Liste de verificare a auditului și recenzii

1) Scop

• comparabilitatea controalelor între echipe și perioade;
• caracterul complet și dovada rezultatelor;
• Gestionarea transparentă a plasturilor (CAPA) și a re-verificărilor

2) Roluri și RACI

Proprietar: șef de conformitate/șef de audit intern - metodologie, versiuni ale listelor de verificare. (A)

Proprietarii de procese (linia 1): auto-evaluare, artefacte, CAPA. (R)

Conformitate/InfoSec/AML/RG (linia a doua): peer-review, co-audituri, interpretarea normelor. (R/C)

Audit intern (linia 3): recenzii independente, rating, follow-up. (R)

Managementul (Sponsor ) - Aprobarea rezultatelor și resurselor pentru CAPA. (A/C)

3) Tipuri de revizuire

1. Autoevaluare (SA): lunar/trimestrial de către proprietarii de procese pentru liste de verificare scurte.
2. Peer-Review (PR): verificarea încrucișată de către o echipă vecină (fără conflict de interese).
3. Analiza managementului (MR): trimestrial - revizuirea KPI/KRI, tendințe și CAPA deschise.
4. Revizuirea auditului intern (IA): evaluarea independentă a planului de evaluare a impactului.
5. Pregătirea pentru audit extern (EAR): pregătirea pentru certificări/inspecții (ISO/SOC/PCI/regulator).

4) Regulile generale ale listei de verificare

ID: CL- <code >/Version: v <MAJOR. MINOR >/Owner: <role>
Область: <KYC/AML/RG, GDPR/PII, Payments/PCI, Games/Providers, Reporting, Incidents...>
Frequency: M     Q      Ad-hoc
Material: <criteria for High/Medium/Low>
Sampling: <method and size>
Evidence: <list of files/screenshots/logs>
Question List: [X] Yes [] No [] N/A + Comment + Artifact + Severity
Bottom line: Score/Rating/CAPA

• Met complet (100-90% )/Met în mare parte (89-75% )/Met parțial (74-50% )/Not Met (<50%).
• Severitatea discrepanțelor: S1 critical/S2 high/S3 medium/S4 scăzută.
• Materialitate: efect monetar (GGR/NGR), acoperire client/PII, risc de licență/penalizare, impact asupra integrității jocului.

5) Catalogul listei de verificare (schelete cu puncte de control)

CL-KYC-01 - KYC/KYB

• Politicile și nivelurile de revizuire sunt aprobate și actualizate.
• Furnizorii KYC au contracte/DPA existente.
• Verificarea SLA sunt îndeplinite (D-1 metric).
• Documentele sunt stocate în funcție de păstrare; acces - RBAC.
• Eșecuri/escaladări documentate; proporția de PC este normală.
• KYB pentru parteneri: declarații curente/beneficiari.

Dovezi: încărcări de stare KYC, registru DPA, jurnal de acces, eșantion de 25 de cazuri.

CL-AML-02 - AML/CFT

• Politica AML actualizată și metodologia de notare a riscurilor.
• La îmbarcare PEP/sancțiune controale și periodic.
• SAR-urile/STR-urile sunt trimise la timp; există confirmări.
• Calitatea investigațiilor: exhaustivitate, sincronizare, închidere.
• Regulile de monitorizare acoperă viteza/structurarea/catârii.
• nici un test de basculare: Nici o notificare a clientului în timpul SAR.

Dovezi: cazuri SAR/STR, jurnale de verificare a sancțiunilor, rapoarte de închidere a cazurilor.

CL-RG-03 - Joc responsabil

• Înregistrare limită/excludere automată sincronizată (Înregistrare/Nat. sistem).
• Vulnerabilitatea declanșează contactul → în SLA; șabloane de comunicare.
• Eficacitatea intervenției este măsurată și analizată.
• Anunțurile/bonusurile îndeplinesc constrângerile pieței.
• Incidente RG și notificări către autoritatea de reglementare - la timp.

Dovezi: jurnalele de auto-excludere, comuniste. modele, măsurători de informare.

CL-PCI-04 - Plăți/PCI

• Segmentarea PCI și inventarul PAN/CHD la zi.
• Tokenizare/criptare în tranzit/în repaus; Cheile sunt săpate.
• Rata auth/declin/latență de către PSP în praguri; rute de rezervă.
• Procesul Chargeback și baza de probe pentru litigii.
• Vulnerabilitățile de la scanările ASV au fost fixate la timp.
• Jurnalele de acces ale zonei de plată sunt complete și neschimbabile.

Dovezi: grafice de rețea, rapoarte ASV, cazuri de chargebacks, politica cheie KMS.

CL-GAMES-05 - Furnizori de jocuri/Integritate

• Contractele și specificațiile tehnice sunt actualizate; RNG/construi versiuni - în registru.
• RTP-drift de monitorizare și praguri de răspuns; înghețarea este fixată procedural.
• Sincronizarea soldurilor rotunde/sesiune/portofel.
• Incidente furnizor: cronologie, captură, compensare jucător.
• Rapoarte la Regulatorul de Integritate/RTP - prezentate și confirmate.

Dovezi: încărcări RTP, jurnale API furnizor, exemple de bilete congela.

CL-REP-06 - Raportarea reglementarilor

• Calendar termen limită: Gata/Trimis/Acceptate stări.
• Schemele de date sunt versionate; fișierele sunt semnate/cu hash-uri.
• Reconciliere: pungă ↔ PSP ↔ GL fără discrepanță> X%.
• Confirmările (ID-uri/chitanțe) sunt stocate și asociate cu artefacte.
• Localizarea/limba îndeplinite.

Dovezi: tabloul de bord deadline, chitanțe, reconcilieri SQL.

CL-INC-07 - Incidente/Notificări

• TTS (primul mesaj) în SLA de S1/S2.
• DPA/Regulator/PSP/CERT Notificări - la timp, cu confirmări.
• Completitudinea artefactelor: cronologie, jurnale, mesaje, liste afectate.
• Retro ≤ 7 zile, CAPA-urile sunt înregistrate și în mișcare.
• Jucătorii sunt compensați în conformitate cu politica.

Dovezi: jurnal incident, pagina de stare, pachete artefact.

CL-GDPR-08 - GDPR/PII

• Registrul de tratament (RoPA) actualizat; temeiurile legale sunt corecte.
• DSAR-urile sunt închise ≤ 30 de zile; delincvenţe explicate.
• DPIA-urile sunt proiectate pentru procese cu risc ridicat.
• Aliasing/mascare în încărcări și rapoarte.
• Contractele cu procesatorii și SCC sunt valabile.

Dovezi: RoPA, jurnal DSAR, DPIA, exemple de măști în rapoarte.

CL-ITGC-09 - Controale IT generale

• Managementul schimbării: proces de PR, teste, aprobări, separarea taxelor.
• Accesări: RBAC/ABAC, revizuire periodică, off-boarding ≤ 24 de ore.
• Backup/Restaurare, Teste periodice DR
• Jurnalele de audit sunt neschimbabile, se observă reținerea.
• Observabilitate: bugete SLO/eronate, alerte la valori critice.

Dovezi: probe PR, jurnale IAM, rapoarte de testare DR, politici de retenție.

6) Metodologia de prelevare a probelor și a probelor

Dimensiune: Focus pe domeniul de aplicare și risc (ex. min 25, pps/stratificare pentru matrice mari).
Metode: aleatoare, sistematice, directionale (anomalii/cazuri marginale), pe perioade de varf.
Suficiență: cel puțin 2-3 surse independente pentru ieșirea cheii (jurnale, capturi de ecran, încărcări, bilete).
Trasabilitate: pentru fiecare element din lista de verificare - dovada cu ID-ul si link-ul din registru.

7) Revizuire rating rubricator

Eficient - controlul este proiectat și funcționează stabil, nu există neconcordanțe S1/S2.
În general eficiente (cu îmbunătățiri) - există S3/S4, dar riscurile sunt sub control.
Parțial eficient - sistemul S2; risc rezidual ridicat.
Ineficient - S1/set S2; necesită un plan de redresare imediată.

8) Urmărirea и CAPA

Pentru fiecare constatare: rădăcină acțiune proprietar termen metric succes.
SLA de închidere: S1 - ≤ 30 de zile; S2 - ≤ 60 de zile; S3 - ≤ 90 de zile; S4 - prin acord.
Verificare: auditorul aplică dovezi de implementare (ecrane/busteni/politici), schimbă statutul la Verificat.
Escaladare: întârzieri S1/S2 - la RM săptămânal, la Comitetul de audit trimestrial.

9) artefacte de lucru (șabloane)

9. 1 Listă de verificare (foaie de verificare)

9. 2 Carte de căutare

Cod Titlu Criteriul real Risc/impact Cauza rădăcină Recomandare S-nivel.

9. 3 CAPA Sheet

Găsirea pași Proprietar Termen limită Metric/Prag Dovezi Status Data de verificare.

9. 4 Lista PBC (furnizată de client)

Interogare Format Sursă Proprietar Termen limită Data primită Comentarii.

10) Revizuirea tabloului de bord

Acoperire:% din procesele acoperite de revizuire în timpul perioadei.
Constatări după severitate: distribuţie S1-S4.
Progresul CAPA: finalizat/în curs/expirat; timpul median de închidere.

Constatări repetate: Procentul de repetări în 12 luni

Actualitatea: respectarea programului SA/PR/MR/IA.
Tendință de eficacitate: Dinamica ratingului pe zone.

11) Calendar și frecvențe

Lunar: SA by KYC/Payments/GDPR DSAR, incidente/notificări.
Trimestrial: PR de AML/RG/Furnizori/Raportare, MR pentru toate direcțiile.
Semi-anual/anual: IA pe zone cu risc ridicat; EAR înainte de certificări/inspecții.

12) Check-carduri „Start rapid” (7 puncte fiecare)

KYC (7 puncte): Policy Providers/DPA SLA Queues> SLA RBAC Waivers/Escalations FP Report.
AML (7 puncte): liste PEP/termene limită pentru sancțiuni SAR Calitatea investigațiilor Viteză/structurare Fără instruiri de tip Caseboard KPI.
RG (7-punct): Registru/sincronizare Contacte în SLA Eficacitatea Ad Restricții Reclamații Incidente Rapoarte către autoritatea de reglementare.
PCI (7-punct): Segmentarea cheilor/ASV rotație/vulcani acces jurnale Tokenization Chargebacks Fallback PSP.
Jocuri (7-point): RTP-drift Freeze procedura Balance Synchronies Provider Incidente RNG Versions/Builds SLA API Integrity Reports.
Raportare (7 puncte): Scheme calendaristice/versiuni Semnătură/hash Reconciliere limbă/locale DQ încasări metrice.
Incidente (7-punct): TTS Notificări în timp Integralitatea artefactelor Compensare Retro CAPA Tablou de bord.

13) Greșeli frecvente și cum să le evitați

Listele de verificare fără dovezi → toate elementele vor necesita un ID artefact.
Evaluarea fără semnificație → fixa pragurile din cardul listei de verificare.
Duplicarea SA/PR/IA → un calendar consistent și un registru unic de cereri (PBC).
„Centrismul documentelor” fără teste operaționale → lua întotdeauna un eșantion de operațiuni.
CAPA-urile fără valori → specifica rezultate măsurabile (de exemplu, DSAR ≤ 30 de zile ≥ 98%).

14) Planul de implementare (30 de zile)

Săptămâna 1

1. Aprobarea metodologiei și a baremelor de rating.
2. Creați 8 liste de verificare de bază (CL-KYC/AML/RG/PCI/GAMES/REP/INC/GDPR).
3. Înregistrați artefacte și șabloane PBC/Finding/CAPA.

Săptămâna 2

4. Conduita SA pilot în 2 procese și PR în 1 proces.
5. Configurați tabloul de bord de revizuire și jurnalul CAPA.
6. Emiterea de formare cu privire la „probe și probe”.

Săptămâna 3

7. Sesiune EAR pe aproape de certificare/inspecție.
8. Sunt de acord cu privire la programul MR/IA pentru trimestrul.
9. Fixați pragurile materialelor și dimensiunile eșantionului.

Săptămâna 4

10. Eliberare v1. 0 directorul listei de verificare și cardul calendarului.
11. Retro pilot, actualizați versiunile listei de verificare (v1. 1).
12. Includeți revizuirea în KPI-urile proprietarului procesului.

15) Secțiuni conexe

Audit intern și audit extern

Rapoarte de reglementare și formate de date

Notificări privind încălcările și termenele de raportare

Tabloul de bord și monitorizarea conformității

Cărți de redare incidente și scripturi

Gestionarea crizelor și comunicații