Renovação de licenças e inspeções

1) Alvo e área

Assegurar que as licenças em vigor sejam renovadas a tempo e que as inspeções programadas/não programadas sejam bem sucedidas sem parar os negócios e riscos para a marca/jogadores. Abrangência: B2C/B2B licenças, permissões de jogo/pagamento, RG/AML/GDPR/BB, certificados técnicos (RNG/PCI/SOC/ISO), permissões locais de publicidade/afiliadas.

2) Princípios

Risco zero de atraso. Deadline no calendário, lembretes duplicados e proprietários de reserva.
Uma fonte de verdade. Registro único de requisitos, versões de documentos e estatais.
Prova. Cada afirmação é confirmada por um artefacto (arquivo/logs/screen/número do tíquete).
Disposição contínua. «Sempre pronto» para inspecção, dashboard de complacência, políticas atuais, revistas de auditoria.
CAPA transparente. Qualquer observação do regulador se encerra com ações mensuráveis na SLA.

3) Papéis e RACI

O Head of Compliance é uma estratégia, um registro de exigências, um calendário. (A)

Legal Counsel - formas legais, apólices, interpretação de normas. (R/C)

Financiamento/CFO - taxas/taxas, garantias bancárias, relatórios. (R)

AML Officer/RG Lead/DPO/CISCO - Correspondência de conteúdo por direção. (R)

Payments Lead/Game Providers Ops - provas de PSP/PCI e jogos honestos. (R)

Auditório Internacional - pré-assessment, revezamento independente, controle CAPA. (C/R)

Exec Sponsor (CEO/COO) - escalação S1, interação de alto nível. (I/A)

4) Ciclo de vida da renovação da licença

T-120... T-90 dias: revisão de requisitos, auditoria de prontidão (gap-análise), confirmação de desempenho financeiro/estrutura de posse/beneficiários.
T-90... T-60: coleta e atualização de documentos (políticas, relatórios, certificados), negociação de formulários, elaboração de pagamentos e garantias.
T-60... T-30: download do pacote para o portal/SFTP/e-mail, pedidos de esclarecimentos, fixação de recibos, pré-reserva on-site/remote slots.
T-30... T-0: encerrar as questões do regulador, confirmar o pagamento, publicar/receber um novo certificado/carta de renovação.
T +: pós-teste: atualizar vitrines, estatais no site/consultórios de parceiros, salvar artefatos, fazer retração.

5) Registro de requisitos (estrutura do cartão)

LIC-ID: <code >/Jurisdiction: <regulator >/Type: B2C    B2B    other
Valid from <date> to <date >/Renewal Deadline: <date, TZ>
Compliance formulas: GGR/capital/guarantees/technical certs
List of documents: policies/reports/certificates/questionnaires/affidavits
Feed Channel: Portal    API    SFTP    Mail/Format: PDF    CSV    XML    XLSX
Fees/guarantees: amount, currency, invoice, payment terms
Regulator contacts: email/portal ID/phone
Special conditions: localization of language, certification, notary/apostille
Package version: vX. Y/Owner/Reserve/Last Check

6) Documentos e provas (lista típica)

Documentos corporativos: estatutos, estrutura de posse/beneficiários (UBO), Good Standing.
Finanças: relatórios auditados, comprovantes de taxas/impostos, garantias bancárias/seguros.
Operações/Complaens: políticas atuais (KYC/KYB, AML/CFT, RG, GDPR/PII, marketing/afiliados), revistas de treinamento de pessoal.
Técnica/IB: arquiteturas de áreas, segmentação PCI, SOC/ISO, relatórios pentest, vulnerabilidades ASV, registros de alterações/acessibilidade.
Honestidade de jogo: registro de RNG/versões de bolsos, relatórios RTP, incidentes de provedores e procedimentos freeze.
Processos de incidentes: página status, modelos de notificação, relatórios DPA/reguladores, registros MTTA/MTTR/TTS.
Relatórios aos reguladores: registro de deadline, recibos de admissão, verificações com GL/PSP.

7) Inspeções: formatos e expectativas

Remote review: correspondência/portal, mensagens de vídeo, demonstração de sistemas (screen-share), descarga de logs e configurações.
On-site: entrevista (Composance, AML, RG, DPO, Tech/Payments, IA), walkthrough-demo, amostra de malas (KYC, SAR/TR, DSAR, RG-intervenções, chargebacks), verificação de políticas de acesso, inspeção da área PCI/DR.
Sampling & Evidence: o regulador seleciona uma amostra; disposição para fornecer dados anônimos/pseudônimos, números de tíquetes, screenshots com marcas temporárias.

8) Folha de cheque pronta (reduzido)

8. 1 Compartilhamento antes do fornecimento

• Calendário e dedução estão confirmados; o lembrete duplicado foi criado (T-90/T-60/T-30).
• Taxas/garantias pagas; recibos e bank advice estão guardados.
• Versões de políticas/procedimentos - atualizados e assinados.
• Certificados (PCI/SOC/ISO/RNG) válidos na data da renovação.
• O pacote está localizado (linguagem, formato), as garantias/apostilas foram executadas.
• Todos os formulários estão preenchidos sem omissões; Controlo dos Quatro Olhos.

8. 2 Direcções

AML/CFT: SAR/TR dentro do prazo; Registros PEP/Sanções; metodologias de escrutínio; caseboard KPI.
KYC/KYB: Níveis de verificação, DPA com provedores, filas ≤ SLA, provas de falhas/escalações.
RG: self-exclusion/limites sincronizados; modelos de comunicação; eficácia das intervenções.
GDPR/DPO: RoPA, DSAR ≤ 30 dias, DPIA, contratos com processadores/SCC, incidentes e notificações.
PCI/Payments: segmentação, tocenização, ASV/pentestes, registros de acesso, chargebacks/displays, fallback PSP.
Honestidade de jogo: monitoramento RTP-drivt, versões RNG/bilds, registros de provedores de incidentes.
Relatórios: recibos de reguladores; cruzamentos GL/PSP; Validadores de circuitos.
Incidentes: TTS/MTTR na SLA, confirmação de notificações, pacotes de artefatos.

9) Riscos e precauções

Renovação em atraso (S1): desencadeadores T-90/T-60/T-30, proprietário de reserva; «plano B» (suspensão temporária do marketing/registro na jurisdição, informação dos parceiros).
Pacotes/erros de formulário incompletos: folha de cheque pré-validação + controle de «quatro olhos», download piloto no banco de areia, lentes automáticos de formatos.
Auditorias/sertões não assinados: análise gap inicial e CAPA com bufê ≥ 30 dias.
Mudanças Gerenciais/UBO: Preparação de apólices/notário com antecedência, rastreamento por Legal.
A alteração da paisagem, as notas de lançamento para o regulador, o mapa de conformidade «o que mudou e por que é seguro».

10) CAPA por observação

Finding Card: fato critério risco impacto recomendação workplan proprietário o tempo de duração da métrica de sucesso.
SLA encerramento: S1 ≤ 30 dias; S2 ≤ 60; S3 ≤ 90; S4, por concordância.
Comprovação: Provas de Implementação (Tópicos/Logs/Políticas/Resultados de Testes), Assinatura Internal Auditoria, Status Verificed.
Escalação: atrasos S1/S2 - para a semanal Management Review, relatório trimestral do Comitê de Auditoria.

11) Finanças da extensão

Taxas/taxas: tabela de taxas, taxas de câmbio, contas de beneficiários, deadline de pagamento.
Garantia/seguro: valores, tipo (banco guarantee/insurance bond), data de vencimento, termos de renovação.
Orçamento: calendário de pagamentos de jurisdição, tampão para inspeções não programadas/transferências de documentação.

12) Dashboard «License & Inspecções»

License Timeline: prazo de validade, deadline T-90/T-60/T-30, progresso do pacote (% documentos prontos).
Inspiration Queue: As próximas visitas/reuniões, cheques de estado.
Evidence Coverage: proporção de itens com artefatos afixados.
CAPA Progress: concluído/em trabalho/vencido, a mediana da hora de fechamento.
Risk Heatmap: probabilidade x influência por jurisdição/direção.
Readiness Index: pontuação de preparação integral (AML/KYC/RG/GDPR/PCI/Games/Reporting).

13) Modelos (inserções rápidas)

A) Cover Better (extensão)

B) Response to Queries (RFI/RFQ)

C) On-site Agenda

D) Post-Inspection Update

14) Gerenciamento de documentos e privacidade

DMS/Repo: Estruturação por jurisdições, versões, classes de documentos; controle de acesso RBAC/ABAC.
PII/privacidade: pseudônimo/disfarce, área de armazenamento de dados sensíveis separada, criptografia at-rest/in-transit.
Os registros de acesso são imutáveis, revisões periódicas.

15) Processos interligados

Relatórios regulatórios e formatos de dados - fontes de carregamento e recibos.
O dashboard da complacência é uma métrica de inspeção.
Playbooks/notificações incidentes - provas de pontualidade.
Auditoria interna/externa - pré-assessoria e prontidão para certificações.

16) Erros frequentes e como evitá-los

Enviam «policy on paper», mas não há logs operacionais sempre aplicar evidence of operation (amostra, logs, tíquetes).
As datas/temporizações não definidas → todos os times em UTC, local separadamente.
Certificados vencidos (PCI/SOC/ISO) no pacote → tampão de 60 dias e lembretes.
Alterações não contabilizadas na arquitetura → changelog e mapa de conformidade para o regulador.
Nenhum dono de reserva → atribuir um backup-owner a cada licença.

17) Plano de implementação (30 dias)

Semana 1

1. Inventário de todas as licenças/autorizações e datas de vencimento.
2. Criar um registro de requisitos e cartões (secção 5).
3. Configurar o calendário de deadline e lembretes (T-90/T-60/T-30).

Semana 2

4. Análise GAP/KYC/RG/GDPR/PCI/Games/Reporting.
5. Recolher o pacote básico de documentos; alinhamento de formatos/locais.
6. Preparação de modelos Cover Letter/On-site Agenda/Response to Queries.

Semana 3

7. Inspeção piloto «seco» (mesa-top) e correção de espaços.
8. Configurar o dashbord License & Inspirtions e os indicadores do Readiness Index.
9. Crie um registro CAPA e rotas de negociação.

Semana 4

10. Forneça as próximas extensões para o «banco de areia »/portal (se disponível).
11. Retrô de piloto, acertação em pacotes e folhas de cheque, aprovação v1. 0.
12. Aprovação do calendário anual de inspeções e atribuição de proprietários de reserva.

• Relatórios regulatórios e formatos de dados
• Notificações de violações e prazos de relatórios
• Dashboard de complacência e monitoramento
• Auditoria interna e auditoria externa
• Checagens e reverências
• Gestão de crise e comunicações