Процесс лицензирования и сроки

1) Картина процесса (high-level)

1. Pre-fit & Gap-анализ

2. Сбор и подача пакета

3. Техпроверки и сертификации

4. Рассмотрение регулятором

5. Выдача (часто условная) и ввод в эксплуатацию

6. Пост-лицензионные обязательства (отчетность/аудиты)

Цели: снизить регуляторные риски, обеспечить доказуемую «готовность к комплаенсу», ускорить go-live без компромиссов по RG/AML/данным.

2) Оценочные сроки (ориентиры)

Критический путь обычно проходит через: Key Persons → политики/процедуры → ИТ-артефакты (релизы/логи/DR) → лабораторные/аудиторские справки → Q&A регулятора.

3) Что готовить заранее (Pre-fit & Gap)

Стратегия и периметр: целевые рынки/языки/методы оплаты, вертикали (казино/live/ставки/покер).
Юридические основы: структура владения, SoF/SoW, реестр бенефициаров.
Оргмодель: роли MLRO/AMLO, DPO, RG-Lead, Security Lead, Release/Platform Lead.
Политики: AML/CTF, RG, реклама/аффилиаты, защита данных (DPIA), инциденты, DR/BCP.
ИТ-готовность: SDLC и контроль изменений, staging-пайплайн, SBOM/подписи, наблюдаемость (логи/метрики/трейсы), журнал RG/AML событий, пентест/сканы уязвимостей.
Провайдеры: черновые договоры с агрегаторами игр, PSP, KYC/санкционными скринерами, лабораториями/аудиторами.

Результат фазы — gap-отчет с планом ремедиации и календарем.

4) Пакет документов: состав и лайфхаки

Корпоративный блок: уставные, структура владения, CV и справки Key Persons, SoF/SoW.
Процедуры и политики: AML/CTF, RG, реклама, приватность (включая DPIA), инциденты/брич, DR/BCP.
ИТ-архитектура: схемы потоков данных (data lineage), зоны хранения/резиденция, SDLC/релизы, наблюдаемость, резервирование и RTO/RPO.
Договорная база: агрегаторы/студии, PSP, KYC/санкции, хостинг, лаборатории/аудиторы, SLA/OLA.
Финансы: резервы под выплаты, страховки (если требуются), план налоговой отчетности по GGR.

Лайфхаки ускорения

Поддерживайте «evidence-first» хранилище (релизные журналы, SBOM, отчеты сканов/пентестов) — это снимает десятки уточняющих запросов.
Используйте шаблоны для KYC/EDD кейсов, журналов RG-интервенций и рекламных аппрувалов.

5) Техпроверки и сертификации

Игровое ПО: лабораторные отчеты RNG/RTP (для контента), сертификаты интеграций.
Безопасность: пентесты, управление уязвимостями, политика патчей, секрет-менеджмент/KMS, SSO/MFA/PAM.
SDLC: staging-пайплайны, подписи образов, контроль изменений, политика откатов, evidence журнала релизов.
Наблюдаемость: логи без PII/PAN, метрики SLO, сквозные трассировки OTel, синтетические проверки «депозит/KYC/вывод».
DR/BCP: бэкапы, restore-тесты, цели RTO/RPO, акты испытаний.
Платежи: HMAC-подписи webhooks, идемпотентность, DLQ и реплей событий, проценты авторизаций/успеха, Time-to-Wallet.

Выход фазы — набор отчетов и актов, которые прикладываются к заявке или предъявляются на запрос.

6) Рассмотрение регулятором (Q&A цикл)

• Уточняющие вопросы по бенефициарам/финансам, процедурам RG/AML и данным.
• Интервью Key Persons (часто MLRO/AMLO, DPO, Head of Compliance).
• Технические демонстрации: показ логов, релизных артефактов, алертов SLO, сценариев RG/AML, DR-упражнений.
• Вариации условий: уточнения в договорах, усиление процедур, доп. отчеты лабораторий.

Практика: заведите реестр запросов регулятора (SLA ответов, владелец, статус, дата отправки/подтверждения).

7) Выдача и ввод в эксплуатацию

• Публикуем обязательные сведения и T&C, включаем регуляторную отчетность.
• Завершаем онбординг PSP/агрегаторов/KYC, проводим «сухой прогон» платежей/интервенций RG.
• Настраиваем DevPortal/операторские дашборды для контроля KPI (RG, AML, жалобы, инциденты, Time-to-Wallet).
• Назначаем календарь внутренних/внешних аудитов.

8) Пост-лицензионные обязательства

Периодическая отчетность (GGR по вертикалям, жалобы, RG-метрики, инциденты данных/безопасности).
Изменения контроля/структуры — заранее уведомлять регулятора.
Регулярные пентесты/сканы, продление лабораторных сертификатов, ротации секретов.
Управление аффилиатами/рекламой (реестр каналов, стоп-листы, выборки креативов для проверки).

9) Параллелизация и критический путь

Что можно делать параллельно

Политики/процедуры ↔ техпроверки/наблюдаемость;

Договоры с провайдерами ↔ лабораторные испытания;

Подготовка Key Persons ↔ пентест/SDLC-ремедиация.

Что образует «узкие места»

Справки и проверка Key Persons, SoF/SoW;

Лабораторные/аудиторские слоты;

Ответы на комплексные запросы регулятора без заранее собранных артефактов.

10) RACI (пример для программы лицензирования)

11) Check-list Definition of Ready (до подачи)

• Юрисдикция/вертикали подтверждены, согласованы целевые рынки и методы оплаты.
• Назначены MLRO/AMLO, DPO, RG-Lead; подготовлены CV/справки Key Persons.
• Политики AML/CTF, RG, реклама/аффилиаты, защита данных (DPIA), инциденты, DR/BCP — утверждены и действуют.
• SDLC: staging-пайплайн, подписи артефактов, журналы релизов, план отката; наблюдаемость и синтетические проверки — включены.
• Пентест/сканы уязвимостей выполнены; remediation-план закрыт.
• Черновые договоры с агрегаторами/студиями/PSP/KYC/лабораториями — согласованы.
• Финансовые гарантии/резервы рассчитаны; SoF/SoW собраны.

12) Check-list Definition of Done (после выдачи)

• Включена регуляторная отчетность; владельцы KPI назначены.
• Онбординг PSP/KYC завершен; webhooks подписаны (HMAC), идемпотентность и DLQ — в эксплуатации.
• RG-инструменты активны (лимиты, тайм-ауты, самоисключение), журнал интервенций ведется.
• Evidence-пакет доступен: релизы (SBOM/подписи), пентест/сканы, DR-акты, отчеты лабораторий.
• Контур контроля аффилиатов/рекламы работает (белые списки, выборки креативов).
• Календарь внутренних/внешних аудитов утвержден.

13) Типовые риски и как их снизить

14) Как ускорить программу (без потери качества)

«Evidence-by-default»: все, что заявляете в политиках, подтверждайте артефактами (скриншоты/логи/отчеты).
Пакет в одном репозитории: версияция документов, чек-листы и статусы задач.
Единые шаблоны: для RG-интервенций, жалоб, SAR/STR, рекламных аппрувалов.
Синтетические сценарии: регулярные «пробные» депозиты/KYC/выводы с отчетами.
Параллелизация: техремедиации и договоры — одновременно с подготовкой пакета.
Превью-среды: демостенд для интервью регулятора (без PII/PAN), включенный трейсинг/дашборды.

15) Мини-план на 90 дней (пример)

Недели 1–2: финальный выбор юрисдикции, назначение владельцев, запуск gap-ремедиаций.
Недели 3–6: сбор пакета (корпоративные/финансы/политики), пентест/сканы, настройка SDLC/наблюдаемости.
Недели 7–10: лабораторные испытания (RNG/интеграции), договоры PSP/KYC/контент, акты DR-тестов.
Недели 11–12: подача заявки, подготовка к Q&A, бронирование интервью Key Persons.

Краткий вывод

Процесс лицензирования — это управляемая программа с четкими артефактами и ролями. Сосредоточьтесь на критическом пути (Key Persons → политики → ИТ-evidence → лаборатории → Q&A), параллелизуйте подготовку, ведите «evidence-first» архив и держите платежную/контентную экосистему готовой к онбордингу. Так вы превратите сроки из «неизвестного риска» в прогнозируемый график выхода на рынок.