Procedury audytu i inspekcji

1) Dlaczego audyty są potrzebne w iGaming

Audyt to systematyczna weryfikacja zgodności produktu i transakcji z wymogami licencyjnymi, prawem, standardami i polityką wewnętrzną.
Cele: zmniejszenie ryzyka regulacyjnego i finansowego, udowodnienie integralności gier/płatności/danych, poprawa procesów i kultury przestrzegania przepisów.

2) Taksonomia kontroli (co i kto)

3) Zakres stosowania

Gry: RNG, RTP, kontrola wersji, niezmienne dzienniki.
Płatności: routing, zwroty, obciążenie zwrotne, strata netto, limity.
KYC/AML: procedury, listy sankcji/PEP, sprawy i SAR/STRS.
Odpowiedzialna gra: limity, timeouts, self-exclusion, Reality Checks.
Prywatność/RODO/CCPA/LGPD: DPIA, podstawy przetwarzania, okres przydatności do spożycia, prawa osób.
Bezpieczeństwo/IT: RBAC/ABAC, SoD, dziennikarstwo, CI/CD, tajemnice, DR/BCP.
Marketing/CRM/Affiliates: tłumienie, zgody, zakazy umowne.

4) Normy i metodologia

ISO 19011 - zasady i sposób audytu (planowanie → sprawozdanie → działania następcze).
ISO/IEC 27001/27701 - zarządzanie bezpieczeństwem/prywatnością (środki kontroli).
PCI DSS - jeśli przetwarzanie PAN/karty.
GLI-11/19, ISO/IEC 17025 - w połączeniu z laboratoriami badawczymi.
Ramy „trzech linii ochrony” to 1) właściciele procesów, 2) ryzyko/zgodność, 3) niezależny audyt.

5) Cykl życia audytu

1. Planowanie: zakres/definicja kryteriów, mapa ryzyka, lista artefaktów, NDA i dostęp.
2. Praca w terenie: wywiady, walkthrough, testy kontrolne, pobieranie próbek, kontrola dziennika/systemu.
3. Konsolidacja: ustalanie faktów, ocena niezgodności (High/Med/Low), projekt sprawozdania.
4. Sprawozdanie: ustalenia, dowody, zalecenia, ramy czasowe dla restrukturyzacji i uporządkowanej likwidacji.

5. Działania naprawcze i zapobiegawcze - plan działań naprawczych i zapobiegawczych

6. Działania następcze: weryfikacja wdrożenia CAPA, zamknięcie punktów.

6) Dowody i próbki

Dowody: zasady/procedury (najnowsze wersje), zrzuty ekranu ustawień, przesyłanie dzienników (WORM), budowanie haseł, zmiany biletów zarządzania, akty szkoleniowe, raporty incydentów, DPIA, rejestry zgody, raporty AML/RG.

• RNG/RTP - statystyczne próbki wyników ≥10⁶ (lub uzgodniona objętość/okres).
• KYC/AML - losowe pobieranie próbek z 60-100 przypadków/okresu ze śledzeniem źródeł.
• Prywatność - 20-50 wniosków tematycznych (DSAR), weryfikacja SLA i kompletność odpowiedzi.
• Płatności - 100-200 transakcji na scenariusz (depozyt/wypłata/obciążenie zwrotne/bonus).
• RG - 50-100 limit/timeout/self-exclusion cases + suppression logs.

Łańcuch opieki: mocowanie źródła, czasu, kontroli integralności (hashes, podpisy).

7) Ratingi niezgodności i oceny zgodności (CAPA)

CAPA-szablon: opis problemu → główny powód → działania (korekta/predisgusting) → właściciel → termin → efekt KPI → zamykanie dowodów.

8) RACI (role i obowiązki)

9) Lista kontrolna gotowości do kontroli

Dokumenty i polityka

• Rejestr wersji zasad i procedur (z właścicielami/datami).
• DPIA/Records of Processing/Retention Data Matrix.
• RG/KYC/AML/Privacy/Incident/Change/Access/Logging policies.

Artefakty techniczne

• Przechowywanie dziennika WORM (gry/płatności/dostęp/zmiany).
• Artefakty CI/CD: SBOM, budowa hashes, podpisy, uwagi do wydania.
• Rejestr RBAC/ABAC, kontrola SoD, wyniki przeglądu dostępu.
• Plany i wyniki ćwiczeń DR/BCP.

Operacje

• RG/AML/Prywatność.
• Dziennik incydentów i post-morems.
• Rejestr zapytań osób, których dotyczą dane (DSAR) z SLA.

10) Playbook: kontrola na miejscu i zdalna

1. Informacja, porządek obrad i koordynacja trasy.

2. Zwiedzanie miejsc pracy/serwera (w stosownych przypadkach), środki kontroli fizycznej.

3. Wywiady + demo na żywo z kontrolkami, próbki z prods/replik.

4. Codzienne pakowanie, wstępne opinie.

• Dostęp do paneli/desek rozdzielczych tylko do odczytu, bezpieczna wymiana plików, sesje nagrywania, czasowe szczeliny.
• Wstępne ładowanie artefaktów, odtwarzanie skryptów.

• Pojedynczy punkt kontaktowy, bilety, SLA za dostarczenie dowodów (zwykle T + 1/T + 2 dni robocze).

11) Specjalne scenariusze: poranny nalot i nieplanowane kontrole

Gotowość: streszczenie prawne, lista kontaktów (Legalność/Zgodność), zasady wsparcia audytora, zakaz niszczenia/modyfikacji danych (posiadanie prawa).
Procedura: weryfikacja poświadczeń, rejestracja kopii zatrzymanych danych, obecność Legalnych, kopie dzienników integralności.
Po: wewnętrzne śledztwo, komunikacja do zarządu/partnerów, CAPA.

12) Zgodność i obserwowalność architektury

Jezioro danych zgodności: scentralizowane przechowywanie raportów, dzienników, certyfikatów, DPIA, mierników.
Platforma GRC: rejestr zagrożeń, kontrole, audyty i urzędy certyfikacji, kalendarz ponownej certyfikacji.
Audyt API/Regulator Portal: zarządzany dostęp dla zewnętrznych biegłych rewidentów/organów regulacyjnych.
Niezmienność: magazynowanie WORM/obiektu, łańcuchy Merkle hash.
Deski rozdzielcze: dryf RTP, dokładność tłumienia samodzielnego wykluczenia, limity czasu do egzekwowania, KYC SLA.

13) Wskaźniki zapadalności audytu (SLO/KPI)

14) Wzór sprawozdania audytora (struktura)

1. Podsumowanie wykonawcze.
2. Zakres i kryteria.
3. Metodologia i pobieranie próbek.
4. Obserwacje/niespójności (z odniesieniami do dowodów).
5. Ocena ryzyka i priorytety.
6. Zalecenia i plan CAPA (uzgodnione harmonogramy/właściciele).
7. Zastosowania: artefakty, czasopisma, hashes, zrzuty ekranu, rejestr wywiadów.

15) Częste błędy i jak ich uniknąć

Nieaktualne zasady/wersje → scentralizowana księga, przypomnienia.
Brak WORM/łańcuch opieki → nie może udowodnić faktów; wdrożyć immutability.
Słaby SoD/RBAC → kwartalny dostęp i opinie dzienników.
Brak dyscypliny CAPA → właściciele/czas/dowód zamknięcia.
Niespójności danych (RTP/reports/catalog) → automatyczne uzgodnienia i wpisy.
Reakcja ad hoc na inspekcje → playbook i trening (table-top).

16) Plan działania w zakresie wdrażania (6 kroków)

1. Polityka i metodologia: przyjęcie standardu audytu, skali ryzyka, formatów raportów.
2. Spis sterowania: mapa procesów i kontroli według domeny.
3. Architektura dowodów: WORM, Compliance Data Lake, Audit API.
4. GRC i kalendarz: harmonogram audytu/ponownej certyfikacji, rejestr CAPA.
5. Szkolenie/szkolenie: ćwiczenia ról, symulacje „świt nalot”, stół-top.
6. Ciągła poprawa: monitorowanie mierników, retrospektywy, zmniejszenie powtarzających się wyników.

Wynik

Procedury audytu i inspekcji to nie jednorazowe zdarzenia, ale stały kontur udowodnionej zgodności: jasny zakres, wysokiej jakości dowody, dyscyplina CAPA, niezmienne kłody, gotowość do wizyt regulatorów i przejrzyste mierniki. Podejście to zmniejsza ryzyko, wzmacnia licencje i zwiększa trwałość produktów i marek.