Elenchi di revisione e gelosia

1) Destinazione

• La comparabilità dei controlli tra comandi e periodi
• completezza e dimostrazione dei risultati;
• Gestione trasparente delle patch e dei controlli ripetuti.

2) Ruoli e RACI

Owner: Head of Compliance/Head of Internal Audit - metodologia, versioni degli checchisti. (A)

Process Owners (linea 1): self-assessment, manufatti, CAPA. (R)

Compliance/InfoSec/AML/RG (linea 2): peer-review, co-verifiche, interpretazione delle norme. (R/C)

Internal Auditel (linea 3) - Ruote indipendenti, classificazioni, follow-up. (R)

Gestione (Exec Sponsor) - Approvazione delle conclusioni e delle risorse per la CAPE. (A/C)

3) Tipi di gelosia

1. Self-Assessment (SA): gestori di processi mensili/trimestrali su brevi listini.
2. Peer-Review (PR) - Controllo incrociato dal comando adiacente (senza conflitto di interessi).
3. Gestione Review (MR): una volta al trimestre - recensione di KPI/KRI, trend e CAPE non aperti.
4. Internal Audit Review (IA) - Verifica indipendente del piano IA.
5. EAR - Preparazione delle certificazioni/ispezioni (ISO/SOCC/PCI/Regolatore).

4) Regole generali di checclist

ID: CL- <code >/Version: v <MAJOR. MINOR >/Owner: <role>
Область: <KYC/AML/RG, GDPR/PII, Payments/PCI, Games/Providers, Reporting, Incidents...>
Frequency: M     Q      Ad-hoc
Material: <criteria for High/Medium/Low>
Sampling: <method and size>
Evidence: <list of files/screenshots/logs>
Question List: [X] Yes [] No [] N/A + Comment + Artifact + Severity
Bottom line: Score/Rating/CAPA

• Fully Met (100–90%) / Largely Met (89–75%) / Partially Met (74–50%) / Not Met (<50%).
• Severity discrepanze: S1 critico/S2 alto/S3 medio/S4 basso.
• Materiali: effetto monetario (GGR/NGR), copertura clienti/PII, rischio licenza/multa, impatto sull'integrità dei giochi.

5) Catalogo degli assegni (scheletri con checkpoint)

CL-KYC-01 — KYC/KYB

• Criteri e livelli di verifica approvati e aggiornati.
• I provider KYC hanno contratti/DPA in vigore.
• I controlli SLA vengono rispettati (metrica D-1).
• I documenti vengono memorizzati in base alla retinenza. accesso - RBAC.
• Guasti/escalation documentati; FP è normale.
• KYB per i partner: estratti conto/beneficiari aggiornati.

Prove: caricamento di stati KYC, registro DPA, registro di accesso, sample di 25 valigette.

CL-AML-02 — AML/CFT

• La politica AML aggiornata e la metodologia di campionamento dei rischi.
• Controlli RER/sanzioni on-boarding e periodicamente.
• SAR/STRR vengono inviati entro la data prevista; C'è la conferma del ricevimento.
• Qualità delle indagini: completezza, timing, chiusura.
• Monitoring rule coprono velocity/strutturing/muli.
• Test no tipping-off: nessuna notifica client SAR.

Prove: valigette SAR/TR, fogli di controllo delle sanzioni, resoconti dell'orario di chiusura dei casi.

CL-RG-03 - Gioco responsabile

• Il registro dei limiti/auto-esclusioni è sincronizzato (registro/nac. sistema).
• Trigger di vulnerabilità → contatto SLA; modelli di comunicazione.
• L'efficacia degli interventi viene misurata e analizzata.
• Pubblicità/bonus sono conformi alle restrizioni del mercato.
• RG-incidenti e notifiche al regolatore entro il termine.

Prove: loghi self-exclusion, comune. modelli, metriche outreach.

CL-PCI-04 - Pagamenti/PCI

• Segmentazione PCI e inventario PAN/CHD aggiornato.
• Tokenizzazione/crittografia in transito/at-rest; Le chiavi saltano.
• Auth-rate/decline/latency per PSP nelle soglie; percorsi fallback.
• Chargeback process e la base di prova per i display.
• Le vulnerabilità delle scene ASV sono state eliminate entro il termine.
• I registri di accesso all'area di pagamento sono completi e invariati.

Le prove sono: diagrammi network, report ASV, valigette changebacks, criteri KMS chiave.

CL-GAMES-05 - Provider di giochi/onestà

• Contratti e tecnologie. Specifiche aggiornate le versioni RNG/Bilanci sono nel registro.
• Monitoraggio RTP-drivt e soglie di reazione; freeze è vincolato proceduralmente.
• Sincronizzazione dei bilanci round/sessione/portafoglio.
• Incidenti del provider: timeline, fissazione, compensi ai giocatori.
• Rapporti al regolatore onestà/RTP - consegnati e confermati.

Prove: scaricare RTP, i logi API del provider, esempi di freeze-ticket.

CL-RAP-06 - Report regolatori

• Calendario deadline: stato «pronto/inviato/accettato».
• Gli schemi di dati sono versionizzati; i file sono firmati/con hashtag.
• Recordation: portafoglio ↔ PSP ↔ GL senza discrepanze> X%.
• Le conferme di ricezione (ID/ricevute) sono salvate e sono associate a manufatti.
• Localizzazione/lingua rispettata.

Prove: dashboard deadline, ricevute, controlli SQL.

CL-INC-07 - Incidenti/notifiche

• TTS (primo messaggio) SLA S1/S2.
• Notifiche DPA/Regolatori/PSP/CERT - in tempo, con conferme.
• Interezza degli artefatti: timeline, fogli, messaggi, elenchi dei soggetti interessati.
• Retro 7 giorni, CAPA registrato e muoversi.
• I compensi ai giocatori sono stati assegnati secondo la politica.

Prove: registro degli incidenti, status page, pacchetti di manufatti.

CL-GDPR-08 — GDPR/PII

• Il registro dei guadagni è valido; le basi legali sono corrette.
• DSAR chiudono per 30 giorni; I ritardi sono stati spiegati.
• DPIA sono stati eseguiti per processi ad alto rischio.
• Alias/maschera durante il caricamento e il report.
• Contratti con processori e SCC in vigore.

Prove: RoPA, diario DSAR, DPIA, esempi di maschere nei rapporti.

CL-ITGC-09 - Controlli IT comuni

• Gestione delle modifiche: processo PR, test, approvals, separazione of duties.
• Disponibile: RBAC/ABAC, revisione periodica, off-boarding 24 ore
• Backup/ripristino, test periodici DR.
• I loghi di verifica sono invariati, la retensione viene rispettata.
• Osservabilità: SLO/budget errati, alert per metriche critiche.

Prove: campionamenti PR, fogli IAM, rapporti di test DR, regole di reticenza.

6) Metodologia di campionamento e prova

Dimensioni: concentrarsi sul volume di operazioni e sul rischio (ad esempio, min 25, pps/stratificazione per array di grandi dimensioni).
Metodi: casuale, sistematico, direzionale (anomalie/casi di bordo), per periodi di picchi.
Sufficiente: almeno 2-3 sorgenti indipendenti per output chiave (fogli, screenshot, caricamento, ticket).
Tracciabilità: ogni voce di un checklist è una prova con un ID e un riferimento nel registro.

7) Rubricatore di ascolti di gelosia

Effettiva - Il controllo è stato progettato e funziona stabilmente, non ci sono incongruenze S1/S2.
Generally Efficient (con miglioramenti) - c'è S3/S4, ma i rischi sono sotto controllo.
Partially Efficient - S2 di sistema alto rischio residuo.
Ineffettiva - S1/molti S2; è necessario un piano di ripristino immediato.

8) CAPA и follow-up

Per ogni finding, l'effetto radice è il proprietario della durata del di successo.
SLA di chiusura: S1 - 30 giorni; S2 - 60 giorni; S3 - 90 giorni; S4 - in accordo.
Verifica: il revisore applica le prove di implementazione (screen/login/criteri) e cambia lo stato in Verified.
Escalation: ritardo S1/S2 - al Mr. settimanale, al comitato di verifica trimestrale.

9) Manufatti di lavoro (modelli)

9. 1 Chequlist (foglio di controllo)

9. 2 Finding Card

Codice Titolo Fatto Criterio Rischio/impatto Causa (root cause) Raccomandazione livello S.

9. 3 CAPA Sheet

Finding Passaggi Il proprietario del La data di scadenza di Metrik/la soglia di prova Stato di Data di verifica.

9. foglio PBC 4 (Provided By Client)

Query Formato Sorgente Responsabile Deadline Ricevuto (data) Commenti.

10) Dashboard geloso

Coverage: il% dei processi coperti dalla gelosia durante il periodo.
Distribuzione S1-S4 Findings by Severity.
CAPE Progress: completato/in corso/scaduto; La mediana dell'orario di chiusura.
Repeat Findings: percentuale di ripetizioni per 12 mes.
TimeloverRispetto del grafico SA/PR/MR/IA.
Effettueness Trend - Altoparlanti di classificazione per area.

11) Calendario e frequenze

Monthly: SA su KYC/Payments/GDPR DSAR, incidenti/notifiche.
Quarterly: PR per AML/RG/Provider/Reporting, MR per tutte le direzioni.
Semi-Annual/Annual: IA per zone ad alto rischio; EAR prima delle certificazioni/ispezioni.

12) Assegno-carta di avvio rapido (7 punti)

KYC (7-point): criteri Provider/DPA SLA Code> SLA RBAC Guasti/escalation Report FP.
AML (7-point): elenchi RER/sanzioni SAR Tempi Qualità delle indagini Velocity/stratturing No tipping-off Training Caseboard KPI.
RG (7-point): Registro/sincronizzazione Contatti in SLA Efficacia Limitazioni pubblicitarie Denunce Incidenti Report al regolatore.
PCI (7-point): segmentazione Chiavi/rotazione ASV/Woln Registri di accesso Tokenization Marcebacks Fallback PSP.
Games (7-point): RTP-drivt Freeze procedura Bilanciamento-sincroni Incidenti provider Versione RNG/Bilanci Report API SLA.
Reporting (7-point) - Calendario Schemi/versioni Firma/asciugatura Lingua/locale Ricevute metriche DQ.
Incidents (7-point) - Notifiche TTS entro la data di Completezza dei manufatti di Compensazione Retro CAPO Dashboard.

13) Errori frequenti e come evitarli

Senza prove, tutti i punti richiederanno un artefatto ID.
La valutazione senza materiale fissa le soglie nella tessera di checklist.
La duplicazione SA/PR/IA consente un calendario coerente e un unico registro delle richieste (PBC).
«Documentocentrismo» senza test di operatività può sempre prendere un campione di operazioni.
CAPA senza metriche i risultati misurabili (ad esempio, DSAR da 30 giorni a 98%).

14) Piano di implementazione (30 giorni)

Settimana 1

1. Approva metodologia e scala di rating.
2. Crea otto assegni di base (CL-KYC/AML/RG/PCI/GAMES/REX/INC/GDPR).
3. Registra il registro degli artefatti e i modelli PBC/Finding/CAPE.

Settimana 2

4. Condurre il pilota SA in 2 processi e PR in 1 processo.
5. Configura il dashboard con la gelosia e la rivista CAPA.
6. Dare una formazione su «prove e campioni».

Settimana 3

7. Sessione EAR relativa alla certificazione/ispezione più vicina.
8. Concordare il programma MR/IA per il trimestre.
9. Fissa le soglie di materiale e le dimensioni dei campionamenti.

Settimana 4

10. Rilascia v1. 0 cataloghi di scontrini e schede di calendario.
11. Esegui il pilota retrò, aggiorna le versioni degli scontrini (v1. 1).
12. Abilita la gelosia nel KPI dei proprietari di processi.

15) Partizioni correlate

Controllo interno e interno

Report di regolazione e formati di dati

Notifiche di violazioni e tempi di segnalazione

Dashboard della compilazione e monitoraggio

Playbook e script di incidenti

Gestione delle crisi e comunicazione