MGA許可證

1）概述和定位

MGA（馬耳他遊戲管理局）是世界上最受認可的iGaming監管機構之一。該許可證受到銀行/PSP和內容提供商的重視，這要歸功於高標準的盡職調查，對RG/AML負責以及對基礎設施和SDLC的成熟技術支持。適合歐洲戰略和國際品牌/供應商組合。

• B2C運營商建立長期聲譽並訪問支付軌道（卡，A2A/open銀行，通過PSP合作夥伴的本地方法）。
• B2B平臺/工作室/聚合器與許多運營商和市場集成。

2）許可證類型和外圍

2.1 B2C（操作員）

外圍：正面/後臺，售票處和付款，提單/CUS，RG工具，內容/PSP/KYC合同，廣告/附屬機構，完整的監管和財政報告。可能有不同的垂直方向（賭場，賭註，直播，撲克，賓果遊戲等）。

2.2 B2B（供應商）

外圍：平臺，內容聚合，工作室，現場工作室，API/SDK，托管/集成，SDLC/發行版，SLA和運營商的日誌/度量輸出。

3）申請人的要求： 盡職調查的核心

受益人和關鍵人物：透明的所有權結構，基金/財富來源，不可信/聲譽，相關資格（尤其是MLRO/AMLO，DPO，RG-Lead，合規之頭/平臺/SRE）。
政策和程序：AML/CTF（基於風險），響應遊戲，廣告/附屬公司，數據保護（GDPR+DPIA），事件和簡易響應，DR/BCP，供應商管理。
合同基礎：內容（工作室/聚合器），PSP和銀行，CUS/制裁提供商，托管/審計/實驗室，SLA/OLA。
財務可持續性：支付準備金/擔保、稅務和監管報告計劃。
IT體系結構：駐留/數據流、網絡分割、安全SDLC/發布、可觀察性、編寫、 DR/BCP計劃。

4）技術標準和IT控制（基本）

SDLC和交付：staging-piplines, change control、SBOM、工件簽名、回滾策略、「無人入選」、證明發布日誌。
可觀察性（Observability）：記錄/度量/端到端跟蹤（OTel），SLO/SLI（latency p95/p99，error-rate），合成的「存款/KUS/輸出」檢查，對日誌進行重新審核。
安全：過境/恢復加密，KMS和秘密管理，SSO/MFA/PAM，細分，WAF/機器人管理，漏洞管理（SAST/SCA/DAST），常規五角形。
數據和GDPR：用於高風險操作的DPIA，PII/PAN最小化，訪問控制和日誌，DSR程序（訪問/erasure/portability）和響應時間，存儲/刪除策略。
DR/BCP：備用，定期還原測試，RTO/RPO聲明的目標以及演習行為。

5) AML/KYC и Responsible Gaming

基於風險的AML/CTF：客戶/地理/方法簡介，RER/制裁篩選，EDD觸發器，交易監控（velocity/異常），SAR/STR程序。
KYC：年齡/個性/地址，re-KYC觸發和周期性，文件/自拍/livestatus評估（根據提供商模型）。
響應遊戲：存款/損失/時間限制，超時和自我排序（包括國家註冊表），現實支票，行為觸發器和可證明遙測幹預。

6）廣告和附屬公司

年齡障礙（每個市場18+/21+），透明的T＆C促銷活動，對創意和放映頻率的限制，禁止誤導性陳述。
關聯控制：RG/AML/數據下的合同責任，白色頻道列表，創意審核，停止列表和流量跟蹤。

7）稅收和報告（一般）

稅收基礎通常圍繞GGR構建，並具有必要的垂直細節和調整（獎金/頭獎）。
監管報告：定期財務報告，RG指標，投訴/事件，組織結構變更/Keu Persons。
財政報告：與PSP/銀行數據和遊戲/支付日誌同步。

（具體費率/費用取決於當前的規範和業務結構-在準備套餐時應對其進行詳細說明。）

8）許可程序： 階段和時間基準

1.預設和差距分析（1-8周）：目標市場/垂直市場，提供商地圖（內容/PSP/KYC），IT就緒性審計，重建計劃。
2.文檔包（4-12周）：企業/財務/基烏人員、政策、合同、IT體系結構、DR/BCP 、漏洞報告/pentest。
3.技術檢驗/認證（4-16周）：軟件/集成實驗室（如果需要），SDLC/觀察/安全/DR行為。
4.審閱和問答：有關受益人/政策/IT/數據的問題，關鍵人物的采訪，雜誌/dashbords/程序的演示。
5.發行和調試（2-6周）：包括報告，PSP/內容提取，dry-run RG/AML/支付腳本。
6.許可證後義務：定期報告和審計，許可證的續簽和變體。

9） MGA的利弊

優點

銀行/PSP和內容供應商享有很高的聲譽。
可預測的過程和成熟的標準（減少審計中的「驚喜」）。
適用於多品牌策略和B2B產品組合。
提高合作夥伴/投資者的資本化和信心。

缺點

與「輕型」模式相比，TCO和準備時間更長。
嚴格的過程可證明性要求：「紙質」政策不會通過。
廣告/附屬機構和報告的嚴格紀律。

10）何時選擇MGA

• 需要穩定地訪問支付生態系統和頂級內容。
• 目標是歐洲的長期增長和多重審查。
• 為成熟的SDLC/觀察/安全性和「事件第一」文化做好準備。

• 任務是超快MVP，預算最少。
• Geofocus遠離MGA提供最大價值的公認市場/提供商。

11）準備就緒支票

11.1定義就緒（提交前）

• 選擇外圍（垂直/地質）,確認支付現實（PSP/方法）。
• 指定的關鍵人（MLRO/AMLO，DPO，RG-Lead，合規之頭/平臺/SRE），由SoF/SoW收集。
• AML/RG/廣告/數據/事件/DR政策；有一個修訂和培訓日誌。
• SDLC：工件簽名和SBOM，發行日誌，回滾策略，「無人入選」。
• 可觀察性：SLO/SLI dashbords，合成的「存款/KUS/輸出」檢查，對數。
• Pentest/Scans已關閉（臨界/高無逾期豁免）。
• 與提供商的合同（內容/PSP/KYC/實驗室/托管）是一致的。

11.2 Done的定義（發行後）

• 包括監管和財政報告；指定了KPI所有者。
• PSP/內容盤點已完成；webhooks簽名（HMAC），等效性和DLQ工作。
• RG工具是活動的；進行幹預遙測和決策日誌。
• DR/BCP：進行並記錄了還原測試（RTO/RPO）。
• 附屬機構/廣告概述：白名單，創意審計，停止程序。

12）90-180天路線圖（示例）

月1-2：gap分析，關鍵人物分配，啟動SDLC/觀察/安全修復，實驗室預訂。
2-3個月：收集企業包和政策，五旬節/掃描，DR行為，與提供商的合同。
3-4個月：提交，問答/訪談準備，dry-run演示（dashbords，雜誌，RG/AML腳本）。
4-6月份：問答/變體，最終定稿，PSP/內容提前，包括報告。

13）RACI（許可計劃的示例）

14）示範風險及如何降低風險

15）常見問題（簡稱）

可以兼容B2B和B2C嗎?是的,分開許可證、流程和日誌。
需要本地托管嗎?允許使用不同的模型，但是駐留和控制數據流，DR和日誌審核很重要。
更重要的是-政治或證據？始終是政策執行的證據。
何時準備延期?持續運行事件地圖；在截止日期前60-90天-正式準備。

簡短輸出

MGA許可證是iGaming「大型」支付和合作夥伴生態系統的入場券，但價格是成熟的流程和可證明的IT控制。建立「事件第一」文化（SDLC/可觀察性/安全性，RG/AML，DR，廣告/附屬機構），遵守報告紀律並提前預訂實驗室/審計師-那麼馬耳他許可證將成為擴大和增加資本化的可持續基礎。