ביקורת פנימית וביקורת חיצונית

1) מטרה ואזור

הבטחת שליטה שיטתית, עצמאית ומשוחזרת בתהליכים של פעולות וציות: ציות לרישיונות/חוקים, אמינות דיווח פיננסי ותפעולי, אפקטיביות של בקרת סיכון (KYC/AML/RG, GDPR/PII, תשלומים/PCI, כנות של משחקים, אבטחת מידע, שיווק/השתייכות, ספקים). הסעיף מגדיר את העקרונות, התפקידים, המתודולוגיה, התכנות הצ 'קים, פורמט הדו "ח והפרוצדורה לסגירת אי-התאמות.

2) עקרונות ו ”שלושה קווי הגנה” ‏

שורה ראשונה: בעלי תהליכים (מבצעים, תשלומים, ספקי משחקים, שיווק/השתייכות, שירות תמיכה) - מנהלים סיכונים יומיומיים.
שורה 2: ציות/סיכון/אבטחה/DPO - מדיניות, פיקוח, ייעוץ, אכיפה.
שורה שלישית: ביקורת פנימית (IA) - הערכה בלתי תלויה של היכולות והיעילות של השליטה; מדווח למועצת המנהלים/ועדת הביקורת.
ביקורת חיצונית (EA): דיווח כלכלי עצמאי (ISO/SOC/PCI), ביקורת רגולטורית.

עקרונות: עצמאות, אובייקטיביות, ראיות, סודיות, התמקדות בסיכונים וערכים, שקיפות ואיתור.

3) IA נגד EA accrual

4) תפקידים ו ־ RACI

ראש הביקורת הפנימית (IA Lead) - אסטרטגיה, עצמאות, תוכנית/דיווח. (א)

ביקורת פנימית, בדיקות שטח, מסמכי עבודה, מסקנות. (R)

בעלי תהליכים (קו 1) - מספקים מידע/חפצים, CAPA. (R)

פקודות/InfoSec/AML/RG (קו 2) - ביקורות משותפות, מתודולוגיות. (C/R)

סמנכ "ל כספים/בקר - מעגל פיננסי, GL, פיוס. (C)

משפטי/DPO - פרשנות של נורמות, מח "ש ושימור. (C)

ועדת הביקורת מאשרת את תוכנית חקירות פנים, מקבלת דוחות, שולטת בעצמאות. (א)

ביקורת חיצונית/הערכות - התנהגות EA; גישה לחפצים על ידי NDA. (חוזה א/ר)

5) תוכנית ביקורת שנתית

1. רישום סיכונים: הסתברות x השפעה (מימון/GGR, רישיונות, מוניטין, בטיחות שחקן).
2. מפת תהליכים: תשלומים/PSP, ארנק, KYC/AML/KYB, RG, ספקי משחקים/RTP, שיווק/שיוך, אבטחת מידע/GDPR, תקריות/הודעות, דיווחים רגולטוריים.
3. מטריצת עדיפות: תדירות גבוהה/בינונית/נמוכה (רבע/חצי שנה/שנה).
4. היקף: מטרות, קריטריונים, נהלים, דגימות, משאבים, ציר זמן, תלויות.
5. אישור: ועדת הביקורת מאשרת את התוכנית השנתית; ad-hoc מותר לתקריות S1/S2.

6) מתודולוגיה: שלבי ביקורת

א. תכנון: בקשת מסמכים, הבנת תהליכים, הערכת עיצוב בקרה, הערכת סיכונים, תוכנית בדיקה.
B. Fieldwork: ראיונות, הליכה, בדיקות עיצוב/תגובה, הליכים אנליטיים, בדיקת חפצים, דגימה.
מסקנות ודירוג: השוואה של עובדות עם קריטריונים; סיווג הממצאים.
ד. דו "ח: טיוטת # אישור לעובדות * מצגת סופית להנהלה/ועדה.
תוכנית פעולה מתקנת/מונעת, מעקב, אימות.

7) ראיות ודגימות

סוגים של ראיות: תיעודי (מדיניות, יומנים, כרטיסים), פיזי (תסריטים, תצורות), אוראלי (ראיונות), אנליטי (פיוס, מגמות).
איכות: מספיק (נפח), רלוונטיות, תוקף (מקור).
דוגמאות: אקראי, שיטתי, מכוון (מבוסס סיכון), על ידי חריגות; הגודל נקבע על ידי הסיכון ונפח האוכלוסייה הכללית.
Traceability: כל פלט משויך לבדיקה, הבדיקה עם ראיות (זיהוי ייחודי); ”מספר רציף”.

8) סיווג של אי ־ התאמות ורייטינג

סיכון לרישיון/חוק/נזק כספי משמעותי/הפרת מח "ש. דרושה פעולה מיידית, דווחו לוועדה/מועצה.
(S2): פגם שליטה משמעותי; SLA קצר לתקן.
מדיום (S3): פגם מוגבל; תוכנית התאמה.
נמוך (S4): שיפורים/תצפיות (אופטימיזציה).

דירוג התהליך המבוקר: יעיל/כללי יעיל עם שיפורים/אפקטיבי חלקית/לא יעיל.

9) עבודת מסמכים ושימור

ניירות עבודה: תוכנית, רשימות בדיקה, דגימות, פרוטוקולי ראיון, ראיות, חישובים, מסקנות.
תקני ניסוח: אינדקס, גרסה, בעלים, תאריך, היפר-קישורים לחפצים, שינוי שליטה.
גישת RBAC, אחסון מוצפן, מיסוך שדה רגיש.
תקופות שימור: על ידי מדיניות (בדרך כלל 5-7 שנים) או יותר אם רישיונות/רגולטורים דורשים.

10) בדוק נושאים (קטלוג חקירות פנים)

1. תשלומים/PSP/PCI: auth/down/chargebacks, PAN alizing, יומני גישה, רישום מכירות.
2. KYC/AML/KYB: KYC שלמות ודיוק, PEP/סנקציות, תזמון SAR/STR, איכות חקירות, ניהול תיקים.
3. משחק אחראי (RG): הגבלות/בלעדיות עצמית, הליכי מגע, יעילות של התערבויות, הגבלות פרסום.
4. GDPR/PII/DPO: רישום עיבוד, DSAR, תקריות פרטיות, חוזי מעבד.
5. ספקי משחק/כנות: RTP drift, תקריות עגולות, סינכרון שיווי משקל, RNG/לבנות versioning.
6. שיווק/שיוך: ציות להגבלות יצירתיות/ממוקדות, ייחוס, חוזים, תשלומים.
7. תהליכי תקרית: זמן ליישום (TTS), זמן הודעה לרגולטורים, שלמות של חפצים.
8. דיווח רגולטורי: תוכניות, מועדים, DQ, פיוס עם GL/PSP.
9. הוא שולט באבטחת מידע/: גישה, SOD, שינויים/שחרור, רישומי ביקורת, גיבויים, תרגילי DR/BCP.

11) תבנית דיווח IA (תבנית)

סיכום מנהלי: היקף, מטרות, דירוג, ממצאי מפתח וסיכון.
הקשר: תהליך/מערכת/תחום שיפוט, תקופה, דרישות מתאימות.
מתודולוגיה ומגבלות (אם בכלל).
מסקנות מפורטות בעדיפות עליונה: עובדה * קריטריון * סיכונים.

שולחן CAPA - בעלים, צעדים, צירי זמן, מטריצות הצלחה

נספחים: דוגמאות, תרשימים, רשימת ראיות, גלוסרי.

12) אינטראקציה עם ביקורת חוץ (EA)

דיווח פיננסי: הכנת GL, פיוס, אישור מ-PSP/בנקים/ספקים, מכתבי ניהול.
תעודות/הערכות של ציות: ISO 27001/9001, SOC 2, PCI DSS, בדיקות רגולטוריות בתעשייה.
תפקידים ב-IA: טרום הערכה (ניתוח פערים), תמיכה בשאילתות, האצת CAPA, הימנעות משכפול.
שקיפות: תצוגה אחת של חפצים, לוח ביקורים, חוקי גישה, סל "ד.
תקשורת: סטנדאפיסטים רגילים ”מוכנות EA”, נקודת כניסה - מתאם ביקורת.

13) קאפא ומעקב

תוכנית CAPA: צעדים ספציפיים, מטריים, בעלים, מונחים, מערכות/צוותים תלויים.
אימות: ראיות ליישום (מסכים, יומנים, מדיניות, תוצאות בדיקה), תאריך, מבקר אחראי.
הסלמה: S1/S2 - עדכון חובה לוועדה; עיכובים - ”האזור האדום” של לוח המחוונים.
שינוי בהערכת סיכונים: לאחר בדיקת CAPA מוצלחת של סיכון התושבות ותדירות הבדיקות.

14) לוח מחוונים ביקורת (בקרת ניהול)

מצב תוכנית:% השלמה ברבע וכיוון.
תיק ממצאים: על ידי חומרה ועבריינות.
התקדמות CAPA: הושלם/בהתקדמות/פג תוקף, זמן סגירה חציוני.
מפת חום תהליך: סיכון/יעילות של בקרה לפני/אחרי CAPA.
גילוי חוזר: אינדיקטור לבעיות במערכת.

15) דרישות אתיות ועצמאות

ניגודי אינטרסים: רואי חשבון אינם בוחנים את הפעולות הקודמות שלהם במשך 12 חודשים; הצהרת קונפליקט.
גישה לנתונים: רק על העיקרון של ”מינימום הכרחי”; Personal PII להעתיק איסור.
תקשורת: שפה ניטראלית, אין טון ”מאשים”; עובדות לפני פרשנויות.

16) רשימות בדיקה

תחילת ביקורת חשבונות

[ ] מטרות/קריטריונים/גבולות מוגדרים.

[ ] חפצים שביקשו וקיבלו, פורמטים/צירי זמן הסכימו.

[ ] העצמאות אישרה, אין עימותים.

[ תוכנית הבדיקה והדגימה ] אושרה.

שלב שדה

[ ] ווקטרו וראיונות על תפקידי מפתח.

[ ] עיצוב ובדיקות יעילות מבצעיות.

[ ] הוכחות עם תעודות זהות/קישורים נוצרות.

[ ] תקציר ביניים לעיבוד בעלים (אין הפתעות בגמר).

דיווח ו CAPA

[ עובדות ] הסכימו, נקודות מחלוקת נפתרו.

[ ] מסקנות מסווגות (S1-S4).

[ ] תוכנית CAPA עם בעלים ותאריכים שאושרו.

[ ] תאריכי מעקב רשומים בלוח השנה.

17) תבניות חפץ (הכנסת מהיר)

רשימת בקשות (PBC): רשימת מסמכים/העלאות/גישה עם מועדים.

גיליון ניסוי: בקרת פרוצדורת ac.texplace process ach action action action ac

מציאת כרטיס: קוד, כותרת, תיאור, סיכון, השפעה, סיבה שורשית, המלצה, S-level, בעלים, מונח.
דף CAPA: צעד, מטרי, חפצי אישור, תאריך, בדוק.

18) טעויות תכופות וכיצד להימנע מהן

התפקידים המשולבים של חקירות פנים וקו 2 * פגמו בעצמאות. חקירות פנים מדווחות ישירות לוועדה.
חוסר יכולת איתור מספיק של ראיות * הגנה חלשה של מסקנות. פתרון: רישום יחיד ומספור.
”ציד לא תואם” במקום סיכון והערכת ערך. פתרון: מיקוד סיכון ותעדוף.
עומס יתר CAPA ללא משאבים * עיכוב. פתרון: מטרות חכמות והגבלת WIP.
התעלמות ממידע איכות/רעננות בעת בדיקת דיווח. פתרון: רשימת DQ-checks.

19) התחלה מהירה (יישום של 30 יום)

שבוע 1: אישור אמנת מח "ש (מנדט/אחריות), עריכת הערכת סיכונים, טיוטת תכנית שנתית.
שבוע 2: יצירת תבניות (PBC, Test/Fining/CAPA), הגדרת רשימת ראיות ולוח מחוונים.
שבוע 3: עריכת 2 ביקורות פיילוט ”קצרות” (לדוגמה: PSP/PCI ו-RG/DSAR), הנפקת דוחות, רישום CAPA.
שבוע 4: ביצוע מעקב אחר טייסים, התאמת המתודולוגיה, הגשת התוכנית השנתית לאישור הוועדה, הסכמה על לוח זמנים של ביקורות/תעודות חיצוניות.

• דוחות רגולטוריים ופורמטי נתונים
• הודעות על הפרות ומועד דיווח
• לוח מחוונים ציות וניטור
• ספרי משחקים ותסריטים
• ניהול משברים ותקשורת
• תוכנית המשכיות עסקית (BCP )/DRP
• רישומי ביקורת חשבונות