直布羅陀許可證

1）概述和定位

Gibraltar賭博委員會（GGC）歷來被認為是iGaming最苛刻的歐洲監管機構之一。該許可證受到銀行/PSP和領先內容供應商的重視，涉及高標準的盡職調查，「實時」合規性（RG/AML/數據/廣告）和成熟的IT控制。適用於國際運營商和B2B提供商,具有長期增長水平。

2）許可證類型和外圍

2.1 B2C（操作員）

外圍：前/後臺，售票處/付款，KYC/AML，響應遊戲，內容/PSP/KYC合同，廣告/附屬機構，支持，監管/財務報告。

2.2 B2B（供應商）

外圍：平臺，內容聚合，工作室（包括現場），API/SDK和集成，托管，SLA/OLA，指標/邏輯輸出給運營商，安全SDLC和發行管理。

3）申請人的要求： 盡職調查的核心

受益人/結構：透明的所有權鏈，基金/財富來源，聲譽。

Key Persons: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments) — опыт и «fit and proper».

政策/程序：AML/CTF（基於風險），RG，廣告/附屬機構，隱私和事件，DR/BCP，風險管理。
合同：工作室/聚合商，PSP/銀行，CUS/制裁篩選器，托管/實驗室/審計師（SLA/OLA）。
IT體系結構：駐地/數據流，網絡細分，SDLC/可觀察性/安全性/DR，反濫用措施（反濫用）。

4）技術標準和IT控制（基本）

SDLC/發行版：staging-pipline，更改控制，工件簽名和SBOM，回滾政策，禁止「手動」銷售更改，完整發行日誌。
觀察力：結構化記錄（沒有PAN和多余的PII），度量，跟蹤（例如OTel），SLO/SLI，合成的「存款/KUS/輸出」檢查，托管記錄。
安全：mTLS/細分，WAF/機器人管理，SSO/MFA/PAM，CI/CD中的SAST/SCA/DAST，無過期臨界/高度漏洞，常規五角形。
數據/私有性：DPIA，最小化和可訪問性劃分，日誌和DSR程序（access/erasure/portability），並遵守時間表。
DR/BCP：備用，定期還原測試，具有演習行為的RTO/RPO目標。
付款：等效性，HMAC簽名webhooks，DLQ/事件反射，時間到錢包和授權監控，制裁/RER篩選。

5) AML/KYC и Responsible Gaming

基於風險的AML/CTF：客戶/地理/方法簡介；EDD觸發器；STR/SAR程序；制裁/RER篩選。
KYC：年齡/個性/地址；re-KYC觸發和周期性；如有必要，自拍/liveness。
響應遊戲：存款/損失/時間限制，超時，自我體驗（包括nats。如適用），現實支票，行為觸發器和遙測幹預協議。

6）廣告和附屬公司

年齡障礙，禁止誤導性創意，透明的T＆C促銷，頻率和場地控制。
附屬機構：根據RG/AML/數據，白名單頻道，創意審計，停止程序，流量跟蹤的合同義務。

7）稅收和報告（高水平）

財政基礎圍繞GGR（垂直細節和獎金/頭獎調整），並行建立監管費用。
監管報告：財務，RG指標，投訴/事件，結構變更/Keu Persons，營銷違規行為和措施。
對賬：報告↔遊戲/付款日誌↔ PSP/銀行數據。

（具體費率/表格取決於業務結構，並在準備套餐時進行詳細說明。）

8）直布羅陀的利弊

優點

銀行/PSP和領先內容供應商的高度認可。
嚴格但可預測的審計和問答做法是「減少驚喜」，並提供良好的包裝。
適合多品牌/國際戰略，加強資本化和投資者信心。

缺點

與「輕型」模式相比，TCO更高，準備時間更長。
「事件第一」要求：沒有人工制品的文檔（logi/dashbords/DR行為）將不起作用。
廣告和附屬機構的嚴格紀律；增加公共責任。

9）何時選擇直布羅陀

• 需要穩定地訪問支付生態系統和頂級內容；專註於漫長的地平線。
• 計劃在歐洲及其他地區進行多重審查/擴展。
• 該團隊準備支持成熟的SDLC/可觀察性/安全性和「事件第一」文化。

• 目標是超快MVP，預算最低。
• 目標市場/渠道在啟動時不需要「重」許可證，並且您計劃一個「輕量級」的軌道，然後升級。

10）許可程序： 階段和時間基準

關鍵途徑：關鍵人物→「實時」政策→ SDLC/觀察性/DR（evidence）→實驗室/審計→問答。

11）準備就緒支票

11.1定義就緒（提交前）

• 外圍（垂直/地理/支付方法）已確定，支付現實得到確認（PSP/銀行）。
• 已任命關鍵人物；SoF/SoW和幫助收集。
• AML/RG/廣告/數據/事件/DR政策；有一個修訂和培訓日誌。
• SDLC：簽名+SBOM，發行日誌，「無人行道」，回滾策略。
• 觀察力：SLO/SLI-dashbords，合成的「存款/KUS/提取」支票，重新標記。
• 安全：五角形/掃描關閉；沒有逾期的危急/高度例外。
• 內容條約/PSP/KYC/實驗室/托管；SLA/OLA同意。
• 廣告/附屬機構：白名單頻道，創意審計，停止程序。

11.2 Done的定義（發行後）

• 包括監管/財務報告；指定了KPI所有者。
• PSP/onborden內容；webhooks簽名（HMAC），等效性和DLQ工作。
• RG工具是活動的；進行幹預遙測和決策日誌。
• DR/BCP：進行行為恢復測試；RTO/RPO是正常的。
• 廣告/附屬機構：白名單、創意審計、違規和措施日誌。

12） RACI（示例）

13）風險以及如何減輕風險

14）90-180天路線圖（示例）

月1-2：gap分析，關鍵人物分配，SDLC恢復/觀察/安全，實驗室預訂。
2-3個月：收集企業軟件包/策略,pentest/Scan、DR行為,與提供商簽訂合同。
3-4個月：提交，問答/訪談準備，dry-run演示（dashbords，雜誌，RG/AML腳本）。
4-6月份：問答/變體，最終定稿，boarding PSP/內容，包括報告。

15）常見問題（簡稱）

需要本地托管嗎?不同的模型是可能的。關鍵是受控數據流、DR/log安全性和可證明性。
可以將B2B和B2C結合使用嗎?是的，在許可證/流程/日誌分離和管理利益沖突時。
什麼是關鍵面試？真實RG/AML/廣告過程，SDLC/可觀察性/具有人工制品的 DR，而不僅僅是文檔。

簡短輸出

直布羅陀許可證是進入成熟的支付，內容和夥伴關系生態系統的「入場券」。價格是先到先得的學科：具有簽名和SBOM的SDLC，可觀察性和DR，剛性RG/AML和受控廣告/關聯。如果您正在構建一個國際、可擴展的品牌或B2B產品組合，直布羅陀將提供一個可靠的基礎並提高資本化-只要成熟的流程和透明的報告即可。