Licenza italiana

1) Panoramica e posizionamento

ADM — Agenzia delle Dogane e dei Monopoli (бывш. AAMS) regola il gioco d'azzardo remoto (GAD - Gioco a Distanza). Il modello è una concessione con requisiti elevati di due diligence, RG/AML, protezione dei dati e rigorosa integrazione tecnica con il sistema centrale. Il mercato è maturo, l'ecosistema dei pagamenti è sviluppato, ma c'è un rigido divieto di pubblicità pubblica e sponsorizzazione - l'operatore si basa su organico, SEO, canali propri e una rigorosa compilazione CRM.

• Marchi che puntano a un ECO-footprint sostenibile, pronto per la disciplina «evidence-first» e senza il classico marketing perf.
• Piattaforme/B2V che costruiscono un portafoglio di integrazioni con licenziatari italiani e sono pronte per la certificazione ADM.

2) Tipi di permessi e perimetro

B2C concessione GAD (operatore): fronte/back office, cassa/pagamento, KYC/AML, RG, supporto, reporting, integrazione con il sistema ADM centrale. Verticale: casinò/slot, scommesse, poker, bingo, ecc.
B2V/fornitori (piattaforme, contenuti, studi live): certificazione software/integrazioni, SLA/OLA con licenze, esportazione di telemetria.
Ruoli personali: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Responsible Gaming

RUA - Registro Unico dell Autoesclusioni - Controllo di auto-esclusione obbligatorio online prima di consentire l'accesso al gioco.
Strumenti del giocatore: limiti di deposito/perdita/tempo, timeout, auto-esclusione, reality-checks, cronologia dell'attività.
Segnali e interventi comportamentali: rilevazione precoce dei rischi, protocolli di intervento morbidi/rigidi, registro dei contatti e degli esiti.
La comunicazione: scenari attenti, il divieto di stimolare utenti vulnerabili e minori.

4) AML/KYC (risk-based)

KYC: conferma identità/età per documento e Codice Fiscale; indirizzo/residenza tramite fonti secondarie. L'accesso è limitato fino al completamento di KYC.
AML/CTF: profili client/metodi, RER/sanzioni, trigger EDD, procedure START/SAR, registro delle soluzioni e delle escalation.
Monitoraggio transazionale: velocity/anomalie, origine dei fondi per sospetti, gestione case.
Crypto/on-chain (se applicabile): criteri di portafoglio, tracciabilità, limiti/block provider.

5) Pubblicità, affiliati e CRM

Decreto Dignita vieta di fatto la pubblicità pubblica e la sponsorizzazione del gioco d'azzardo. Ogni comunicazione è al microscopio.
Affiliati: il lavoro è possibile solo in un rigoroso ambito di informazione (senza alcuna pressione promozionale); obblighi contrattuali RG/AML/dati, elenchi bianchi dei canali, controllo dei materiali, procedure di stop.
CRM/email/SMS/push: le comunicazioni informative e gli script rigorosamente complessi sono consentiti retarget/spam aggressivo non è valido.
UX e vetrine: T&C trasparenti, nessuna promessa di facile vincita, protezione dei minori.

6) Dati e privacy

GDPR e Garante Privacy: legalità e minimizzazione, DPIA per operazioni ad alto rischio, controllo delle disponibilità e registrazione.
Procedure DSR - Accesso/correzione/rimozione/portabilità - entro i tempi regolamentari.
Posizione/flussi di dati: trasferimenti transfrontalieri controllati, DPA con processori, retensioni per classe di dati.

7) Standard tecnici e integrazione

Sistema centrale ADM: l'operatore deve trasferire i dati transazionali/report attraverso interfacce certificate Continuità e precisione sono critiche.
SDLC/release: staging-pipline, controllo delle modifiche, firma di manufatti e SBOM, criterio di ripristino, «no humans in prod», registro di rilascio provabile.
Osservabilità: loghi (senza PAN/PII superflui), metriche e tracciabili (ad esempio, OTEL), SLO/SLI (latency p95/p99, errato-rate), controlli sintetici deposito/CUS/output, controllati con retensing dei loghi.
Sicurezza: mTLS/segmentazione, WAF/bot management, SSO/MFA/PAM, vulnerabilità (SAST/SCA/DAST) in CI/CD, pentest regolare, assenza di critical/high scaduto.
DR/BCP: test di restore regolari confermati da RTO/RPO, atti di esercizio; script graceful-degradation.
Anti-abuse - Protezione da bonus-abyus e frode, device-signals, velocity-regole, roadmap comportamentale.

8) Pagamenti e «percorso in portafoglio»

Metodi: carte, bonifico (bonifico), PostePay, A2A/Open Banking (PSD2), rail/portafogli locali, pagamenti per le informazioni bancarie.
Integrazioni: idempotenza, firme HMAC webhooks, DLQ/repliche di eventi, monitoraggio Time-to-Wallet e percentuale di autorizzazioni/successo, report di restituzione/reporteback.
Sanzioni/RR e velocity - Controllo dei flussi in entrata/uscita, limiti, controlli manuali per trigger.

9) Rapporti, tasse e proroga (high-level)

Rapporti regolatori: GGR verticale, metriche RG, denunce/incidenti, modifiche alla struttura/Keu Persons, rapporti sulle interfacce del sistema centrale.
Parte fiscale: costruita intorno al reddito di gioco con aggiustamenti (bonus/jackpot); sono obbligatori i controlli con i registri giochi/pagamenti e i dati PSP/banche.
Proroga/verifica: controlli periodici di regole, controllo tecnico, RG/AML e rispetto delle restrizioni pubblicitarie; «evidence-first» pacchetti (release/SBOM, vulnerabilità, DR-act, RG-telemetria).

10) Processo di licenza: fasi e linee di riferimento

1. Pre-fit & Gap (1-8 settimane): verticali/canali, scheda dei provider (contenuti/PSP/KYC), controllo della disponibilità IT, piano di rimediazioni, progettazione delle comunicazioni CRM, tenendo conto del divieto di pubblicità.
2. Pacchetto di documenti (4-12 settimane): business/finanza/SoF/SoW, Key Persons, regole AML/RG/dati/incidenti/DR, contratti, architettura IT e integrazioni con il sistema centrale.
3. Processo di controllo/certificazione (4-16 settimane): SDLC/osservabilità/sicurezza/DR, vulnerabilità/pentest, testi di restore, requisiti di interfaccia ADM.
4. Esame e Q&A: domande su beneficiari/policy/IT/dati/pubblicità; Intervista a Key Persons; dimostrazione di registri/dashboard e script RG/AML/pagamenti.
5. Rilascio/input (2-6 settimane): attivazione di report, on-boarding PSP/contenuto, test con sistema centrale, dry-run RG/AML/pagamenti.
6. Post-responsabilità: rapporti/verifiche periodici, proroghe, variazioni (beneficiari/verticali/località).

Percorso critico: Key Persons i criteri SDLC/Osservabilità/DR (evidence) le interfacce del sistema centrale Q & A/demo.

11) Pro e contro ADM

Vantaggi

Alta fiducia di banche/PSP e partner di contenuti.
Un modello tecnologico prevedibile con un sistema centrale e standard maturi.
Più la capitalizzazione e la sostenibilità del portafoglio nell'UE.

Contro

Divieto totale di pubblicità pubblica: il ruolo dell'organico, del prodotto e della compilazione CRM cresce.
Elevata compatibilità OPEX e severa dimostrazione dei processi.
Integrazione e reporting esigenti nel sistema centrale.

12) Assegno fogli pronti

12. 1 Definition of Ready (prima dell'alimentazione)

• Perimetro (verticale/canale/metodo di pagamento) definito; la realtà dei pagamenti è confermata.
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); sono stati raccolti e .
• I criteri AML/RG/dati/incidenti/DR sono stati approvati; corsi di formazione e il registro delle revisioni ci sono.
• SDLC: firme + SBOM, registro dei lanci, «no humans in prod», criterio di ripristino.
• Osservabilità: SLO/SLI-Dashboard, controlli sintetici deposito/CUS/output, ritocchi dei fogli.
• Sicurezza: pentest/scan senza critical/high scaduto; Un piano di rimediazioni.
• Contratti di contenuti/PSP/KYC/laboratori/hosting; Requisiti di interfaccia ADM concordati.
• Modello senza pubblicità pubblica: elenchi bianchi di canali, modelli di comunicazione, procedure di stop.

12. 2 Definition of Done (dopo il rilascio)

• I rapporti regolatori/fiscali sono inclusi; I proprietari KPI sono assegnati.
• Le interfacce del sistema centrale funzionano stabilmente; Monitoraggio SLA.
• PSP/contenuti onbordati; webhooks con HMAC, idimpotenza e DLQ in vendita.
• Gli strumenti RG sono attivi; la telemetria degli interventi/auto-esclusioni (RUA) è in corso.
• DR/BCP: test di restore effettuati e atti compilati; RTO/RPO raggiunti.
• CRM/affiliati: solo i canali di informazione validi; Revisione dei materiali Registro delle violazioni e delle misure.

13) RACI (esempio)

14) Rischi e attenuazione

15) Road map 90-180 giorni (esempio)

Mese 1-2: analisi gap, assegnazione di Key Persons, piano di remediazioni SDLC/Osservabilità/Sicurezza, allineamento delle interfacce ADM.
Mese 2-3: raccolta di pacchetti/regole aziendali, pentest/scan, atti DR, contratti PSP/KYC/contenuti.
Mese 3-4: erogazione, preparazione per Q & A/interviste, dimostrazioni dry-run (dashboard, registri, RG/AML/pagamenti/interfacce ADM).
Mese 4-6: Q & A/variazioni, finalizzazioni, on-boarding pagamenti/contenuti, inclusione di report e integrazione stabile con il sistema centrale.

Output breve

La licenza italiana ADM è una modalità rigorosa ma prevedibile con un collegamento unico: concessione + divieto di pubblicità pubblica + sistema centrale di rendicontazione. Il successo si basa sulla cultura evidence-first (SDLC/Osservabilità/Sicurezza/DR), la disciplina RG/AML/RUA, l'abile KYC di Codice Fiscale e il lavoro attento senza marketing aggressivo. Con questo approccio, l'Italia diventa un pilastro sostenibile del portafoglio europeo e aumenta la capitalizzazione del marchio.