Լսողական չեկլիստները և խանդը

1) Նշանակումներ

Ստեղծել cheklists-ի մեկ կատալոգ և կանոններ, որոնք նախանձում են Վիրահատության և Կոմպլանսի համար, որն ապահովում է

թիմերի և ժամանակահատվածների միջև ստուգումների համեմատությունը.
արդյունքների ամբողջականությունը և ապացույցը.

թափանցիկ ուղղումներ (CAPA) և կրկնվող ստուգումներ։

2) Դերեր և RACI

Owner: Head of Compliant/Head of Mastal Audit - մեթոդաբանություն, չեկլիստների տարբերակներ։ (A)

Process Owners (1-ին գիծ) 'www.f-assess.ru, արտեֆակտներ, CAPA։ (R)

Compliance/Windows Sec/AML/RG (2-րդ գիծ): peer-review, ko-աուդիտներ, նորմերի մեկնաբանություն։ (R/C)

Մոնրեալի Audit (3-րդ գիծ) 'անկախ ռևե, վարկանիշներ, follow-up։ (R)

Մոսկվան (Exec Sponsor) 'CAPA-ի եզրակացությունների և ռեսուրսների հաստատումը։ (A/C)

3) Նախանձի տեսակները

1. Winf-Assess.ru (SA) 'ամեն ամիս/եռամսյա գործընթացների սեփականատերերը կարճ ստուգումներով։

2. Peer-Review (PR) 'հարևան թիմի խաչմերուկ ստուգումը (առանց շահերի բախման)։

3. Windows Review (MR): Մեկ անգամ թաղամասում - KPI/KRI ակնարկ, միտումներ և անպարկեշտ CAPA-ներ։

4. Coral Audit Review (IA) 'անկախ ստուգում IA պլանի համաձայն։

5. External-Audit Readiness (EAR) 'պատրաստվել հավաստագրությունների/ստուգումների համար (CSC/PCI/կարգավորող)։

4) Չեկլիստի ընդհանուր կանոնները

Յուրաքանչյուր չեկլիստ ունի կոդ, տարբերակը, սեփականատերը, տարածքը և պարտադիր հատվածները

ID: CL- <code >/Version: v <MAJOR. MINOR >/Owner: <role>
Область: <KYC/AML/RG, GDPR/PII, Payments/PCI, Games/Providers, Reporting, Incidents...>
Frequency: M     Q      Ad-hoc
Material: <criteria for High/Medium/Low>
Sampling: <method and size>
Evidence: <list of files/screenshots/logs>
Question List: [X] Yes [] No [] N/A + Comment + Artifact + Severity
Bottom line: Score/Rating/CAPA

Գնահատականների համակարգը (առաջարկված)

Fully Met (100–90%) / Largely Met (89–75%) / Partially Met (74–50%) / Not Met (<50%).

Severity անհամապատասխանությունները ՝ S1 կրիտիկական/S2 բարձր/S3 միջին/S4 ցածր։

Նյութապաշտություն 'դրամական ազդեցություն (GGR/NGR), հաճախորդների/PII, լիցենզիայի/տուգանքների ռիսկ, ազդում խաղերի ազնվության վրա։

5) Չեկլիստների կատալոգը (կմախքներ ստուգման կետերով)

CL-KYC-01 — KYC/KYB

• Քաղաքականությունը և ստուգման մակարդակները հաստատված և արդիական են։
• KYC պրովայդերները ունեն գործող պայմանագրեր/DPA։
• SLA-ն պահպանվում է (D-1 մետրը)։
• Փաստաթղթերը պահպանվում են համաձայն վերականգնման։ հասանելիությունը RBAC է։
• Մերժումները/էսկալացիաները հետևյալն են. FP մասնաբաժինը նորմալ է։
• KYB գործընկերների համար 'իրական տպագրություններ/բուլղարներ։

Ապացույցները ՝ KYC ստատուսների հեռացումը, DPA-ը, հասանելիության ամսագիրը, 25 դեպքերից sample։

CL-AML-02 — AML/CFT

• AML-ի նորարարված քաղաքականությունը և ռիսկերի սկորինգի մեթոդաբանությունը։
• Ստուգումներ RER/սանկցիաներ on-boarding և պարբերաբար։
• SAR/STR ուղղվում են ժամանակում։ ապացույցներ կան։
• Հետաքննությունների որակը 'ամբողջական, թայմինգ, 2019։
• Monitoring rules-ը ծածկում է velocity/structuring/mula։
• SAR հաճախորդների ծանուցում չկա։

Ապացույցներ ՝ SAR/STR, սանկցիոն ստուգումների լոգներ, գործի փակման ժամանակի հաշվետվություններ։

CL-RG-03 - Պատասխանատու խաղ

• Mastlimitov/ինքնախաբեությունը համաժամեցված է (108/naz)։ համակարգ)։
• Խոցելիության տրագերները SLA-ում կապ են ունենում։ հաղորդակցման ձևանմուշներ։
• Միջամտության արդյունավետությունը չափվում և վերլուծվում է։
• Գովազդը/բոնուսները համապատասխանում են շուկայի սահմանափակումներին։
• RG միջադեպերը և կարգավորիչի ծանուցումները ժամանակին են։

Ապացույցներ ՝ Loges wwww.f-www.lusion, կոմունիկ։ ձևանմուշներ, metrics www.reach.

CL-PCI-04 - Վճարումներ/PCI

• PCI և PAN/CHD-ի հատվածը իրական վիճակում։
• Tokenization/կոդավորումը տրանզիտում/at-rest; բանալիները պտտվում են։
• Auth-rate/dec.ru/latency ըստ PSA շեմերի; fallback-երթուղիներ։
• Chargeback process-ը և բանավեճերի ապացույց հիմքը։

• Բնակարանային գոտու հասանելիության ամսագրերը ամբողջական և անփոփոխ են։

• Պայմանագրեր և տեխնիկական։ ճշգրտությունները ճիշտ են. RNG/bids տարբերակները խմբագրության մեջ են։
• RTP-drift-ը և արձագանքի շեմերը. freeze-ը կարգավորված է։
• round/session/դրամապանակի հավասարակշռությունների համաժամեցումը։
• Պրովայդերի միջադեպերը 'թայմլին, ամրագրում, փոխհատուցում խաղացողներին։
• Ազնիվ կարգավորիչի հաշվետվությունները/RTP - հանձնվել և ապացուցվել են։

• Dedlins օրացույցը 'արձաններ «պատրաստ/ուղարկվել/ընդունվել»։
• Տվյալների սխեմաները տարբերակված են. ֆայլերը ստորագրվել են/հեշերի հետ։
• Reconciliation: Դրամապանակը PMS 24GL առանց տարանջատման> X%։
• Կոդավորման հաստատումը (ID/քվիտանիա) պահպանված և կապված է արտեֆակտների հետ։
• Տեղայնացումը/լեզուն պահպանված են։

• TFC (առաջին հաղորդագրությունը) SLA-ում S1/S2-ում։
• DPA/կարգավորողներ/PSA/CBS - ժամանակում, ապացույցներով։
• Արտեֆակտների ամբողջությունը 'թայմլինը, լոգները, հաղորդագրությունները, բարձրացված ցուցակները։
• Ռետրո 357 օր, CAPA-ն գրանցված է և շարժվում։
• Խաղացողներին փոխհատուցումը հաշվարկվում է քաղաքականության համաձայն։

• Ռուսական վերամշակումը (RoPA) արդիական է. իրավական հիմքերը ճիշտ են։
• DSAR-ը փակվում է 30 օրվա ընթացքում։ ժամկետները բացատրված են։
• DPIA-ն պատրաստված է բարձր ռիսկային գործընթացների համար։
• Կեղծանունացում/դիմակավորում բեռնման և հաշվետվությունների ժամանակ։
• Վերամշակողների և SCC-ի հետ պայմանագրերը ուժի մեջ են։

• Փոփոխությունների կառավարումը 'PR գործընթացը, թեստերը, approvals, separation of duties։
• Հասանելի ՝ RBAC/ABAC, պարբերական ստուգում, off-boarding 2424
• Կրկնօրինակումը/վերականգնումը, DR պարբերական թեստերը։
• Լոգները անփոփոխ են, վերականգնումը պահպանվում է։
• Դիտարկումը 'SLO/սխալ բյուջեներ, ալտերտեր կրիտիկական չափումների համար։

[Խոցելիությունը ASV սկաններից վերացվել է ժամանակին։

Ապացույցներ ՝ ցանցային դիագրամներ, ASV, chargebacks, KFC հիմնական քաղաքականությունը։

CL-GAMES-2019 - Խաղերի պրովայդերներ/ազնիվ


Ապացույցներ ՝ RTP, API պրովայդերի լոգներ, freeze-ticets օրինակներ։

CL-REP-06 - Կարգավորող հաշվետվություններ


Ապացույցներ ՝ Dedlins, quitancia, SQL-SCL։

CL-INC-2019 - Միջադեպեր/ծանուցումներ


Ապացույցներ ՝ ռուսական ամսագիր, կարգավիճակ-էջ, արտեֆակտների փաթեթներ։

CL-GDPR-08 — GDPR/PII


Ապացույցներ ՝ RoPA, DSAR, DPIA ամսագիրը, զեկույցներում դիմակների օրինակներ։

CL-ITGC-90- Ընդհանուր IT վերահսկողությունը


Ապացույցներ ՝ PR նմուշներ, IAM լոգներ, DR թեստերի հաշվետվություններ, վերականգնման քաղաքականություն։

6) Ընտրության և ապացույցների մեթոդաբանություն

Չափսը 'կենտրոնացեք վիրահատությունների և ռիսկերի վրա (օրինակ ՝ min 25, pps/ստրատիֆիկացիա մեծ զանգվածների համար)։
Մեթոդներ ՝ պատահական, համակարգված, ուղղված (անոմալիա/տարածաշրջանային դեպքեր), պիկի ժամանակահատվածներով։
Բավարար ՝ առնվազն 2-3 ռուսական աղբյուրներ հիմնական եզրակացության համար (լոգներ, սկրինշոտներ, արտանետումներ, տիկետներ)։
Հետադարձ հայացք. Յուրաքանչյուր ռուսական չեկլիստի ապացույցն է ID-ի հետ և հղում է հաղորդագրությանը։

7) Revernational Revier Rev

Effective-ը նախագծված է և աշխատում է կայուն, S1/S2 անհամապատասխանությունները չկան։
Generally Effective (բարելավումներով) - կան S3/S4, բայց ռիսկերը վերահսկողության տակ են։
Partially Effective-ը No. S2; բարձր հիբրիդային ռիսկ։
Ineffective - S1/S2; անհրաժեշտ է վերականգնված պլան։

8) CAPA и follow-up

Յուրաքանչյուր finding-ի համար, արմատը հաստատվում է ռուսական սեփականատիրոջ գործողությամբ, որը կատարվում է հաջողության չափման ժամկետի ընթացքում։
SLA փակումը 'S1-2430 օր; S2-2460 օր; S3-2490 օր; S4 պայմանագրով։
Վերիֆիկացիան 'ֆոսֆորը կիրառում է ներդրման ապացույցներ (սքրիններ/լոգներ/քաղաքականություն), փոխում է կարգավիճակը Verified-ում։
Էսկալացիա 'S1/S2-ը շաբաթական MR-ում, Adit-ի վրա։

9) Աշխատանքային արտեֆակտներ (ձևանմուշներ)

9. 1 Չեքլիստ (ստուգման թերթ)
«Կետ»	«Այո/Ոչ/N/A»	«Մեկնաբանություն»	 `Severity` 	«Արտեֆակտը (ID)»։

9. 2 Finding Card
Վերնագիր Փաստ Ռիսկի չափման/Պատճառը (root cause) S մակարդակի առաջարկություն է։

9. 3 CAPA Sheet
Finding International Windows Windows Windows Windows Windows Windows Windows Windows Windows Windows Windows Windows World World World Wind World World world Wind Wind World world Wind world Wind World world world Wind World Wind world World w

9. 4 PBC թերթ (Provided By Client)
Medical Center-ի հարցումը մեջբերում է Աղբյուրը Dedline Pro Dedline-ը (ամսաթիվը) Մեկնաբանությունը։

10) Dashbord revew

Coverage 'ժամանակի ընթացքում խանդոտ գործընթացների% -ը։
Findings by Severity: S1-S4 բաշխումը։
CAPA Progress: 108/աշխատանքի մեջ/ժամկետանց; գալիս է փակման ժամանակը։
Repeat Findings-ը 12 մեզ բաժանողների մասն է։
Timeliness: SA/PR/MR/IA գրաֆիկի պահպանումը։
Effectiveness Trend: Տարածաշրջանի վարկանիշների դինամիկան։

11) Օրացույցը և հաճախականությունը

Monthly: SA-ն KYC/Payments/GDPR DSAR-ում, միջադեպերը/ծանուցումները։
Quarterly: PR AML/RG/Providers/Reporting, MR բոլոր ուղղությունների համար։
Semi-Annations/Annect: IA բարձր ռիսկի գոտիների վրա։ EAR-ը հավաստագրությունների/ստուգումների առջև։

12) «Արագ մեկնարկը» (7 կետով)

KYC (7-շարժիչ) 'Պրովայդերների քաղաքականությունը/DPA SLA հերթը> SLA RBAC Մերժումներ/FP զեկույցը։
AML (7-point): RER/սանկցիաների ցուցակները SAR ժամանակը Velocity/structuring Distipping-off Caseboard KPI-ի հետազոտության որակը։
RG (7-point): Intel/SLA-ի կոնտակտների համաժամեցումը Գովազդի սահմանափակման արդյունավետությունը
PCI (7-point) 'Sluck/ASV/Wars Tokenization Chargebacks Fallback PSA-ի։
Games (7-point): RTP-drift Freeze-ը Հավասարակշռության սինխրոն ընթացակարգը RNG/SLA API-ի ազնիվ հաշվետվության։
Reporting (7-point): Time/տարբերակը Ստորագրություն/hash Reconciliation Լեզուն/Kvitantia DQ-metrika։
Incidents (7-point): TMS ծանուցում արտեֆակտների ամբողջության ժամանակահատվածում Retro CAPA Dashbord-ը։

13) Հաճախակի սխալներ և ինչպես խուսափել դրանցից

Չեկլիստները, առանց ապացույցների, բոլոր կետերը կպահանջեն ID արտեֆակտը։
Առանց նյութապաշտության գնահատումը կարող եք արձանագրել չեկլիստի քարտում եղած շեմերը։
SA/PR/IA-ի կրկնօրինակումը հաստատվում է համաձայնեցված օրացույցով և հարցումների միասնական կոդով (PBC)։
«Փաստաթղթերի կենտրոնացումը» առանց վիրահատության թեստերի, միշտ պատրաստվում է վերցնել վիրահատությունների ընտրությունը։
CAPA-ն առանց մեթրիկի է տալիս չափված արդյունքները (օրինակ, DSAR-ը 30 օր է 498%)։

14) Իրականացման պլանը (30 օր)

Շաբաթը 1

1. Հաստատել ֆորումը և վարկանիշների մասշտաբները։
2. Ստեղծել 8 հիմնական չեկլիստներ (CL-KYC/AML/RG/PCI/GAMES/REP/INC/GDPR)։
3. PBC/Finding/CAPA մոդելները։

Շաբաթ 2
4. Անցկացնել SA օդաչուն երկու գործընթացներում և PR-ում 1 գործընթացում։
5. Դաշբորդը խանդավառությամբ և CAPA ամսագրով։
6. Տալ դասընթացը «ապացույցների և նմուշների» վրա։

Շաբաթ 3
7. EAR նստաշրջանը մոտակա սերտիֆիկացման/2019։
8. Համաձայնեցնել MR/IA գրաֆիկը թաղամասի վրա։
9. Արձանագրել նյութապաշտության շեմերը և ընտրության չափերը։

Շաբաթ 4
10. Թողնել v1։ 0 հազար չեկլիստ և օրացույցի քարտեզներ։
11. Օդաչուի ռետրո անցկացնել, նորարարել չեկլիստների տարբերակները (v1)։ 1).
12. Միացրեք հեղափոխությունը KPI-ում գործընթացների սեփականատերերին։

15) Կապված հատվածներ

Ներքին աուդիտ և արտաքին աուդիտ
Կարգավորող հաշվետվությունները և տվյալների ցանկը
Խախտումների և հաշվետվությունների ժամկետների մասին ծանուցումներ
Dashbord complaence եւ www.ru
Պատահական պլեյբուսներ և սցենարներ
Ճգնաժամային կառավարում և հաղորդակցություն