許可證續簽和審計

1）為什麼這很重要

許可證不是靜態文檔，而是維護RG/AML，安全性，數據和報告標準的義務。成功的擴展和審核支持風險管理、流程成熟和規模準備。

關鍵原理是：事實第一，無人類，政策即代碼，可行性。

2）擴展和審核類型

許可證續簽（renewal）：按日歷（通常每年/每年N年一次）-提交表格、費用和一攬子證明書。
變化/變化（variation）：更改受益人、添加垂直位置、托管位置、關鍵人物-需要單獨匹配。
監管審計：審查政策/報告，營銷/附屬機構，RG/AML，事件日誌。
技術人員/實驗室：RNG/RTP，SDLC/版本，漏洞/pentest，DR/BCP，托管和日誌。
財務審計：GGR/稅收/準備金，獎金註銷的正確性，付款登記冊。
GDPR/DPA審計：DPIA，處理註冊表，對受試者的回應，泄漏/通知。
PCI DSS（如果使用PAN）：分段、令牌化、訪問日誌、ASV掃描。

3）延期日歷： 指示性量表

T-90...60天-gap分析，策略更新，實驗室/審計師預訂。
T-60...30-收集文物（logs，SBOM，掃描/五旬節報告，DR行為），確認Key Persons。
T-30...14是包裹的結尾，內部證據采樣（采樣），為采訪做準備。
T-14...0-提交更新套餐，支付費用，SLA窗口以響應監管機構。
T+0……+30-問答/查詢,重整,續約確認。

4） Evidence Packs： 預先準備什麼

組織/權利：所有權結構，SoF/SoW（更改後），CV和Key Persons幫助，委托註冊表。
政策：當前AML/CTF，RG，廣告/附屬機構，數據保護（DPIA），事件，DR/BCP；修訂和培訓日誌。

• 帶有SBOM和工件簽名的發行日誌；
• SAST/SCA/DAST報告，重建計劃，沒有「臨界/高」而沒有主動例外；
• 觀察性：SLO/SLI dashboard，合成的「存款/KUS/輸出」檢查；
• 構造：結構化邏輯沒有PII/PAN，重建和搜索；
• DR/BCP：恢復測試行為，RTO/RPO，緊急演習協議。
• RG/AML：幹預和結果登記冊，自我釋放（本地/國家），可疑交易報告（STR/SAR），制裁/RER記錄。
• 營銷/附屬機構：白色頻道列表，帶有應用程序的創意樣本，違規和措施日誌。
• 財務/稅收：GGR垂直報告，獎金/頭獎調整，與PSP/銀行的對賬。

5）格式和可跟蹤性

每個策略↔控制↔證據（截圖，上載，哈希和日期報告）。
單個「事件地圖」索引：控制→負責→更新日期存儲→位置。
軟件包驗證（Git/存儲庫）+訪問控制,以便審核員可以選擇性地查看工件。

6）IT/數據要求（最常看）

SDLC/發行版：staging pipline，手動/自動質量門，回滾政策，禁止直接銷售變更。
供應鏈：工件簽名、SBOM、管理驗證、漏洞策略。
秘密和訪問：SSO/MFA/PAM，短壽命令牌，特權會話日誌。
網絡：細分，WAF/機器人管理，DDoS，mTLS/egress控制。
可觀察性：實驗中的OTel跟蹤、SLO儀表板、Alerta error-budget、SRM支票。
數據：DPIA，最小化，按地區分列的數據（駐地），PII/PAN訪問日誌。
DR/BCP：備份，定期恢復協議，轉換練習。

7）通過審計： 戰術

1.Kickoff和scope：協調周長，樣本列表，證明格式。
2.數據室：準備對Evidence Map的結構化訪問。
3.Dry-run訪談：MLRO/DPO/RG-Lead/CTO/SRE-問答和演示。
4.實時會議：我們顯示日誌、SLO碼、發布文物、DR腳本。
5.重新調整：我們商定優先事項和時間表，我們記錄在跟蹤器中。
6.Closure：審計報告、課程、策略/控制更新、復古。

8）重建計劃（模板）

9）RACI（示例： 擴展計劃）

10）支票單

10.1定義就緒（截止日期前60-90天）

• 更新AML/RG/廣告/數據/事件政策；進行了培訓。
• 由Key Persons確認，SoF/SoW是最新的（如果需要）。
• 收集了SAST/SCA/DAST報告和pentest，關閉critical/high，沒有逾期例外。
• 帶有SBOM/簽名的發行日誌可用；處於enforce狀態的admission-policy。
• 可使用SLO/SLI行車記錄儀和「存款/KUS/提取」合成檢查報告。
• RTO/RPO SLA內的DR/恢復測試行為。
• RG/AML登記冊：幹預，SAR/STR，自我釋放；制裁/復員方案報告。
• 營銷/附屬機構：白色頻道列表，帶有應用程序的創意樣本。
• GGR財務報表/稅收已與PSP/銀行核對。

10.2 Done的定義（確認續訂/審核後）

• 已收到信函/續簽證書，登記冊/網站/文件已更新。
• 已關閉重整計劃、更新政策和Evidence Map。
• 復古：經驗教訓、流程變更、更新日歷。
• 已向提供商/PSP發送通知（如有必要）。

11）在審計期間處理附屬機構和廣告

準備渠道註冊表、創意樣本、18+/21+目標證明、審批日誌。
違規夥伴的「停止列表」程序，RG/AML合約中的條款。
顯示頻率/限制和擋板的差速器。

12）風險管理（註冊）

13）迷你模板

Control,Policy Ref,Artifact,Location,Owner,Updated At,Retention
RG-Limits,RG §4.2,Dashboard URL,obs://rg/limits,RG Lead,2025-10-15,24m
SDLC-SBOM,SDLC §3.1,sbom_2025Q4.json,repo://release/sbom,Platform Lead,2025-10-30,36m
DR-Restore,BCP §5.3,restore_report_Q4.pdf,doc://dr/reports,SRE Lead,2025-10-20,36m

• Scope/目標
• 樣本列表和證據格式
• 會議/訪談日歷
• 角色和聯系
• 問答頻道和SLA回應

14）常見問題

你是否需要立即提交所有文物？不：提供基礎，讓我們按需抽樣--但要做好準備。
是否可以彌補缺少部分日誌?僅具有可解釋的原因和修復計劃（和時間表）。
對監管機構來說更重要的是政策還是證據？始終有證據支持該政策有效。

15）30天簡短計劃（加速軌道）

第一周：最終差距分析，政策更新，SLO/logs測度，審計員裝甲。
第2周：收集SBOM/簽名/發布日誌，漏洞報告/pentest，DR行為。
第3周：合並RG/AML/營銷，合並行車，幹運行訪談。
第4周：提交、問答、快速恢復和續約確認。

簡短的結論

擴展和審核不是一次性的「報告提交」，而是定期證明流程成熟度。建立日歷，運行Evidence Map，自動控制為代碼，保持可觀察性和DR音調。然後，延期將從風險轉變為常規，審計將成為監管機構，合作夥伴和參與者改進和信任的來源。