Sensibilisation du personnel à la conformité

1) Objectif et zone de couverture

Créer une culture de la conformité durable dans laquelle chaque employé comprend « ce qui peut/ne peut pas », sait reconnaître les risques et savoir agir (escalade, canaux d'aide). Couverture : toutes les fonctions (Transactions, Paiements, RG/AML/KYC/KYB, Marketing/Affiliations, Game Ops, Data/Engineering, CS, Finance, Legal/DPO, IB), entrepreneurs et travailleurs temporaires.

2) Principes du programme

Tone from the top : soutien public de CEO/Exec.
Simplicité et applicabilité : « que faire demain au poste ».
Micro-format : modules courts 5-10 min, régularité.
Localisation : langue du marché, cas/règles locaux.
Preuve : journal de passage, artefacts, certification.
Continuité : cycle « apprenez → appliquez → mesurez → améliorez ».

3) Rôles et RACI

Owner : Head of Compliance/Compliance Awareness Lead - stratégie, contenu, calendrier. (A)

L & D/Lead de formation : LMS, planning, contrôle de fréquentation. (R)

Process Owners (KYC/AML/RG/Payments/Marketing/Game Ops/Data/Legal/InfoSec) : expertise et cas. (R)

DPO/Legal : exactitude du libellé, confidentialité, localisation. (C)

Audit interne : vérification indépendante de l'exhaustivité/des dossiers. (C)

RH : onboard/offboard, discipline des passages. (R)

Comms/Brand : décoration visuelle, campagnes. (R)

Exec Sponsor : messages publics, ressources, escalade. (I/A)

4) Cadre de contenu (modules de sensibilisation)

1. Code de conduite et canaux d'assistance (whistleblowing, sans représailles).
2. KYC/KYB et protection des joueurs vulnérables (rôle de chacun).
3. AML/sanctions/PEP (signaux, interdiction de tipping-off, escalade).
4. RG est un jeu responsable (limites, auto-exclusion, scripts corrects).
5. GDPR/PII (minimisation, DSAR, « ne pas partager superflu »).
6. PCI/Paiements (données pan, tokenization, interdictions de chat/tickets).
7. Marketing/Affiliations/Publicité (filtres d'âge, créations interdites).
8. Incidents et notifications (quand et quoi signaler, premières étapes).
9. Antiphishing/hygiène IB (mots de passe, MFA, simulations de phishing).
10. Conflits d'intérêts/cadeaux/éthique.

Chaque module : 5-7 diapositives + mini case 2-3 questions + « que faire demain » (chèque de remplacement).

5) Formats et fréquences

Onbording (T + 14 jours) : paquet de base (modules 1 à 7), test de courte durée ≥ 85 %.
Campagnes trimestrielles : thématiques (semaine GDPR, semaine AML...).
Cours micro d'un mois : 5-10 min avec 1 case et 3 questions.
Table-top/role-play (trimestre) : script de bout en bout par fonction.
Simulations de phishing (2-4 fois/an) : avec formation après un clic.
Affiches/intranet/bot : « Règle des 3 étapes », « Ce qui ne peut pas être écrit en tiquet ».
Wendor Workshops : KYC/PSP/fournisseurs de jeux - 1 à 2 fois/an.

6) Campagnes et messeji (exemples)

La GDPR-semaine : "n'est pas gardé - n'est pas perdu" → le chèque-feuille : ne pas expédier PII dans la poste, le camouflage скринов, DSAR ≤ de 30 jours.
La semaine AML : « Remarque la structure - sauve la licence » → la chèque : velocity/structuring signaux, où escalader.
Semaine RG : « Jouez de manière responsable, soutenez les joueurs » → les réponses correctes de CS, la procédure d'action pour les bribes de limites.
Semaine PCI : « PCI commence par toi » → champs interdits dans le chat/ticket, remplacements sécurisés.
Ads/Affiliates-semaine : « Publicité sans pénalités » → créations interdites, filtres d'âge, plainte pour trafic « toxique ».

7) Outils

LMS : cours, tests, certificats, rapports coverage/on-time.
Bot de communication (Slack/Teams) : quiz 1-2 questions par semaine, rappels.
Intranet : « 1 page » par sujet, FAQ, modèles de message.
Affiches/screensavers : brèves règles, QR sur hab.
Plateforme de phishing : simulations, conseils personnels.
Formulaire « Demander la conformité » : réponse rapide/escalade.

8) Mesures de l'efficacité (KPI/KRI)

Coverage :% des employés ayant un cours à jour (objectif ≥ 98 %).
Complétion en temps réel :% de ceux qui ont terminé dans les délais (objectif ≥ 95 %).
Recall : proportion de réponses correctes après 30 jours (> 80 %).
Behavior change : réduction des incidents de tipping-off, proportion de scripts corrects CS.
Phishing resilience : CTR ↓, rapports de simulation de ↑.
Qualité d'escalade : exhaustivité des artefacts dans les escalades (gabarit, ID, logs).
Whistleblowing : appels ≠ zéro ; temps de réaction et de fermeture.

9) Chèques-feuilles

9. 1 Avant de lancer le programme

• Approuvé « tone from the top » (lettre/vidéo du CEO).
• Calendrier des campagnes pour l'année ; les propriétaires des sujets sont désignés.
• Le contenu est localisé ; exemples par marché et fonction.
• LMS est connecté à HRIS (Onboard/Offboard).
• Les rapports coverage/on-time/pass rate sont configurés.
• Des affiches, des pages 1, des bots quiz sont prêts.

9. 2 Pendant la campagne

• Rappels sur les canaux (chat/courrier/bord).
• Session Q&A avec des experts (30 min).
• Bref sondage « Comprends l'essence » (3 questions).
• Collecte du fidback et des questions « sur le terrain ».

9. 3 Après la campagne

• Rapport : coverage/recall/behavior.
• CAPA par espace (scripts, macros, processus).
• Mise à jour de la FAQ et des pages 1.

10) Scripts (role-play) - insertion rapide

• Le joueur a dépassé la limite de perte.
• C'est vrai : "Nous voyons que la limite que vous avez fixée est atteinte. Selon les règles du jeu responsable, nous limiterons temporairement l'accès pour vous protéger. Voici comment vous pouvez ajuster les limites.."

• Sortie de vérification.
• Correct : "Le paiement passe par une vérification de sécurité standard. Nous vous en informerons dès qu'elle sera terminée"

• Le client a envoyé le PAN au chat.
• C'est vrai : "Pour des raisons de sécurité, n'envoyez pas de numéro de carte. Veuillez utiliser le formulaire de paiement sécurisé"

• Le partenaire offre une créativité agressive pour 18-.
• C'est vrai : "Nous avons besoin de filtres d'âge et de disclaymers corrects. Sinon, c'est un refus"

• Demande d'un collègue d'exportation complète de PII « pour analyse ».
• C'est vrai : "Il faut des bases et une minimisation. Nous fournirons des agrégats/pseudonymes sur demande via le DPO"

11) Communications et « ton »

Vidéo trimestrielle d'Exec : « Pourquoi la conformité fait partie de la stratégie ».
Exemples de réussite : « L'employé N a remarqué le risque à temps - évité l'amende ».
Badji/gamification : points pour quiz, « Compliance Champion » du mois.
Environnement sûr : les erreurs sont traitées comme un apprentissage, pas comme une punition (sauf la malveillance).

12) Artefacts et rétentions

Protocoles de passage (LMS), résultats des tests, certificats.
Matériel de campagne (diapositives, enregistrements), Q&A, affiches/1 page.
Rapports KPI/KRI, plans CAPA et état d'avancement.
Durée de conservation - selon la politique de formation/vérification (habituellement 5-7 ans).

13) Gérer les changements de contenu

Versioning (vMAJOR. MINOR. PATCH), changelog.
Déclencheurs de mise à jour : nouvelles règles/incidents/audits-findings.
Processus : draft → Legal/DPO rhubarbe → pilote → sortie → mesure.

14) Risques et prévention

« Cale learning » → ajoutez des cas et des métriques de comportement observables.
Surchauffe du contenu → micro-leçons, 1 page, répétition de la clé.
Absence de localisation → exemples locaux/langue/réalités de paiement.
Zéro appel à la ligne téléphonique → souvenez-vous : c'est un risque de silence. Promouvoir la confiance et les canaux anonymes.

15) Démarrage rapide (30 jours)

Semaine 1

1. Désigner le propriétaire, approuver les objectifs KPI (coverage ≥ 98 %, on-time ≥ 95 %).
2. Créer un calendrier annuel des campagnes et des rôles.
3. Préparer « tone from the top » (lettre/vidéo).

Semaine 2

4. Développer habet (intranet) et LMS ; connecter HRIS/SSO.
5. Assembler le cours de base (modules 1-6) + test ; préparer des affiches/1 page.
6. Configurer les robots quiz et la simulation de phishing n ° 1.

Semaine 3

7. Pilote sur 2-3 équipes (CS, Payments, Marketing).
8. Assembler le fidback ; ajuster les scripts et les cas.
9. Lancez des micro-leçons hebdomadaires (sur une question).

Semaine 4

10. Démarrage en masse ; contrôle coverage/on-time quotidien.
11. Rapport dans la direction : premiers KPI/incidents-changements de comportement.
12. Plan v1. 1 : ajout de cas RG/Ads et de localisations.

• Formation AML et formation des employés
• Pleybooks et scénarios d'incidents
• Notifications d'irrégularités et délais de déclaration
• Dashboard Complaens et surveillance
• Rapports réglementaires et formats de données
• Audit interne et audit externe
• Chèques d'audit et revues
• Renouvellement des licences et inspections
• Modifications des règles réglementaires par région