Audit interne et audit externe

1) Objectif et zone

Assurer un contrôle systémique, indépendant et reproductible des processus des Opérations et Complaens : conformité aux licences/lois, fiabilité des rapports financiers et opérationnels, efficacité du contrôle des risques (KYC/AML/RG, GDPR/PII, paiements/PCI, honnêteté des jeux, IB, marketing/affiliations, fournisseurs). La section définit les principes, les rôles, la méthodologie, la programmation des inspections, le format des rapports et l'ordre de fermeture des incohérences.

2) Principes et « trois lignes de défense »

1ère ligne : les propriétaires de processus (Opérations, Paiements, Fournisseurs de jeux, Marketing/Affiliés, Support) - gèrent les risques de jour-à-jour.
2ème ligne : Conformité/Risque/Sécurité/DPO - Politiques, suivi, consultation, contrôle de l'exécution.
3ème ligne : Vérification interne (AI) - évaluation indépendante de l'adéquation et de l'efficacité des contrôles ; fait rapport au Comité de surveillance/audit.
Audit externe (EA) : tiers indépendants - rapports financiers, certifications (ISO/SOC/PCI), inspections réglementaires.

Principes : indépendance, objectivité, probabilité, confidentialité, accent mis sur les risques et les valeurs, transparence et traçabilité.

3) Délimitation IA vs EA

4) Rôles et RACI

Head of Internal Audit (IA Lead) - stratégie, indépendance, plan/reportage. (A)

Auditeurs internes - vérifications sur le terrain, documents de travail, conclusions. (R)

Process Owners (1re ligne) - fourniture de données/artefacts, CAPA. (R)

Compliance/InfoSec/AML/RG (2ème ligne) - co-audits, méthodologues. (C/R)

CFO/Controller - circuit final, GL, rapprochements. (C)

Legal/DPO - interprétation des normes, PII et rétention. (C)

Comité d'audit - approuve le plan d'IA, accepte les rapports, contrôle l'indépendance. (A)

Auditeurs/assesseurs externes - effectués par EA ; accès aux artefacts de la NDA. (Contrat I/R)

5) Planification axée sur les risques (plan d'audit annuel)

1. Registre des risques : probabilité × impact (finances/RGG, licences, réputation, sécurité des joueurs).
2. Carte de processus : paiements/PSP, portefeuille, KYC/AML/KYB, RG, fournisseurs de jeux/RTP, marketing/affiliations, IB/GDPR, incidents/notifications, rapports réglementaires.
3. Matrice de priorité : High/Medium/Low → périodicité (carré/semestriel/an).
4. Scope : objectifs, critères, procédures, échantillons, ressources, temps, dépendances.
5. Approbation : Le comité de vérification approuve le plan annuel ; est autorisé ad hoc en cas d'incidents S1/S2.

6) Méthodologie : Phases d'audit

A. Préaudit (planning) : demande de documents, compréhension du processus, évaluation de la conception des contrôles, évaluation des risques, programme de tests.
B. Phase de terrain (Fieldwork) : entrevues, walkthrough, tests de conception/réactivité, procédures analytiques, inspection des artefacts, échantillons.
C. Conclusions et notation : comparaison des faits avec les critères ; classification des findings.
D. Rapport : projet → harmonisation des faits → finale → présentation à la direction/au comité.
E. CAPA et Follow-up : plan d'actions correctives/préventives, contrôle de l'exécution, vérification.

7) Preuves et échantillons

Types de preuves : documentaires (politiques, logs, tickets), physiques (captures d'écran, configurations), orales (interviews), analytiques (rapprochements, tendances).
Qualité : suffisance (volume), pertinence (pertinence), validité (source).
Échantillons : aléatoires, systématiques, dirigés (à risque), par anomalie ; la taille est déterminée par le risque et le volume de l'ensemble.
Tracabilité : chaque conclusion est associée à un test, le test à une preuve (ID unique) ; « numérotation de bout en bout ».

8) Classification et notation des incohérences

Critical (S1) : risque de licence/loi/dommages financiers importants/PII-breach. Il faut agir immédiatement, faire rapport au Comité/Conseil.
Haut (S2) : défaut de contrôle important ; bref SLA à corriger.
Médium (S3) : défaut limité ; plan d'ajustement.
Low (S4) : améliorations/observations (optimisation).

Notation du processus audité : Effective/Generally Effective with Improvements/Partially Effective/Ineffective.

9) Documents de travail et rétentions

Documents de travail : programme, feuilles de contrôle, échantillons, procès-verbaux d'entrevue, preuves, calculs, conclusions.
Normes de présentation : index, version, propriétaire, date, hyperliens vers les artefacts, contrôle des changements.
Confidentialité et PII : accès par RBAC, stockage crypté, masquage des champs sensibles.
Durée de conservation : Selon la politique (habituellement 5-7 ans) ou plus si les licences/régulateurs sont requis.

10) Sujets de vérification (catalogue IA)

1. Paiements/PSP/PCI : auth/decline/chargebacks, pseudonymisation PAN, journaux d'accès, registre des fournisseurs.
2. KYC/AML/KYB : exhaustivité et précision du KYC, RER/sanctions, DSAR/DTS, qualité des enquêtes, gestion des cas.
3. Jeu responsable (RG) : limites/auto-exclusion, procédures de contact, efficacité des interventions, restrictions publicitaires.
4. GDPR/PII/DPO : registre des traitements, DSAR, incidents de confidentialité, contrats avec les transformateurs.
5. Fournisseurs de jeux/honnêteté : RTP drift, incidents de round, synchronisation des bilans, versioning RNG/bilds.
6. Marketing/Affiliations : respect des contraintes créatives/ciblées, attribution, contrats, paiements.
7. Processus d'incident : délai avant la demande (TTS), délai de notification aux organismes de réglementation, exhaustivité des artefacts.
8. Rapports réglementaires : schémas, deadlines, DQ, rapprochement avec GL/PSP.
9. Contrôles informatiques/IB : accès, SOD, modifications/communiqués, journaux d'audit, backups, exercices DR/BCP.

11) Format du rapport IA (modèle)

Résumé exécutif : portée, objectifs, notation, principales conclusions et risques.
Contexte : processus/système/compétences, période, exigences applicables.
Méthodologie et limites (le cas échéant).
Conclusions détaillées par priorité : le fait → le critère → le risque → l'impact des recommandations →.
Tableau CAPA : propriétaire, étapes, échéancier, mesures du succès.
Annexes : échantillons, diagrammes, registre des preuves, glossaire.

12) Interaction avec la vérification externe (EE)

États financiers : préparation de GL, rapprochement, confirmations de PSP/banques/fournisseurs, lettres de gestion.
Certifications/évaluations de conformité : ISO 27001/9001, SOC 2, PCI DSS, inspection de l'industrie des régulateurs.
Les rôles de l'IA : pré-évaluation (gap-analyse), accompagnement des demandes, accélération du CAPA, éviter les duplications.
Transparence : vitrine unique des artefacts, calendrier des visites, règles d'accès, NDA.
Communications : Stand-up réguliers « EA read.... », point d'entrée - Coordinateur d'audit.

13) CAPA et contrôle de l'exécution

Plan CAPA : étapes spécifiques, métrique, propriétaire, durée, systèmes/équipes dépendants.
Vérification : preuve de mise en œuvre (contrôles, logs, politiques, résultats des tests), date, vérificateur responsable.
Escalade : S1/S2 - Apdate obligatoire pour le Comité ; les péripéties sont la « zone rouge » du dashboard.
Modification de l'évaluation des risques : après le succès du CAPA, révision du risque résiduel et de la fréquence des inspections.

14) Vérification des comptes (contrôle de gestion)

État du plan :% d'achèvement par trimestre et par destination.
Portefeuille de findings : par gravité et par retard.
CAPA progress : terminé/en cours/en retard, temps médian de fermeture.
Carte thermique des processus : risque/efficacité des contrôles avant/après CAPA.
Détections reproductibles : indicateur de problèmes systémiques.

15) Exigences éthiques et indépendance

Conflits d'intérêts : les vérificateurs ne vérifient pas leurs activités opérationnelles antérieures ≤ 12 mois ; la déclaration des conflits.
Accès aux données : uniquement selon le principe du « minimum nécessaire » ; interdiction de copier personnellement les IPI.
Communications : formulation neutre, pas de ton « accusatoire » ; faits antérieurs aux interprétations.

16) Chèques-feuilles

Début de l'audit

• Des objectifs/critères/frontières ont été définis.
• Les artefacts ont été demandés et reçus, les formats/délais ont été convenus.
• L'indépendance est confirmée, il n'y a pas de conflit.
• Programme de tests et d'échantillons approuvé.

Phase de terrain

• Conduite de walkthrough et d'interviews avec des roles à clés.
• Tests de conception et d'efficacité opérationnelle.
• Un registre des éléments de preuve a été établi avec des identifiants/références.
• Brief intermédiaire aux détenteurs du processus (pas de surprises en finale).

Rapport et CAPA

• Les faits sont convenus, les points controversés sont résolus.
• Les conclusions sont classées (S1 à S4), le risque/impact est évalué.
• Plan CAPA avec les propriétaires et les délais approuvés.
• Les dates de suivi sont inscrites au calendrier.

17) Modèles d'artefacts (inserts rapides)

Request List (PBC) : Liste des documents/téléchargements/accès avec deadlines.
Test Sheet : contrôle → procédure → échantillonnage → résultat → preuve → conclusion.
Finding Card : code, titre, description, risque, impact, cause (cause), recommandation, niveau S, propriétaire, durée.
CAPA Sheet : étape, métrique, artefacts de confirmation, date, vérifié.

18) Erreurs fréquentes et comment les éviter

Les rôles fusionnés de l'IA et de la ligne 2 ont → brisés l'indépendance. Décision : Rapports de l'IA directement au Comité.
La traçabilité insuffisante des preuves → la faible protection des conclusions. Solution : registre unique et numérotation.
« Chasse aux incohérences » au lieu d'évaluer les risques et la valeur. Solution : Priorité et risque.
Surchauffe CAPA sans ressources → retard. Solution : objectifs SMART et limite WIP.
Ignorer les données de qualité/fraîcheur lors de la vérification des rapports. Solution : Liste de vérification DQ.

19) Démarrage rapide (mise en œuvre en 30 jours)

Semaine 1 : approuver la charte de l'IA (mandat/reddition de comptes), effectuer une évaluation des risques, établir un projet de plan annuel.
Semaine 2 : créer des modèles (PBC, Test/Finding/CAPA sheets), mettre en place un registre des preuves et un dashboard des statuts.
Semaine 3 : Effectuer 2 audits pilotes « en forme courte » (p.ex. PSP/PCI et RG/DSAR), publier des rapports, enregistrer le CAPA.
Semaine 4 : Faire suivre les pilotes, modifier la méthodologie, soumettre le plan annuel à l'approbation du Comité, convenir d'un calendrier pour les audits/certifications externes.

• Rapports réglementaires et formats de données
• Notifications d'irrégularités et délais de déclaration
• Dashboard Complaens et surveillance
• Pleybooks et scénarios d'incidents
• Gestion de crise et communication
• Plan de continuité des activités (PCO )/PRD
• Journaux d'audit des opérations