Audyt i sprawozdawczość AML

1) Cele i kontekst

Łańcuch AML w iGaming obejmuje: wejście na pokład (KYC/KYB), sankcje/PEP/negatywne badania przesiewowe mediów, monitorowanie transakcji i zachowań, eskalację przypadków i zgłaszanie do FIU (SAR/STR i inne formy). Audyt (zewnętrzny/wewnętrzny) sprawdza projekt i skuteczność kontroli, podstawę dowodów oraz terminowość sprawozdawczości.

2) Gubernatorstwo i role

Zarząd/Komitet ds. Ryzyka: corocznie zatwierdza EWRA (szeroka ocena ryzyka dla przedsiębiorstw), politykę i tolerancję ryzyka.
MLRO (i zastępca): właściciel procedury, jakość SAR/STR, kontakt FIU/regulator.
Operacje zgodności/FinCrime: sprawdzanie alarmów, zarządzanie sprawami, zapewnianie jakości i szkolenia.
Audyt wewnętrzny/niezależny audyt zewnętrzny: niezależny przegląd projektu/skuteczności kontroli.
Dane/Tech: Własny system monitorowania transakcji (TMS), modele i dzienniki.

3) Podejście RBA (Risk-Based Approach) дла iGaming

• Klient: wiek/geo, POP/sankcje, SoF/SoW, wzorce behawioralne (dep/wypłata, nietypowe kwoty, multi-konto).
• Produkt/kanał: kasyno/sport/live, crypto-on/off-ramp, anonimowe portfele, natychmiastowe wypłaty.
• Geografia: wysokie ryzyko jurysdykcji, korytarze transferu środków.
• Dostawcy/partnerzy: PSP/affiliates/aggregators.
• Transakcje: strukturyzacja (smurfing), przepływy wahadłowe, pośrednicy (muł).

Linia końcowa: Wskaźnik ryzyka klienta/transakcji kontroluje głębokość KYC, częstotliwość przeglądu i czułość reguły TMS.

4) KYC/KYB, SoF/SoW i przegląd

KYC: weryfikacja tożsamości/adresu, wiek, dopasowanie sankcji/PEP/negatywne media.
KYB: beneficjenci (UBO), ryzyko przemysłowe, sankcje wobec podmiotów prawnych/UBO.
SoF/SoW: dowód źródła funduszy/majątku wysokiego ryzyka (sprawozdania, dywidendy, dochody, sprzedaż aktywów).
Przegląd: okresowy (12-36 miesięcy) i wyzwalacz (skok obrotów, zmiana profilu behawioralnego).

5) Sankcje/PEP/negatywne media

Sankcje: wstępna kontrola pokładowa i codzienna rekonwalescencja wszystkich aktywnych klientów i odbiorców płatności.
PEP: zwiększona należyta staranność i zwiększona częstotliwość przeglądów.
Negatywne media: negatywne publikacje na temat prania pieniędzy, oszustw, korupcji; jeśli przypadek → zwiększone środki/eskalacja.

6) Monitorowanie transakcji i kontrola behawioralna

• Seria małych depozytów → szybka konwersja na wyjście (minimalna aktywność w grach).
• Multi-account: urządzenie/IP/instrument płatniczy pasuje.
• Obrót środków między portfelami/kartami (trasy okrągłe).
• Wykorzystanie dostawców wysokiego ryzyka/jurysdykcji/pełnomocników.
• Depozyty od osób trzecich, częste obciążenie zwrotne/odmowy, gwałtowne spadki/wzrost GGR przez gracza.
• W przypadku sportu: zakłady na rynkach o niskiej marży o podejrzanej synchroniczności (match-fix czerwone flagi).

Zasady TMS: prędkość (transakcje N na X min), kolce kwoty, klastrowanie urządzenia/IP, geowelocity, wypłaty bez gry, depozyty podzielone, duplikaty instrumentów.

7) Sprawy, eskalacja i SAR/STR

Wstępna weryfikacja alertu → wzbogacanie danych (KYC, płatności, historia, źródło partnerskie, urządzenia, geo, Adverse Media).
PR (Pre-SAR Review): roztwór MLRO - SAR/STR, monitor, zamknij uwagę.
SAR/STR: przygotowane zgodnie z lokalnymi wymogami (opis faktów, kwot, uczestników, schematów, uzasadnienie podejrzeń, załączone dowody, linia czasowa).
Terminy: „brak opóźnień” zgodnie z lokalnymi przepisami; fix TAT i SLA w polityce.
Tipping-off: zakaz ujawniania klientowi faktu zgłoszenia SAR/STR.

8) Audyt AML: Zakres i metody

Zakres: Polityka/Procedury, EWRA, KYC/KYB, SoF/SoW, Sankcje/PEP/Negatywne media, Modele i wpisy TMS, Zarządzanie sprawami, Dziennik SAR/STR, Szkolenia, Dziennik, Przechowywanie, Osoby trzecie (PSP/KYC), testy penetracji/dostępu.

• Walkthrough i wywiady (MLRO, analityka AML, produkt, IT).
• Przegląd doku: polityka, SOP, dzienniki, raporty, przypadki pobierania próbek (pobieranie próbek).
• Badanie konstrukcyjne/wydajnościowe: badania kontrolne (ponowne wykonanie), TMS podkładowe i kalibracja.
• Model zarządzania: zmiany reguł/progów, dokumentacja, A/B, retuna okresowa.
• Rodowód danych - Śladowe pola w raportach do systemów podstawowych.

Wyniki: raport z oceną, znaleziskami (wysoka/średnia/niska), planem rekultywacji, terminem i odpowiedzialnością.

9) Podstawa dowodowa i przechowywanie

Czasopisma: wpisy, sprawy, decyzje, kto/kiedy/co się zmieniło (immutability).
Artefakty: zrzuty ekranu, ekstrakty, SoF/SoW, hashes plików, eksport z TMS, korespondencja.
Okresy zatrzymania: zgodnie z prawem lokalnym (często 5 + lat po zakończeniu stosunku).
Prywatność/DPA: minimalizacja PII, podstawy prawne, DPIA do kontroli wysokiego ryzyka.

10) Sprawozdawczość (zewnętrzna/wewnętrzna)

Zewnętrzny: SAR/STR w FIU; odpowiedzi na wnioski agencji rządowych; okresowe formularze statystyczne (według jurysdykcji).
Wewnętrzne: sprawozdanie MLRO dla zarządu/komisji - dynamika SAR, FPR (fałszywie dodatnia stawka) TMS, sankcje za pokrycie/PEP, szkolenie, status rekultywacji.

11) Matryca ryzyka (RAG)

12) Listy kontrolne

Przed audytem/audytem zewnętrznym

• Aktualna EWRA i macierz ryzyka.
• Polityki/SOP: KYC/KYB, SoF/SoW, Sankcje/PEP/Adverse Media, TMS, SAR/STR.
• Rejestry wpisów/przypadków/SAR, dzienniki zmian TMS.
• Przykładowe dowody (skany/ekstrakty/zrzuty ekranu).
• Szkolenia/testy pracownicze, dzienniki dostępu.
• Umowy sprzedawcy PSP/KYC, raporty SLA.

Zmiana operacyjna (dzienna/tygodniowa)

• Sankcje/PEP/Rescreening niekorzystnych mediów.
• QA 10% spraw zamkniętych.
• Monitorowanie FPR/TPR, retune drift.
• Monitorowanie dat SAR/STR i odstępstw od SLA.

13) Rekomendowane rejestry (YAML)

13. 1 rejestr SAR/STR

yaml sar_id: "SAR-2025-118"
customer_id: "C-774102"
trigger: ["rapid_withdrawals","no_play","high_risk_geo"]
amounts:
deposits_total: 18500 withdrawals_total: 17200 timeline:
first_alert_at: "2025-10-21T14:22Z"
escalated_at: "2025-10-22T10:05Z"
filed_at: "2025-10-23T16:40Z"
fiU_ack_ref: "FIU-ACK-5529"
attachments: ["kyc.pdf","flows.png","device_cluster.csv"]
mlro: "a.petrova"
status: "filed"

13. 2 Rejestr meczów sankcji

yaml hit_id: "SAN-2025-311"
subject: { customer_id: "C-660901", name: "Ivan K." }
list: ["OFAC","EU"]
match_score: 92 decision: "false_positive"
analyst: "d.koval"
closed_at: "2025-11-03"
notes: "DOB mismatch; address not matching"

13. 3 Profil ryzyka klienta

yaml customer_id: "C-552201"
risk_score: 78 risk_factors:
geo: "high"
pep: false adverse_media: false product: ["casino","sports"]
payment_methods: ["cards","crypto_onramp"]
behaviour: ["velocity","no_play_withdrawals"]
kyc_level: "enhanced"
review_next: "2026-05-01"
owner: "FinCrimeOps"

13. 4 Zmiany reguł TMS

yaml change_id: "TMS-CH-2025-044"
rule: "no_play_withdrawal_v2"
old_threshold: "withdrawal>500 & play<5 spins"
new_threshold: "withdrawal>300 & play<3 spins"
reason: "trend increase; QA findings"
ab_test: true owner: "FinCrime Analytics"
approved_by: ["MLRO","RiskCom"]
effective_from: "2025-11-10"

14) Playbooks (incydenty)

P-AML-01: Strukturyzacja depozytów

Alert → agregacja przez urządzenie/karty/IP → Żądanie SoF → limit/pauza płatności → SAR, jeśli podejrzewane → pisanie do rejestru.

P-AML-02: Zbieg okoliczności w sprawie sankcji

Autoblock → ręczna weryfikacja (DOB/adres/bio) → przy potwierdzeniu - zamknięcie konta/komunikat do FIU (jeśli wymagane) → dokumentacja.

P-AML-03: Wnioski dotyczące braku gry

Zamrażanie wyjściowe → sprawdzenie odległości między dep/wyjściem, portfele krzyżowe, połączenia z kontami → SoF/wyjaśnienie → SAR/zamknięcie.

P-AML-04: Krypta na/off-rampie

Analiza łańcucha (znaczniki ryzyka wymienników/mikserów) → SoF (źródło krypto) → ograniczenia/blokowanie → SAR/raportowanie.

P-AML-05: Podejrzenia dotyczące „mułów „/pakietów partnerskich

Klastrowanie urządzeń/płatności → komunikacja ze źródłem ruchu → wstrzymanie opłat do partnera → SAR/kroki prawne.

15) KPI/Metryki

Terminowość SAR (średnia TAT) i zgodność SLA.
FPR/TPR TMS, Precision @ Top-N w sprawie alertów priorytetowych.
Sankcje/PEP Coverage%, Daily Rescreen%.
QA Pass Rate w zamkniętych przypadkach.
Ukończenie szkolenia% według roli.
Zmiana modelu Kontrola zgodności%.

16) Mini-FAQ

Kiedy złożyć SAR/STR? Po powstaniu uzasadnionego podejrzenia i w terminach ustalonych przez lokalne prawo/regulator.
Czy mogę powiedzieć klientowi o SAR? Nie, jest zakaz cynkowania.
Czy zawsze muszę zablokować konto? Decyzja RBA: ryzyko, sankcje, zagrożenia wycofaniem i lokalne przepisy prawne.
Jak zmniejszyć FPR? Zasady retune, cechy behawioralne, segmentacja ryzyka, okresowe backtesting/QA.

17) Zrzeczenie się

Wymogi AML/sankcji i formaty sprawozdawczości różnią się w zależności od kraju i są aktualizowane. Materiał ten stanowi ramy operacyjne; sprawdź dokładne daty, formularze i adresaci z lokalnych przepisów i instrukcji regulatora/FIU.

18) Wniosek

Skuteczny obwód AML w iGaming to nie tylko kleszcze KYC, ale kilka modeli RBA, monitoring na żywo, wysokiej jakości zarządzanie sprawami i dyscyplina raportowania. Regularny niezależny audyt, baza dowodów i jasne playbooks przekształcić zgodność w zrównoważony proces, który chroni graczy, biznesu i licencji.