Audit intern și audit extern
1) Scop și domeniu
Asigurați controlul sistematic, independent și reproductibil al operațiunilor și proceselor de conformitate: respectarea licențelor/legilor, fiabilitatea raportării financiare și operaționale, eficacitatea controlului riscurilor (KYC/AML/RG, GDPR/PII, plăți/PCI, onestitatea jocurilor, securitatea informațiilor, marketing/afiliați, furnizori). Secțiunea definește principiile, rolurile, metodologia, verificarea programării, formatul raportului și procedura de închidere a neconformităților.
2) Principii și „trei linii de apărare”
prima linie: proprietarii de procese (Operațiuni, Plăți, Furnizori de jocuri, Marketing/Afiliați, Serviciul de asistență) - gestionează riscurile zilnice.
Linia a doua: Conformitate/Risc/Securitate/DPO - politici, monitorizare, consultanță, aplicare.
A treia linie: Audit intern (IA) - evaluare independentă a adecvării și eficacității controlului; rapoarte către Consiliul de supraveghere/Comitetul de audit.
Audit extern (EA): părți terțe independente - raportare financiară, certificare (ISO/SOC/PCI), inspecții de reglementare.
Principii: independență, obiectivitate, dovezi, confidențialitate, accent pe riscuri și valori, transparență și trasabilitate.
3) IA vs EA acumulare
4) Roluri și RACI
Șeful auditului intern (IA Lead) - strategie, independență, plan/raportare. (A)
Auditorii interni - verificări de teren, documente de lucru, concluzii. (R)
Proprietarii de procese (linia 1) - furnizarea de date/artefacte, CAPA. (R)
Conformitate/InfoSec/AML/RG (linia a doua) - co-audituri, metodologi. (C/R)
CFO/Controller - circuit financiar, GL, reconcilieri. (C)
Legal/DPO - interpretarea normelor, PII si retentia. (C)
Comitetul de audit - aprobă planul IA, acceptă rapoarte, controlează independența. (A)
Auditori externi/evaluatori - derularea EA; accesul la artefacte de către NDA. (Contractul I/R)
5) Planul anual de audit
1. Registrul de risc: probabilitatea × impact (finanțe/GGR, licențe, reputație, siguranța jucătorilor).
2. Harta proceselor: plăți/PSP, portofel, KYC/AML/KYB, RG, furnizori de jocuri/RTP, marketing/afiliați, securitatea informațiilor/GDPR, incidente/notificări, rapoarte de reglementare.
3. Matrice prioritară: Frecvență de → ridicată/medie/joasă (sfert/jumătate de an/an).
4. Domeniul de aplicare: obiective, criterii, proceduri, eșantioane, resurse, cronologie, dependențe.
5. Aprobare: Comitetul de audit aprobă planul anual; ad-hoc permis pentru incidente S1/S2.
6) Metodologie: etape de audit
A. Planificare: Cerere de documente, Înțelegerea proceselor, Evaluarea designului de control, Evaluarea riscurilor, Programul de testare.
B. Fieldwork: interviuri, walkthrough, teste de proiectare/reacție, proceduri analitice, inspecție artefact, eșantionare.
C. Concluzii și rating: compararea faptelor cu criteriile; clasificarea constatărilor.
D. Raport: proiectul aprobării → a faptelor → prezentarea finală a → conducerii/comitetului.
E. CAPA și Follow-up: plan de acțiune corectiv/preventiv, monitorizare, verificare.
7) Probe și probe
Tipuri de dovezi: documentar (politici, busteni, bilete), fizic (capturi de ecran, configuratii), oral (interviuri), analitic (reconcilieri, tendinte).
Calitate: suficiență (volum), relevanță, valabilitate (sursă).
Probe: aleatoare, sistematice, dirijate (bazate pe risc), prin anomalii; mărimea este determinată de riscul și volumul populației generale.
Trasabilitate: fiecare ieșire este asociată cu un test, testul cu dovezi (ID unic); „numerotare continuă”.
8) Clasificarea neconformităților și a ratingurilor
Critic (S1): risc de licență/lege/daune financiare semnificative/încălcare a PII. Este necesară o acțiune imediată, un raport către Comitet/Consiliu.
Ridicat (S2): defect de control semnificativ; SLA scurt pentru a repara.
Mediu (S3): defect limitat; plan de ajustare.
Low (S4): îmbunătățiri/observații (optimizare).
Ratingul procesului auditat: eficient/în general eficient cu îmbunătățiri/parțial eficient/ineficient.
9) Documente de lucru și păstrare
Lucrări de lucru: program, liste de verificare, mostre, protocoale de interviu, dovezi, calcule, concluzii.
Standarde de redactare: index, versiune, proprietar, data, hyperlink-uri la artefacte, controlul schimbării.
Confidențialitate și PII: acces RBAC, stocare criptată, mascare de câmp sensibil.
Perioade de păstrare: prin politică (de obicei 5-7 ani) sau mai mult dacă licențele/autoritățile de reglementare necesită.
10) Verificați subiecte (catalog IA)
1. Plăți/PSP/PCI: auth/declin/chargebacks, aliasing PAN, jurnale de acces, registru furnizor.
2. KYC/AML/KYB: integralitatea și acuratețea KYC, PEP/sancțiuni, calendarul SAR/STR, calitatea investigațiilor, managementul cazurilor.
3. Jocul responsabil (RG): limite/autoexcluderi, proceduri de contact, eficacitatea intervențiilor, restricții de publicitate.
4. GDPR/PII/DPO: registru de procesare, DSAR, incidente de confidențialitate, contracte de procesare.
5. Furnizori de jocuri/onestitate: derivă RTP, incidente rotunde, sincronizare echilibru, RNG/construi versioning.
6. Marketing/Afiliați: respectarea restricțiilor creative/specifice, atribuirea, contractele, plățile.
7. Incident-procese: timpul până la aplicare (TTS), actualitatea notificărilor către autoritățile de reglementare, caracterul complet al artefactelor.
8. Raportare de reglementare: scheme, termene limită, DQ, reconciliere cu GL/PSP.
9. Controale IT/securitatea informațiilor: accesări, SOD, modificări/versiuni, jurnale de audit, backup-uri, exerciții DR/BCP.
11) IA Format Raport (Șablon)
Rezumat: Domeniul de aplicare, Obiective, Rating, Constatări cheie și risc.
Context: proces/sistem/jurisdicții, perioadă, cerințe aplicabile.
Metodologie și limitări (dacă există).
Concluzii detaliate privind prioritatea: fapt → criteriu → risc → impact → recomandări.
Tabelul CAPA - Proprietar, trepte, linii temporale, măsurători de succes
Anexe: mostre, diagrame, registru de probe, glosar.
12) Interacțiunea cu auditul extern (EA)
Raportare financiară: pregătirea GL, reconciliere, confirmări de la PSP/bănci/furnizori, scrisori de management.
Certificări/evaluări de conformitate: ISO 27001/9001, SOC 2, PCI DSS, inspecții de reglementare în industrie.
Roluri IA: pre-evaluare (analiza decalajului), suport de interogare, accelerarea CAPA, evitarea duplicării.
Transparență: o singură vitrină de artefacte, un calendar de vizite, reguli de acces, NDA.
Comunicații: stand-up-uri regulate „EA pregătire”, punct de intrare - coordonator de audit.
13) CAPA și follow-up
Planul CAPA: etape specifice, metrice, proprietar, termen, sisteme/echipe dependente.
Verificare: dovezi de implementare (ecrane, busteni, politici, rezultate teste), data, auditor responsabil.
Escaladare: S1/S2 - actualizare obligatorie pentru Comitet; întârzieri - „zona roșie” a tabloului de bord.
Modificarea evaluării riscurilor: după un succes CAPA - revizuirea riscului rezidual și frecvența inspecțiilor.
14) Tablou de bord audit (control de management)
Starea planului:% finalizare pe trimestru și direcție.
Portofoliul constatărilor: prin severitate și delincvență.
Progresul CAPA: finalizat/în curs/expirat, timpul median de închidere.
Harta căldurii procesului: riscul/eficacitatea controalelor înainte/după CAPA.
Detectări repetabile: indicator al problemelor sistemului.
15) Cerințe etice și independență
Conflicte de interese: auditorii nu își auditează operațiunile anterioare ≤ de 12 luni; declararea conflictului.
Accesul la date: numai pe principiul „minimului necesar”; interdicție copie PII personal.
Comunicări: limbaj neutru, fără ton „acuzator”; fapte înainte de interpretări.
16) Liste de verificare
Începerea auditului
- Obiective/criterii/limite definite.
- Artefacte solicitate și primite, formate/linii temporale convenite.
- Independența a confirmat, fără conflicte.
- Programul de testare și eșantionare aprobat.
Stadiul câmpului
- Walkthrough și interviuri cu roluri cheie efectuate.
- Teste de proiectare și eficiență operațională.
- Înregistrarea dovezilor cu ID/link-uri se formează.
- brief intermediar pentru a procesa proprietarii (fără surprize în finală).
Raportați și CAPA
- Fapte convenite, puncte de litigiu rezolvate.
- Concluzii clasificate (S1-S4), evaluarea riscului/impactului.
- Planul CAPA cu proprietarii și datele aprobate.
- Datele de urmărire sunt enumerate în calendar.
17) Modele artefact (inserții rapide)
Lista de cereri (PBC): lista documentelor/încărcărilor/accesărilor cu termene limită.
Foaie de testare: procedura de de control eșantion rezultat o dovadă concluzie.
Finding Card: cod, titlu, descriere, risc, impact, cauză principală, recomandare, nivel S, proprietar, termen.
Foaie CAPA: pas, metric, artefacte de confirmare, data, verificat.
18) Greșeli frecvente și cum să le evitați
Rolurile combinate ale IA și linia a doua → afectat independența. Decizie: IA care raportează direct Comitetului.
Insuficienta trasabilitate a dovezilor → slaba protectie a concluziilor. Soluție: registru unic și numerotare.
„Vânătoare nonconformistă” în loc de evaluarea riscurilor și a valorii. Soluție: focalizarea riscului și prioritizarea.
Suprasarcină CAPA fără resurse → întârziere. Soluție: obiective SMART și limită WIP.
Ignorarea datelor de calitate/prospețime la verificarea raportării. Soluție: DQ-lista de verificare.
19) Pornire rapidă (implementare de 30 de zile)
Săptămâna 1: Aprobarea cartei IA (mandat/responsabilitate), efectuarea evaluării riscurilor, proiectul planului anual.
Săptămâna 2: creați șabloane (PBC, foi de testare/constatare/CAPA), configurați un registru de dovezi și un tablou de bord de stare.
Săptămâna 3: Efectuarea a 2 audituri pilot „sub formă scurtă” (de ex. PSP/PCI și RG/DSAR), emite rapoarte, înregistrează CAPA.
Săptămâna 4: efectuarea monitorizării piloților, ajustarea metodologiei, prezentarea planului anual de aprobare de către comitet, convenirea asupra unui program de audituri/certificări externe.
- Rapoarte de reglementare și formate de date
- Notificări privind încălcările și termenele de raportare
- Tabloul de bord și monitorizarea conformității
- Cărți de redare incidente și scripturi
- Gestionarea crizelor și comunicații
- Planul de continuitate a afacerii (BCP )/DRP
- Jurnale de audit al tranzacțiilor