Процедуры аудита и инспекции

1) Зачем нужны аудиты в iGaming

Аудит — это системная проверка соответствия продукта и операций требованиям лицензий, закона, стандартов и внутренних политик.
Цели: снизить регуляторные и финансовые риски, доказать честность игр/платежей/данных, улучшить процессы и культуру комплаенса.

2) Таксономия проверок (что и кто)

3) Область аудита (scope)

Игры: RNG, RTP, контроль версий, неизменяемые логи.
Платежи: маршрутизация, возвраты, chargeback, Net Loss, лимиты.
KYC/AML: процедуры, списки санкций/PEP, кейсы и SAR/STR.
Responsible Gaming: лимиты, тайм-ауты, самоисключение, Reality Checks.
Privacy/GDPR/CCPA/LGPD: DPIA, основания обработки, срок хранения, права субъектов.
Безопасность/ИТ: RBAC/ABAC, SoD, журналирование, CI/CD, секреты, DR/BCP.
Маркетинг/CRM/Аффилиаты: suppression, согласия, договорные запреты.

4) Стандарты и методическая база

ISO 19011 — принципы аудита и проведение (планирование → отчет → follow-up).
ISO/IEC 27001/27701 — управления безопасностью/приватностью (контрольные меры).
PCI DSS — если обрабатываете PAN/карты.
GLI-11/19, ISO/IEC 17025 — в связке с тестовыми лабораториями.
Рамки «трех линий защиты» — 1) владельцы процессов, 2) риск/комплаенс, 3) независимый аудит.

5) Жизненный цикл аудита

1. Планирование: определение scope/критериев, карта рисков, список артефактов, NDA и доступы.
2. Полевые работы: интервью, walkthrough, тесты контролей, выборки, инспекция логов/систем.
3. Консолидация: фиксация фактов, рейтинг несоответствий (High/Med/Low), проект отчета.
4. Отчет: выводы, доказательства, рекомендации, сроки устранения.
5. CAPA (Corrective and Preventive Actions): план исправлений и предотвращения рецидивов.
6. Follow-up: проверка выполнения CAPA, закрытие пунктов.

6) Доказательства и выборки

Доказательства (evidence): политики/процедуры (последние версии), скриншоты настроек, выгрузки журналов (WORM), хэш-суммы билдов, тикеты change-менеджмента, акты обучения, протоколы инцидентов, DPIA, реестры согласий, отчеты AML/RG.

• RNG/RTP — статистические выборки ≥10⁶ исходов (или согласованный объем/период).
• KYC/AML — случайная выборка 60–100 кейсов/период с трассировкой до источников.
• Privacy — 20–50 запросов субъектов (DSAR), проверка SLA и полноты ответов.
• Payments — 100–200 транзакций на сценарии (депозит/вывод/chargeback/бонус).
• RG — 50–100 кейсов лимитов/тайм-аутов/самоисключений + suppression-журналы.

Цепочка хранения (chain of custody): фиксация источника, времени, контроль целостности (хэши, подписи).

7) Рейтинги несоответствий и CAPA

CAPA-шаблон: описание проблемы → корневая причина → действия (корректирующие/предотвратительные) → владелец → срок → KPI эффекта → evidence закрытия.

8) RACI (роли и ответственность)

9) Чек-лист готовности к аудиту

Документы и политики

• Регистр версий политик и процедур (с владельцами/датами).
• DPIA/Records of Processing/ретеншн-матрица данных.
• Политики RG/KYC/AML/Privacy/Incident/Change/Access/Logging.

Технические артефакты

• WORM-хранилище логов (игры/платежи/доступы/изменения).
• CI/CD-артефакты: SBOM, хэши билдов, подписи, release notes.
• RBAC/ABAC реестр, SoD-контроль, результаты ревью доступов.
• DR/BCP планы и результаты учений.

Операции

• Реестр тренингов и аттестаций персонала (RG/AML/Privacy).
• Журнал инцидентов и пост-моремов.
• Реестр запросов субъектов данных (DSAR) с SLA.

10) Playbook: инспекция на месте (onsite) и удаленно (remote)

1. Брифинг, согласование повестки и маршрута.

2. Тур рабочих мест/серверной (если применимо), проверка физ. мер.

3. Интервью + live-демо контролей, выборки из прод/реплик.

4. Ежедневный wrap-up, предварительная обратная связь.

• Доступ в read-only панели/дашборды, защищенный обмен файлами, запись сессий, time-boxed слоты.
• Предварительная загрузка артефактов, скрипты воспроизведения.

• Единая точка контакта, трекинг запросов (ticketing), SLA по предоставлению доказательств (обычно T+1/T+2 рабочих дня).

11) Специальные сценарии: «dawn raid» и внеплановые проверки

Готовность: правовой бриф, список контактов (Legal/Compliance), правила сопровождения аудитора, запрет уничтожения/изменения данных (legal hold).
Процедура: проверка мандата/удостоверений, регистрация копий изымаемых данных, присутствие Legal, копии журналов целостности.
После: внутреннее расследование, коммуникации борду/партнерам, CAPA.

12) Архитектура комплаенс-данных и наблюдаемости

Compliance Data Lake: централизованное хранилище отчетов, логов, сертификатов, DPIA, метрик.
GRC-платформа: реестр рисков, контролей, аудитов и CAPA, календарь ресертификаций.
Audit API / Regulator Portal: управляемый доступ для внешних аудиторов/регулятора.
Иммутабельность: WORM/объектное хранилище, Merkle-цепочки хэшей.
Дашборды: RTP-дрейф, Self-Exclusion suppression accuracy, Time-to-Enforce лимитов, KYC SLA.

13) Метрики зрелости аудита (SLO/KPI)

14) Шаблон отчета аудитора (структура)

1. Резюме руководителю (Executive Summary).
2. Область и критерии.
3. Методология и выборка.
4. Наблюдения/несоответствия (с ссылками на доказательства).
5. Оценка риска и приоритеты.
6. Рекомендации и план CAPA (согласованные сроки/владельцы).
7. Приложения: артефакты, журналы, хэши, скриншоты, реестр интервью.

15) Частые ошибки и как их избежать

Неактуальные политики/версии → централизованный регистр, напоминания.
Нет WORM/цепочки хранения → нельзя доказать факты; внедрите иммутабельность.
Слабый SoD/RBAC → квартальные ревью доступов и журналов.
Отсутствие CAPA-дисциплины → владельцы/сроки/доказательства закрытия.
Несостыковки данных (RTP/отчеты/каталог) → автоматические сверки и алерты.
Реакция ad-hoc на инспекции → playbook и тренировки (table-top).

16) Дорожная карта внедрения (6 шагов)

1. Политика и методика: принять стандарт аудита, шкалу рисков, форматы отчетов.
2. Инвентарь контролей: карта процессов и контролей по доменам.
3. Архитектура доказательств: WORM, Compliance Data Lake, Audit API.
4. GRC & календарь: график аудитов/ресертификаций, реестр CAPA.
5. Обучение/тренировки: ролевые учения, «dawn raid» симуляции, table-top.
6. Непрерывное улучшение: мониторинг метрик, ретроспективы, снижение повторных findings.

Итог

Процедуры аудита и инспекции — это не разовые события, а постоянный контур доказуемого соответствия: четкий scope, качественные доказательства, дисциплина CAPA, иммутабельные логи, готовность к визитам регулятора и прозрачные метрики. Такой подход снижает риски, укрепляет лицензии и повышает устойчивость продукта и бренда.