내부 감사 및 외부 감사

1) 목적과 지역

라이센스/법률 준수, 재무 및 운영보고의 신뢰성, 위험 제어 효과 (KYC/AML/RG, GDPR/PII, 지불/PCI, 게임 정직, 정보 보안, 마케팅/제휴사, 공급자). 이 섹션에서는 부적합 문제를 해결하기위한 원칙, 역할, 방법론, 점검 프로그래밍, 보고서 형식 및 절차를 정의합니다.

2) 원칙과 "세 방어선"

첫 번째 줄: 프로세스 소유자 (운영, 지불, 게임 제공 업체, 마케팅/제휴사, 지원 서비스) -일상적인 위험을 관리합니다.
두 번째 줄: 준수/위험/보안/DPO-정책, 모니터링, 컨설팅, 집행.
세 번째 줄: 내부 감사 (IA) - 통제의 적절성과 효과에 대한 독립적 인 평가; 감독위원회/감사위원회에보고합니다.
외부 감사 (EA): 독립적 인 제 3 자-재무보고, 인증 (ISO/SOC/PCI), 규제 검사.

원칙: 독립성, 객관성, 증거, 기밀성, 위험과 가치에 초점, 투명성 및 추적 성.

3) IA vs EA 발생

4) 역할 및 RACI

내부 감사 책임자 (IA Lead) - 전략, 독립, 계획/보고. (A)

내부 감사자-현장 점검, 작업 문서, 결론. (R)

프로세스 소유자 (첫 번째 줄) -데이터/아티팩트 제공, CAPA. (R)

규정 준수/InfoSec/AML/RG (2 차) -공동 감사, 방법론 학자. (C/R)

CFO/컨트롤러-금융 회로, GL, 조정. (C)

법률/DPO-규범 해석, PII 및 유지. (C)

감사위원회-IA 계획 승인, 보고서 수락, 독립 통제. (A)

외부 감사/평가자 - EA 수행; NDA의 아티팩트 액세스. (계약 I/R)

5) 연례 감사 계획

1. 위험 등록: 확률 × 충격 (금융/GGR, 라이센스, 평판, 플레이어 안전).
2. 프로세스 맵: 결제/PSP, 지갑, KYC/AML/KYB, RG, 게임 제공 업체/RTP, 마케팅/제휴사, 정보 보안/GDPR, 사건/알림, 규제 보고서.
3. 우선 순위 행렬: 높음/중간/낮음 → 주파수 (분기/반년/년).
4. 범위: 목표, 기준, 절차, 샘플, 리소스, 타임 라인, 종속성.
5. 승인: 감사위원회는 연례 계획을 승인합니다. S1/S2 사건에 대한 임시 허용.

6) 방법론: 감사 단계

A. 계획: 문서 요청, 프로세스 이해, 제어 설계 평가, 위험 평가, 테스트 프로그램.
B. Fieldwork: 인터뷰, 연습, 설계/응답 성 테스트, 분석 절차, 아티팩트 검사, 샘플링.
C. 결론 및 평가: 사실과 기준의 비교; 결과의 분류.
D. 보고서: 사실의 초안 → 최종 → 관리/위원회에 제시.
E. CAPA 및 후속 조치: 시정/예방 조치 계획, 후속 조치, 검증.

7) 증거 및 샘플

증거 유형: 다큐멘터리 (정책, 로그, 티켓), 물리적 (스크린 샷, 구성), 구두 (인터뷰), 분석 (조정, 동향).
품질: 충분 성 (볼륨), 관련성, 유효성 (소스).
샘플: 이상에 의한 무작위, 체계적, 지시 (위험 기반); 크기는 일반 인구의 위험과 양에 따라 결정됩니다.
추적 성: 각 출력은 테스트와 관련이 있으며 테스트는 증거 (고유 ID) 입니다. "연속 번호 매기기".

8) 비 순응 및 등급의 분류

중요 (S1): 라이센스/법률/중대한 재정적 피해/PII 위반의 위험. 즉각적인 조치가 필요하며위원회/이사회에보고하십시오.
높음 (S2): 중요한 제어 결함; 짧은 SLA 수정.
매체 (S3): 제한된 결함; 조정 계획.
낮음 (S4): 개선/관찰 (최적화).

감사 된 프로세스 등급: 개선/부분적으로 효과적인/비효율적 인 효과.

9) 작업 문서 및 보존

작업 논문: 프로그램, 점검표, 샘플, 인터뷰 프로토콜, 증거, 계산, 결론.
제도 표준: 색인, 버전, 소유자, 날짜, 아티팩트에 대한 하이퍼 링크, 제어 변경.
개인 정보 보호 및 PII: RBAC 액세스, 암호화 된 스토리지, 민감한 필드 마스킹.
보존 기간: 라이센스/규제 기관이 필요한 경우 정책 (일반적으로 5-7 년) 이상.

10) 주제 확인 (IA 카탈로그)

1. 결제/PSP/PCI: 지불/거부/요금 지불, PAN 앨리어싱, 액세스 로그, 공급 업체 레지스트리.
2. KYC/AML/KYB: KYC 완전성 및 정확성, PEP/제재, SAR/STR 타이밍, 조사 품질, 사례 관리.
3. 책임 놀이 (RG): 제한/자체 제외, 연락 절차, 중재 효과, 광고 제한.
4. GDPR/PII/DPO: 레지스트리 처리, DSAR, 개인 정보 보호 사건, 프로세서 계약.
5. 게임 제공 업체/정직: RTP 드리프트, 라운드 사건, 밸런스 동기화, RNG/빌드 버전.
6. 마케팅/제휴: 창의적/대상 제한, 귀속, 계약, 지불 준수.
7. 인시던트 프로세스: TTS (Time to Application), 규제 기관에 대한 알림의 적시성, 아티팩트의 완전성.
8. 규제보고: 체계, 마감일, DQ, GL/PSP와의 조정.
9. IT 제어/정보 보안: 액세스, SOD, 변경/릴리스, 감사 로그, 백업, DR/BCP 연습.

11) IA 보고서 형식 (템플릿)

행정 요약: 범위, 목표, 등급, 주요 결과 및 위험.
상황: 프로세스/시스템/관할 구역, 기간, 적용 가능한 요구 사항.
방법론과 한계 (있는 경우).
우선 순위에 대한 자세한 결론: 사실 → 기준 → 위험 → 영향 → 권장 사항.

CAPA 테이블-소유자, 단계, 타임 라인, 성공 지표

부록: 샘플, 차트, 증거 등록, 용어집.

12) 외부 감사와의 상호 작용 (EA)

재무보고: GL 준비, 조정, PSP/은행/공급자의 확인, 관리 서한.
인증/준수 평가: ISO 27001/9001, SOC 2, PCI DSS, 산업 규제 검사.
IA 역할: 사전 평가 (갭 분석), 쿼리 지원, CAPA 가속, 중복 방지.
투명성: 단일 인공물 쇼케이스, 방문 일정, 액세스 규칙, NDA.
커뮤니케이션: 정기적 인 스탠드 업 "EA 준비", 진입 점-감사 코디네이터.

13) CAPA 및 후속 조치

CAPA 계획: 특정 단계, 메트릭, 소유자, 용어, 종속 시스템/팀.
검증: 구현 증거 (화면, 로그, 정책, 테스트 결과), 날짜, 책임 감사관.
확대: S1/S2-위원회에 대한 필수 업데이트; 지연 - 대시 보드의 "빨간색 영역".
위험 평가의 변화: 성공적인 CAPA 후-잔여 위험 및 검사 빈도 검토.

14) 감사 대시 보드 (관리 제어)

계획 상태: 분기 별% 완료 및 방향.
조사 결과 포트폴리오: 심각성 및 연체율.
CAPA 진행 상황: 완료/진행 중/만료, 평균 마감 시간.
프로세스 히트 맵: CAPA 전/후 컨트롤의 위험/효과.
반복 가능한 탐지: 시스템 문제의 지표.

15) 윤리적 요구 사항과 독립

이해의 상충: 감사인은 이전 운영을 12 개월 정도 감사하지 않습니다. 충돌 선언.
데이터에 대한 액세스: "최소 필요" 원칙에서만; 개인 PII 사본 금지.
커뮤니케이션: 중립 언어, "비난" 톤 없음; 해석 전의 사실.

16) 점검표

감사 시작

• 정의 된 목표/기준/경계.
• 아티팩트가 요청하고받은 형식/타임 라인이 동의했습니다.
• 독립은 확인되었고 충돌은 없었습니다.
• 테스트 및 샘플링 프로그램이 승인되었습니다.

필드 스테이지

• 보행 및 주요 역할 인터뷰가 수행되었습니다.
• 설계 및 운영 효율성 테스트.
• ID/링크가있는 증거 레지스터가 구성됩니다.
• 소유자를 처리하기위한 중간 요약 (최종 놀라움 없음).

보고서 및 CAPA

• 사실, 분쟁 지점이 해결되었습니다.
• 결론 분류 (S1-S4), 위험/영향 평가.
• CAPA는 소유자와 승인 된 날짜를 계획합니다.
• 후속 날짜는 달력에 나열되어 있습니다.

17) 아티팩트 패턴 (빠른 삽입)

요청 목록 (PBC): 마감일이있는 문서/업로드/액세스 목록.
테스트 시트: 제어 → 절차 → 샘플 → 결과 → 증거 → 결론.
카드 찾기: 코드, 제목, 설명, 위험, 영향, 근본 원인, 권장 사항, S 레벨, 소유자, 용어.
CAPA 시트: 단계, 미터법, 확인 아티팩트, 날짜, 확인.

18) 빈번한 실수와 피하는 방법

IA와 2 줄 → 의 결합 된 역할은 독립성을 손상시켰다. 결정: IA는위원회에 직접보고합니다.
증거의 추적 성이 충분하지 않으므로 결론의 보호가 약합니다. 솔루션: 단일 레지스터 및 번호 매기기.
위험 및 가치 평가 대신 "부적합 사냥". 해결책: 위험 초점 및 우선 순위.
자원이없는 과부하 CAPA → 지연. 솔루션: SMART 목표 및 WIP 제한.
보고를 확인할 때 품질/신선도 데이터를 무시합니다. 솔루션: DQ 체크리스트.

19) 빠른 시작 (30 일 구현)

1 주차: IA 헌장 승인 (위임/책임), 수행 위험 평가, 연간 계획 초안.
2 주차: 템플릿 (PBC, 테스트/찾기/CAPA 시트) 을 작성하고 증거 등록 및 상태 대시 보드를 설정하십시오.
3 주차: 2 "짧은 형태" 파일럿 감사 (예: PSP/PCI 및 RG/DSAR), 발행 보고서, CAPA 등록.
4 주차: 조종사 후속 조치, 방법론 조정, 위원회의 승인을위한 연례 계획 제출, 외부 감사/인증 일정에 동의합니다.

• 규제 보고서 및 데이터 형식
• 위반 및보고 마감일 통지
• 준수 대시 보드 및 모니터링
• 인시던트 플레이 북 및 스크립트
• 위기 관리 및 커뮤니케이
• 비즈니스 연속성 계획 (BCP )/DRP
• 거래 감사 로그