Monitoraggio e regole AML

1) Obiettivi di monitoraggio AML e principio RBA

• Individuazione precoce dei pattern place → layering → integration.
• Riduzione dei rischi regolatori e di pagamento (banche/PSP, schemi di carte).
• Coerenza con risk-based approach (RBA) - La profondità del controllo e la velocità di risposta dipendono dal profilo cliente/geo/prodotto e dalla somma.

2) Mappa dei rischi: Cosa prendiamo in considerazione nel modello

Rischio client (KYC): età dell'account, Tier/KYC/EDD, SoF/SoW, PEP/adverse media.
Geo/giurisdizione - sanzioni, alto rischio FATF, rotte cross-border.
Metodi di pagamento: carte (MCC 7995), A2A, portafogli, cripto (ingresso/uscita).
Il comportamento e il grafico delle relazioni sono condivisi IP/dispositivi/strumenti di pagamento (multiaccount/muli).
Transazioni e movimento degli strumenti: velocity, somma, frequenza, time-to-withdrawal.
Contesto di gioco: depositi, breve attività di output; rendimenti anomali delle sessioni.

3) Architettura di monitoraggio AML (online + offline)

1. Raccolta eventi in tempo reale: depositi, tassi, conclusioni, trasferimenti, modifiche KYC/KYB, alert antifrode.
2. Rule Engine (≥ 50-150 ms per soluzione): trigger di blocco/hold/escalation.
3. Livello Screening/ML: rischio-score composito, segni grafici (muli, «fattorie» account).
4. Sistema case (Case Management) - Priorità, assegno fogli, timeline, allegati.
5. DWH & report: aggregazioni, trend, KPI, addestramento modelli.
6. Integrazioni: KYC/KYB, PSP, provider KYT (crypto), screening sanzionatorio, Travel Rule.

4) Libreria regole (kernel)

1. Structuring/Smurfing

Un sacco di depositi appena sotto il limite di gelosia/SoF in una finestra breve.
Il giro molto frammentato → un rapido output su diversi oggetti.

2. Rapid In–Out / Short Dwell

Il deposito di un gioco minimo o nullo è un output rapido (T + 0/T + 1).
L'importo dell'output non corrisponde al profilo dei redditi del giocatore.

3. Mule/Proxy Use

Uno «device/IP» supporta più account con pagatori diversi.
Carte/portafogli condivisi tra account indipendenti.

4. Layering attraverso la metodologia

Catene A2A/portafogli/cripto con conversione valuta e trasferimenti tra portafogli secondari.

5. Bonus Abuse (AML-rilevante)

Cluster di rete account, depositi sincronizzati per importi minimi, rapido recupero bonus.

6. High-Risk Geo / PEP / Adverse Media

Transazioni client con etichette EDD o su corrispondenza sanzionatoria a comparsa.

7. Aggregatore di marcatura

Serie di depositi con ulteriori charjbeek e puntuali «addebiti».

8. Anomalie crypto-on/off-ramp

Accesso/uscita da indirizzi ad alto rischio (mixer, darknet, cluster), «risk _ score» alto provider KYT.

5) Parametri e soglie (esempio di normalizzazione)

Velocity: depositi ≥ N per 24h; mezzi di pagamento unici per M.
Time-to-withdrawal - Percentuale delle conclusioni del ≤ T minuti dopo il deposito.
Strutturing: la quota di eventi di pagamento nell'intervallo «[threshold - ehi, threshold)» in 7 giorni.
Graph: degree (device/IP/card)> Quantil 99 percentile; vicinanza ai cluster noti (embedding).
KYT (kripto): indirizzo/borsa con la categoria di rischio ≥ R; connessioni tra due hop e entità proibite.
Geo risk: operazioni da/a paesi ad alto rischio o sanzioni.

Le soglie sono adattive: diminuiscono per i nuovi account/geo ad alto rischio e aumentano per i clienti con storia pulita e Tier2 +.

6) Esempi di regole (pseudo-SQL)

sql
-- Rapid In-Out: Deposit → Quick Withdrawal
IF sum(withdraw. amount WHERE ts BETWEEN now()-1d AND now()
AND withdraw. time_from_last_deposit <= 30m) >= X
AND gameplay. activity_score <= Y
THEN ALERT('RAPID_IN_OUT')

-- Structuring: SoF threshold crushing
IF count(deposit WHERE amount BETWEEN (S-δ) AND (S-1)
AND ts BETWEEN now()-7d AND now()) >= K
THEN ALERT('STRUCTURING')

-- Mule network: a common device/card for ≥ N accounts in 14 days
IF distinct(accounts USING device_id OR card_token) >= N
THEN ALERT('MULE_NETWORK')

-- Crypto KYT: Address/Exchange Risk
IF kyt_risk_score >= R OR kyt_exposure_to_mixer <= 2_hops
THEN ALERT('KYT_HIGH_RISK')

7) Priorità e routing degli alert

Severity: High (sanzioni/CUT high risk/PEP + anomalia), Medium (rapid in-out/strutturing), Low (velocity senza output).
Routing: linea Investigations L1/L2/L3, escalation nella compilation/ufficio legale.
High - analisi di 4 ore; Medium — ≤ 24 ч; Low - ≤ 72 ore.
Azioni: temporary hold/limit, richiesta di documenti (SoF/EDD), blocco, SAR/TR.

8) Indagini: processo e manufatti

• Profilo client (KYC tiers, SoF/SoW, PEP/sanctions, cronologia).
• Timeline: depositi/giochi/conclusioni, dispositivi IP, geo, account di collegamento.
• Identificatori di pagamento: PSP ids, ARN/RRN, portafogli/indirizzi.
• Report KYT (crypto): percorso dei fondi, cluster a rischio, etichette di borsa.
• Risultato: Approve/Close, EDD & monitor, Freeze & Report.

Comunicazione con il client: modelli di query SoF/documenti, tempi di risposta, conseguenze del mancato rilascio.

9) SAR/TR e interazione con il regolatore/partner

Criteri di presentazione: sospetto fondato di riciclaggio/finanziamento/violazione delle sanzioni.
Il contenuto è una breve descrizione, i fatti e la timeline, gli importi/informazioni, la comunicazione con gli schemi noti, le misure, il contatto con il responsabile.
I tempi dipendono dalla giurisdizione (spesso «senza fretta» dopo aver stabilito il sospetto).
Privacy: impedisce al cliente di informare su un fatto SAR (tipping-off).
Interazione con Equayer/PSP: trasferimento di risk intelligence (nel quadro del contratto e della legge).

10) Sanzioni e monitoraggio vs AML

Sanzione/PEP/Adverse Media screening - Filtro personalità/società.
Monitoraggio AML - Filtro di comportamenti e transazioni.
Sono complementari: il successo delle sanzioni aumenta la priorità degli alert AML e la triguerite EDD/hold.

11) Flussi cripto: KYT, Travel Rule, off-/on-ramp

KYT (Know Your Communication) - Provider di rischio per indirizzi/borse, traccia on-chain, categorizzazione delle origini/destinatari.
Travel Rule - Condivisione degli attributi del mittente/destinatario tra VASP per le traduzioni di soglia (se applicabile).
Off-/On-ramp policy: white-list borse/provider, divieto di siti P2P ad alto rischio, limiti di importo/frequenza, hold per le conclusioni primarie dopo l'ingresso del cripto.

12) Metriche, controllo qualità e rischio modello

• Alert Precision/Recall (etichette manuali per valigetta).
• Percentuale di alert High chiusi in SLA.
• Tempo medio di indagine (p50/p95).
• SAR-conversione (alert-report).
• Alert ripetuti per gli stessi cluster (recordrence).
• Quota di blocchi falsi (effetto sulla conversione).

Convalida dei modelli/regole: backtesting, stabilità dei segni, deriva (PSI), regolamenti ogni trimestre, controlli indipendenti ogni anno.

13) Controllo e responsabilità (governance)

Criterio AML: ruoli (MLRO/Head of Compliance), soglie, geo-matrice, elenco delle sorgenti proibite.
Cambio-control: RFC sulle nuove regole/soglie, registro delle modifiche, A/B-valutazione dell'impatto sul business.
Formazione annuale, test di conoscenza, libreria di valigette.
Controllo e recensione: conservazione di valigette/soluzioni/dati in base ai requisiti (in genere 5 + anni), storage protetto, accesso RBAC.

14) Anti-pattern

«Una taglia per tutti» è la stessa soglia per tutti i paesi/metodi/clienti.
Il monitoraggio reattivo senza internet è un controllo di localizzazione.
L'assenza di un conte di analisi non è stata catturata dai multi - scout/mula.
Ignora KYT/Travel Rule durante i flussi di cripto.
Non c'è una SLA chiara sulle indagini. Gli alert stanno scavando il «dovere».
Nessuna comunicazione tra AML e KYC/KYB/Payments Orchestrator (nessun hold/limite sul filo).

15) Assegno-foglio di implementazione

• Risk Assessment: mappa dei rischi per client/geo/metodi/prodotti.
• Rule Engine online + libreria di regole (strutturing, rapid in-out, mule, KYT, geo).
• Schoring/ML + segni grafici; calibrazione delle soglie e priorità.
• Sistema case con modelli, timeline, scontrini e SLA.
• Integrazioni: KYC/KYB, sanzioni/RER, PSP, KYT, Travel Rule.
• Processi SAR/STRR, playbook «Freeze & Report», disabilitazione tipping-off.
• Metriche di qualità (precision/recall, SLA, SAR-conversion), dashboard e alert.
• Gestione delle modifiche e test indipendenti annuali.
• Criteri di archiviazione/accesso ai dati, crittografia, controllo.
• Formazione dei comandi (Payments/Risk/Compliance/Support) e esercitazioni regolari.

16) Riepilogo

Il monitoraggio AML in linea è un Rule Engine + ML/Conte in linea, collegato a CUS/COVE/sanzioni/CUT, chiare indagini SLA, disciplina SAR/STRR, e calibrazione costante delle soglie a rischio reale. Questo tracciato taglia il riciclaggio, mantiene le infrastrutture dei partner nella Green Zone alle banche/PSP e non colpisce quasi mai la conversione di giocatori in buona fede.