KYB e verifiche dei partner

1) Perché KYB

KYB (Know Your Business) è l'identificazione e la valutazione dei rischi delle persone giuridiche e degli organizzatori di transazioni: affiliati, provider di giochi e aggregatori, PSP/banche, orchestratori di pagamento, provider KYC/AML, agenzie di marketing, call center, distributori B2B, white label e rivenditori. Obiettivo: evitare sanzioni e AML/CFT rischi, frode con traffico e pagamenti, violazioni IP/licenze, fughe di dati e incidenti di reputazione.

2) Principi e modello RBA

Risk-Based Approach: la profondità del controllo dipende dal profilo di rischio del contractor (geo, ruolo nella catena, accesso a denaro/dati, cronologia degli incidenti, volumi).
Proportionality: CDD per i fornitori a basso rischio, EDD per i fornitori ad alto rischio (PSP, affiliati al traffico aggressivo, cross border resseler).
Ongoing Monitoring: la verifica primaria senza monitoraggio costante è inutile.
Four-Eyes & Segregation: le soluzioni di blocco/onboarding sono almeno due dipendenti.

3) Ruoli e responsabilità

Board/Exec: sostiene la politica KYB, il rischio-appetito, la matrice delle escalation.
MLRO/Compliance: proprietario del processo CW/sanzioni, metodologia Adverse Media/PEP, SAR/TR, se necessario.
Risk/Analytics: rischio-scorrimento, regole comportamentali per affiliati/PSP.
Commerciale/BD: raccolta documenti, controllo dei termini contrattuali, partner KPI.
Legale: garanzie contrattuali, licenze IP, multe, revoca unilaterale in AML/eventi sanzionatori.
Sicurezza/IT: disponibilità, crittografia, registro delle azioni, valutazione della sicurezza.
Finanziamento/Payments - Controllo dei pagamenti, registri dei beneficiari, verifica delle informazioni.

4) Livelli KYB (esempio)

CDD (base): documenti di registrazione, direttori, UBO ≥25%, sanzioni/PEP/Adverse Media, sito/contatti, numero di imposta, conferma indirizzo legale.
ID + EDD (esteso): catena completa di proprietà a livello fisico, rapporti finanziari, email bancarie, licenze/autorizzazioni, descrizione del modello di business e delle fonti di reddito, verifica dei siti operativi, controllo dei domini/canali di traffico, controllo della sicurezza.
Continuous: rivisitazione degli eventi (sanzioni, cambio UBO/direttori, picchi di traffico/charjbeek), revisione annuale del fascicolo.

5) Raccolta di dati e documenti

• Certificato di incorporazione, statuto/contratto di definizione, registro azioni/partecipazioni.
• Lista dei direttori e UBO (con quote e cittadinanza).
• Indirizzo giuridico e indirizzo effettivo, numero fiscale/VAT.
• Licenze/autorizzazioni (iGaming/pagamenti/promozioni), contratti di fornitori secondari.
• Informazioni bancarie (lettera dalla banca/void cheque), conferma della proprietà del conto.
• Regole AML/KYC/KYB, screening sanzionatorio in azienda, GDPR/sicurezza, DPIA (se si dispone di accesso al PD).
• Per gli affiliati: descrizione delle fonti di traffico, domini/landing, account social/adset, geo e formati pubblicitari, CRM/tracker.

• Documento di identità + Livnes, indirizzo (≤3), sanzioni/PEP/Adverse Media.
• Conferma del legame con l'azienda (nomina a direttore, possesso di quote).

6) Sanzioni, PEP, Adverse Media

Screening della persona legale, tutti i nomi di vendita, domini e direttori collegati/UBO.
Ricerca di Fuzzy, Alias e Trasmissioni Clearing manuale delle corrispondenze di confine.
Recrining periodico (aggiornamenti giornalieri degli elenchi) e evento per le modifiche apportate al profilo del partner.
I temi di Adverse Media sono corruzione, frode, spaccio, gioco d'azzardo senza licenza, riciclaggio.

7) Valutazione della maturità tecnica e regolatoria

Licenze e conformità: validità e quantità di licenze (giochi, pagamenti, pubblicità), rapporti, multe in passato.
Sicurezza & Privacy: crittografia, RBAC/ABAC, gestione chiavi/segreti, registri di accesso, regole di conservazione, incidente-response.
Affidabilità delle operazioni: SLA/farmacia, bacap, piano di continuità, protezione DDoS.
Integrazioni: API sicure, registri di verifica, versioni SDK, regole PI/PCI DSS (se funziona con le mappe).

8) Specifiche per tipo di partner

8. 1 Affiliati (KYA - Know Your Affiliate)

Profilo di traffico: sorgenti (SEO/ASO, PPC, teaser, social media, striam), pratiche bianche/grigie, tollerabilità geo e targeting di età.
Etichette di qualità: CR→FTD, FTD→depozitor, depozit→vyvod, picchi anomali, fette di multiaccount/bonus abyus.
Contenuti e cassette di sicurezza: nessuna falsa promessa, conformità alle regole pubblicitarie locali.
Parte finanziaria: accoppiamento dei dati di pagamento, assenza di terzi come beneficiari dei pagamenti.
Monitoraggio: domini/creativi regolari «crawl», reading/creativi clandestini sono fattori di stop.

8. 2 Provider di giochi/aggregatori

Diritto di distribuzione IP: licenze RNG/giochi, diritto di utilizzo di marchi/musica/beni artistici.
Giurisdizioni di disponibilità: matrice di mercato (che può essere visualizzata dove), meccanismi di geo-filtraggio.
Fair play: certificazione RNG, laboratori, rapporti, storia degli incidenti (rigging/fuga).
Pagamenti: modello di royalties (RevShare/flat), accoppiamento dei rapporti, anti-manipolazione di GGR/tag.

8. 3 PSP/banche/orchestratori

Licenze di pagamento (EMI/PI/bancari), processi KYC/AML, limiti, classe MCC.
Rischi di blocco: charjbeck, rimborsi, blacklists; Piano per il controllo degli incidenti (Failover).
Traccia dei pagamenti: verifica del titolare del conto, regole «same method», report.

8. 4 Provider di servizi (KYS - Know Your Supplier)

Accesso al DP/conto/database in codice EDD + contratti di protezione dei dati, controllo, notifica degli incidenti, sottoprodotti.

9) Garanzie contrattuali e controllo

Clausole AML/sanzioni: garanzia di conformità a tutte le modalità, diritto di disdire immediatamente in caso di violazione.
Obblighi KYC/KYB: fornitura di documenti su richiesta, aggiornamento al cambio UBO/Director.
Standard pubblicitari (per gli affiliati): divieto di my-selling, display obbligatori, limitazioni locali.
Controllo e ispezioni: diritto ai controlli, accesso a fogli/creativi, multe/trattenimento per violazioni gravi.
SLA/OLA: farmacia, TAT, tempi di risposta agli incidenti, multe per ritardo.

IP/Contenuti: conferma dei diritti, responsabilità per le rivendicazioni di terze parti

Dati e sicurezza: DPIA/DTIA, crittografia, breach-notifica ≤72, divieto di trasferimento in giurisdizioni rosse senza garanzie.

10) Monitoraggio e gelosia (Ongoing)

• Cambio UBO/direttori/informazioni bancarie.
• Evento sanzionatorio/Adverse Media.
• Traffico anomalo/Charjbeck/Accoppiamenti di pagamento.
• Reclami degli utenti/richieste di regolazione.
• Cambiare modello di business/geografia.

Processo: segnalazione della valigetta, richiesta di documenti/spiegazioni, decisione (conservare/congelare/annullare) per il post-mare e aggiornamento delle regole.

11) Matrice dei rischi (esempio)

12) Metriche e KPI KYB

Onboarding TAT (mediana/95 percentile).
Dossier Completeness Score (numero di profili completi).
Auto-clear/Manuale-review rate per alert.
False Positive rate sanzioni/RER e tempo di compensazione.
Traffic Quality (affiliati): CR, qualità FTD, WD-ratio, chargeback-rate.
Incident Rate и Time-to-Contain.
Audit Findings Closed on Time.
Vendor SLA Compliance (farmacia/reazione).

13) Architettura e integrazione

Un unico fascicolo del partner è il gestore di proprietà UBO, documenti, stato delle sanzioni/RER, licenze, domini, informazioni di pagamento.
Lo pneumatico degli eventi, i cambiamenti di identità, i picchi di traffico/charjbeek, gli update delle sanzioni hanno → gli alert nel sistema portaoggetti.
Motore di soluzioni: regole + ML (compilazione di affiliati, rischio PSP, anomalie).
Registri e archivi WORM: versioni invariate dei documenti, motivazioni delle soluzioni, tracce di accesso.
Disponibilità e segreti: RBAC/ABAC, HSM/secret-vault, limitazione dei download.
Degrado: quando i provider di sanzioni non sono disponibili, quorum/retrai, stretta temporanea delle soglie.

14) Assegno fogli

• Registrazioni, statuto, indirizzo di registrazione.
• Direttore/UBO ≥25% + CUS/indirizzo.
• Sanzioni/PEP/Adverse Media (giurista/viso).
• Licenze, diritto a prodotti/contenuti.
• Informazioni bancarie e conferma del possesso del conto.
• Criteri AML/KYC/KYB + Protezione dati.
• Per gli affiliati: fonti di traffico, domini, creativi, geo.
• Contratto: clausole AML, diritto di verifica, SLA, multe.

• Nuovo screening sanzionatorio.
• Verifica del beneficiario del conto = partner/UBO.
• Conteggio dei rapporti (traffico/giochi/royalties).
• Controllo anti-frod (anomalie, catene multi-livello).

• Rilevanza documenti/licenze/UBO.
• Riepilogo di incidenti/lamentele/Regzappross.
• Modifiche a geo/canali di traffico/linea alimentare.
• Ridefinire i rischi e i limiti.

15) Rischi tipici e come chiuderli

La struttura UBO nascosta attraverso l'offshore richiede una catena fino a fisici, registri indipendenti, conferma legale.
Traffico di affiliati sporco, proibizioni contrattuali, monitoraggio automatico dei domini, finstrafi, foglio di arresto.
I rischi di sanzione/RR → il recrining giornaliero, il clearing manuale, l'escalation MLRO.
La sostituzione degli oggetti di pagamento (BEC-fraud) → la conferma dei dati dal canale contrattuale, two-man rule, il controllo delle modifiche da 24 a 48 ore di quarentina.
Accesso al PD da parte di terzi di DPIA, minimizzazione, controllo delle tracce di accesso, barriere tecniche e contrattuali.

16) FAQ

Dov'è la soglia EDD? Alto rischio per geo/ruolo/volume, accesso al PD/denaro, struttura complessa UBO, media negativi.
Quanto spesso rivediamo i fascicoli? Minimo annuo; Più un evento.
È possibile pagare un affiliato su un conto personale? Indesiderato: corrispondenza tra proprietario, lince UBO, controllo di destinazione e regole locali.
Cosa fare quando si discute sulla qualità del traffico? Includere nel contratto il diritto di verifica, il campionamento dei lidi, la metodologia di attribuzione, la conservazione/aggiustamento dei casi.

17) Modello di struttura di criteri KYB (wiki)

1. Ambito di azione e definizione

2. Ruolo e responsabilità (RACI)

3. Metodologia RBA e soglie EDD

4. Requisiti di documentazione (giurista/direttore/UBO)

5. Sanzioni/PEP/Adverse Media e frequenza di recrining

6. Particolare per tipo di partner (KYA/KYS/PSP/provider di giochi)

7. Requisiti contrattuali (AML, SLA, controllo, IP, dati)

8. Monitoraggio e rev-KYB (trigger, gestione valigetta)

9. Metriche e report per il board/management

10. Storage, sicurezza, privacy

11. Piano di continuità e risposta agli incidenti

12. Applicazioni: fogli di assegno, moduli, modelli di posta e report

Totale

Tracciato KYB forte = profondità di controllo corretta all'ingresso, cornici contrattuali rigidi, monitoraggio costante e metriche trasparenti. Standardizzare il dossier, automatizzare il circuito sanzionatorio, misurare la qualità del traffico e il rispetto della SLA, rivedere regolarmente il rischio-score dei partner e ridurre i rischi regolatori, finanziari e di reputazione senza compromettere il ritmo aziendale.