سیاست AML و ضد پولشویی

1) هدف و پوشش

هدف از سیاست AML جلوگیری از پولشویی و تأمین مالی تروریسم، اطمینان از انطباق با الزامات قانونی و محافظت از پلت فرم، بازیکنان و شرکا است. این خط مشی برای همه اشخاص حقوقی گروه، کارمندان، تیم های برون سپاری و همچنین اشخاص ثالث (PSP، وابستگان، ارائه دهندگان محتوا) در تعامل با جریان نقدی و داده های مشتری اعمال می شود.

• محصولات: کازینو/شرط بندی، انتقال P2P، مسابقات، پاداش/نقدی، خدمات بازار.
• کانال ها: وب، برنامه های کاربردی تلفن همراه، ادغام API، crypto-on/off-ramp.
• جغرافیا: همه کشورها/ایالت ها با توجه به نیازهای محلی خدمت می کنند.

2) پشتیبانی و اصول نظارتی

اساس سیاست توصیه های FATF (رویکرد ریسک گرا، KYC/KYB، تحریم ها، نظارت، گزارش)، قوانین محلی AML/CFT (اروپا - دستورالعمل های AMLD، انگلستان - MLR، ایالات متحده - BSA/Patriot قانون، و غیره)، و همچنین الزامات حفاظت از داده ها (GDPR/مشابه).

• RBA (رویکرد مبتنی بر ریسک): منابع بر ریسک های بالاتر تمرکز می کنند.
• تناسب: اقدامات با ریسک مشتری/معامله/محصول سازگار است.
• پاسخگویی-راه حل ضبط, حسابرسی, و ردیابی.
• حریم خصوصی توسط طراحی: حداقل داده ها، قانونی بودن پردازش، امنیت.

3) نقش ها و مسئولیت ها (مدیریت)

هیئت مدیره: تصویب سیاست، ریسک پذیری، گزارش دوره ای.
مدیریت ارشد: منابع، KPI ها، پیاده سازی را فراهم می کند.
افسر MLRO/AML: صاحب فرآیند، گزارش نظارتی، SAR/STR، روش نظارت، تعامل با LEA.
تیم انطباق: KYC/KYB، تحریم/PEP، مدیریت پرونده، آموزش.
ریسک و تجزیه و تحلیل: مدل های امتیاز دهی، سناریوها، کالیبراسیون قانون.
مهندسی/امنیت: ادغام ارائه دهنده، سیاهههای مربوط، کنترل دسترسی، رمزگذاری.
عملیات/پرداخت: کنترل سرب، چک دستی، کیفیت داده ها.

RACI (упрощенно): هیئت مدیره - A، MLRO - R/A، انطباق - R، خطر - R، مهندس - C/R، عملیات - C/R، حسابرسی داخلی - I/C.

4) RBA: مدل ریسک

• مشتری (کشور، محل اقامت، حرفه، PPE/تحریم ها، خطر رفتاری).
• محصولات (کازینو/شرط بندی، P2P، رمزنگاری، محدودیت های بالا، مرز مرزی).
• کانال (آنلاین onboarding، بدون حضور، ابزار ناشناس).
• جغرافیا (حوزه های قضایی پر خطر، رژیم های تحریم).
• معاملات (حجم، نرخ گردش مالی، الگوهای نقدی).

رتبه بندی: شروع سرعت در onboarding + عوامل پویا (تاریخ، دستگاه ها، الگوهای پرداخت) ⇒ تقسیم بندی به کم/متوسط/خطر بالا و انتخاب سطح اقدامات: CDD/EDD/SOW.

5) KYC/KYB و غربالگری تحریم (ارتباط با AML)

KYC برای افراد: سند + زنده بودن، آدرس، سن، تحریم/REP، رسانه های جانبی.
KYB برای شرکت ها/شرکت های وابسته/ارائه دهندگان: ثبت نام، UBO/مدیران، تحریم ها/POP، تأیید فعالیت ها و منابع مالی.
تحریم/REP: غربالگری اولیه و دوره ای، بازی فازی، پاکسازی دستی.
SOW/SOF: با محدودیت ها و ناهنجاری های زیاد - تأیید منشأ وجوه/ثروت.
Re-KYC: برنامه ریزی شده و رویداد باعث شده است.

6) نظارت بر معاملات و تجزیه و تحلیل رفتاری

• واریز سریع → چرخه برداشت بدون خطر بازی واقعی.
• چسبندگی توسط مقدار/فرکانس، پرداخت تقسیم («smurfing»).
• عدم تطابق IP/BIN/آدرس کشور، تغییر مکرر روش های پرداخت.
• ترافیک غیرمعمول شبانه/جرم، خوشه های دستگاه (نمودار دستگاه).
• با استفاده از anonymizers/VPN، مزارع پروکسی، OS/spoofing مرورگر.
• الگوهای پاداش مشکوک، چند حساب، چرخه بازپرداخت.

ML/مدل های رفتاری: ناهنجاری های احتمالی، اتصالات گراف، سرعت خطر بازیکنان/وابستگان، تقسیم بندی بالا غلتکی.

مدیریت مورد: نسل هشدار → صلاحیت → درخواست اسناد/توضیحات → تصمیم گیری (تشدید/مسدود کردن/SAR).

7) «پرچم های قرمز» (iGaming-specificity)

سپرده به طور منظم از اشخاص ثالث/بسیاری از کارت های تک در هر بازیکن.

انتقال P2P/tournament بین حساب های مرتبط

ناهماهنگی شدید پروفایل ها (سن، حرفه در مقابل گردش).

مهاجرت بدون دلیل قابل توضیح

نقد کردن سیستماتیک بدون فعالیت بازی یا حداقل حاشیه.
تلاش برای دور زدن محدودیت های CUS/خروجی/پاداش، «مزرعه» حساب.
Aphiliates با منبع نامشخص ترافیک و یا CR غیر طبیعی بالا → WD.

8) SAR/STR: تحقیقات داخلی و گزارش

آستانه سوء ظن: «سوء ظن معقول» بدون در نظر گرفتن مقدار.
روند: هشدار → جمع آوری واقعیت → راه حل MLRO → ارسال SAR/STR به موقع، بدون اوج خاموش.
تشدید: مسدود کردن موقت، مسدود کردن وجوه به درخواست LEA/تنظیم کننده، برنامه ارتباطی با مشتری.
مستندات: جدول زمانی رویداد، منابع داده، اقدامات تیم، تصمیمات و منطق.

9) ذخیره سازی و امنیت داده ها

شرایط: به عنوان یک قاعده، حداقل 5 سال پس از پایان رابطه (مشخص شده به صورت محلی).
ذخیره سازی هدف: پروفایل ها، اسناد، هشدارها، SAR/STR، ورود به سیستم، پایگاه شواهد.
امنیت: رمزگذاری در حالت استراحت/در حال حمل و نقل، ذخیره سازی HSM/مخفی، RBAC/ABAC، سیاهههای مربوط غیر قابل تغییر (WORM)، نظارت بر دسترسی و اقدامات کارمندان.

10) آموزش، کنترل کیفیت و ممیزی

آموزش: سالانه برای همه، در عمق - برای کارکنان از توابع خطر ؛ تست و صدور گواهینامه.
QA/diagnostics: بررسی موارد انتخابی، بررسی دوگانه (4 چشم)، یکپارچهسازی با سیستمعامل در تصمیمات اشتباه.
حسابرسی داخلی: ارزیابی مستقل از انطباق با سیاست ها، الزامات قانونی و اثربخشی فرآیند.
تست استرس: تمرینات حادثه (تحریم، نوع شناسی بزرگ، هشدار جرم).

11) رمزنگاری و VASP (در صورت لزوم)

قانون سفر: تبادل ویژگی های فرستنده/گیرنده بین ارائه دهندگان.
تجزیه و تحلیل Blockchain: میزان خطر آدرس ها، خوشه ها، تحریم ها/برچسب های میکسر.
It/off-ramp control: انطباق مالک کیف پول، تطبیق داده ها، محدودیت ها و ورود به سیستم آدرس خارجی.
پویایی/نوسانات قیمت: قوانین ویژه برای مقادیر، مارک «غیر معمول» تبدیل.

12) تعامل با اشخاص ثالث

PSP/بانک ها/ارائه دهندگان KYC: قرارداد، SLA، DPIA، برنامه های آزمون تحمل خطا.
وابستگان: KYB، نظارت بر کیفیت ترافیک، ممنوعیت منابع خطر، ممیزی پس از کلیک.
روابط خبرنگار: تأیید عمیق شرکا، بررسی دوره ای.

13) معماری راه حل AML (توصیه ها)

یکپارچگی: CUS/ارائه دهندگان تحریم، PSP، ضد تقلب، تجزیه و تحلیل بلاکچین.
Event bus: تمام معاملات/رویدادها در یک thread (Kafka/equivalent) با ذخیره سازی غیرقابل تغییر قرار می گیرند.
قوانین موتور + ML: آنلاین به ثمر رساند (میلی ثانیه) و تجدید نظر آنلاین (دسته ای/نزدیک به زمان واقعی).
سیستم مورد: صف های اولویت بندی شده، قالب های درخواست مشتری، SLA، ادغام با ایمیل/پیام رسان های فوری.
قابلیت مشاهده: سیاهههای مربوط، معیارها، ردیابی ؛ نسخه قانون/مدل و اثر.
تخریب: ساده سازی امن (fail-open/close by policy)، ارائه دهندگان پشتیبان، retrai/quorum.

14) معیارهای عملکرد و KPI ها

نرخ تبدیل SAR: نسبت هشدارهایی که به SAR/STR تبدیل شده اند.
زمان به هشدار/زمان به تصمیم: سرعت تشخیص و تصمیم گیری.
نرخ مثبت کاذب/یادآوری دقیق در هشدارها.
پوشش: درصد معاملات نظارت شده/نمایش داده شده.
تجدید نظر/تجدید نظر: سهم موارد با تجدید نظر راه حل.
تکمیل آموزش:٪ از کارکنان با آموزش مربوطه.
SLA فروشنده: ارائه دهندگان به موقع، TTV در CUS/تحریم ها.

15) چک لیست

• KYC/KYB، سن/جغرافیایی، تحریم/PEP، رسانه های نامطلوب.
• امتیاز RBA، محدودیت های اساسی، اثر انگشت دستگاه.
• رضایت، حفظ حریم خصوصی، گزارش چک.

• غربالگری مجدد تحریم، SOF/SOW در صورت لزوم.
• مطابق با صاحب ابزار پرداخت.
• اعتبار رفتاری و تاریخچه معامله.

• جمع آوری حقایق و اسناد.
• داخلی MLRO نظر.
• گزارش ارسال در زمان ؛ ممنوعیت انعام دادن.
• پس از دریا، به روز رسانی قوانین/مدل.

16) اشتباهات معمول و چگونگی اجتناب از آنها

Checkbox KYC کور بدون RBA: تجزیه و تحلیل پویا و محدودیت ها را تقویت می کند.

فقدان بازخورد در مدل ها: اجرای یک تصمیم → حلقه نتیجه

«derisking» فوق العاده سخت به جای مدیریت ریسک: استفاده از EDD/SOW و محدودیت های کنترل شده به جای ممنوعیت کامل.
عدم توجه به قوانین/تحریم های منطقه ای: حفظ «پروفایل های جغرافیایی».
ضعیف تصمیم گیری ورود: استاندارد منطق و ذخیره سازی مصنوع.

17) الگوی ساختار سیاست AML (برای ویکی شما)

1. معرفی و دامنه

2. تعاریف و اصطلاحات (AML/CFT، CDD/EDD، SOF/SOW، PEP و غیره)

3. چارچوب نظارتی و ارجاع به قوانین محلی

4. مدیریت و نقش ها (هیئت مدیره، MLRO، RACI)

5. روش RBA و ریسک پذیری

6. KYC/KYB و نمایش تحریم

7. نظارت بر معاملات (قوانین + ML) و مدیریت پرونده

8. «پرچم های قرمز» و اسکریپت iGaming

9. روش های SAR/STR و تعاملات نظارتی/LEA

10. ذخیره سازی داده ها، حفظ حریم خصوصی، امنیت

11. آموزش و آگاهی کارکنان

12. فروشندگان و اشخاص ثالث (SLA، حسابرسی)

13. ممیزی، تضمین کیفیت و بهبود مستمر

14. ضمائم: چک لیست ها، فرم ها، قالب نامه ها، معیارها

18) مثال ماتریس ریسک (قطعه)

نتیجه: کم/متوسط/زیاد → اقدامات: CDD/EDD + SOF/SOW/محدودیت/عملکرد.

19) طرح اجرا و نگهداری

صاحبان فرآیند و SLA ها را شناسایی کنید.
نقشه ادغام (PSP، KYC، تحریم ها، تجزیه و تحلیل).
با مجموعه قوانین اساسی + کنترل FP/FN اجرا کنید.
کالیبراسیون سناریوی سه ماهه، بررسی سیاست سالانه.
برنامه درسی و کنترل عبور.
گزارش های منظم هیئت مدیره/مدیریت (KPI ها، حوادث، تغییرات ریسک).

مجموع

یک سیاست موثر AML یک «سند در قفسه» نیست، بلکه یک چرخه زندگی است: ارزیابی ریسک → اقدامات کنترل → نظارت → گزارش → بهبود. ایجاد یک فرآیند در اطراف RBA، اطمینان از KYC/KYB قوی و حلقه تحریم، اجرای نظارت با کیفیت بالا از معاملات با مدیریت پرونده و رعایت نظم و انضباط ذخیره سازی داده ها، آموزش و حسابرسی - به این ترتیب شما خطرات قانونی و اعتباری را کاهش می دهید، در حالی که حفظ تبدیل و پایداری کسب و کار.