Controllo AML e reporting

1) Obiettivi e contesto

La catena AML nel iGaming comprende: screening onboarding (KYC/KYB), sanzione/PEP/Adverse Media screening, monitoraggio delle transazioni e del comportamento, escalation delle valigette e creazione di report in FIU (SAR/TR e altri moduli). Il controllo (esterno/interno) verifica la progettazione e l'efficienza dei controlli, la base di prova e la tempestività del reportage.

2) Gubernance e ruoli

Board/Comitato per il rischio: ogni anno approva l'EWRA (Enterprise-Wide Risk Assessment), la politica e la tolleranza al rischio.
MLRO (e vice): proprietario delle procedure, qualità SAR/TR, contatto con FIU/Regolatore.
Compliance Ops/FinCrime: controllo degli alert, gestione delle valigette, QA e addestramento.
Internal Audit/Esternal Independent Auditel: verifica indipendente del design e dell'efficienza dei controlli.
Data/Tech possiedono TMS, modelli e registri.

3) RBA (Risk-Based Approach) для iGaming

• Cliente: età/geo, RER/sanzioni, SoF/SoW, pattern comportamentali (velocità di apprendimento/conclusione, importi non comuni, multi-account).
• Prodotto/canale: casinò/sport/live, cripto-on/off-rampe, portafogli anonimi, pagamenti istantanei.
• Geografia: alto rischio di giurisdizioni, corridoi di trasferimento di fondi.
• Provider/partner: PSP/affiliati/aggregatori.
• Transazioni: struttura (smurfing), flussi circolari, intermediari (mule).

Il risultato è che il rischio-scansione client/transazione controlla la profondità di KYC, la frequenza di gelosia e la sensibilità delle regole TMS.

4) KYC/KYB, SoF/SoW e gelosia

KYC: verifica identità/indirizzo, età, mappatura con sanzioni/PEP/Adverse Media.
KYB: beneficiari (UBO), rischi per il settore, sanzioni per la legge/UBO.
SoF/SoW: conferma della fonte di fondi/ricchezza per high-risk (estratti conto, dividendi, entrate, vendita di asset).
Revival: periodico (12-36 mes) e trigger (aumento del giro, cambio del profilo comportamentale).

5) Sanzioni/PEP/Adverse Media

Sanzioni: screening primario per onboarding e ricreazione giornaliera di tutti i clienti attivi e i destinatari dei pagamenti.
PEP: die diligence rinforzata e aumento della frequenza di gelosia.
Adverse Media: pubblicazioni negative su riciclaggio, frode, corruzione; in caso di coincidenza, aumento delle misure/escalation.

6) Monitoraggio delle transazioni e controllo comportamentale

• Serie di piccoli depositi di conversione rapida in output (minimo attività di gioco).
• Account multi-it: corrispondenze di dispositivi/IP/strumenti di pagamento.
• Ruota i mezzi tra portafogli/carte (percorsi circolari).
• Utilizzo di provider/giurisdizioni/proxy ad alto rischio.
• Depositi da terze parti, frequenti chargeback/rifiuto, brusche fluttuazioni/crescita GGR su un giocatore.
• Per lo sport: scommesse su mercati a bassa quota con sincronia sospetta (match-fix red flags).

Regole TMS: velocity (N transazioni per X min), amount spikes, device/IP clustering, geovelocity, no-play withdrawals, split deposits, plicate mantiene.

7) Valigette, escalation e SAR/TR

Controllo primario dell'alert per l'arricchimento di dati (KYC, pagamenti, cronologia, affiliati, dispositivi, geo, Adverse Media).
PR (Pre-SAR Review) - Soluzione MLRO - SAR/TR, monitor, chiudi con nota.
SAR/STR. è preparato in base a requisiti locali (descrizione dei fatti, degli importi, dei partecipanti, degli schemi, delle prove di sospetto, delle prove applicate, della linea temporale).
Tempi: «senza fretta» secondo le regole locali; fissa TAT e SLA nella politica.
Tipping-off - Divieto di rivelare al cliente l'invio di SAR/TR.

8) Controllo AML: copertura e metodi

Copertura: policy/procedure, EWRA, KYC/KYB, SoF/SoW, sanzioni/PEP/Adverse Media, modelli e alert TMS, valigetta, SAR/STRR-Logs, formazione, registrazione, archiviazione, terzi (SP/KYC), test di penetrazione/disponibilità.

• Walkthrough e interviste (MLRO, AML, prodotto, IT).
• Criteri, SOP, loghi, report, campionamento di valigette (sampling).
• Test di progettazione/efficienza: test di controllo (re-performance), backtesting TMS e calibrazione.
• Model Governance: modifiche alle regole/soglie, documentazione, A/B, Retino periodico.
• Data lineage - Traccia i campi nei report ai sistemi principali.

Uscite: report di rating, scoperte (High/Medium/Low), piano di rimediazione, tempi e responsabilità.

9) Base di prova e conservazione

Riviste: alert, valigette, decisioni su chi/quando/cosa ha cambiato (immutability).
Artefatti, screenshot, estratti conto, file hash, esportazione da TMS, e - mail.
Tempo di conservazione: secondo la legge locale (spesso 5 + anni dopo la fine della relazione).
Privacy/DPA: riduzione del PI, basi legali, DPIA per i controlli high-risk.

10) Report (esterno/interno)

Esterno: SAR/STRR nella FIU; Risposte alle richieste degli enti governativi; forme statistiche periodiche (giurisdizione).
Interno: rapporto MLRO borde/comitato - altoparlante SAR, FPR (false positive rate) TMS, coverage sanzioni/RER, formazione, rimediazione-stato.

11) Matrice di rischio

12) Assegno fogli

Prima di revisione/revisione esterna

• Attuale EWRA e matrice di rischio.
• Regole/SOP: KYC/KYB, SoF/SoW, sanzioni/PEP/Adverse Media, TMS, SAR/TR.
• Registri di alert/valigette/SAR, fogli di modifica TMS.
• Prove su un campione di valigette (scan/estratti/screenshot).
• Formazione/test dei dipendenti, registri di accesso.
• Contratti con venditori PSP/KYC, report SLA.

Cambio operativo (giornaliero/settimanale)

• Sanzioni/PEP/Adverse Media Rescreening.
• QA 10% valigette chiuse.
• Monitoraggio FPR/TPR, retino per il drift.
• Controllo dei tempi SAR/STRR e delle deviazioni da SLA.

13) Registri consigliati (YAML)

13. 1 Registro SAR/TR

yaml sar_id: "SAR-2025-118"
customer_id: "C-774102"
trigger: ["rapid_withdrawals","no_play","high_risk_geo"]
amounts:
deposits_total: 18500 withdrawals_total: 17200 timeline:
first_alert_at: "2025-10-21T14:22Z"
escalated_at: "2025-10-22T10:05Z"
filed_at: "2025-10-23T16:40Z"
fiU_ack_ref: "FIU-ACK-5529"
attachments: ["kyc.pdf","flows.png","device_cluster.csv"]
mlro: "a.petrova"
status: "filed"

13. 2 Registro dei riscontri sanzionatori

yaml hit_id: "SAN-2025-311"
subject: { customer_id: "C-660901", name: "Ivan K." }
list: ["OFAC","EU"]
match_score: 92 decision: "false_positive"
analyst: "d.koval"
closed_at: "2025-11-03"
notes: "DOB mismatch; address not matching"

13. 3 Profilo di rischio client

yaml customer_id: "C-552201"
risk_score: 78 risk_factors:
geo: "high"
pep: false adverse_media: false product: ["casino","sports"]
payment_methods: ["cards","crypto_onramp"]
behaviour: ["velocity","no_play_withdrawals"]
kyc_level: "enhanced"
review_next: "2026-05-01"
owner: "FinCrimeOps"

13. 4 Modifiche alle regole TMS

yaml change_id: "TMS-CH-2025-044"
rule: "no_play_withdrawal_v2"
old_threshold: "withdrawal>500 & play<5 spins"
new_threshold: "withdrawal>300 & play<3 spins"
reason: "trend increase; QA findings"
ab_test: true owner: "FinCrime Analytics"
approved_by: ["MLRO","RiskCom"]
effective_from: "2025-11-10"

14) Playbook (incidenti)

P-AML-01: Struttura dei depositi

L'aggregazione di Alert per dispositivo/tessera/IP la richiesta di il limite/pausa dei pagamenti SAR se sospettato di aver registrato il registro.

P-AML-02 Corrispondenza di sanzioni

Verifica automatica manuale (DOB/indirizzo/bio) se confermata - chiusura del conto/messaggio alla FIU (se necessario) documentazione .

P-AML-03 - Nessuna conclusione di gioco

Congelamento dell'output, controllo della distanza tra l'output, portafogli crociati, collegamenti con gli account SoF/spiegazione SAR/chiusura.

P-AML-04: Crypto on/off-ramp

Analisi chain (rischio-etichette di cambi/mixer) (sorgente di cripto) - limiti/blocco di SAR/report.

P-AML-05 Sospetto di «muli «/legamenti affiliati

Il clustering dei dispositivi/pagamenti è collegato all'origine del traffico e della pausa dei pagamenti all'affiliato SAR/passaggi legali.

15) KPI/metriche

TAT medio e SLA conformità.
FPR/TPR TMS, Precision @ Top-N per alert di priorità.
Sanction/PEP Coverage%, recrining giornaliero%.
QA Pass Rate con valigette chiuse.
Training Complition% per ruolo.
Model Change Control Compliance% (modifiche con approvazione/docu base).

16) Mini FAQ

Quando serve SAR/STRR? Dopo aver creato un sospetto fondato e nei tempi stabiliti dal diritto/regolatore locale.
È possibile comunicare SAR al cliente? No, c'è un divieto di tipping-off.
Dobbiamo sempre bloccare il conto? Soluzione RBA: rischi, sanzioni, minacce di ritiro e regole di legge locale.
Come ridurre la FPR? Regole Retung, fitte comportamentali, segmentazione del rischio, backtesting periodico/QA.

17) Disclaim

I requisiti AML/sanzioni e i formati di reporting variano per paese e vengono aggiornati. Questo materiale è un wireframe operativo; Date, moduli e destinatari precisi, confrontati con le norme e le indicazioni locali del tuo regolatore/FIU.

18) Conclusione

Un efficiente circuito AML nel iGaming non è solo il «segno di spunta» KYC, ma il collegamento del modello RBA, il monitoraggio vivente, la valigetta di qualità e la disciplina di rendicontazione. Un controllo indipendente regolare, una base di prova e playbook chiari trasformano la compliance in un processo sostenibile che protegge i giocatori, il business e la licenza.