Audit va inspeksiya tartib-taomillari

1) Nima uchun iGaming auditlari kerak

Audit - mahsulot va operatsiyalarning litsenziya, qonun, standartlar va ichki siyosat talablariga muvofiqligini tizimli tekshirishdir.
Maqsadlar: tartibga solish va moliyaviy xavflarni kamaytirish, o’yinlar/to’lovlar/ma’lumotlarning halolligini isbotlash, komplayens jarayonlari va madaniyatini yaxshilash.

2) Tekshirishlar taksonomiyasi (nima va kim)

3) Audit sohasi (scope)

O’yinlar: RNG, RTP, versiya nazorati, o’zgarmas loglar.
To’lovlar: marshrutlash, qaytarish, chargeback, Net Loss, limitlar.
KYC/AML: protseduralar, sanksiyalar ro’yxati/PER, keyslar va SAR/STR.
Responsible Gaming: limitlar, taym-autlar, o’zini istisno qilish, Reality Checks.
Privacy/GDPR/CCPA/LGPD: DPIA, qayta ishlash asoslari, saqlash muddati, subyektlarning huquqlari.
Xavfsizlik/IT: RBAC/ABAC, SoD, jurnallash, CI/CD, sirlar, DR/BCP.
Marketing/CRM/Affiliates: suppression, rozilik, shartnomaviy taqiqlar.

4) Standartlar va metodik baza

ISO 19011 - audit va o’tkazish tamoyillari (rejalashtirish → hisobot → follow-up).
ISO/IEC 27001/27701 - xavfsizlik/maxfiylikni boshqarish (nazorat choralari).
PCI DSS - agar PAN/kartalarni qayta ishlasangiz.
GLI-11/19, ISO/IEC 17025 - test laboratoriyalari bilan birgalikda.
«Uch himoya chizig’i» doirasi - 1) jarayon egalari, 2) tavakkalchilik/komplayens, 3) mustaqil audit.

5) Auditning hayot sikli

1. Rejalashtirish: skope/mezonlarni aniqlash, tavakkalchilik xaritasi, artefaktlar ro’yxati, NDA va foydalanish imkoniyatlari.
2. Dala ishlari: intervyu, walkthrough, nazorat testlari, namunalar, loglar/tizimlar inspeksiyasi.
3. Konsolidatsiya: faktlarni qayd etish, nomuvofiqliklar reytingi (High/Med/Low), hisobot loyihasi.
4. Hisobot: xulosalar, dalillar, tavsiyalar, bartaraf etish muddatlari.
5. CAPA (Corrective and Preventive Actions): tuzatishlar va retsidivlarning oldini olish rejasi.
6. Follow-up: CAPA bajarilishini tekshirish, bandlarni yopish.

6) Dalillar va tanlov

Dalillar (evidence): siyosat/protseduralar (oxirgi versiyalar), sozlash skrinshotlari, jurnallarni tushirish (WORM), bild xesh summalari, change-menejment biletlari, o’qitish dalolatnomalari, hodisalar protokollari, DPIA, rozilik reyestrlari, AML/RG hisobotlari.

• RNG/RTP - 10 ≥ natijaga (yoki kelishilgan hajm/davr) ⁶ statistik sarlavhalar.
• KYC/AML - 60-100 keysni tasodifiy tanlash/manbalargacha trassirovka qilingan davr.
• Privacy - subyektlarning 20-50 so’rovi (DSAR), SLA va javoblarning to’liqligini tekshirish.
• Payments - stsenariyda 100-200 tranzaksiya (depozit/chiqarish/chargeback/bonus).
• RG - 50-100 keys limitlar/taym-autlar/o’z-o’zini istisno qilish + suppression-jurnallar.

Saqlash zanjiri (chain of custody): manbani, vaqtni belgilash, yaxlitlikni nazorat qilish (xeshlar, imzolar).

7) Nomuvofiqliklar va CAPA reytinglari

CAPA-shablon: muammoning tavsifi → ildiz sababi → harakat (tuzatuvchi/oldini oluvchi) → egasi → muddati → KPI effekti → yopilishi.

8) RACI (roli va javobgarligi)

9) Auditga tayyorlik chek-varaqasi

Hujjatlar va siyosatlar

• Siyosat va tartib-taomillar versiyasi registri (egalari/sanalari bilan).
• DPIA/Records of Processing/retenshn-matritsasi.
• RG/KYC/AML/Privacy/Incident/Change/Access/Logging siyosati.

Texnik artefaktlar

• WORM-loglar ombori (o’yinlar/to’lovlar/kirish/o’zgarishlar).
• CI/CD-artefaktlar: SBOM, bild xeshlari, imzolar, release notes.
• RBAC/ABAC reyestri, SoD nazorati, kirish natijalari.
• DR/BCP rejalari va mashqlar natijalari.

Operatsiyalar

• Treninglar va xodimlarni attestatsiyadan o’tkazish reyestri (RG/AML/Privacy).
• Hodisalar va post-moremlar jurnali.
• SLA bilan Ma’lumotlar subyektlari so’rovlari reyestri (DSAR).

10) Playbook: joyida (onsite) va masofadan (remote) tekshirish

1. Brifing, kun tartibi va yo’nalishni kelishish.

2. Ish o’rinlari/server turi (agar qo’llash mumkin bo’lsa), jismoniy tekshirish. O’zbekiston Respublikasi

3. Intervyu + live-demo nazorat, namunalar/replikalar.

4. Kundalik wrap-up, oldindan fikr almashish.

• O’qish paneli/dashbordga kirish, himoyalangan fayl almashish, sessiyalarni yozish, time-boxed slotlari.
• Artefaktlarni oldindan yuklash, takrorlash skriptlari.

• Yagona aloqa nuqtasi, so’rovlar trekingi (ticketing), dalillarni taqdim etish bo’yicha SLA (odatda T + 1/T + 2 ish kuni).

11) Maxsus stsenariylar: «dawn raid» va rejadan tashqari tekshirishlar

Tayyorligi: huquqiy brif, aloqalar ro’yxati (Legal/Compliance), auditorni kuzatib borish qoidalari, ma’lumotlarni yo’q qilish/o’zgartirishni taqiqlash (legal hold).
Protsedura: mandat/guvohnomalarni tekshirish, olib qo’yiladigan ma’lumotlar nusxalarini ro’yxatdan o’tkazish, Legal mavjudligi, yaxlitlik jurnallari nusxalari.
So’ngra: ichki tergov, bord/sheriklarga kommunikatsiyalar, CAPA.

12) Komplayens-ma’lumotlar va kuzatish arxitekturasi

Compliance Data Lake: hisobotlar, jurnallar, sertifikatlar, DPIA, metriklarning markazlashtirilgan ombori.
GRC platformasi: tavakkalchilik, nazorat, audit va CAPA reyestri, resertifikatsiyalar taqvimi.
Audit API/Regulator Portal: tashqi auditorlar/regulyator uchun boshqariladigan kirish.
Immutabellik: WORM/obyekt ombori, xesh Merkle zanjiri.
Dashbordlar: RTP-dreyf, Self-Exclusion suppression accuracy, Time-to-Enforce limitlari, KYC SLA.

13) Audit etukligi metrikasi (SLO/KPI)

14) Auditor hisobotining shabloni (tuzilmasi)

1. Rahbarga xulosa (Executive Summary).
2. Soha va mezonlar.
3. Metodologiya va tanlash.
4. Kuzatishlar/nomuvofiqliklar (dalillarga havolalar bilan).
5. Tavakkalchilikni baholash va ustuvorliklar.
6. CAPA tavsiyalari va rejasi (kelishilgan muddatlar/egalari).
7. Ilovalar: artefaktlar, jurnallar, xeshlar, skrinshotlar, intervyu reyestri.

15) Tez - tez xatolar va ulardan qanday qochish mumkin

Ahamiyatsiz siyosatlar/versiyalar → markazlashtirilgan registr, eslatmalar.
WORM/saqlash zanjiri yo’q → faktlarni isbotlab bo’lmaydi; immunitetni joriy qiling.
Zaif SoD/RBAC → choraklik kirish va jurnallarni yig’ish.
CAPA fanining yo’qligi → egalari/muddatlari/yopilish dalillari.
Maʼlumotlarning mos kelmasligi (RTP/hisobotlar/katalog) → avtomatik solishtirish va alertlar.
Ad-hoc inspeksiyalarga javob beradi → playbook va mashqlar (table-top).

16) Joriy etish yo’l xaritasi (6 qadam)

1. Siyosat va metodika: audit standarti, tavakkalchilik shkalasi, hisobot formatlarini qabul qilish.
2. Nazorat inventari: jarayonlar va domenlar bo’yicha nazorat xaritasi.
3. Dalillar arxitekturasi: WORM, Compliance Data Lake, Audit API.
4. GRC & kalendar: audit/resertifikatsiya jadvali, CAPA reyestri.
5. Trening/mashq: rol mashqlari, «dawn raid» simulyatsiyasi, table-top.
6. Doimiy yaxshilanish: metrik monitoring, retrospektivlar, takroriy findinglarni kamaytirish.

Jami

Audit va inspeksiya tartib-taomillari bir martalik hodisalar emas, balki aniq scope, sifat dalillari, CAPA intizomi, immunutable loglar, regulyator tashriflariga tayyorlik va shaffof metriklar kabi doimiy muvofiqlik konturidir. Bunday yondashuv tavakkalchiliklarni kamaytiradi, litsenziyalarni mustahkamlaydi, mahsulot va brendning barqarorligini oshiradi.