AMLポリシーとマネーロンダリング対策
1）目的および適用範囲
AMLポリシーの目的は、マネーロンダリングやテロ資金調達を防止し、規制要件の遵守を確保し、プラットフォーム、プレイヤー、パートナーを保護することです。このポリシーは、グループのすべての法人、従業員、アウトソーシングチーム、および第三者（PSP、アフィリエイト、コンテンツプロバイダー）がキャッシュフローおよび顧客データとやり取りすることに適用されます。
適用範囲：- 製品：カジノ/賭け、P2P転送、トーナメント、ボーナス/キャッシュバック、マーケットプレイスのサービス。
- チャンネル：ウェブ、モバイルアプリケーション、API統合、暗号オン/オフランプ。
- 地理：地域の要件を考慮して、すべての国/州が提供されています。
2）規制支援と原則
ポリシーの基本は、FATF勧告（リスク指向アプローチ、KYC/KYB、制裁、監視、報告）、ローカルAML/CFT法（ヨーロッパ-AMLD指令、英国-MLR、米国-BSA/Patriot法など）、およびデータ保護要件（GDDPR/similar）。
基本原則：- RBA（リスクベースのアプローチ）：リソースはより高いリスクに重点を置いています。
- 比例：対策は顧客/取引/製品リスクと一致しています。
- 説明責任-ソリューションのキャプチャ、監査、トレーサビリティ。
- 設計によるプライバシー：最小データ、処理の合法性、セキュリティ。
3）役割と責任（経営）
理事会：政策、リスクアペタイト、定期的な報告を承認します。
シニアマネジメント：リソース、KPI、実装を提供します。
MLRO/AMLオフィサー：プロセス所有者、規制報告、SAR/STR、監視方法論、LEAとの相互作用。
コンプライアンスチーム：KYC/KYB、 制裁/PEP、ケース管理、トレーニング。
リスクと分析：スコアリングモデル、シナリオ、ルールキャリブレーション。
エンジニアリング/セキュリティ：プロバイダの統合、ログ、アクセス制御、暗号化。
操作/支払：鉛の制御、手動点検、データ質。
RACI （упрощенно）：ボード-A、 MLRO-R/A、コンプライアンス-R、リスク-R、 Eng-C/R、 Ops-C/R、内部監査-I/C。
4） RBA： リスクモデル
プロファイルコンポーネント：- クライアント（国、居住地、職業、PPE/制裁、行動リスク）。
- プロダクト（カジノ/賭け、P2P、暗号、高い限界、国境を越えて）。
- チャンネル（オンラインオンボーディング、プレゼンスなし、匿名ツール）。
- 地理（高リスクの管轄、制裁制度）。
- トランザクション（ボリューム、売上率、キャッシュパターン）。
評価：オンボーディングの開始速度+動的要因（履歴、デバイス、支払いパターン）→低/中/高リスクへのセグメンテーションと対策のレベルの選択：CDD/EDD/SOW。
5） KYC/KYBおよび制裁審査（AMLとの関連）
個人のためのKYC：文書+liveness、住所、年齢、制裁/REP、有害メディア。
企業/関連会社/プロバイダーのKYB：登録、UBO/取締役、制裁/POP、活動の検証、資金源。
制裁/REP：プライマリおよび定期的なスクリーニング、ファジーマッチ、手動クリア。
SOW/SOF：高い限界と異常-資金/富の起源の確認。
Re-KYC：スケジュールとイベントトリガー。
6）トランザクション監視と行動分析
スクリプト：- 実際のゲームリスクなしで高速入金→出金サイクル。
- 量/頻度による付着、分割支払い（「smurfing」）。
- 国のIP/BIN/アドレスの不一致、頻繁な支払い方法の変更。
- 非定型夜/マストトラフィック、デバイスクラスタ（デバイスグラフ）。
- 匿名/VPN、プロキシファーム、OS/ブラウザスプーフィングを使用します。
- 疑わしいボーナスパターン、マルチアカウント、チャージバックサイクル。
ML/行動モデル：確率的異常、グラフ接続、プレイヤー/アフィリエイトのリスク速度、ハイローラーセグメンテーション。
ケース管理：アラート生成→資格→ドキュメント/説明のリクエスト→決定（エスカレーション/ブロック/SAR）。
7）「赤旗」（iGaming特異性）
サードパーティからの定期的な入金/プレーヤーごとに多くのシングルカード。
リンクされたアカウント間の転送をP2P/tournamentします。
プロファイルの強力なずれ（年齢、職業と売上高）。
明白な理由のための管轄区域間移動。
ゲームアクティビティや最小マージンのない体系的なキャッシュアウト。
CUS/アウトプット/ボーナス、「ファーム」アカウントの制限を回避しようとします。
不明確なトラフィックのソースまたは異常に高いCR→WDでアフィリエイト。
8） SAR/STR： 内部調査および報告
疑惑のしきい値：金額に関係なく「合理的な疑惑」。
プロセス：alert→fact collection→MLRO solution→SAR/STRの提出は時間通りに、tipping-offなしで。
エスカレーション：一時的なブロック、LEA/レギュレータの要求による資金の凍結、クライアントとの通信計画。
ドキュメンテーション：イベントタイムライン、データソース、チームアクション、意思決定、および根拠。
9）データストレージとセキュリティ
用語：原則として、少なくとも関係の終了後5年（ローカルで指定）。
ターゲットストレージ：プロファイル、ドキュメント、アラート、SAR/STR、アクセスログ、証拠ベース。
セキュリティ：at-rest/in-transit暗号化、HSM/secret storage、 RBAC/ABAC、 immutable logs （WORM）、モニタリングアクセスおよび従業員の行動。
10）訓練、品質管理および監査
トレーニング：すべての人のための年次、詳細-リスク機能の従業員のために；テストおよび証明。
QA/診断：選択的ケースレビュー、ダブルチェック（4-eyes）、誤った決定のレトロ。
内部監査：ポリシーの遵守、規制要件、プロセスの有効性の独立した評価。
ストレステスト：インシデント演習（制裁、大規模なタイポロジー、大量アラート）。
11）暗号とVASP（該当する場合）
トラベルルール：プロバイダ間の送信者/受信者属性の交換。
ブロックチェーン分析：アドレス、クラスタ、制裁/ミキサータグのリスク率。
It/オフランプコントロール：ウォレット所有者のコンプライアンス、データマッチング、制限、外部アドレスログ。
価格ダイナミクス/ボラティリティ：金額の特別なルール、「珍しい」変換のマーク。
12）第三者との交流
PSP/banks/KYCプロバイダ：契約、SLA、 DPIA、フォールトトレランス試験計画。
関連会社：KYB、トラフィック品質監視、リスクソースの禁止、ポストクリック監査。
対応関係：パートナーの詳細な検証、定期的なレビュー。
13） AMLソリューションアーキテクチャ（推奨事項）
統合：CUS/制裁プロバイダー、PSP、不正防止、ブロックチェーン分析。
イベントバス：すべてのトランザクション/イベントは、変更できないストレージを持つスレッド（Kafka/等価）に分類されます。
ルール・エンジン+ML：オンライン・スコアリング（ミリ秒）とオフライン・リビジョン（バッチ/ほぼリアルタイム）。
ケースシステム：優先キュー、顧客リクエストテンプレート、SLA、メール/インスタントメッセンジャーとの統合。
観測可能性：ログ、メトリック、トレース；ルール/モデルバージョンとエフェクト。
劣化：安全な単純化（フェイルオープン/ポリシーによるクローズ）、バックアッププロバイダ、retrai/quorum。
14）パフォーマンスメトリックとKPI
SAR変換率：SAR/STRになったアラートの割合。
Time-to-Alert/Time-to-Decision：検出と決定の速度。
False Positive Rate/Precision-Recall in alert。
カバレッジ：監視/スクリーニングされたトランザクションの割合。
リワーク/アピール：ソリューションの改訂によるケースの共有。
トレーニングの完了：関連するトレーニングを受けた従業員の％。
ベンダーSLA：アップタイムプロバイダ、CUS/制裁にTTV。
15）チェックリスト
お客様の初期登録：- KYC/KYB、年齢/地理、制裁/PEP、有害メディア。
- RBAの得点、基本的な限界、装置指紋。
- 同意、プライバシー、チェックの報告。
- 再制裁スクリーニング、必要に応じてSOF/SOW。
- 決済機器の所有者とのマッチング。
- 行動検証とトランザクション履歴。
- 事実と文書の収集。
- 内部MLROの意見。
- 時間に応じて提出を報告する。チップオフの禁止。
- ポスト海、ルール/モデルを更新します。
16）典型的な間違いとそれらを回避する方法
RBAなしのブラインドKYCチェックボックス：動的分析と制限を強化します。
モデルにおけるフィードバックの欠如：決定→結果ループを実装する。
リスク管理の代わりに超硬「derisking」：総禁止ではなく、EDD/SOWと制御限界を使用します。
地域の規則/制裁を考慮に入れない：「地理プロファイル」を維持する。
弱い意思決定ログ：合理化とアーティファクトストレージを標準化します。
17） AMLポリシー構造テンプレート（wiki用）
1.イントロダクションとスコープ
2.定義と用語（AML/CFT、 CDD/EDD、 SOF/SOW、 PEPなど）
3.規制の枠組みと現地の法律への参照
4.マネジメントと役割（ボード、MLRO、 RACI）
5.RBAの方法論とリスクアペタイト
6.KYC/KYBと制裁審査
7.トランザクション監視（ルール+ML）とケース管理
8.「赤い旗」とiGamingスクリプト
9.SAR/STR手順と規制上の相互作用/LEA
10.データストレージ、プライバシー、セキュリティ
11.スタッフのトレーニングと意識
12.ベンダーおよび第三者（SLA、監査）
13.監査、QA、継続的改善
14.付録： チェックリスト、フォーム、レターテンプレート、メトリック
18）リスクマトリックス（フラグメント）の例)
結果：低/中/高リスク→対策：CDD/EDD+SOF/SOW/制限/収率。
19）実施・保守計画
プロセス所有者とSLAを特定します。
統合マップ（PSP、 KYC、制裁、分析）。
基本ルールセット+FP/FNコントロールで実行します。
四半期ごとのシナリオのキャリブレーション、年間ポリシーレビュー。
カリキュラムとパスコントロール。
定期的な取締役会/経営報告書（KPI、インシデント、リスク変更）。
合計
効果的なAMLポリシーは「棚の文書」ではなく、リビングサイクルです。リスク評価→管理措置→監視→調査→報告→改善です。RBAの周りにプロセスを構築し、強力なKYC/KYBと制裁ループを確保し、ケース管理によるトランザクションの質の高い監視を実施し、データストレージ、トレーニング、監査の規律を遵守することで、コンバージョンとビジネスの持続可能性を維持しながら、規制リスクと評判リスクを削減できます。