Politica AML și combaterea spălării banilor

1) Scop și acoperire

Scopul politicii AML este de a preveni spălarea banilor și finanțarea terorismului, de a asigura respectarea cerințelor de reglementare și de a proteja platforma, jucătorii și partenerii. Politica se aplică tuturor persoanelor juridice din grup, angajaților, echipelor de externalizare, precum și terților (PSP, afiliați, furnizori de conținut) care interacționează cu fluxurile de numerar și datele clienților.

• Produse: cazinou/pariuri, transferuri P2P, turnee, bonusuri/cashback, servicii de marketplace.
• Canale: web, aplicatii mobile, integrari API, crypto-on/off-rampa.
• Geografii: toate țările/statele deservite, ținând cont de cerințele locale.

2) Sprijin și principii de reglementare

Baza politicii este recomandările GAFI (abordarea orientată spre risc, KYC/KYB, sancțiuni, monitorizare, raportare), legislația locală AML/CFT (directivele Europa - AMLD, Marea Britanie - MLR, SUA - BSA/Patriot Act etc.), precum și cerințele privind protecția datelor (GDDDD PR/similar).

• RBA (abordarea bazată pe risc): Resursele se concentrează pe riscuri mai mari.
• Proporționalitate: Măsurile sunt în concordanță cu riscul de client/tranzacție/produs.
• Responsabilitate-soluție de captare, audit, și trasabilitate.
• Confidențialitate prin design: date minime, legalitatea prelucrării, securitatea.

3) Roluri și responsabilități (management)

Consiliul: aprobă politica, apetitul de risc, raportul periodic.
Senior Management: oferă resurse, KPI-uri, implementare.
MLRO/AML Officer: proprietar de proces, raportare de reglementare, SAR/STR, metodologie de monitorizare, interacțiune cu LEA.
Echipa de conformitate: KYC/KYB, sancțiuni/PEP, managementul cazurilor, instruire.
Risc și analiză: modele de notare, scenarii, calibrarea regulilor.
Inginerie/Securitate: integrarea furnizorilor, busteni, controlul accesului, criptare.
Operațiuni/Plăți: controlul plumbului, verificări manuale, calitatea datelor.

RACI (упрощенно): Board - A, MLRO - R/A, Compliance - R, Risk - R, Eng - C/R, Ops - C/R, Audit Intern - I/C.

4) RBA: model de risc

• Client (țară, rezidență, profesie, EIP/sancțiuni, risc comportamental).
• Produs (cazinou/pariuri, P2P, cripto, limite ridicate, transfrontaliere).
• Canal (onboarding online, fără prezență, instrumente anonime).
• Geografie (jurisdicții cu risc ridicat, regimuri de sancțiuni).
• Tranzacții (volum, rata cifrei de afaceri, modele de încasare).

Rating: viteza de pornire pe onboarding + factori dinamici (istoric, dispozitive, modele de plată) ⇒ segmentarea în risc scăzut/mediu/ridicat și selectarea nivelului de măsuri: CDD/EDD/SOW.

5) KYC/KYB și screening de sancțiuni (asociere cu AML)

KYC pentru persoane fizice: document + liveness, adresa, varsta, sanctiuni/REP, Advers Media.
KYB pentru companii/afiliați/furnizori: înregistrare, UBO/directori, sancțiuni/POP, verificarea activităților și a surselor de fonduri.
Sancțiuni/REP: screening primar și periodic, potrivire neclară, compensare manuală.
SOW/SF: cu limite și anomalii ridicate - confirmarea originii fondurilor/bogăției.
Re-KYC: programată și declanșată de evenimente.

6) Monitorizarea tranzacțiilor și analiza comportamentală

• Depunere rapidă → ciclu de retragere fără risc real de joc.
• Adeziuni pe sume/frecvență, plăți împărțite („smurfing”).
• Neconcordanța dintre țara IP/BIN/adresa, schimbarea frecventă a metodelor de plată.
• Trafic atipic de noapte/masă, clustere de dispozitive (grafic dispozitiv).
• Folosind anonimizatoare/VPN, ferme proxy, sistem de operare/spoofing de browser.
• Modele bonus suspecte, multiaccounting, cicluri chargeback.

ML/modele comportamentale: anomalii probabilistice, conexiuni grafice, viteza de risc a jucătorilor/afiliaților, segmentarea high-roller.

Managementul cazului: generarea de alertă → calificarea → solicitarea documentelor/explicațiilor → decizie (escaladare/blocare/SAR).

7) „Steaguri roșii” (iGaming-specificitate)

Depozite regulate de la terți/multe cărți individuale per jucător.
transferuri P2P/tournament între conturi legate.
Dezalinierea puternică a profilurilor (vârstă, profesie vs cifra de afaceri).
Migrația interjurisdicțională fără niciun motiv explicabil.
Încasări sistematice fără activitate de joc sau marje minime.
Încercări de a ocoli limitele conturilor CUS/ieșiri/bonusuri, „fermă”.
Afiliați cu sursă neclară de trafic sau CR→WD anormal de mare.

8) SAR/STR: investigații interne și raportare

Pragul de suspiciune: „suspiciune rezonabilă”, indiferent de sumă.
Proces: alerta → colectarea faptelor → solutia MLRO → depunerea SAR/STR la timp, fara basculare.
Escaladarea: blocarea temporară, înghețarea fondurilor la cererea LEA/autorității de reglementare, planul de comunicare cu clientul.
Documentație: termenele evenimentului, sursele de date, acțiunile echipei, deciziile și raționamentul.

9) Stocarea și securitatea datelor

Termeni: de regulă, cel puțin 5 ani de la încetarea relației (specificată local).
Stocare țintă: profile, documente, alerte, SAR/STR, jurnal de acces, bază de probe.
Securitate: criptare în repaus/în tranzit, HSM/stocare secretă, RBAC/ABAC, jurnale imuabile (WORM), acces la monitorizare și acțiuni ale angajaților.

10) Instruire, controlul calității și audit

Training: anual pentru toată lumea, aprofundat - pentru angajații cu funcții de risc; teste și certificare.
QA/diagnostic: recenzii selective ale cazurilor, controale duble (4 ochi), retro pe decizii eronate.
Audit intern: evaluare independentă a conformității cu politicile, cerințele de reglementare și eficacitatea proceselor.
Teste de stres: exerciții incidente (sancțiuni, tipologie mare, alerte în masă).

11) Crypto și VASP (dacă este cazul)

Regula de călătorie: schimbul de atribute expeditor/receptor între furnizori.
Analiza blockchain: rata de risc a adreselor, clusterelor, sancțiunilor/etichetelor mixer.
It/off-rampă de control: conformitatea proprietarului portofelului, potrivirea datelor, limitele și jurnalul de adrese externe.
Dinamica prețurilor/volatilitate: reguli speciale pentru sume, marcarea conversiilor „neobișnuite”.

12) Interacțiunea cu terții

Furnizori PSP/bănci/KYC: contracte, SLA, DPIA, planuri de testare a toleranței la erori.
Afiliați: KYB, monitorizarea calității traficului, interzicerea surselor de risc, audit post-clic.
Relațiile corespondente: verificarea aprofundată a partenerilor, revizuirea periodică.

13) Arhitectura soluției AML (recomandări)

Integrări: furnizori de CUS/sancțiuni, PSP, anti-fraudă, analiză blockchain.
Event bus: toate tranzacțiile/evenimentele se încadrează într-un fir (Kafka/echivalent) cu stocare neschimbabilă.
Reguli motor + ML: scoring online (milisecunde) și revizii offline (lot/aproape în timp real).
Sistem de cazuri: cozi prioritare, șabloane de solicitare a clienților, SLA, integrare cu mesagerii e-mail/instant.
Observabilitate: busteni, metrici, urme; regula/versiunea modelului și efectul.
Degradare: simplificare în condiții de siguranță (fail-open/close by policy), furnizori de backup, retrai/cvorum.

14) Măsurători de performanță și KPI-uri

Rata de conversie SAR: Proporția de alerte care au devenit SAR/STR.
Time-to-Alert/Time-to-Decision: viteza de detectare și de decizie.
Rata fals pozitivă/precizie-rechemare în alerte.
Acoperire: procentul tranzacțiilor monitorizate/examinate.
Rework/Apeluri: ponderea cazurilor cu revizuirea soluțiilor.
Finalizarea trainingului:% dintre angajații cu pregătire relevantă.
Furnizor SLA: furnizori de uptime, TTV pe CUS/sancțiuni.

15) Liste de verificare

• KYC/KYB, vârstă/geo, sancțiuni/PEP, media adversă.
• RBA scoring, limite de bază, amprenta dispozitivului.
• Consimțământul, confidențialitatea, raportarea verificărilor.

• Screening-ul de re-sancționare, SF/SOW, dacă este necesar.
• Potrivirea proprietarului instrumentului de plată.
• Validarea comportamentală și istoricul tranzacțiilor.

• Colectarea de fapte și documente.
• Avizul MLRO intern.
• Prezentarea raportului la timp; interzicerea basculării.
• Post-mare, actualizarea regulilor/modelelor.

16) Greșeli tipice și cum să le evitați

Caseta de selectare KYC blind fără RBA: consolidați analiza dinamică și limitele.
Lipsa feedback-ului în modele: implementarea unei bucle de decizie → rezultat.
Ultra-hard „derisking” în loc de gestionarea riscurilor: utilizați EDD/SOW și limitele controlate, mai degrabă decât interdicțiile totale.
Nerespectarea normelor/sancțiunilor regionale: menținerea „geo-profilurilor”.
Jurnal de decizie slab: Standardizați raționamentul și depozitarea artefactelor.

17) AML șablon structura politicii (pentru wiki)

1. Introducere și domeniu de aplicare

2. Definiții și termeni (AML/CFT, CDD/EDD, INF/SOW, PEP etc.)

3. Cadrul de reglementare și trimiterile la legislația locală

4. Management și roluri (Board, MLRO, RACI)

5. Metodologia RBA și apetitul pentru risc

6. KYC/KYB și screeningul sancțiunii

7. Monitorizarea tranzacțiilor (reguli + ML) și managementul cazurilor

8. „Steaguri roșii” și script-uri iGaming

9. Proceduri SAR/STR și interacțiuni de reglementare/LEA

10. Stocarea datelor, confidențialitate, securitate

11. Formarea și conștientizarea personalului

12. Furnizori și terțe părți (SLA, Audit)

13. Audit, QA și îmbunătățire continuă

14. Anexe: liste de verificare, formulare, șabloane de litere, valori

18) Exemplu de matrice de risc (fragment)

Rezultat: măsuri de → cu risc scăzut/mediu/ridicat: CDD/EDD + INF/SOW/limitări/randament.

19) Planul de implementare și întreținere

Identificați proprietarii de procese și SLA.
Harta integrării (PSP, KYC, sancțiuni, analiză).
Rulați cu setul de reguli de bază + control FP/FN.
Calibrarea trimestrială a scenariilor, revizuirea anuală a politicilor.
Curricula si controlul trecerii.
Rapoarte periodice ale consiliului de administrație (KPI, incidente, schimbări de risc).

Total

O politică eficientă privind LMA nu este un "document la raft', ci un ciclu de viață: evaluarea riscurilor măsuri de control monitorizarea investigarea raportarea îmbunătățirilor. Construiți un proces în jurul RBA, asigurați-vă o buclă puternică de KYC/KYB și sancțiuni, implementați monitorizarea de înaltă calitate a tranzacțiilor cu managementul cazurilor și respectați disciplina de stocare a datelor, formare și audit - în acest fel veți reduce riscurile de reglementare și reputație, menținând în același timp conversia și sustenabilitatea afacerilor.