İç Denetim ve Dış Denetim

1) Amaç ve alan

Operasyonlar ve Uyumluluk süreçlerinin sistematik, bağımsız ve tekrarlanabilir kontrolünü sağlayın: lisanslara/yasalara uygunluk, finansal ve operasyonel raporlamanın güvenilirliği, risk kontrolünün etkinliği (KYC/AML/RG, GDPR/PII, ödemeler/PCI, oyunların dürüstlüğü, bilgi güvenliği, pazarlama/bağlı kuruluşlar, sağlayıcılar). Bölüm, uygunsuzlukları kapatmak için ilkeleri, rolleri, metodolojiyi, kontrol programlamasını, rapor formatını ve prosedürü tanımlar.

2) İlkeler ve "üç savunma hattı"

1. satır: süreç sahipleri (Operasyonlar, Ödemeler, Oyun Sağlayıcıları, Pazarlama/İştirakler, Destek Hizmeti) - günlük riskleri yönetir.
2. satır: Uyum/Risk/Güvenlik/DPO - politikalar, izleme, danışmanlık, uygulama.
3. satır: İç Denetim (IA) - kontrolün yeterliliği ve etkinliğinin bağımsız değerlendirmesi; Denetim Kurulu/Denetim Komitesi'ne rapor verir.
Dış denetim (EA): bağımsız üçüncü taraflar - finansal raporlama, belgelendirme (ISO/SOC/PCI), düzenleyici denetimler.

İlkeler: bağımsızlık, nesnellik, kanıt, gizlilik, risk ve değerlere odaklanma, şeffaflık ve izlenebilirlik.

3) IA vs EA tahakkuk

4) Roller ve RACI

İç Denetim Başkanı (IA Lead) - strateji, bağımsızlık, plan/raporlama. (A)

İç Denetçiler - saha kontrolleri, çalışma belgeleri, sonuçlar. (R)

Process Owners (1. satır) - veri/artifacts, CAPA sağlar. (R)

Uyumluluk/InfoSec/AML/RG (2. hat) - ortak denetimler, metodologlar. (C/R)

CFO/Kontrolör - finansal devre, GL, mutabakatlar. (C)

Yasal/DPO - normların yorumlanması, PII ve saklama. (C)

Denetim Komitesi - IA planını onaylar, raporları kabul eder, bağımsızlığı kontrol eder. (A)

Dış Denetçiler/Değerlendiriciler - EA'yı yürütmek; NDA tarafından eserlere erişim. (Sözleşme I/R)

5) Yıllık Denetim Planı

1. Risk kaydı: olasılık × etki (finans/GGR, lisanslar, itibar, oyuncu güvenliği).
2. Süreç haritası: ödemeler/PSP, cüzdan, KYC/AML/KYB, RG, oyun sağlayıcıları/RTP, pazarlama/bağlı kuruluşlar, bilgi güvenliği/GDPR, olaylar/bildirimler, düzenleyici raporlar.
3. Öncelik matrisi: Yüksek/Orta/Düşük - frekans (çeyrek/yarım yıl/yıl).
4. Kapsam: hedefler, kriterler, prosedürler, örnekler, kaynaklar, zaman çizelgesi, bağımlılıklar.
5. Onay: Denetim Komitesi yıllık planı onaylar; Ad-hoc S1/S2 olaylara izin verir.

6) Metodoloji: denetim aşamaları

A. Planlama: Belge Talebi, Süreç Anlama, Kontrol Tasarımı Değerlendirmesi, Risk Değerlendirmesi, Test Programı.
B. Saha çalışması: röportajlar, izlenecek yol, tasarım/duyarlılık testleri, analitik prosedürler, eser denetimi, örnekleme.
C. Sonuçlar ve değerlendirme: olguların kriterlerle karşılaştırılması; Bulguların sınıflandırılması.
D. Rapor: taslak - gerçeklerin onaylanması - nihai - yönetime/komiteye sunum.
E. CAPA ve Takip: düzeltici/önleyici eylem planı, takip, doğrulama.

7) Kanıt ve örnekler

Kanıt türleri: belgesel (politikalar, günlükler, biletler), fiziksel (ekran görüntüleri, yapılandırmalar), sözlü (röportajlar), analitik (uzlaşmalar, eğilimler).
Kalite: yeterlilik (hacim), alaka düzeyi, geçerlilik (kaynak).
Örnekler: anomaliler tarafından rastgele, sistematik, yönlendirilmiş (risk temelli); Büyüklük, genel popülasyonun riski ve hacmi ile belirlenir.
İzlenebilirlik: Her çıktı bir test ile ilişkilidir, kanıt ile test (benzersiz kimlik); "sürekli numaralandırma".

8) Uygunsuzlukların ve derecelendirmelerin sınıflandırılması

Kritik (S1): lisans/hukuk/önemli finansal hasar/PII ihlali riski. Acil eylem gereklidir, Komite/Konsey'e rapor verin.
Yüksek (S2): Önemli kontrol kusuru; Düzeltmek için kısa SLA.
Orta (S3): sınırlı kusur; uyum planı.
Düşük (S4): iyileştirmeler/gözlemler (optimizasyon).

Denetlenmiş süreç değerlendirmesi: Etkili/İyileştirmelerle Genel Olarak Etkili/Kısmen Etkili/Etkisiz.

9) Çalışma belgeleri ve saklama

Çalışma Kağıtları: program, kontrol listeleri, örnekler, görüşme protokolleri, kanıtlar, hesaplamalar, sonuçlar.
Çizim standartları: dizin, sürüm, sahip, tarih, yapaylara köprüler, değişiklik kontrolü.
Gizlilik ve PII: RBAC erişimi, şifreli depolama, hassas alan maskeleme.
Saklama süreleri: Politikaya göre (genellikle 5-7 yıl) veya lisanslar/düzenleyiciler gerektiriyorsa daha uzun.

10) Konuları kontrol edin (IA kataloğu)

1. Ödemeler/PSP/PCI: auth/decline/chargebacks, PAN aliasing, erişim günlükleri, satıcı kayıt defteri.
2. KYC/AML/KYB: KYC bütünlüğü ve doğruluğu, PEP/yaptırımlar, SAR/STR zamanlaması, soruşturmaların kalitesi, vaka yönetimi.
3. Sorumlu oyun (RG): sınırlar/kendini dışlamalar, iletişim prosedürleri, müdahalelerin etkinliği, reklam kısıtlamaları.
4. GDPR/PII/DPO: işleme kayıt defteri, DSAR, gizlilik olayları, işlemci sözleşmeleri.
5. Oyun sağlayıcıları/dürüstlük: RTP sürüklenme, yuvarlak olaylar, denge senkronizasyonu, RNG/yapı sürümleri.
6. Pazarlama/İştirakler: yaratıcı/hedefli kısıtlamalara, atıflara, sözleşmelere, ödemelere uygunluk.
7. Olay süreçleri: uygulama süresi (TTS), düzenleyicilere bildirimlerin zamanlaması, eserlerin bütünlüğü.
8. Düzenleyici raporlama: planlar, son tarihler, DQ, GL/PSP ile mutabakat.
9. BT kontrolleri/bilgi güvenliği: erişimler, SOD, değişiklikler/sürümler, denetim günlükleri, yedeklemeler, DR/BCP alıştırmaları.

11) IA Rapor Formatı (Şablon)

Yönetici Özeti: Kapsam, Hedefler, Derecelendirme, Temel Bulgular ve Risk.
Bağlam: süreç/sistem/yargı alanları, dönem, uygulanabilir gereksinimler.
Metodoloji ve sınırlamalar (varsa).
Önceliğe ilişkin ayrıntılı sonuçlar: olgu> kriter> risk> etki> öneriler.

CAPA Tablosu - Sahip, Adımlar, Zaman Çizelgeleri, Başarı Metrikleri

Ekler: örnekler, çizelgeler, kanıt kaydı, sözlük.

12) Dış Denetimle Etkileşim (EA)

Finansal raporlama: GL'nin hazırlanması, mutabakat, PSP/banka/sağlayıcılardan gelen onaylar, yönetim mektupları.
Uygunluk sertifikaları/değerlendirmeleri: ISO 27001/9001, SOC 2, PCI DSS, endüstri düzenleyici denetimleri.
IA rolleri: ön değerlendirme (boşluk analizi), sorgu desteği, CAPA hızlandırma, çoğaltmayı önleme.
Şeffaflık: tek bir eser vitrini, ziyaret takvimi, erişim kuralları, NDA.
İletişim: Düzenli stand-up "EA hazırlık", giriş noktası - Denetim Koordinatörü.

13) CAPA ve takip

CAPA planı: belirli adımlar, metrik, sahip, terim, bağımlı sistemler/takımlar.
Doğrulama: uygulama kanıtı (ekranlar, günlükler, politikalar, test sonuçları), tarih, sorumlu denetçi.
Eskalasyon: S1/S2 - Komiteye zorunlu güncelleme; Gecikmeler - gösterge tablosunun "kırmızı bölgesi".
Risk değerlendirmesinde değişiklik: Başarılı bir CAPA'dan sonra - artık riskin ve denetim sıklığının gözden geçirilmesi.

14) Denetim panosu (yönetim kontrolü)

Plan durumu: Çeyreğe ve yöne göre % tamamlanma.
Bulgular portföyü: ciddiyet ve suçluluğa göre.
CAPA ilerleme: tamamlanan/devam eden/süresi dolmuş, medyan kapanış saati.
Proses ısı haritası: CAPA öncesi/sonrası kontrollerin risk/etkinliği.
Tekrarlanabilir algılamalar: sistem sorunlarının göstergesi.

15) Etik gereklilikler ve bağımsızlık

Çıkar çatışmaları: Denetçiler önceki faaliyetlerini 12 ay ≤ denetlemez; çatışma beyanı.
Verilere erişim: sadece "minimum gerekli" ilkesiyle; Kişisel PII kopya yasağı.
İletişim: tarafsız dil, "suçlayıcı" ton yok; Yorumlardan önce gerçekler.

16) Kontrol listeleri

Denetim başlangıcı

• Tanımlanmış hedefler/kriterler/sınırlar.
• Talep edilen ve alınan eserler, formatlar/zaman çizelgeleri kabul edildi.
• Bağımsızlık onaylandı, çatışma yok.
• Test ve örnekleme programı onaylandı.

Alan aşaması

• Walkthrough ve anahtar roller görüşmeler yapıldı.
• Tasarım ve operasyonel verimlilik testleri.
• ID/linkler ile kanıt kayıt oluşturulur.
• Süreç sahiplerine ara brief (finalde sürpriz yok).

Rapor ve CAPA

• Gerçekler kabul edildi, anlaşmazlık noktaları çözüldü.
• Sonuçlar sınıflandırılmış (S1-S4), risk/etki değerlendirilmiştir.
• Sahipleri ve tarihleri onaylanan CAPA planı.
• Takip tarihleri takvimde listelenmiştir.

17) Eser desenleri (hızlı ekler)

İstek Listesi (PBC): Son teslim tarihleri olan belgelerin/yüklemelerin/erişimlerin listesi.
Test Sayfası: Kontrol? Prosedür? Örnek? Sonuç? Kanıt? Sonuç.
Bulma Kartı: kod, başlık, açıklama, risk, etki, kök neden, öneri, S seviyesi, sahip, terim.
CAPA Sayfası: adım, metrik, onay artifaktları, tarih, kontrol edildi.

18) Sık yapılan hatalar ve bunlardan nasıl kaçınılacağı

IA ve 2. çizginin birleşik rolleri - bağımsızlığı bozdu. Karar: IA doğrudan Komiteye rapor verir.
Kanıtların yetersiz izlenebilirliği - sonuçların zayıf korunması. Çözüm: tek kayıt ve numaralandırma.
Risk ve değer değerlendirmesi yerine "uyumsuz avcılık". Çözüm: risk odaklılık ve önceliklendirme.
CAPA'yı kaynak gecikmesi olmadan aşırı yükleyin. Çözüm: SMART hedefleri ve WIP sınırı.
Raporlamayı kontrol ederken kalite/tazelik verilerini göz ardı etme. Çözüm: DQ-kontrol listesi.

19) Hızlı başlangıç (30 günlük uygulama)

1. Hafta: IA tüzüğünü onaylayın (görev/hesap verebilirlik), risk değerlendirmesi yapın, yıllık plan taslağı hazırlayın.
2. Hafta: Şablonlar oluşturun (PBC, Test/Bulma/CAPA sayfaları), bir kanıt kaydı ve bir durum panosu oluşturun.
3. Hafta: 2 "kısa form" pilot denetimleri (örn. PSP/PCI ve RG/DSAR), raporlar yayınlayın, CAPA'ları kaydedin.
4. Hafta: Pilotların takibini yapmak, metodolojiyi ayarlamak, yıllık planı Komite'nin onayına sunmak, dış denetim/sertifikasyon takvimi üzerinde anlaşmak.

• Düzenleyici raporlar ve veri formatları
• İhlal Bildirimleri ve Raporlama Süreleri
• Uyumluluk panosu ve izleme
• Olay oyun kitapları ve komut dosyaları
• Kriz yönetimi ve iletişim
• İş Sürekliliği Planı (BCP )/DRP
• İşlem denetim günlükleri