Surveillance AML et règles

1) Objectifs de surveillance AML et principe RBA

• Identification précoce des patterns de placement → layering → integration.
• Réduction du risque réglementaire et de paiement (banques/PSP, cartes).
• Cohérence avec l'approche fondée sur le risque (RBA) : la profondeur du contrôle et la vitesse de réaction dépendent du profil client/géo/produit et du montant.

2) Carte des risques : ce qui est pris en compte dans le modèle

Risque client (KYC) : âge du compte, Tier/KYC/EDD, SoF/SoW, PEP/adverse media.
Géo/juridictions : sanctions, FATF risque élevé, itinéraires de croisement.
Méthodes de paiement : cartes (MCC 7995), A2A, porte-monnaie, crypto (entrée/sortie).
Comportement et graphique des liens : IP/appareils/moyens de paiement communs (multi-account/mules).
Transactions et mouvements de fonds : velocity, montant, fréquence, time-to-withdrawal.
Contexte du jeu : dépôts → courte activité → retrait ; rendement anormal des séances.

3) AML Monitoring Architecture (en ligne + hors ligne)

1. Collecte d'événements en temps réel : dépôts, paris, retraits, transferts, changements KYC/KYB, alertes antifroda.
2. Rule Engine (≥ 50-150 ms par solution) : déclencheurs de verrouillage/hold/escalade.
3. Couche Scoring/ML : Skore à risque composite, caractéristiques graphiques (mules, « fermes » de comptes).
4. Système de cas (Case Management) : priorité, chèques, temps, pièces jointes.
5. DWH & reporting : agrégats, tendances, KPI, formation de modèles.
6. Intégrations : KYC/KYB, PSP, fournisseurs KYT (crypto), dépistage des sanctions, rule de voyage.

4) Bibliothèque de règles (noyau)

1. Structuring/Smurfing

Beaucoup de dépôts juste en dessous de la limite rhubarbe/SoF par fenêtre courte.
Un tour très fragmenté → une sortie rapide sur différents détails.

2. Rapid In–Out / Short Dwell

Dépôt → jeu minimum ou nul → retrait rapide (T + 0/T + 1).
Incohérence du montant de sortie avec le profil des revenus du joueur.

3. Mule/Proxy Use

Un seul 'device/IP' prend en charge plusieurs comptes avec différents payeurs.
Cartes/portefeuilles partagés entre comptes indépendants.

4. Layering par la méthodologie

Chaînes A2A/portefeuille/crypto avec conversion de devises et transferts entre sous-portefeuilles.

5. Bonus Abuse (AML-pertinent)

Clusters de comptes en réseau, dépôts synchrones pour des montants minimaux, conclusions rapides des gains bonus.

6. High-Risk Geo / PEP / Adverse Media

Transactions des clients avec des étiquettes EDD ou sur une correspondance de sanctions.

7. Chargeback-prokatchka

Série de dépôts avec d'autres chargbacks et des conclusions « encaissées » en temps opportun.

8. Anomalies crypto-on/off-ramp

Entrée/sortie via des adresses à haut risque (mixeurs, darknet, clusters), haut 'risk _ score' du fournisseur KYT.

5) Paramètres et seuils (exemple de normalisation)

Velocity : dépôts ≥ N pour 24h ; moyens de paiement uniques ≥ M.
Time-to-withdrawal : part des retraits ≤ T minutes après le dépôt.
Structure : part des événements de paiement dans la gamme '[threshold − ε, threshold)' en 7 jours.
Graph : degree (device/IP/card)> quantile du 99e percentile ; proximité de grappes connues (embeddings).
KYT (crypto) : adresse/bourse avec catégorie de risque ≥ R ; Liens ≤ 2 hop avec des entités interdites.
Geo risk : opérations depuis/vers des pays à haut risque ou des sanctions.

Les seuils sont adaptatifs : baissent pour les nouveaux comptes/géo à haut risque et augmentent pour les clients ayant un historique net et Tier2 +.

6) Exemples de règles (pseudo-SQL)

sql
-- Rapid In-Out: Deposit → Quick Withdrawal
IF sum(withdraw. amount WHERE ts BETWEEN now()-1d AND now()
AND withdraw. time_from_last_deposit <= 30m) >= X
AND gameplay. activity_score <= Y
THEN ALERT('RAPID_IN_OUT')

-- Structuring: SoF threshold crushing
IF count(deposit WHERE amount BETWEEN (S-δ) AND (S-1)
AND ts BETWEEN now()-7d AND now()) >= K
THEN ALERT('STRUCTURING')

-- Mule network: a common device/card for ≥ N accounts in 14 days
IF distinct(accounts USING device_id OR card_token) >= N
THEN ALERT('MULE_NETWORK')

-- Crypto KYT: Address/Exchange Risk
IF kyt_risk_score >= R OR kyt_exposure_to_mixer <= 2_hops
THEN ALERT('KYT_HIGH_RISK')

7) Priorité et routage des alerts

Severity : High (sanctions/COT haut risque/PEP + anomalie), Medium (rapid in-out/structuring), Low (velocity sans retrait).
Routing : Ligne Enquêtes L1/L2/L3, escalade vers le département conformité/droit.

Daedline : High - analyse ≤ 4 h ; Medium — ≤ 24 ч; Low - ≤ 72 heures

Actions : hold/limit temporaire, demande de documents (SoF/EDD), verrouillage, SAR/STR.

8) Enquêtes : processus et artefacts

• Profil client (KYC tiers, SoF/SoW, PEP/sanctions, historique).
• Timline : dépôts/jeux/conclusions, IP/appareils, géo, comptes connectés.
• Identifiants de paiement : PSP ids, ARN/RRN, portefeuilles/adresses.
• Rapport KYT (pour crypto) : chemin des fonds, clusters de risques, étiquettes d'échange.
• Résultat : Approve/Close, EDD & monitor, Freeze & Report.

Communication avec le client : modèles de demandes de SoF/documents, délais de réponse, conséquences de la non-présentation.

9) SAR/STR et interaction avec le régulateur/les partenaires

Critères de dépôt : suspicion justifiée de blanchiment/financement/violation des sanctions.
Contenu : brève description, faits et temps, montants/détails, lien avec les schémas connus, mesures, contact du responsable.
Délais : selon la juridiction (souvent - « sans délai » après l'établissement de la suspicion).
Confidentialité : interdiction d'informer le client du fait du SAR (tipping-off).
Interaction avec l'acquéreur/PSP : transfert de l'intelligence de risque (dans le cadre du contrat et de la loi).

10) Sanctions et dépistage vs AML-surveillance

Sanction/PEP/Adverse Media screening - filtre d'identité/société.
AML-monitoring - filtre du comportement et des transactions.
Ils se complètent : le succès des sanctions augmente la priorité des alertes AML et déclenche EDD/hold.

11) Crypto-flux : KYT, Travel Rule, off-/on-ramp

KYT (Know Your Transaction) : fournisseurs de risques pour les adresses/échanges, traçage en ligne, catégorisation des sources/destinataires.
Travel Rule : échange des attributs expéditeur/destinataire entre VASP lors des transferts de seuil (le cas échéant).
Politiques Off-/On-ramp : échanges/fournisseurs white-list, interdiction des sites P2P à haut risque, limites de montant/fréquence, hold sur les conclusions primaires après l'entrée du crypto.

12) Métriques, contrôle de qualité et risque de modèle

• Alert Precision/Recall (étiquettes manuelles par case).
• Proportion de hautes alertes fermées dans l'ALS.
• Durée moyenne de l'enquête (p50/p95).
• SAR-conversion (alertes → rapports).
• Alertes répétées sur les mêmes clusters (recurrence).
• Proportion de blocages faussement positifs (impact sur la conversion).

Validation des modèles/règles : backtesting, stabilité des traits, dérive (PSI), une fois par trimestre - ronfler les règles, chaque année - vérification indépendante.

13) Gouvernance et responsabilité (gouvernance)

Politique AML : rôles (MLRO/Head of Compliance), seuils, géo-matrice, liste des sources interdites.
Contrôle du changement : RFC pour de nouvelles règles/seuils, journal du changement, A/B évaluation de l'impact sur les entreprises.
Formation : formations annuelles, tests de connaissances, bibliothèque de cas.
Audit et rétention : stockage des cas/solutions/données selon les exigences (généralement 5 + ans), stockage sécurisé, accès par RBAC.

14) Anti-modèles

« Une taille pour tous » : les mêmes seuils pour tous les pays/méthodes/clients.
Surveillance réactive sans en ligne - contrôle de « rattrapage ».
L'absence de graphe analytique n'est → pas attrapée par des mulets/mulets.
Ignorer KYT/Travel Rule dans les flux cryptés.
Il n'y a pas de SLA clair sur les enquêtes, les alertes creusent une « dette ».
Absence de communication AML ↔ KYC/KYB/Payments Orchestrator (pas de hold/limites « sur le fil »).

15) Chèque de mise en œuvre

• Évaluation des risques : carte des risques par client/géo/méthode/produit.
• Rule Engine en ligne + bibliothèque de règles (structuring, rapid in-out, mule, KYT, geo).
• Scoring/ML + signes graphiques ; étalonnage des seuils et hiérarchisation.
• Système de case avec modèles, temporisations, chèques-feuilles et SLA.
• Intégrations : KYC/KYB, Sanctions/REER, PSP, KYT, Travel Rule.
• Processus SAR/STR, playbook « Freeze & Report », interdiction tipping-off.
• Métriques de qualité (precision/recall, SLA, SAR-conversion), dashboards et alertes.
• Gestion du changement et tests annuels indépendants.
• Politiques de stockage/accès aux données, cryptage, audit.
• Formation des équipes (Payments/Risk/Compliance/Support) et exercices réguliers.

16) Résumé

La surveillance AML forte dans iGaming est une Rule Engine + ML/graphe en ligne liée à KUS/KWD/Sanctions/KUT, des enquêtes claires sur les SLA, la discipline SAR/STR et un calibrage constant des seuils à risque réel. Ce circuit coupe le blanchiment, retient l'infrastructure des partenaires dans la « zone verte » auprès des banques/PSP et ne frappe presque pas à la conversion des acteurs de bonne foi.