USING device_id OR card_token) >= N
THEN ALERT('MULE_NETWORK')

-- Crypto KYT: Address/Exchange Risk
IF kyt_risk_score >= R OR kyt_exposure_to_mixer <= 2_hops
THEN ALERT('KYT_HIGH_RISK')

7) Priorización y enrutamiento de alertas

Severity: High (sanciones/COT high risk/PEP + anomalía), Medium (rapid in-out/structuring), Low (velocity sin retiro).
Enrutamiento: línea de Investigaciones L1/L2/L3, escalada en cumplimiento/departamento legal.

Deadline: High - Análisis ≤ 4 h; Medium — ≤ 24 ч; Bajo - ≤ 72 horas

Acciones: hold/limit temporal, solicitud de documentos (SoF/EDD), bloqueo, SAR/AMB.

8) Investigaciones: proceso y artefactos

• Perfil del cliente (KYC tiers, SoF/SoW, PEP/sanctions, historial).
• Timeline: depósitos/juego/retiros, IP/dispositivos, geo, cuentas de enlace.
• Identificadores de pago: PSP ids, ARN/RRN, monederos/direcciones.
• Informe KYT (para crypto): ruta de los fondos, clústeres de riesgo, etiquetas de intercambio.
• Resultado: Approve/Close, EDD & Monitor, Freeze & Report.

Comunicación con el cliente: plantillas de solicitudes SoF/documentos, plazos de respuesta, consecuencias de no entrega.

9) SAR/NAT y la interacción con el regulador/socios

Criterios de presentación: sospecha razonable de blanqueo/financiación/infracciones sancionadoras.
Contenido: breve descripción, hechos y línea de tiempo, sumas/datos, relación con esquemas conocidos, medidas, contacto del responsable.
Plazos: dependiendo de la jurisdicción (a menudo «sin demora» una vez que se ha establecido la sospecha).
Privacidad: prohibición de informar al cliente de un hecho SAR (tipping-off).
Interacción con el ecuador/PSP: transferencia de inteligencia de riesgo (dentro del contrato y la ley).

10) Sanciones y cribado vs monitoreo AML

Autorización/PEP/Adverse Media Screening - Filtro de identidad/empresa.
Supervisión AML - Filtro de comportamiento y transacciones.
Se complementan entre sí: el golpe sancionador eleva la prioridad de las alertas AML y el disparador EDD/hold.

11) Flujos de cifrado: KYT, Travel Rule, off-/on-ramp

KYT (Know Your Transaction): proveedores de riesgo para direcciones/intercambios, seguimiento en cadena, categorización de fuentes/destinatarios.
Regla de viaje: intercambio de atributos remitente/destinatario entre VASP en transferencias de umbral (cuando corresponda).
Política Off-/On-ramp: listas blancas de intercambios/proveedores, prohibición de sitios P2P de alto riesgo, límites de cantidad/frecuencia, hold en los pines primarios después de la entrada de crypto.

12) Métricas, control de calidad y riesgo modelo

• Alert Precision/Recall (etiquetas manuales por caso).
• Proporción de alertas altas cerradas en el SLA.
• Tiempo medio de investigación (p50/p95).
• SAR-conversion (alertas → informes).
• Alertas repetidas según los mismos clústeres (recurrence).
• Porcentaje de bloqueos falsos positivos (impacto por conversión).

Validación de modelos/reglas: retroalimentación, estabilidad de signos, deriva (PSI), cada trimestre - rugido de reglas, anualmente - verificación independiente.

13) Gestión y responsabilidad (gobierno)

Política AML: roles (MLRO/Head of Compliance), umbrales, matriz geo, lista de fuentes prohibidas.
Cambio-control: RFC en nuevas reglas/umbrales, registro de cambios, evaluación A/B del impacto en el negocio.
Formación: entrenamientos anuales, pruebas de conocimiento, biblioteca de casos.
Auditoría y retransmisión: almacenamiento de casos/soluciones/datos según requisitos (generalmente 5 + años), almacenamiento protegido, acceso RBAC.

14) Anti-patrones

«Un tamaño para todos»: los mismos umbrales para todos los países/métodos/clientes.
Monitoreo reactivo sin control en línea - control de «recuperación».
La falta de analítica gráfica → no se capturan multiaccounts/mulas.
Ignora KYT/Travel Rule en los flujos de cifrado.
No hay una SLA clara en las investigaciones, las alertas se están acumulando «en deuda».
No hay comunicación AML ↔ KYC/KYB/Payments Orchestrator (no hay hold/limites «en el cable»).

15) Lista de verificación de implementación

• Evaluación de riesgos: mapa de riesgos por cliente/geo/métodos/productos.
• Rule Engine en línea + biblioteca de reglas (structuring, rapid in-out, mule, KYT, geo).
• Scoring/ML + grafo-caracteres; calibración de umbrales y priorización.
• Sistema de caja con plantillas, líneas de tiempo, hojas de cheques y SLA.
• Integraciones: KYC/KYB, sanciones/RER, PSP, KYT, Travel Rule.
• Procesos SAR/NAT, playbook «Freeze & Report», prohibición de tipping-off.
• Métricas de calidad (precision/recall, SLA, SAR-conversion), dashboards y alertas.
• Gestión de cambios y pruebas anuales independientes.
• Políticas de retención/acceso a datos, cifrado, auditoría.
• Entrenamiento de equipos (Pagos/Risk/Compliance/Support) y ejercicios regulares.

16) Resumen

Un fuerte monitoreo AML en iGaming es un motor de regla en línea + ML/grafo vinculado a CUS/CUV/sanciones/CUT, investigaciones de SLA claras, disciplina SAR/AMB, y calibración constante de umbrales a riesgo real. Este circuito corta el blanqueo, mantiene la infraestructura de socios en la «zona verde» de los bancos/PSP y casi no golpea la conversión de jugadores de buena fe.