Лицензия Италии

1) Обзор и позиционирование

ADM — Agenzia delle Dogane e dei Monopoli (бывш. AAMS) регулирует дистанционные азартные игры (GAD — Gioco a Distanza). Модель — концессия с высокими требованиями к due diligence, RG/AML, защите данных и строгой технической интеграции с центральной системой. Рынок зрелый, платежная экосистема развита, но действует жесткий запрет публичной рекламы и спонсорств — оператор опирается на органику, SEO, собственные каналы и строгий CRM-комплаенс.

• Брендам, нацеленным на устойчивый EU-footprint, готовым к дисциплине «evidence-first» и работе без классического perf-маркетинга.
• Платформам/B2B, строящим портфель интеграций с итальянскими лицензиатами и готовым к сертификации по требованиям ADM.

2) Типы разрешений и периметр

B2C GAD-концессия (оператор): фронт/бэк-офис, касса/выплаты, KYC/AML, RG, поддержка, отчетность, интеграция с центральной системой ADM. Вертикали: казино/слоты, ставки, покер, бинго и др.
B2B/поставщики (платформы, контент, live-студии): сертификация ПО/интеграций, контрактные SLA/OLA с лицензиатами, экспорт телеметрии.
Персональные роли: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Responsible Gaming

RUA — Registro Unico delle Autoesclusioni: обязательная онлайн-проверка самоисключения перед предоставлением доступа к игре.
Инструменты игрока: лимиты депозитов/потерь/времени, тайм-ауты, самоисключение, reality-checks, история активности.
Поведенческие сигналы и интервенции: раннее выявление риска, протоколы мягких/жестких вмешательств, журнал контактов и исходов.
Коммуникация: бережные сценарии, запрет стимулировать уязвимых пользователей и несовершеннолетних.

4) AML/KYC (risk-based)

KYC: подтверждение личности/возраста по документу и Codice Fiscale; адрес/резиденция — по вторичным источникам. До завершения KYC доступ ограничен.
AML/CTF: профили клиентов/методов, PEP/санкции, EDD-триггеры, STR/SAR-процедуры, журнал решений и эскалаций.
Транзакционный мониторинг: velocity/аномалии, источник средств при подозрениях, case-менеджмент.
Crypto/он-чейн (если применимо): политика кошельков, трассируемость, лимиты/блок-листы провайдеров.

5) Реклама, аффилиаты и CRM

Decreto Dignità: фактически запрещает публичную рекламу и спонсорства азартных игр. Любая коммуникация — под микроскопом.
Аффилиаты: работа возможна лишь в строгих рамках информирования (без промо-давления); договорные обязательства по RG/AML/данным, белые списки каналов, аудит материалов, стоп-процедуры.
CRM/письма/SMS/push: разрешены информационные сервисные коммуникации и строго комплаентные сценарии; агрессивный ретаргет/бонусный спам — недопустим.
UX и витрины: прозрачные T&C, отсутствие «обещаний легкого выигрыша», защита несовершеннолетних.

6) Данные и приватность

GDPR и Garante Privacy: законность и минимизация, DPIA для высокорисковых операций, контроль доступов и журналирование.
DSR-процедуры: доступ/исправление/удаление/переносимость — в регламентные сроки.
Локация/потоки данных: контролируемые трансграничные передачи, DPA с процессорами, ретеншн по классам данных.

7) Технические стандарты и интеграции

Центральная система ADM: оператор обязан передавать транзакционные данные/отчетность через сертифицированные интерфейсы; непрерывность и точность — критичны.
SDLC/релизы: staging-пайплайны, контроль изменений, подписи артефактов и SBOM, политика отката, «no humans in prod», доказуемый журнал релизов.
Observability: логи (без PAN/лишних PII), метрики и трассировки (например, OTel), SLO/SLI (latency p95/p99, error-rate), синтетические проверки «депозит/KYC/вывод», управляемый ретеншн логов.
Security: mTLS/сегментация, WAF/бот-менеджмент, SSO/MFA/PAM, уязвимости (SAST/SCA/DAST) в CI/CD, регулярный пентест, отсутствие просроченных critical/high.
DR/BCP: регулярные restore-тесты, подтвержденные RTO/RPO, акты учений; сценарии graceful-degradation.
Anti-abuse: защита от бонус-абьюза и фрода, device-signals, velocity-правила, поведенческий скоринг.

8) Платежи и «путь в кошелек»

Методы: карты, bonifico (банковский перевод), PostePay, A2A/Open Banking (PSD2), локальные мгновенные рельсы/кошельки, выплаты на банковские реквизиты.
Интеграции: идемпотентность, HMAC-подписи webhooks, DLQ/реплей событий, мониторинг Time-to-Wallet и долей авторизаций/успеха, отчетность по возвратам/chargeback.
Санкции/PEP и velocity: контроль входящих/исходящих потоков, лимиты, ручные проверки по триггерам.

9) Отчетность, налоги и продление (high-level)

Регуляторная отчетность: GGR по вертикалям, RG-метрики, жалобы/инциденты, изменения в структуре/Key Persons, отчеты по интерфейсам центральной системы.
Фискальная часть: строится вокруг игрового дохода с корректировками (бонусы/джекпоты); обязательны сверки с журналами игр/выплат и данными PSP/банков.
Продление/аудит: периодические проверки политик, техконтролей, RG/AML и соблюдения рекламных ограничений; «evidence-first» пакеты (релизы/SBOM, уязвимости, DR-акты, RG-телеметрия).

10) Процесс лицензирования: фазы и ориентиры сроков

1. Pre-fit & Gap (1–8 недель): вертикали/каналы, карта провайдеров (контент/PSP/KYC), аудит ИТ-готовности, план ремедиаций, дизайн CRM-коммуникаций с учетом запрета рекламы.
2. Пакет документов (4–12 недель): корпоративные/финансы/SoF/SoW, Key Persons, политики AML/RG/данные/инциденты/DR, договоры, архитектура ИТ и интеграций с центральной системой.
3. Техконтроли/сертификации (4–16 недель): SDLC/наблюдаемость/безопасность/DR, уязвимости/пентест, акты restore-тестов, требования к интерфейсам ADM.
4. Рассмотрение и Q&A: вопросы по бенефициарам/политикам/ИТ/данным/рекламе; интервью Key Persons; демонстрация журналов/дашбордов и сценариев RG/AML/платежей.
5. Выдача/ввод (2–6 недель): включение отчетности, on-boarding PSP/контента, тест с центральной системой, dry-run RG/AML/платежей.
6. Пост-обязанности: периодические отчеты/аудиты, продление, вариации (бенефициары/вертикали/локации).

Критический путь: Key Persons → «живые» политики → SDLC/наблюдаемость/DR (evidence) → интерфейсы центральной системы → Q&A/демо.

11) Плюсы и минусы ADM

Плюсы

Высокое доверие банков/PSP и партнеров контента.
Предсказуемая техмодель с центральной системой и зрелыми стандартами.
Плюс к капитализации и устойчивости портфеля в ЕС.

Минусы

Полный запрет публичной рекламы: растет роль органики, продукта и CRM-комплаенса.
Высокий OPEX комплаенса и жесткая доказуемость процессов.
Требовательная интеграция и отчетность в центральную систему.

12) Чек-листы готовности

12.1 Definition of Ready (до подачи)

• Периметр (вертикали/каналы/методы оплаты) определен; платежная реальность подтверждена.
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); собраны SoF/SoW и справки.
• Политики AML/RG/данные/инциденты/DR утверждены; тренинги и журнал ревизий есть.
• SDLC: подписи+SBOM, журнал релизов, «no humans in prod», политика отката.
• Observability: SLO/SLI-дашборды, синтетические проверки «депозит/KYC/вывод», ретеншн логов.
• Security: пентест/сканы без просроченных critical/high; план ремедиаций.
• Договоры с контентом/PSP/KYC/лабораториями/хостингом; согласованы требования по интерфейсам ADM.
• Модель без публичной рекламы: белые списки каналов, шаблоны информ-коммуникаций, стоп-процедуры.

12.2 Definition of Done (после выдачи)

• Регуляторная/фискальная отчетность включена; KPI-владельцы назначены.
• Интерфейсы центральной системы стабильно работают; мониторинг SLA.
• PSP/контент онбордены; webhooks с HMAC, идемпотентность и DLQ в проде.
• RG-инструменты активны; телеметрия интервенций/самоисключений (RUA) ведется.
• DR/BCP: проведены restore-тесты и оформлены акты; RTO/RPO достигнуты.
• CRM/аффилиаты: только допустимые информ-каналы; аудит материалов; журнал нарушений и мер.

13) RACI (пример)

14) Риски и смягчение

15) Дорожная карта 90–180 дней (пример)

Месяц 1–2: gap-анализ, назначение Key Persons, план ремедиаций SDLC/наблюдаемости/безопасности, согласование интерфейсов ADM.
Месяц 2–3: сбор корпоративного пакета/политик, пентест/сканы, акты DR, договоры с PSP/KYC/контентом.
Месяц 3–4: подача, подготовка к Q&A/интервью, dry-run демонстраций (дашборды, журналы, RG/AML/платежи/интерфейсы ADM).
Месяц 4–6: Q&A/вариации, финальные доработки, on-boarding платежей/контента, включение отчетности и стабильная интеграция с центральной системой.

Краткий вывод

Итальянская лицензия ADM — строгий, но предсказуемый режим с уникальной связкой: концессия + запрет публичной рекламы + центральная система отчетности. Успех здесь опирается на evidence-first культуру (SDLC/наблюдаемость/безопасность/DR), дисциплину RG/AML/RUA, грамотный KYC по Codice Fiscale и аккуратную работу без агрессивного маркетинга. При таком подходе Италия становится устойчивой опорой европейского портфеля и повышает капитализацию бренда.