Standard anti-corruzione e ISO 37001

1) Introduzione: perché ISO 37001

I rischi di corruzione in iGaming/Fintech sono accentuati da complesse catene di fornitori, affiliati, licenze e marketing in diversi mercati. ISO 37001 (Anti-Bibery Management System, ABMS) è uno standard internazionale che definisce il sistema gestionale di prevenzione, individuazione e risposta alla corruzione/estorsione. L'obiettivo è quello di ridurre la probabilità di incidenti e dimostrare a regolatori/partner che la società gestisce i rischi in modo sistemico.

2) Principi chiave di ABMS

Tono superiore (tone at the top): il consiglio di amministrazione/top management accetta e mostra tolleranza zero.
Approccio basato sui rischi: identificazione, valutazione, pianificazione, priorità delle aree ad alta esposizione.
Misure proporzionali: i controlli corrispondono alla scala e al profilo di rischio.
Indipendenza della funzione di compilazione: autorizzazioni e risorse sufficienti.
Miglioramento continuo: monitoraggio, verifiche, azioni correttive.

3) Campo di copertura dei rischi di corruzione

Corruzione diretta/indiretta, corruzione commerciale, «lubrificazione» (facilitation payments), rimborsi.
Regali, ospitalità, sponsorizzazione, beneficenza, come canali di corruzione nascosta.
Affiliati/agenti/intermediari, consulenti di licenza, partner di marketing.
Settore pubblico: licenze, controlli, autorizzazioni, servizi pubblici, casinò e lotterie statali.
Conflitto di interessi e insider.
Fusioni e acquisizioni (M&A) e joint venture (JV).

4) Ossatura del sistema: ciò che richiede ISO 37001 in pratica

1. Politica e codice anticorruzione + politica di regali/conflitti di interessi/donati e sponsorizzazione.
2. Il ruolo dì Agente anticorruzione "(ABCO) e la distribuzione delle responsabilità.
3. Valutazione dei rischi per linee aziendali, geografie, tipi di controparti.
4. Due diligence di terzi (risk-based) con screening sanzionatorio e giudiziario.
5. Controllo delle transazioni e monitoraggio delle bandiere rosse.
6. Formazione e comunicazione per dipendenti e partner.
7. Linee di informatori e divieto di repressione (collegato alla politica degli informatori).
8. Indagini, misure disciplinari e rimediazioni.
9. Controllo/monitoraggio interno, gestione-review e CAPE (Corrective and Preventive Action).
10. Preparazione della certificazione da parte di un'autorità esterna.

5) Matrice dei rischi (esempio)

6) Politica di regali, ospitalità e spesa (G&H)

Limiti: equivalenti in denaro e «natura» (ad esempio, fino a X EUR per persona/evento; limite annuale).
Vietare contanti, carte regalo, viaggi di lusso senza giustificazione.
Negoziazione: tutti quelli che hanno superato la soglia attraverso ABCO; l'iscrizione obbligatoria nel registro.
Settore pubblico: regole più severe/proibizionismo totale.
Trasparenza: i registri dei regali e dell'ospitalità sono disponibili per il controllo interno.

7) Conflitto di interessi

Dichiarazione annuale da tutti i responsabili/acquisti/BD/marketing/avvocati.
Dichiarazione evento per l'assunzione/transizione al nuovo ruolo/avvio del progetto.
Misure: ricusazione, rotazione, divieto di manutenzione dei fornitori.

8) Due diligence di terzi (specialmente affiliati e intermediari)

Screening: sanzioni, PEP, valigette legali, media negativi, beneficiari.
Il questionario e i documenti di conferma: registrazione, licenze, stato fiscale, politica anticorruzione, codice.
Obblighi contrattuali: clausola anticorruzione, diritto di verifica, divieto di intermediari secondari senza accordo, rottura in caso di violazione.
Livello di rischio: livello KYC delle controparti (basso/medio/alto), frequenza di revisione (ad esempio, ogni anno per un rischio elevato).
Segni di pagamento: divieto di versamento su conti offshore/personali, fattura obbligatoria/atti.

9) Bandiere rosse (indicatori operativi)

«Consulente» senza un'esplicita competenza, richiede contanti/commissione elevata, insiste per «risultati rapidi».
Richiesta di dividere il pagamento o di inviare i fondi su conti di terze parti.
Insistere con affiliati/agenti «senza nome» e rapporti.
Escludere la concorrenza nelle offerte con un pretesto inverosimile.
Attività in paesi ad alta esposizione alla corruzione senza controlli rafforzati.

10) Formazione e comunicazione

Formazione obbligatoria annuale + valigette interattive (G&H, enti pubblici, affiliati, M&A).
Modulo Onboarding per i nuovi dipendenti e test «rinfrescanti» per i ruoli high-risk.
Comunicazioni in alto: lettere regolari da CEO/Bord, pagina interna ABMS, FAQ.

11) Linee di informazione e indagini

Canale anonimo 24/7, divieto di repressione, SLA conferma e risposte (vedere la politica separata degli informatori).
Legale hold e conservazione delle prove, squadra di indagine indipendente.
Misure disciplinari fino al licenziamento/rescissione dei contratti; in casi difficili, un appello alle forze dell'ordine.

12) Monitoraggio, verifica e reporting

KPI ABMS: copertura di apprendimento, numero/percentuale di valigette chiuse, tempi di reazione, percentuale di terzi con DD completato, risultati dei test di conformità G & H.
Verifiche interne del piano di rischio (trimestrali/annuali).
Management Review - Almeno una volta l'anno - panoramica di rischi, incidenti, CAPE, soluzioni per le risorse.
Miglioramento continuo: regolazione dei limiti, aggiornamento della matrice dei rischi, nuovi controlli.

13) Integrazione con i processi iGaming/Fintech

Affiliati e marketing: verifiche severe, report trasparenti, controllo delle griglie e delle fonti di traffico.
Licenze e interazioni regolatorie: protocollo d'incontro, regola dei quarti occhi, divieto di regali ai funzionari.
Partner di pagamento/PSP: clausole anti-corruzione nei contratti, diritto di verifica, divieto di intermediari senza accordo.
Fornitori di giochi/studio: controllo delle ricompense, sconti/rebate trasparenti, esclusione degli accordi «grigi».
M & A/JV: anti-corruzione due obiettivi, piano di integrazione per ABBS.

14) Road map di implementazione e certificazione (6-9 mesi)

Fase 0 - Diagnostica (0-4 settimane): analisi gap contro ISO 37001, mappe dei processi, matrice dei rischi, piano di progetto, assegnazione ABCO.
Fase 1 - Regole e progettazione dei controlli (1-2 mesi): Politica anticorruzione, G&H, Conflitti di interesse, Modelli contrattuali, Procedure DD, Investigazioni e Informatori.
Fase 2 - Implementazione e formazione (2-4 mesi): registro dei regali, registro dei contatti con gli enti pubblici, avvio del processo DD, formazione, dashboard KPI.
Fase 3 - Monitoraggio e verifica (4-6 mesi): Controlli pilota, test valigette, controllo interno ABMS, CAPE.
Fase 4 - Certificazione (6-9 mesi): Anteprima, quindi Stage 1/Stage 2 presso l'autorità di certificazione esterna; rilascio del certificato al passaggio.
Dopo - mantenimento: controllo annuale, revisione dei rischi e KPI.

15) Matrice di controllo (semplificata)

16) RACI su ABMS

17) Riserve modello (sezioni)

"Le parti confermano il rispetto delle leggi applicabili contro la corruzione... la violazione è essenziale e dà diritto alla disdetta immediata".
Regali e ospitalità: "Regali/intrattenimento oltre i limiti o qualsiasi forma di pagamento in contanti sono vietati. Tutte le eccezioni sono soggette a pre-accordo scritto con ABCO".
Intermediari/affiliati: "È vietato il coinvolgimento di intermediari secondari senza il consenso scritto; La parte fornisce l'accesso ai documenti per un controllo selettivo".
«La società fornisce canali riservati e vieta qualsiasi tipo di repressione nei confronti di informatori di buona fede».

18) Errori frequenti e come evitarli

«Regole su carta» senza registri e monitoraggio. Soluzione: dashboard KPI, controlli trimestrali.
Nessun DD per affiliati/agenti. La soluzione è un questionario standard, uno screening sanzionatorio, report di verifica.
Nessun proprietario unico di ABMS. La soluzione è assegnare ABCO con mandato e risorse.
«Zero limiti» per i regali. Decisione: limiti ragionevoli, eccezioni tramite comitato.
Ignorare le bandiere rosse. La soluzione è automatizzare gli alert e scalare la SLA.

19) Pacchetto di manufatti (tenere nel repository)

Politica ABMS, Politica G&H, Politica dei conflitti di interesse.
Modelli di clausole anticorruzione contrattuale.
Registri regali/ospitalità e contatti con gli enti pubblici.
Procedura Due Diligence + moduli e fogli di assegno.
Piano di formazione + contenuti corsi/test.
Procedura investigativa + Runbook informatori.
Piano di verifica, rapporti di verifica interna, CAPA.
Matrice di rischio e Controllo Matrix (ABMS ↔ ISO 37001).

Output

ISO 37001 non è solo un certificato, ma un circuito di gestione sostenibile: i rischi di una politica Per iGaming/Fintech, disciplina il lavoro con affiliati, licenze e marketing, riduce la possibilità di incidenti e aumenta la fiducia di regolatori e partner. Iniziare con la valutazione dei rischi e delle regole di base, quindi l'implementazione di registri e DD, la formazione e il controllo interno; dopo che i processi sono stati avviati, procedere alla certificazione.