Controllo interno e interno

1) Obiettivo e area

Garantire il controllo di sistema, indipendente e riproduttivo dei processi delle Operazioni e della Complaence: conformità a licenze/leggi, affidabilità dei rapporti finanziari e operativi, efficacia del controllo dei rischi (KYC/AML/RG, GDPR/PII, pagamenti/PCI, onestà dei giochi, IB, marketing/affiliati, provider). La sezione specifica i principi, i ruoli, la metodologia, la programmazione dei controlli, il formato dei report e l'ordine di chiusura delle incongruenze.

2) Principi e tre linee di protezione

1 ° linea: proprietari di processi (Transazioni, Pagamenti, Provider di giochi, Marketing/Affiliati, Assistenza) - gestiscono i rischi del day-to-day.
Linea 2: Complaens/Rischio/Sicurezza/DPO - policy, monitoraggio, consulenza, controllo dell'esecuzione.
3 ° linea: Verifica interna (IA) - valutazione indipendente dell'adeguatezza e dell'efficacia del controllo; È responsabile del Consiglio di Sorveglianza/Commissione di Controllo.
Controllo esterno (EA): terzi indipendenti - rapporti finanziari, certificati (ISO/SOCC/PCI), ispezioni dei regolatori.

I principi sono indipendenza, oggettività, prova, riservatezza, focus su rischi e valori, trasparenza e tracciabilità.

3) Separazione IA vs EA

4) Ruoli e RACI

Head of Internal Audit (IA Lead) - strategia, indipendenza, piano/reportage. (A)

Internal Revisors - controlli sul campo, documenti di lavoro, conclusioni. (R)

Process Owners (linea 1) - Fornitura dati/manufatti, CAPA. (R)

Compliance/InfoSec/AML/RG (linea 2) - co-verifiche, metodologie. (C/R)

CFO/Controller - Fincontour, GL, allineamenti. (C)

Legale/DPO - interpretazione delle norme, PII e retensione. (C)

Audit Committee: approva il piano IA, accetta i rapporti, controlla l'indipendenza. (A)

Outernal Auditors/Assessors - eseguono EA; Accesso ai manufatti NDA. (I/R contratto)

5) Pianificazione orientata al rischio

1. Registro dei rischi: probabilità x impatto (finanza/GGR, licenze, reputazione, sicurezza dei giocatori).
2. Mappa dei processi: pagamenti/PSP, portafogli, KYC/AML/KYB, RG, provider di giochi/RTP, marketing/affiliati, IB/GDPR, incidenti/notifiche, rapporti regolatori.
3. La matrice di priorità è High/Medium/Low (quadri/semestre/anno).
4. Scopi, criteri, procedure, campionamenti, risorse, timeline, dipendenze.
5. Approvazione: Il comitato di verifica approva il piano annuale; è consentito ad hoc in caso di incidenti S1/S2.

6) Metodologia: fasi di verifica

A. Verifica (Planning) - Richiesta di documenti, comprensione del processo, valutazione del design di controllo, valutazione dei rischi, programma di test.
B. Fase sul campo (Fieldwork) - interviste, walkthrough, test di progettazione/rapidità, procedure analitiche, ispezione di manufatti, campionamento.
C. Conclusioni e classificazioni: mappatura dei fatti con i criteri; classificazione findings.

Il rapporto

E. CAPE e Follow-up: piano di azione correttiva/di prevenzione, controllo di esecuzione, verifica.

7) Prove e campionamenti

I tipi di prove sono documentali (regole, logi, ticket), fisici (screenshot, configurazioni), orali (interviste), analitici (incroci, trend).
Qualità: sufficienza (volume), appropriatezza (appropriatezza), veridicità (origine).
Campionamenti casuali, sistematici, mirati (risk-based), per anomalie; la quota è determinata dal rischio e dal volume totale.
Tracciabilità: ogni output è associato a un test, il test a una prova (ID univoco); Numerazione completa.

8) Classificazione e classificazione delle discrepanze

Critical (S1): rischio licenza/legge/danni finanziari significativi/PII-breach. È necessaria un'azione immediata, una relazione al Comitato/Consiglio.
High (S2) - Grave difetto di controllo SLA breve per la correzione.
Medium (S3): difetto limitato; il piano di aggiustamento.
Low (S4) - Miglioramenti/osservazioni (ottimizzazione).

La classifica del processo da esaminare è Effective/Generally Efficient with Improvents/Partially Efficient/Ineffective.

9) Documenti di lavoro e retenza

Working Papers: programma, fogli di controllo, campionamenti, protocolli di interviste, prove, calcoli, conclusioni.
Standard di aspetto: indice, versione, proprietario, data, collegamenti ipertestuali agli artefatti, controllo delle modifiche.
Privacy e PII: accesso RBAC, archiviazione crittografata, occultamento dei campi sensibili.
Tempo di conservazione: per policy (in genere 5-7 anni) o più a lungo se richiedono licenze/regolatori.

10) Argomenti di verifica (catalogo IA)

1. Pagamenti/PSP/PCI: auth/decline/marcebacks, alias PAN, registri di accesso, registro fornitori.
2. KYC/AML/KYB: completezza e precisione di KYC, RER/sanzioni, tempo SAR/TR, qualità delle indagini, gestione delle valigette.
3. Gioco responsabile (RG): limiti/auto-esclusione, procedure di contatto, efficacia degli interventi, restrizioni pubblicitarie.
4. GDPR/PII/DPO: registro dei guadagni, DSAR, incidenti di privacy, contratti di elaborazione.
5. Provider di giochi/onestà: RTP draft, round incidenti, sincronizzazione bilanci, versioning RNG/bilanci.
6. Marketing/Affiliati: rispetto dei vincoli creativi/mirati, attribuzione, contratti, pagamenti.
7. Processi di incidente: tempo prima della dichiarazione (TTS), tempestività delle notifiche ai regolatori, completezza degli artefatti.
8. Report regolatori: schemi, deadline, DQ, accoppiamento con GL/PSP.
9. Controllo IT/IB: disponibilità, SOD, modifiche/release, registri di controllo, backup, DR/BCP.

11) Formato report IA (modello)

Riepilogo esecutivo: volume, obiettivi, rating, conclusioni chiave e rischi.
Contesto: processo/sistema/giurisdizione, periodo, requisiti applicabili.
Metodologia e restrizioni (se presenti).
Le conclusioni dettagliate sulla priorità sono il fattore , il rischio e l'impatto della raccomandazione.
La tabella CAPE è il proprietario, le fasi, i tempi, le metriche di successo.
Applicazioni: campionamenti, diagrammi, registro delle prove, glossario.

12) Interazione con revisione esterna (EA)

Rapporti finanziari: preparazione di GL, accoppiamenti, conferme da PSP/banche/provider, e-mail di gestione.
Certificazione/valutazione di conformità: ISO 27001/9001, SOC2, PCI DSS, ispezioni di settore dei regolatori.
Ruolo IA: pre-assessment (gap-analisi), supporto delle query, accelerazione del CAPE, evitare duplicazioni.
Trasparenza: un'unica vetrina di manufatti, calendario delle visite, regole di accesso, NDA.
Comunicazioni: stand regolari «EA readover», punto di ingresso è AuditCoordinator.

13) CAPE e controllo di esecuzione

Piano CAPA: passi specifici, metrica, proprietario, scadenza, sistemi/comandi dipendenti.
Verifica: prove di implementazione (screen, login, criteri, risultati dei test), data, revisore responsabile.
Escalation: S1/S2 - update obbligatorio per il Comitato; I ritardi sono «zona rossa» del dashbord.
Modifica della valutazione del rischio: dopo il successo del CAPE, rivedere il rischio residuo e la frequenza dei controlli.

14) Dashboard di controllo (controllo di gestione)

Stato del piano:% completamento per quartieri e direzioni.
Portafoglio findings per gravità e ritardo.
CAPE progress: completato/in corso/scaduto, orari medi di chiusura.
Mappa termica dei processi: rischio/efficacia dei controlli pre/post CAPE.
Rilevazioni ripetute: indicatore dei problemi di sistema.

15) Prescrizioni etiche e indipendenza

Conflitti di interesse: i revisori non controllano le attività operative precedenti in 12 mes; dichiarazione di conflitti.
Accesso ai dati solo secondo il principio «minimo necessario»; Divieto di copia personale PII.
Comunicazione: termini neutrali, mancanza di un tono «accusatorio»; i fatti prima delle interpretazioni.

16) Assegno fogli

Avvio del controllo

• Obiettivi/criteri/limiti definiti.
• I manufatti sono stati richiesti e ricevuti, i formati e i tempi concordati.
• Indipendenza confermata, nessun conflitto.
• Il programma di test e campionamento è stato approvato.

Fase sul campo

• Sono stati effettuati walkthrough e interviste con key-roles.
• Test di progettazione ed efficienza operativa.
• È stato creato un registro delle prove con ID/link.
• Breef intermedio ai proprietari del processo (nessuna sorpresa in finale).

Report e CAPE

• I fatti sono concordati, le controversie sono risolte.
• Conclusioni classificate (S1-S4), rischio/impatto valutato.
• Un piano CAPE con proprietari e scadenze approvato.
• Le date follow-up sono inserite nel calendario.

17) Modelli di artefatto (inserimento rapido)

Elenco di documenti/download/accessibilità con deadline (PBC).
Test Sheet - Controllo, procedura di campionamento, risultato, prova e conclusione.
Finding Card: codice, titolo, descrizione, rischio, impatto, causa (root cause), raccomandazione, livello S, proprietario, scadenza.
CAPE Sheet: passo, metrica, artefatti di conferma, data, verificato.

18) Errori frequenti e come evitarli

I ruoli dell'IA e della linea 2 sono stati violati. Decisione: rendicontazione dell'IA direttamente al Comitato.
Insufficiente tracciabilità delle prove, scarsa protezione delle conclusioni. Soluzione: registro unico e numerazione.
«Caccia alle incongruenze» invece di valutare il rischio e il valore. Soluzione: attivazione dei rischi e priorità.
CAPA surriscaldato senza risorse. La soluzione: obiettivi SMART e limite WIP.
Ignora i dati di qualità/freschezza durante la verifica dei report. Soluzione: foglio di assegno DQ.

19) Avvio rapido (implementazione in 30 giorni)

Settimana 1: approvare la carta IA (mandato/responsabilità), effettuare una valutazione dei rischi, redigere una bozza del piano annuale.
Settimana 2: avvia modelli (PBC, Test/Finding/CAPE sheets), configura il registro prove e il dashboard degli stati.
Settimana 3: eseguire 2 verifiche pilota «moduli brevi» (ad esempio PSP/PCI e RG/DSAR), rilasciare report, registrare CAPE.
Settimana 4: condurre i piloti follow-up, modificare la metodologia, portare il piano annuale per l'approvazione del Comitato, concordare un calendario di verifiche/certificazioni esterne.

• Report di regolazione e formati di dati
• Notifiche di violazioni e tempi di segnalazione
• Dashboard della compilazione e monitoraggio
• Playbook e script di incidenti
• Gestione delle crisi e comunicazione
• Piano di business continuity (BCP )/DRP
• Registri controllo operazioni