Dashboard de complacência e monitoramento

1) Atribuição e área de responsabilidade

Um único painel para o controle diário de conformidade: licenças e reguladores, proteção de dados (GDPR/PII), pagamentos e PCI, AML/CFT, jogo responsável (RG), políticas de marketing e afiliação, provedores de jogos, notificações e relatórios obrigatórios. Dashboard é uma fonte de verdade para Compliance/Legal/Segurança/Payments/RG/AML e materiais de auditoria.

2) Papéis e RACI

O dono do produto (Head of Compliance) é a visão, as prioridades, o lançamento de versões. (A)

Data Owner (DWH Lead) - circuitos, SLA frescura, lineage. (R)

Compliance Analysts/AML/RG - configuração KPI/KRI, alertas, interpretação. (R)

Segurança/DPO - GDPR/PII/Incidentes, direitos dos sujeitos de dados. (R)

Payments Lead - PSP/PCI, devoluções, chargebacks. (R)

CS/CRM - comunicações aos clientes afetados. (C)

Legal - interpretação das normas, negociação dos textos de notificação. (C)

Engineering - coleta de telemetria, integração de provedores. (R)

3) Esqueleto dashbord: seções e widgets-chave

3. 1 KYC/KYB

KYC Complition Rate (D-1) = contas verificadas/novos registros.
Pending> SLA (em inglês): inscrições de fila mais do que X horas.
Tier Escalações: transferências para nível elevado de verificação.
Falso Positivo Rate (bandeiras de frod KYC).
Documentos que expiram ≤30 dias (passaporte/endereço).

3. 2 AML/CFT

SAR/TR Queue: malas abertas por estágio.
High-Risk Segments:% do negócio de clientes de países HR/métodos.
Unusual Patterns (velocity/estruturing): detector de anomalias (diurno).
PEP/Santions Hits: novas coincidências, time-to-review.
Average Case Closure Time и % в SLA.

3. 3 Jogo responsável (RG)

Self-Exclusion/Timeouts: novos/ativos, reembolsos.
Loss/Sessions Limits Breches: violações,% notificações processadas.
Vulnerable Players Outreach: abrangência e tempo de contato.
RG Interventions Efficacy: redução de perdas após intervenção.

3. 4 Pagamentos e PCI

PSP Health: auth-rate, decline-rate, latency de métodos/geo.
Chargeback Ratio (М-к), Refund SLA, Disputes Age.
PCI Events: scan de vulnerabilidades, rotação de chaves, toquenização pan.
Anatalous Cashouts: excesso de liminares/varredura.

3. 5 GDPR/PII e incidentes

Data Access Requests (DSAR): ingressos/SLA, atrasos.
Privaciy Invents: abertos/fechados, TTS (time-to-statement), MTTR.
PII Inventory Drift: alterações no registro de campos/retenção.
Breach Notificação Timeliness:% das notificações dentro do prazo.

3. 6 Regulador/licenças

Relatórios obrigatórios: calendário de deadline (30/7/1 dia).
Cumprimento de publicidade/bónus: bandeiras de discrepância de mercado.
Registro de interação com reguladores: status de tíquetes/consultas.

3. 7 Marketing/Afiliados

Adaptation Integrity: variações de pós/pixel, «missing clicks».
Compliance Flags: criações/grupos de destino proibidos.
Sócio Score: Índice de Disciplina do Parceiro (KPI/Deadline/Queixas).

3. 8 Provedores de jogos e honestidade

RTP Drift Monitor: Desvios da RTP declarada (Granularidade de Timer/Estúdio).
Fairness Invents: paragens/rascronização de rodadas, equilíbrio-erro.
Game Provider Health: API errada, não disponível.

4) Liminares e seriedade (exemplo)

S1 (crítico): auth-rate por top PSP <60% ≥ 15 min; uma fuga de PII confirmada; violação em massa da RG.
S2 (alto): chargeback ratio> 1. 5% em 7 dias; DSAR> SLA de 48 horas; queda da conversão KYC> 20% d/d.
S3 (média): aumento de falhas do provedor de jogos> 5% hora/hora; 2 + sócio com criações proibidas.
S4 (baixo): defeitos locais, queixas individuais.

SLA atualizações: S1 - a primeira mensagem ≤15 min; S2 - ≤30 min; S3 - horário de turnos.

5) Regras de alertas (esqueleto)

Detect: métrica X ultrapassa o limite Y na janela Z.
Supress/Dedupe: agrupamento de mercado/método/provedor.
Rota: canal (war-room/on-call/status), beneficiários por RACI.
Escalate: escalação automática para duração> T ou repetição N vezes/dia.
Explain: referência para playbook e FAQ para CS.
Record: Autografado para registro de incidentes + gráficos.

6) Fontes de dados e arquitetura

Logs de transação: depósitos/conclusões/sessões de jogos.
Fornecedores KYC/KYB: estados de verificação, razões de falha.
Sistema AML/SIEM: alertas, malas, esquetes.
PSP/Aquirer/Card Schemes: API de relatórios e estatais.
CRM/CS: conversões, macros, notificações de saída.
Página de status/incidente-bot: timeline, texto das mensagens.
Maiúsculas GDPR/PII: DSAR, Reticências, Processadores.
Game Providers: telemetria API, RTP, estatais.

• Frescor (Freshness SLA): KYC/PSP - ≤15 min; AML/SIEM - ≤5 min; DSAR — D-1; RTP — D-1; RG - ≤15 min.
• Lineage: cada campo com origem/conversão.
• Qualidade: validadores de esquema (campos obrigatórios, registros de códigos, dedução).

7) Fórmulas e definição KPI/KRI (amostra)

Auth Rate (método/geo): 'approved/attempts'.
Chargeback Ratio (мес): `chargebacks / successful transactions`.
KYC Completion Rate: `verified_accounts / new_registrations`.
SAR Submissão Timeliness: '% SAR enviados ≤ X horas após o desencadeamento'.
DSAR SLA: '% das consultas encerradas ≤ 30 dias'.
RTP Drift (тайтл): `|observed_RTP − declared_RTP|`.
RG Outreach SLA: `median(time_contacted − time_triggered)`.

8) Widgets (modelos)

8. 1 «Deadline regulatórios» (calendário):

Lista de relatórios com deadline, dono, disposição (%), risco de atraso.
Filtros: jurisdição, tipo (licença/AML/jogos).

8. 2 «PSP Map» (geo/técnicas):

Mapa térmico auth-rate, latency, incidentes em 24 h.
Clique → detalhe por provedor/método → referência a playbooks.

8. 3 “GDPR/DSAR Pipeline”:

Vórtice: recebida → no trabalho → à espera de verificação → encerrada.
Atrasos nas causas.

8. 4 “AML Caseboard”:

Canban por estágio: Detation → Review → SAR → Closed.
Timer SLA, realce de atraso automático.

8. 5 “RG Risk Monitor”:

Limite-brici, self-exclusions, contatos; eficácia das intervenções.

9) Políticas de acesso e auditoria

RBAC/ABAC: Os analistas veem as unidades; acesso ao PII - apenas por meio de camuflagem/camada DPO.
Registro de ação: quem abriu/alterou liminares e regras.
Versioning: configurações de alertas e fórmulas KPI em Git; lançamentos com changelog.

10) Integração com o processo de incidente

O botão «Declare Invident» do widget → um tíquete pré-preenchido (ID, capturas de tela, níveis S1-S4).
Geração automática holding statement (status-página/CS macro).
Links: Playbooks incidentes, Notificações e prazos, Gerenciamento de crise.

11) Controle de qualidade de dados (DQ)

Coverage: abrangência dos eventos vs. referência (relatório PSP).
Consistency: somas/moedas/temporizões.
Outliers: IQR/3g, bandeira visual.
Backfill: procedimentos de pré-operação e marcação de alterações retráteis.
Alertas DQ: Quando a frescura cai/lóbulo null/discrepância das unidades.

12) Folhas de cheque

Antes do lançamento do dashbord

• Aprovados por KPI/KRI e fórmulas.
• As liminares e a rotação de alertas foram configuradas.
• Os donos de widgets e SLA são indicados.
• Está ativado o loging de ação e exportação de artefatos.

Semanalmente

• Revisão das liminares dos incidentes da semana.
• Verificação de falhas/omissões falsas.
• Acerto com relatórios de reguladores/PSP.

Trimestral

• Auditoria de acesso e camuflagem PII.
• Revisão do KPI/KRI para novas exigências de licenças.
• Teste de exercício: AML SAR, GDPR DSAR, PSP falha.

13) Artefatos e exportação

Snepshots de dashboards em S1/S2 (PNG/PDF).
Exportar KPI (CSV/Parquet) com hash e assinatura de tempo.
Registos de alertas com a causa/botão «atrelar a um incidente».
Registro de deadline/notificação (ligação com tíquetes e confirmações).

14) Conjunto de alertas (exemplo de regras)

PSP. AuthRate <70% (15 min, 3 zonas) → S2, canal «Payments On-Call», escalado em 30 min.
GDPR. DSAR> 30 dias (≥10) → S2, "DPO On-Call', relatório Legal.
AML. PEP Matches New> 0 (24 horas) → S3, canal AML, máquina de criação automática.
RG. SelfExclusions Spike> p95 (24 horas) → S3, canal RG + CS brife.
Game. RTP Drift > 0. 7 p.p. (7 dias) → S2, Provider Ops, freeze tytle.
Compliance. O Relatório Deadline ≤ 7 dias & Progress <50% → S3, Canal de Compliance.

15) Início rápido (30 dias)

Semana 1

1. Concordar com a lista KPI/KRI e liminares (seções 3-7).
2. Definir SLA frescura e donos de vitrines.
3. Levantar o esqueleto dashbord (widgets + fontes vazias).

Semana 2

4. Conectar os fluxos PSP/KYC/AML/RG.
5. Ajustar 6 alertas críticos (p.14).
6. Ligar a um incidente de bot e uma página de status.

Semana 3

7. Validação de qualidade de dados (folha de cheque DQ).
8. Piloto na semana on-call, recolha de feedback.
9. Documentação de fórmulas/liminares em Git.

Semana 4

10. Lançamento v1. 0, treinamento dos usuários.
11. Pós-lançamento retrô, correção de liminares.
12. Plano v1. 1: novos widgets (RTP, Partners Score) e relatórios.

• Playbooks e cenários de incidentes
• Notificações de violações e prazos de relatórios
• Gestão de crise e comunicações
• Plano de Continuidade de Negócios (BCP )/DRP
• Registros de auditoria de operações
• Sistema de notificações e alertas