Դեղերի և դեղերի ընթացակարգերը
1) Ինչու՞ են iGaming-ի աուդիտները անհրաժեշտ iGaming-ում
Աուդիտը ռուսական արտադրանքի և վիրահատությունների համակարգային ստուգումն է օրենքի, ստանդարտների և ներքին քաղաքականության պահանջներին։
Նպատակները 'նվազեցնել կարգավորող և ֆինանսական ռիսկերը, ապացուցել խաղերի/վճարումների/տվյալների ազնվությունը, բարելավել կոմպլանսի գործընթացները և մշակույթը։
2) Ստուգումների տաքսոնոմիա (ինչ և ով)
3) Կղզիների տարածքը (scope)
Խաղերը ՝ RNG, RTP, տարբերակների վերահսկումը, անփոփոխ լոգները։
Վճարումները ՝ միկրոօրգանիզացիա, բարձրացում, chargeback, Net Loss, limits։
KYC/AML 'ընթացակարգեր, մրցույթի ցուցակներ/RER, քեյսեր և SAR/STR։
Responsible Gaming: Limits, Time-Ut, ինքնաբուխ, Reality Disks։
Privacy/GDPR/MSPA/LGPD: DPIA, մշակման հիմքերը, պահեստավորման ժամանակահատվածը, սուբյեկտների իրավունքները։
Անվտանգություն/IT: RBAC/ABAC, SoD, ամսագրում, CI/CD, գաղտնիքները, DR/BCP։
Մարքեթինգը/CRM/Affiliats: supression, համաձայնություն, պայմանագրային արգելքներ։
4) Ստանդարտները և մեթոդական հիմքը
CSA 19011 - մրցույթի սկզբունքները և (պլանավորումը www.follow-up)։
ISO/IEC 27001/27701 - անվտանգության/մասնավոր կառավարման (վերահսկողական միջոցներ)։
PCI DSS-ը, եթե մշակում եք PAN/քարտերը։
GLI-11/19, ISO/IEC 17025 - թեստային լաբորատորիաների հետ։
«Պաշտպանության երեք գծերի» շրջանակը 1) գործընթացների սեփականատերերը, 2) ռիսկի/կոմպլանսի, 3) անկախ աուդիտ։
5) Կյանքի ցիկլը
1. Պլանավորումը 'sco.ru/չափանիշների սահմանումը, ռիսկերի քարտեզը, արտեֆակտների ցանկը, NDA-ը և հասանելի։
2. Դաշտային աշխատանք 'հարցազրույցներ, walkthrough, վերահսկման թեստեր, նմուշներ, լոգարանների/համակարգերի ստուգում։
3. Համախմբումը 'փաստերի ամրագրումը, անհամապատասխանության վարկանիշը (High/Med/Low), զեկույցի նախագիծը։
4. Զեկույցը 'եզրակացություններ, ապացույցներ, առաջարկություններ, վերացման ժամկետներ։
5. CAPA (Eurective and Medventive Actions) 'ռեցիդիվների ուղղման և կանխման պլան։
6. Follow-up 'CAPA-ի, կետերի կատարման ստուգում։
6) Ապացույցներ և նմուշներ
Ապացույցներ (evidence): Քաղաքական/ընթացակարգեր (վերջին տարբերակները), scrinschots, ամսագրեր (WORM), տոմսերի ծանր գումարներ, change կառավարման թիկետներ, ուսուցման ակտեր, կոդավորման արձանագրություններ, DPIA, համաձայնությունների օրինակներ, AML/RG հաշվետվություններ։
Նմուշը (sampling)
RNG/RTP-ը 10 հազար ելույթի վիճակագրական նմուշն է (կամ համաձայնեցված ծավալը/ժամանակահատվածը)։
KYC/AML-ը 60-100 դեքսի պատահական նմուշն է/ժամանակահատվածը մինչև աղբյուրները։
Privacy-20-50 սուբյեկտների հարցումներ (DSAR), SLA ստուգում և պատասխանների ամբողջություն։
Payments-100-200 գործարքներ սցենարի վրա (դեպոզիտ/եզրակացություն/chargeback/բոնուս)։
RG-ը 50-100 լիմիտների/time-աուտների/ինքնախաբեությունների դեպքեր է + suppression ամսագրեր։
Պահեստավորման շղթան (chain of custody) 'աղբյուրի, ժամանակի, ամբողջականության վերահսկման (հեշի, ստորագրության)։
7) Անհամապատասխանության և CAPA վարկանիշները
CAPA-ձևաչափը 'խնդրի նկարագրությունը բացատրվում է աշխատանքային գործողության արմատային պատճառով (ուղղիչ/կանխող) պաշտպանող սեփականատերը KPI կոդավորման ժամկետի ընթացքում։
8) RACI (դերեր և պատասխանատվություններ)
9) Չեկ-թուղթ պատրաստակամության աղյուսակի համար
Փաստաթղթեր և քաղաքականություն
- Քաղաքական և ընթացակարգերի տարբերակների գրանցումը (սեփականատերերի/ամսագրերի հետ)։
- DPIA/Records of Processing/retensn-matics տվյալների։
- RG/KYC/AML/Privacy/Incident/Change/Logging։
Տեխնիկական արտեֆակտներ
- WORM պահեստ (խաղեր/վճարումներ/մատչելի/փոփոխություններ)։
- CI/CD արտեֆակտներ ՝ SBSA, տոմսերի հեշեր, ստորագրություններ, rele.notes։
- RBAC/ABAC 2019, SoD վերահսկողություն, հասանելի ռևմայի արդյունք։
- DR/BCP պլաններ և ուսուցումների արդյունքները։
Վիրահատություններ
- Աշխատանքի դասընթացների և սերտիֆիկացման ֆորումը (RG/AML/Privacy)։
- Ռուսական և post-morems ամսագիրը։
- Տվյալների սուբյեկտների հարցումները (DSAR) SLA-ից։
10) Playbook 'տեսուչ տեղում (onsite) և հեռավոր (remote)
Onsite:1. Քրոնինգը, օրակարգի և ինտեգրման իրականացումը։
2. Աշխատատեղերի/սերվերային (եթե կիրառելի է), ֆիզիկական ստուգում։ միջոցներ։
3. Հարցազրույցները + ֆիքսված դեմո վերահսկում, պրոտո/կրկնօրինակման նմուշներ։
4. Ամենօրյա wrap-up, նախնական արձագանքը։
Remote:- Մուտք դեպի read-only վահանակներ/dashbords, որոնք պաշտպանված են ֆայլերի փոխանակման, նստարանների ձայնագրման, time-boxed արցունքների վրա։
- Արտեֆակտների նախնական բեռնումը, վերարտադրման ջութակները։
Հաղորդակցություն
Կապի միասնական կետ, հարցումների թրքինգը (ticketing), SLA ապացույցների տրամադրման համար (սովորաբար T + 1/T + 2 աշխատանքային օր)։
11) Հատուկ սցենարներ ՝ «dawn no» և չնախատեսված ստուգումներ։
Պատրաստակամություն 'իրավական բրիֆը, կապի ցանկը (Legal/Compliance), ագրեսորի ուղեկցման կանոնները, տվյալների ոչնչացման/փոփոխության արգելքը (legal hold)։
Ընթացակարգը 'մանդատի/հավաստագրերի ստուգում, տվյալների պատճեններ, Legal-ի առկայություն, ամբողջականության ամսագրերի պատճեններ։
Հետո 'ներքին հետազոտություն, բորդի հաղորդակցություն/2019, CAPA։
12) Համակարգչային տվյալների և դիտարկման ճարտարապետությունը
Compliant Direct Lake-ը 'ինտեգրման կենտրոնացված պահեստ, լոգարաններ, հավաստագրեր, DPIA, մետրիկ։
GRC պլատֆորմ 'ռիսկերի, վերահսկման, աուդիտի և CAPA-ի, resertiae օրացույցի։
Audit API/Regulator Portal: կառավարվող մուտք արտաքին ֆոսֆորների/կարգավորողի համար։
Իմպուտաբելություն ՝ WORM/օբյեկտի պահեստ, Մերքլի շղթաներ։
Dashbords: RTP-dreaf, Syf-Sylusion supression acuracy, Time-to-Enforce Limits, KYC SLA։
13) Հասունության մետրերը (SLO/KPI)
14) Ֆեդորի հաշվետվության (կառուցվածքը)
1. Ռեզյումեն ղեկավարին (Executive Summary)։
2. Տարածքը և չափանիշները։
3. Մեթոդաբանություն և ընտրություն։
4. Դիտարկումներ/անհամապատասխանություններ (ապացույցների հղումներով)։
5. Ռիսկի և առաջնահերթությունների գնահատումը։
6. Առաջարկությունները և CAPA պլանը (կանոնավոր ժամկետներ/սեփականատերեր)։
7. Ծրագրերը 'արտեֆակտներ, ամսագրեր, հեշներ, սքրինշոտներ, ռուսական հարցազրույցներ։
15) Հաճախակի սխալներ և ինչպես խուսափել դրանցից
Ոչ ակտուալ քաղաքականությունները/տարբերակները բացատրում են կենտրոնացված գրանցումը, հիշեցումները։
Ոչ WORM/պահեստավորման շղթաներ չեն կարող ապացուցել փաստերը։ ներդնել իմունաբելություն։
Թույլ SoD/RBAC-ը բացատրում է հասանելի և ամսագրերի զանգվածային հոսքը։
CAPA կարգապահության բացակայությունը բացատրում է սեփականատերերը/ժամկետները/փակման ապացույցները։
Տվյալների անհամապատասխանությունները (RTP/հաշվետվություն/կատալոգը) տեղադրվում են ավտոմատ շրջանակներ և ալերտներ։
Ad-hoc արձագանքը ռուսական playbook-ի և ուսուցման վրա (table-top)։
16) Ճանապարհի քարտեզը (6 քայլ)
1. Քաղաքականությունն ու տեխնիկան 'ընդունել ռուսական ձեռնարկությունները, ռիսկերի մասշտաբը, ռուսական։
2. Վերահսկող ֆոսֆարը 'գործընթացների քարտեզը և վերահսկումը ածխաջրածիններով։
3. Ապացույցների ճարտարապետությունը 'WORM, Compliance You Lake, Audit API։
4. GRC & օրացույցը 'աուդիտի/resertiae գրաֆիկը, cAPA-ն։
5. Ուսուցում/ուսուցում 'վարդագույն ուսուցումներ, «dawn no» սիմուլյացիա, table-top։
6. Շարունակական բարելավում '108 մետր, հետադարձ հայացք, կրկնվող findings նվազում։
Արդյունքը
Դեղերի և դեղամիջոցների ընթացակարգերը տարբեր իրադարձություններ չեն, այլ ապացուցված դեղամիջոցների մշտական իրականացում 'հստակ scope, որակական ապացույցներ, CAPA կարգապահություն, իմպուտաբելային լոգներ, կարգավորիչի այցերի պատրաստակամություն և թափանցիկ չափումներ։ Այս մոտեցումը նվազեցնում է ռիսկերը, ամրացնում լիցենզիաները և բարձրացնում ապրանքի և բրենդի կայունությունը։