Conscientizar o pessoal sobre a complacência

1) Objetivo e área de abrangência

Criar uma cultura de complacência sustentável em que cada funcionário entenda «o que pode/não», reconhece os riscos e saiba como agir (escalações, canais de ajuda). Abrangência: todas as funções (Transações, Pagamentos, RG/AML/KYC/KYB, Marketing/Afiliados, Game Ops, Data/Engenharia, CS, Finanças, Legal/DPO, IB), contratantes e trabalhadores temporários.

2) Princípios do programa

Tone from the top: suporte público de CEO/Exec.
Simplicidade e aplicabilidade, «o que fazer amanhã no turno».
Formato micro: plug-ins 5-10 min, regularidade.
Localização: linguagem de mercado, malas/regras locais.
Comprovação: registo de passagens, artefactos, certificação.
Continuidade: o ciclo «aprende → aplique → mede → melhore».

3) Papéis e RACI

Owner: Head of Compliance/Compliance Awareness Lead - estratégia, conteúdo, calendário. (A)

L & D/Training Lead: LMS, programação, controle de visitação. (R)

Processo Owners (KYC/AML/RG/Payments/Marketing/Game Ops/Data/Legal/InfoSec): Análise e mala. (R)

DPO/Legal: configuração correta, privacidade, localização. (C)

Auditório Internacional: Verificação independente de completas/gravações. (C)

HR: onboarding/off, disciplina de passagens. (R)

Comms/Brand: decoração visual, campanha. (R)

Exec Sponsor: mensagens públicas, recursos, escalações. (I/A)

4) Estrutura de conteúdo (módulos de conscientização)

1. Código de conduta e canais de ajuda (whistlablowing, sem repressão).
2. KYC/KYB e proteção de jogadores vulneráveis (papel de cada um).
3. AML/sanções/PEP (sinais, proibição tipping-off, escalação).
4. RG é um jogo responsável (limites, auto-exclusão, controles corretos).
5. GDPR/PII (minimização, DSAR, «não compartilhar»).
6. PCI/Pagamentos (dados pan, tocenização, proibições de bate-papo/tíquetes).
7. Marketing/Afiliados/Publicidade (filtros de idade, criações proibidas).
8. Incidentes e notificações (quando e o que informar, primeiros passos).
9. Anti-fishing/IBI (senhas, MFA, simulações de phishing).
10. Conflitos de interesse/presentes/ética.

Cada módulo: 5-7 slides + mini-mala 2-3 perguntas + «o que fazer amanhã» (cheque por turno).

5) Formatos e frequências

Onboarding (T + 14 dias): pacote básico (módulos 1-7), teste curto ≥ 85%.
Campanhas trimestrais: temáticas (Semana GDPR, Semana AML...).
Aulas mensais de micro, 5-10 min com 1 mala e 3 perguntas.
Tabela-top/role-play (quadra): cenário de transição por função.
Simulações de phishing (2-4 vezes/ano): com treinamento pós-clique.
Cartazes/intranet/bot: «Regra 3 passos», «O que não pode ser escrito no tíquete».
Workshop Wendor: KYC/PSP/provedores de jogos - 1-2 vezes/ano.

6) Campanhas e missas (exemplos)

Semana GDPR: «Não guardamos, não perdemos» → folha de cheque: não enviar PII para correio, camuflagem de screen, DSAR ≤ 30 dias.
Semana AML: «Nota a estrutura - salve a licença» → folha de cheque: velocity/estruturing sinais para onde escalar.
Semana RG: «Jogue com responsabilidade, apoie os jogadores» → respostas corretas do CS, ordem de acção dos limites.
Semana PCI: «PCI começa contigo» → campos proibidos em bate-papo/tíquetes, substituições seguras.
Ads/Affiliates Week: «Publicidade sem multas» → criações proibidas, filtros de idade, queixa de tráfego «tóxico».

7) Ferramentas

LMS: cursos, testes, certificados, relatórios de coverage/on-time.
Bot de comunicação (Slack/Teams): quizes de 1 a 2 perguntas por semana, lembretes.
Intranet hab: «1 página» em tópicos, FAQ, modelos de mensagens.
Cartazes/capturas de tela: regras curtas, QR para hab.
Plataforma de phishing: simulações, dicas pessoais.
O formulário «Perguntar complacência» é uma resposta rápida/escalar.

8) Métricas de eficiência (KPI/KRI)

Coverage:% dos funcionários com curso relevante (meta ≥ 98%).
On-time Complition:% que terminaram dentro do prazo (meta ≥ 95%).
Recall: proporção de respostas em 30 dias (> 80%).
Behavior mudança: Redução de incidentes tipping-off, proporção de acrobacias corretas CS.
Phishing resilience: CTR ↓, relatórios de simulações de ↑.
Escalation quality: totalidade dos artefatos nas escaladas (modelo, ID, logs).
Whistlablowing: conversões ≠ zero; tempo de reação e encerramento.

9) Folhas de cheque

9. 1 Antes de iniciar o programa

• Aprovado por «tone from the top» (carta/vídeo de CEO).
• Calendário de campanhas para o ano; os donos dos temas são designados.
• Conteúdo localizado; exemplos para mercados e funções.
• O LMS está ligado ao HRIS.
• Relatórios coverage/on-time/pass rate configurados.
• Cartazes prontos, página 1, bots quizes.

9. 2 Durante a campanha

• Lembretes através de canais (bate-papo/correio/bordes).
• Sessão Q&A com especialistas (30 min).
• Pesquisa curta «Entenda a essência» (3 perguntas).
• Recolher fidback e perguntas «no campo».

9. 3 Depois da campanha

• Relatório: coverage/recall/behavior.
• CAPA por espaço (script, macros, processos).
• Atualização da FAQ e da página 1.

10) Cenários (role-play) - inserções rápidas

• O jogador ultrapassou o limite de perda.
• Certo: "Vemos que o limite estabelecido por você foi atingido. De acordo com as regras do jogo responsável, vamos limitar temporariamente o acesso para protegê-lo. É assim que você pode ajustar os limites..

• Conclusão em verificação.
• Certo: "O pagamento passa por uma verificação de segurança padrão. Vamos avisá-lo assim que ela terminar

• O cliente enviou o PAN para o bate-papo.
• Certo: "Por razões de segurança, não envie um número de cartão. Use o formulário de pagamento seguro"

• O parceiro oferece crediário agressivo para 18-.
• Certo: "Precisamos de filtros de idade e discreteres corretos. Senão, não"

• Pedido de um colega para exportar PII completo «para análise».
• Certo: "É preciso fundamento e minimização. Forneçamos as unidades/pseudônimos por solicitação via DPO"

11) Comunicações e «tom»

Vídeo trimestral da Exec: «Por que a complacência faz parte da estratégia».
«O empregado N percebeu o risco a tempo de escapar de uma multa».
Beijs/gamificação, pontos por quizes, «Compliance Champions» do mês.
Ambiente seguro: erros são entendidos como aprendizagem, não como castigo (exceto maldade).

12) Artefatos e retenção

Protocolos de transição (LMS), resultados de testes, certificados.
Material das campanhas (slides, gravações), Q&A, cartazes/páginas 1.
Relatórios KPI/KRI, planos CAPA e status de execução.
Tempo de armazenamento - Política de treinamento/auditoria (normalmente de 5 a 7 anos).

13) Gerenciamento de alterações de conteúdo

Versioning (vMAJOR. MINOR. PATCH), changelog.
Atualizadores: novas regras/incidentes/auditoria-findings.
Processo: draft Legal/DPO revidando o piloto o lançamento dimensão.

14) Riscos e prevenção

«Treinamento de galeria» → adicione malas e métricas de comportamento observáveis.
Superaquecimento de conteúdo → micro-lições, 1 página, repetição de chave.
A falta de localização → exemplos locais/linguagem/realidade de pagamento.
Zero acessos à linha telefónica → lembre-se, é um risco de silêncio. Promova a confiança e canais anónimos.

15) Início rápido (30 dias)

Semana 1

1. Nomear proprietário, aprovar metas KPI (coverage ≥ 98%, on-time ≥ 95%).
2. Formar um calendário anual de campanhas e papéis.
3. Preparar «tone from the top» (carta/vídeo).

Semana 2

4. Implantar hab (intranet) e LMS; ligar HRIS/SSO.
5. Montar curso básico (módulos 1-6) + teste; preparar cartazes/página 1.
6. Configure o bota quiz e a simulação de phishing nº 1.

Semana 3

7. Piloto em 2-3 equipes (CS, Payments, Marketing).
8. Montar o fidback; Ajustar os script e as malas.
9. Iniciar aulas semanais de micro (sobre uma questão).

Semana 4

10. Lançamento em massa; controle coverage/on-time diariamente.
11. Relatório do manual: primeiro KPI/incidentes de comportamento.
12. Plano v1. 1: adição de malas RG/Ads e localização.

• Treinamentos AML e treinamento de funcionários
• Playbooks e cenários de incidentes
• Notificações de violações e prazos de relatórios
• Dashboard de complacência e monitoramento
• Relatórios regulatórios e formatos de dados
• Auditoria interna e auditoria externa
• Checagens e reverências
• Renovação de licenças e inspeções
• Mudanças regulatórias por região