Licenza MGA

1) Panoramica e posizionamento

La MGA (Malta Gaming Authority) è uno dei regolatori più riconosciuti al mondo. La licenza è apprezzata dalle banche/PSP e dai fornitori di contenuti grazie all'elevato standard di due diligence, al rapporto responsabile con RG/AML e alle tecnologie mature per l'infrastruttura e la SDLC. Adatto per la strategia europea e portafogli internazionali di marchi/provider.

• Operatori B2C che costruiscono reputazione a lungo termine e accesso ai binari di pagamento (carte, A2A/open banking, metodi locali tramite partner PSP).
• Piattaforme B2B/studi/aggregatori che si integrano con molti operatori e mercati.

2) Tipi di licenze e perimetro

2. 1 B2C (operatori)

Perimetro: fronte/back office, cassa e pagamenti, onboarding/CUS, strumenti RG, contratti di contenuti/PSP/KYC, pubblicità/affiliati, completa regolamentazione e rendicontazione fiscale. Sono possibili verticali diverse (casinò, scommesse, live, poker, bingo, ecc.).

2. 2 B2B (fornitori)

Perimetro: piattaforma, aggregazione di contenuti, studio, studio live, API/SDK, hosting/integrazione, SDLC/release, SLA ed esportazione di riviste/metriche per gli operatori.

3) Requisiti per il richiedente: nucleo due diligence

Beneficiari e Key Persons: struttura di proprietà trasparente, Source of Funds/Wealth, inappropriatezza/reputazione, qualifiche rilevanti (specialmente per MLRO/AMLO, DPO, RG-Lead, Head of Compliance/Platform/SRE).
Regole e procedure: AML/CTF (risk-based), Respontible Gaming, pubblicità/affiliati, protezione dei dati (GDPR + DPIA), incidenti e risposte di bricca, DR/BCP, gestione dei venditori.
Basi contrattuali: contenuti (studi/aggregatori), PSP e banche, CUS/provider di sanzioni, hosting/revisori/laboratori, SLA/OLA.
Sostenibilità finanziaria: riserve/garanzie sui pagamenti, piano di rendicontazione fiscale e regolamentare.
Architettura IT: residenza/flussi di dati, segmentazione di rete, SDLC/release sicure, osservabilità, logica, piani DR/BCP.

4) Standard tecnici e controlli IT (essentials)

SDLC e fornitura: staging-pipline, controllo delle modifiche, SBOM, firma di manufatti, politica di riparazione, «no humans in prod», registro di rilascio provabile.
Osservabilità (Observability): logi/metriche/tracciabili completi (OTEL), SLO/SLI (latency p95/p99, error-rate), controlli sintetici deposito/CUS/output, ritocchi dei logi sotto controllo.
Sicurezza: crittografia in transito/at-rest, KMS e gestione dei segreti, SSO/MFA/PAM, segmentazione, WAF/bot management, gestione delle vulnerabilità (SAST/SCA/DAST), pentest regolare.
Dati e GDPR: DPIA per le operazioni ad alto rischio, riduzione del PI/PAN, controllo delle disponibilità e dei registri, procedure DSR (access/erasure/portability) e tempi di risposta, regole di conservazione/rimozione.
DR/BCP: backap, test di restore periodici, obiettivi RTO/RPO dichiarati e atti di esercitazione.

5) AML/KYC и Responsible Gaming

Risk-Based AML/CTF: profili client/geo/metodi, screening RR/sanzioni, trigger EDD, monitoraggio transazioni (velocity/anomalie), procedure SAR/START.
KYC: età/identità/indirizzo, re-KYC per trigger e periodico, valutazione del documento/selfie/livestatus (secondo il modello del provider).
I limiti di deposito/perdita/tempo, timeout e autosufficienza (inclusi i registri nazionali), realtà-assegni, trigger comportamentali e interventi di telemetria dimostrabile.

6) Pubblicità e affiliati

Barriere all'età (18 +/21 + sul mercato), promo T&C trasparente, limitazioni alla creatività e alla frequenza di visualizzazione, vietando dichiarazioni ingannevoli.
Controllo degli affiliati: responsabilità contrattuali RG/AML/dati, White Feed List, controllo dei creativi, foglio di stop e tracciabilità del traffico.

7) Tasse e rapporti (in termini generali)

La base fiscale è solitamente costruita intorno alla GGR con i dettagli richiesti in verticale e regolazioni (bonus/jackpot).
Rapporti regolatori: rapporti periodici su finanza, RG-metriche, denunce/incidenti, modifiche organizzative/Keu Persons.
Contabilità fiscale: sincronizzazione con dati PSP/banche e registri giochi/pagamenti.

(i tassi/incassi specifici dipendono dalle normative attuali e dalla struttura aziendale - devono essere aggiornati al momento della preparazione del pacchetto).

8) Processo di licenza: fasi e linee di riferimento

1. Pre-fit & Gap-analisi (1-8 settimane): mercato/verticale target, scheda dei provider (contenuti/PSP/KYC), controllo della preparazione IT, piano di rimediazioni.
2. Pacchetto di documenti (4-12 settimane): società/finanza/Keu Persons, policy, contratti, architettura IT, DR/BCP, report di vulnerabilità/pentest.
3. Fornitori/certificati (4-16 settimane): laboratori per software/integrazioni (se necessario), SDLC/osservabilità/sicurezza/atti DR.
4. Esame e Q&A: domande su beneficiari/policy/IT/dati, interviste di Key Persons, dimostrazioni di riviste/dashboard/procedure.
5. Rilascio e messa in servizio (2-6 settimane): inclusione di report, onboording PSP/contenuti, dry-run RG/AML/script di pagamento.
6. Obblighi post-licenza: rapporti periodici e verifiche, rinnovo e variazioni della licenza.

9) Pro e contro MGA

Vantaggi

Una forte reputazione delle banche/PSP e dei venditori di contenuti.
Processi prevedibili e standard maturi (meno sorprese nelle verifiche).
Comodo per strategie multibrand e portafogli B2B.
Aumenta la capitalizzazione e la fiducia dei soci/investitori.

Contro

TCO più elevato e durata della preparazione rispetto alle modalità «leggere».
Requisiti severi per la validità dei processi: i criteri cartacei non vengono applicati.
Disciplina rigorosa della pubblicità/affiliazione e rendicontazione.

10) Quando scegliere MGA

• Abbiamo bisogno di un accesso stabile all'ecosistema dei pagamenti e ai contenuti top.
• L'obiettivo è la crescita europea a lungo termine e la multi-censura.
• Pronti per una cultura SDLC/osservabilità/sicurezza e «evidence-first» matura.

• L'obiettivo è un MVP ultra-veloce con budget minimo.
• Il geofocus è lontano dai mercati/provider riconosciuti, dove MGA offre il valore più alto.

11) Assegno fogli pronti

11. 1 Definition of Ready (prima dell'alimentazione)

• Perimetro selezionato (verticale/geo) e realtà dei pagamenti confermata (PSP/metodi).
• Assegnati Key Persons (MLRO/AMLO, DPO, RG-Lead, Head of Compliance/Platform/SRE), raccolti da SoF/SoW.
• I criteri AML/RG/pubblicità/dati/incidenti/DR sono stati approvati; C'è una rivista di revisioni e corsi di formazione.
• SDLC: firme di manufatti e SBOM, registro dei lanci, criterio di ripristino, no humans in prod.
• Osservabilità: dashboard SLO/SLI, controlli sintetici deposito/CUS/output, ritocchi dei logi.
• Pentest/scan sono chiusi (critical/high senza eccezioni scadute).
• I contratti con i provider (contenuti/PSP/KYC/laboratori/hosting) sono stati concordati.

11. 2 Definition of Done (dopo il rilascio)

• Attivazione dei rapporti regolatori e fiscali i proprietari di KPI sono assegnati.
• L'onboording PSP/contenuto è completato; webhooks firmati (HMAC), idempotici e DLQ funzionano.
• Gli strumenti RG sono attivi; sono in corso la telemetria degli interventi e il registro delle decisioni.
• DR/BCP: test di restore (RTO/RPO) eseguiti e documentati.
• Tracciato di affiliati/pubblicità: white list, controllo dei creativi, procedure di stop.

12) Road map per 90-180 giorni (esempio)

Mese 1-2: analisi gap, destinazione Key Persons, avvio di remediazioni SDLC/osservabilità/sicurezza, prenotazione di laboratori.
Mese 2-3: raccolta di pacchetti aziendali e policy, pentest/scan, atti DR, contratti con i provider.
Mese 3-4: lancio, preparazione per Q & A/interviste, dimostrazioni dry-run (dashboard, riviste, script RG/AML).
Mese 4-6: Q & A/variazioni, finalizzazioni, onboarding PSP/contenuti, accensione report.

13) RACI (esempio per il programma di licenza)

14) Rischi tipici e come ridurli

15) FAQ (breve)

È possibile combinare B2B e B2C? Sì, separando licenze, processi e registri.
È necessario un hosting locale? Sono ammessi modelli diversi, ma sono importanti la residenza e i flussi di dati controllati, il DR e il controllo dei logi.
Cosa c'è di più importante, politica o prove? È sempre la prova della politica.
Quando ti prepari per il rinnovo? Guida Evidence Map continuamente; 60-90 giorni prima della deadline - formazione formale.

Output breve

La licenza MGA è un biglietto di ingresso per l'ecosistema dei pagamenti e dei partner, ma i costi sono processi maturi e controlli IT dimostrabili. Costruisci una cultura «evidence-first» (SDLC/osservabilità/sicurezza, RG/AML, DR, pubblicità/affiliati), mantieni la disciplina dei rapporti e prenoti in anticipo i laboratori/revisori, così che la licenza maltese diventi una base sostenibile per scalare e aumentare la capitalizzazione.