Rinnovo e revisione delle licenze

1) Perché è importante

La licenza non è un documento statico, ma l'obbligo di mantenere gli standard RG/AML, sicurezza, dati e report. Il successo delle proroghe e le verifiche confermano la gestibilità dei rischi, la maturità dei processi e la disponibilità alla scala.

I principi chiave sono evidence-first, no-humans-in-prod, policy-as-code, traceability.

2) Tipi di proroghe e revisioni

Rinnovo della licenza (renewal): in calendario (solitamente ogni anno/ogni N anni) - presentazione di moduli, addebiti e un pacchetto di prove di controllo.
Variazioni/modifiche - Cambiare i beneficiari, aggiungere verticali, località di hosting, persone chiave, richiedono un accordo separato.
Controllo regolatorio: verifica delle politiche/rapporti, marketing/affiliati, RG/AML, registri di incidenti.
Tecnico/laboratori: RNG/RTP, SDLC/release, vulnerabilità/pentest, DR/BCP, hosting e loghi.
Controllo finanziario: GGR/tasse/riserve, correttezza dei prelievi, registri dei pagamenti.
Controllo GDPR/DPA: DPIA, registro dei guadagni, risposte ai soggetti, perdite/notifiche.
PCI DSS (se si lavora con PAN): segmentazione, tornitura, registri di accesso, scan ASV.

3) Calendario di estensione: scala indicativa

T-90... 60 giorni - analisi gap, aggiornamento delle regole, prenotazione di laboratori/revisori.
T-60... 30 - Raccolta di manufatti (logi, SBOM, rapporti scene/pentesti, dott. atti), conferma Key Persons.
T-30... 14 - pacchetto finale, prova interna (sampling), preparazione dei responsabili per l'intervista.
T-14... 0 - Fornitura del pacchetto renewal, pagamento delle tariffe, SLA-finestre di risposta al regolatore.
T + 0... + 30 - Q & A/richieste, rimediazioni, conferma estensione.

4) Pacchetto Evidence: cosa preparare in anticipo

Org/diritto: struttura di proprietà, SoF/SoW (in caso di modifiche), CV e Guida Key Persons, Registro delegazioni.
Policy: AML/CTF, RG, pubblicità/affiliati, protezione dei dati (DPIA), incidenti, DR/BCP; Un registro di revisioni e corsi di formazione.

• Registro di release con SBOM e firme di manufatti
• report SAST/SCA/DAST, piano di rimediazione, assenza di «critical/high» senza eccezioni attive;
• Osservabilità: dashboard SLO/SLI, controlli sintetici deposito/CUS/output;
• loging: loghi strutturati senza PII/PAN, retino e ricerca;
• DR/BCP: atti di restore, RTO/RPO, protocolli di esercitazione di emergenza.
• RG/AML: registro degli interventi e degli esiti, self-esclusiva (locale/nazionale), report delle operazioni sospette (TR/SAR), sanzione/RR-Loga.
• Marketing/affiliati: elenchi bianchi di canali, un campione di creativi con appruzzi, un registro di violazioni e misure.
• Finanza/tasse: rapporti GGR verticali, aggiustamenti di bonus/jackpot, accoppiamenti con PSP/banche.

5) Formato e tracciabilità

Ogni policy applica i controlli delle prove (screenshot, download, report con hashtag e data).
Indice unico «Evidence Map»: controlla dove è memorizzata la data di aggiornamento responsabile.
Versioning batch (Git/repository) + Controllo accesso per consentire ai revisori di visualizzare i manufatti in modo selettivo.

6) Requisiti IT/dati (come spesso visto)

SDLC/release: staging-pipline, manuale/auto-gate di qualità, politica di recupero, divieto di modifiche dirette alla vendita.
Supply chain: firme di manufatti, SBOM, controllo di admissione, politica di vulnerabilità.
Segreti e accesso: SSO/MFA/PAM, token di breve durata, registri di sessioni privilegiate.
Rete: segmentazione, gestione WAF/bot, controllo mTLS/egress.
Osservabilità: trailer OTEL, SLO dashboards, alert errante-budget, assegno SRM in esperimenti.
Dati: DPIA, minimizzazione, dati per regione (residency), registri di accesso a PII/PAN.
DR/BCP: backap, restore regolare con protocolli, esercitazioni di cambio.

7) Controllo completato: tattica

1. Kickoff e scope: concordare il perimetro, l'elenco dei campioni, il formato delle prove.
2. Data room - Preparare l'accesso strutturato a Evidence Map.
3. Dry-run intervista: MLRO/DPO/RG-Lead/CTO/SRE - Prova Q&A e dimostrazioni.
4. Le sessioni live presentano i loghi, i dashboard SLO, gli artefatti di lancio, gli script DR.
5. Rimediazione, concordare priorità e tempistiche, fissare il tracciatore.
6. Closure: report di verifica, lezioni, aggiornamento di regole/controlli, retrò.

8) Piano di rimediazione (modello)

9) RACI (esempio: programma di estensione)

10) Assegno fogli

10. 1 Definition of Ready (60-90 giorni prima della deadline)

• Aggiornati criteri AML/RG/pubblicità/dati/incidenti; Ci sono corsi di formazione.
• Key Persons confermati e aggiornati (se necessario).
• Raccolti report SAST/SCA/DAST e pentest, chiusi critical/high senza eccezioni scadute.
• I registri di rilascio con SBOM/firme sono disponibili; admision-policy in stato enforce.
• Sono disponibili i dashboard SLO/SLI e i rapporti di verifica sintetica deposito/CUS/output.
• SLA RTO/RPO.
• Registri RG/AML: interventi, SAR/STRR, self-execution; Rapporti sulle sanzioni/RER.
• Marketing/affiliati: elenchi bianchi di canali, campionamento di creativi con appruzzi.
• I rapporti finanziari GGR/tasse sono stati controllati con PSP/banche.

10. 2 Definition of Done (dopo la conferma dell'estensione/verifica)

• Ricevuto e-mail/certificato di rinnovo, aggiornato registro/sito/documenti.
• Piano di rimediazione chiuso, criteri aggiornati ed Evidence Map.
• Completato retrò: lezioni, modifiche ai processi, aggiornato il calendario.
• Invia notifiche ai provider/PSP (se necessario).

11) Lavorare con affiliati e pubblicità durante il periodo di verifica

Preparate un registro dei canali, un campione di creativi, prove del target 18 +/21 +, un elenco delle negoziazioni.
Procedura «stop-list» per i partner che violano le condizioni dei contratti RG/AML.
Dashboard frequenza di visualizzazione/vincolo e fogli di blocco.

12) Gestione dei rischi (registry)

13) Mini modelli

Control,Policy Ref,Artifact,Location,Owner,Updated At,Retention
RG-Limits,RG §4.2,Dashboard URL,obs://rg/limits,RG Lead,2025-10-15,24m
SDLC-SBOM,SDLC §3.1,sbom_2025Q4.json,repo://release/sbom,Platform Lead,2025-10-30,36m
DR-Restore,BCP §5.3,restore_report_Q4.pdf,doc://dr/reports,SRE Lead,2025-10-20,36m

• Scope/obiettivi
• Elenco di campionamenti e formato delle prove
• Calendario sessioni/interviste
• Ruoli e contatti
• Canale Q&A e SLA delle risposte

14) Domande frequenti

Dobbiamo servire tutti i manufatti alla volta? No, servite la base, e fate i campionamenti su richiesta, ma tenete tutto pronto.
Possiamo compensare l'assenza di una parte dei cassetti? Solo con una spiegabile ragione e un piano di correzione (e tempi).
Cosa c'è di più importante per il regolatore, la politica o le prove? Ci sono sempre prove che dimostrano che la politica funziona davvero.

15) Piano breve di 30 giorni (pista accelerata)

Settimana 1: analisi gap finale, aggiornamento delle regole, misurazione SLO/logi, prenotazione dei revisori.
Settimana 2: raccolta di SBOM/firme/registri di lancio, rapporti di vulnerabilità/pentest, atti DR.
Settimana 3: consolidamento RG/AML/marketing, dashboard di riepilogo, interviste dry-run.
Settimana 4: lancio, Q&A, remediazioni veloci e conferma estensione.

Output breve

Proroga e verifica non sono una singola presentazione di report, ma una regolare dimostrazione di maturità dei processi. Creare un calendario, condurre l'Evidence Map, automatizzare i controlli come codice, mantenere l'osservabilità e il DR in tono. In tal caso, l'estensione passerebbe dal rischio alla routine, mentre l'ispezione sarebbe una fonte di miglioramento e fiducia da parte di regolatori, partner e attori.