Auditorlik cheklistlari va revyu

1) Vazifasi

• tekshiruvlarning jamoalar va davrlar o’rtasidagi taqqoslanishi;
• natijalarning to’liqligi va dalillari;
• tuzatishlar (CAPA) va takroriy tekshirishlarni shaffof boshqarish.

2) Rollar va RACI

Owner: Head of Compliance/Head of Internal Audit - checklistlarning metodologiyasi, versiyalari. (A)

Process Owners (1-liniya): self-assessment, artefaktlar, CAPA. (R)

Compliance/InfoSec/AML/RG (2-liniya): peer-review, ko-auditlar, normalarni talqin qilish. (R/C)

Internal Audit (3-liniya): mustaqil revyu, reytinglar, follow-up. (R)

Management (Exec Sponsor): CAPAda xulosalar va resurslarni tasdiqlash. (A/C)

3) Revyu turlari

1. Self-Assessment (SA): har oyda/chorakda qisqa cheklistka jarayonlari egalari tomonidan.
2. Peer-Review (PR): qoʻshni jamoa tomonidan oʻzaro tekshirish (manfaatlar toʻqnashuvisiz).
3. Management Review (MR): har chorakda bir marta - KPI/KRI, trendlar va yopilmagan CAPA sharhlari.
4. Internal Audit Review (IA): IA rejasi bo’yicha mustaqil tekshiruv.
5. External-Audit Readiness (EAR): sertifikatlar/inspeksiyalarga tayyorgarlik (ISO/SOC/PCI/regulyator).

4) Cheklistning umumiy qoidalari

ID: CL- <code >/Version: v <MAJOR. MINOR >/Owner: <role>
Область: <KYC/AML/RG, GDPR/PII, Payments/PCI, Games/Providers, Reporting, Incidents...>
Frequency: M     Q      Ad-hoc
Material: <criteria for High/Medium/Low>
Sampling: <method and size>
Evidence: <list of files/screenshots/logs>
Question List: [X] Yes [] No [] N/A + Comment + Artifact + Severity
Bottom line: Score/Rating/CAPA

• Fully Met (100–90%) / Largely Met (89–75%) / Partially Met (74–50%) / Not Met (<50%).
• Severity nomuvofiqliklar: S1 kritik/S2 yuqori/S3 o’rta/S4 past.
• Materiallar: pul ta’siri (GGR/NGR), mijozlarni qamrab olish/PII, litsenziya/jarimalar xavfi, o’yinlarning halolligiga ta’sir ko’rsatish.

5) Cheklovchilar katalogi (nazorat punktlari bo’lgan skeletlar)

CL-KYC-01 — KYC/KYB

• Tekshirish siyosati va darajalari tasdiqlangan va dolzarbdir.
• KYC provayderlari amaldagi shartnomalarga/DPAga ega.
• SLA verifikatsiyasiga rioya qilinadi (D-1 metrikasi).
• Hujjatlar retensiyaga muvofiq saqlanadi; kirish - RBAC.
• Rad etish/eskalatsiya hujjatlashtirilgan; FPning normadagi ulushi.
• Sheriklar uchun KYB: dolzarb ko’chirmalar/benefitsiarlar.

Dalillar: KYC maqomlarini tushirish, DPA reyestri, kirish jurnali, 25 keysdan iborat sample.

CL-AML-02 — AML/CFT

• Yangilangan AML siyosati va tavakkalchilik skoring metodikasi.
• On-boarding bo’yicha RER/sanktsiyalarni tekshirish va vaqti-vaqti bilan.
• SAR/STR muddatlarda yuboriladi; qabul qilinganligini tasdiqlovchi dalillar mavjud.
• Tergov sifati: to’liqlik, tayming, yopilish.
• Monitoring rules velocity/structuring/mullarni qamrab oladi.
• «no tipping-off» testi: SARda mijozlar bildirishnomalari mavjud emas.

Dalillar: SAR/STR keyslari, sanksiya tekshiruvlari daftarlari, ishlarning yopilish vaqti bo’yicha hisobotlar.

CL-RG-03 - Mas’uliyatli o’yin

• Limitlar/o’z-o’zidan istisnolar reyestri sinxronlashtirilgan (reyestr/nats. tizim).
• Zaiflik triggerlari → SLAdagi aloqa; aloqa namunalari.
• Intervensiyalarning samaradorligi o’lchanadi va tahlil qilinadi.
• Reklama/bonuslar bozor cheklovlariga mos keladi.
• RG-hodisalar va regulyatorga bildirishnomalar - o’z vaqtida.

Dalillar: self-exclusion logi, kommunik. namunalar, outreach metrikalari.

CL-PCI-04 - To’lovlar/PCI

• PCI segmentatsiyasi va PAN/CHD inventari dolzarb holatda.
• Tranzitda tokenlash/shifrlash/at-rest; kalitlar aylanadi.
• Ostonalarda PSP bo’yicha Auth-rate/decline/latency; fallback-yo’nalishlar.
• Chargeback process va munozaralar uchun dalillar bazasi.
• ASV skanerlaridagi zaifliklar o’z vaqtida bartaraf etildi.
• To’lov zonasiga kirish daftarlari - to’liq va o’zgarmas.

Dalillar: network-diagrammalar, ASV hisobotlari, chargebacks, KMS asosiy siyosati.

CL-GAMES-05 - O’yinlar provayderlari/halollik

• Kontraktlar va texnik. xususiyatlar dolzarbdir; reyestrda - RNG/bild versiyalari.
• RTP-drift monitoringi va reaksiya chegaralari; freeze protsedura bilan biriktirilgan.
• Round/session/hamyon balanslarini sinxronlashtirish.
• Provayderning hodisalari: taymline, fiksatsiya, o’yinchilarga kompensatsiya.
• Regulyatorga halollik/RTP bo’yicha hisobotlar topshirildi va tasdiqlandi.

Dalillar: RTP yuklamalari, provayderning API loglari, freeze-biletlar misollari.

CL-REP-06 - Tartibga solish hisoboti

• Muddatlar taqvimi: «tayyor/jo’natilgan/qabul qilingan» maqomi.
• Ma’lumotlar sxemalari versiyalangan; fayllar xeshlar bilan imzolangan.
• Reconciliation: = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = =
• Qabul qilinganligini tasdiqlash (ID/kvitansiya) saqlangan va artefaktlar bilan bog’liq.
• Lokalizatsiya/til kuzatildi.

Dalillar: dashbord, kvitansiyalar, SQL-solishtirmalar.

CL-INC-07 - Hodisalar/xabarnomalar

• TTS (birinchi xabar) S1/S2 boʻyicha SLAda.
• DPA/regulyatorlarga/PSP/CERT xabarnomalari - muddatda, tasdiqlangan holda.
• Artefaktlarning to’liqligi: taymline, loglar, xabarlar, ta’sirlangan ro’yxatlar.
• Retro ≤ 7 kun, CAPA ro’yxatdan o’tgan va harakatlanmoqda.
• Futbolchilarga kompensatsiya siyosatga muvofiq hisoblanadi.

Dalillar: hodisalar jurnali, maqom-sahifa, artefaktlar paketlari.

CL-GDPR-08 — GDPR/PII

• Qayta ishlash reyestri (RoPA) dolzarbdir; huquqiy asoslar to’g "ri.
• DSAR 30 kundan ≤ yopiladi; kechikishlar tushuntirilgan.
• DPIA yuqori xavfli jarayonlar uchun yaratilgan.
• Tushirish va hisobot berishda taxalluslashtirish/niqoblash.
• Qayta ishlovchilar va SCC bilan shartnomalar amal qiladi.

Dalillar: RoPA, DSAR jurnali, DPIA, hisobotlarda niqob namunalari.

CL-ITGC-09 - Umumiy IT-nazoratlari

• O’zgarishlarni boshqarish: PR-jarayon, testlar, approvals, separation of duties.
• Foydalanuvchilar: RBAC/ABAC, davriy taftish, off-boarding ≤ 24 soat.
• Zaxira nusxa olish/tiklash, davriy DR testlari.
• Audit loglari o’zgarmaydi, retensiya kuzatiladi.
• Kuzatish darajasi: SLO/noto’g’ri byudjetlar, tanqidiy metrika uchun alertlar.

Dalillar: PR namunalari, IAM loglari, DR-test hisobotlari, retensiya siyosati.

6) Tanlash va dalillar metodikasi

O’lchami: operatsiyalar hajmi va xavfga yo’naltiring (masalan, min 25, pps/katta massivlar uchun stratifikatsiya).
Usullar: tasodifiy, tizimli, yo’naltirilgan (anomaliyalar/chekka holatlar), cho’qqilar davri bo’yicha.
Yetarlilik: asosiy xulosaga kamida 2-3 ta mustaqil manbalar (loglar, skrinshotlar, yuklamalar, tiketlar).
Kuzatib borish: Cheklistning har bir bandiga - ID va reyestrda havolasi bo’lgan dalil.

7) Revyu reytinglari ruknitori

Effective - nazorat loyihalashtirilgan va barqaror ishlaydi, hech qanday nomuvofiqliklar S1/S2.
Generally Effective (yaxshilanishlar bilan) - S3/S4 bor, ammo xavf-xatarlar nazorat ostida.
Partially Effective - tizimli S2; yuqori qoldiq xavfi.
Ineffective - S1/S2 toʻplami; darhol tiklash rejasi talab qilinadi.

8) CAPA и follow-up

Har bir finding uchun: ildiz → harakat → egasi → muddat → muvaffaqiyat metrikasi.
SLA yopilishi: S1 - 30 kundan ≤; S2 - 60 kundan ≤; S3 - 90 kundan ≤; S4 - kelishuv bo’yicha.
Verifikatsiya: auditor joriy etilganligining dalillarini (skrinshotlar/loglar/siyosat) qo’shadi, maqomini Verified ga o’zgartiradi.
Eskalatsiya: S1/S2 kechiktirilishi - haftalik MRda, Audit qo’mitasiga har chorakda.

9) Ishchi artefaktlar (shablonlar)

9. 1 Cheklist (tekshirish varaqasi)

9. 2 Finding Card

Kod Sarlavha Fakt Mezon Xavf/ta’sir Sababi (root cause) Tavsiya S-darajasi.

9. 3 CAPA Sheet

Finding → Qadamlar → Egasi → Muddat → Metrika/chegara → Dalillar → Maqom → Tekshirish sanasi.

9. 4 PBC roʻyxati (Provided By Client)

So’rov → Format → Manba → Mas’uliyatli → Muddat → Olingan (sana) → Sharhlar.

10) Dashbord revyu

Coverage: Davr davomida roʻza tutilgan jarayonlar%.
Findings by Severity: S1-S4 taqsimoti.
CAPA Progress: bajarildi/ishda/muddati o’tgan; yopilish vaqti media.
Repeat Findings: 12 oylik takrorlar ulushi.
Timeliness: SA/PR/MR/IA jadvaliga rioya qilish.
Effectiveness Trend: viloyatlar bo’yicha reytinglar dinamikasi.

11) Taqvim va chastotalar

Monthly: SA KYC/Payments/GDPR DSAR bo’yicha, hodisalar/xabarnomalar.
Quarterly: Barcha yoʻnalishlar uchun AML/RG/Providers/Reporting, MR boʻyicha PR.
Semi-Annual/Annual: yuqori xavfli zonalar bo’yicha IA; Sertifikatlash/tekshirishdan oldin EAR.

12) «Tez start» chek-kartalari (7 ta punkt bo’yicha)

KYC (7-point): Provayderlar/DPA SLA Navbatlar> SLA RBAC Rad etish/eskalatsiya FP to’g "risidagi hisobot.
AML (7-point): RER ro’yxatlari/SAR sanktsiyalari muddatlari Tergov sifati Velocity/structuring No tipping-off Treninglar Caseboard KPI.
RG (7-point): Reyestr/sinxronlashtirish SLA dagi aloqalar Reklama cheklovlari samaradorligi Shikoyatlar Hodisalar Regulyatorga hisobotlar.
PCI (7-point): Segmentatsiya Kalitlar/rotatsiya ASV/vulna Kirish jurnallari Chargebacks Fallback PSP tokenizatsiyasi.
Games (7-point): RTP-drift Freeze protsedurasi Balans-sinxronlari Provayder hodisalari RNG/bild versiyalari SLA API halollik hisobotlari.
Reporting (7-point): Taqvim Sxemalar/versiyalar Imzo/xesh Reconciliation Til/lokal DQ-metrika kvitansiyalari.
Incidents (7-point): TTS Muddatlarda bildirishnomalar Kompensatsiya artefaktlarining to’liqligi Retro CAPA Dashbord.

13) Tez - tez xatolar va ulardan qanday qochish mumkin

Dalilsiz cheklovchilar → barcha bandlar ID artefaktini talab qiladi.
Materialitsiz baholash → Cheklist kartochkasidagi chegaralarni belgilang.
SA/PR/IA → kelishilgan taqvim va yagona soʻrovlar reyestri (PBC).
«Hujjat markazizmi» operatsion testlarsiz → har doim operatsiyalarni tanlash.
CAPA metriksiz → oʻlchanadigan natijalarni bering (masalan, DSAR ≤ 30 kun ≥ 98%).

14) Joriy etish rejasi (30 kun)

1 hafta

1. Reyting metodologiyasi va shkalasi tasdiqlansin.
2. 8 ta bazaviy cheklist (CL-KYC/AML/RG/PCI/GAMES/REP/INC/GDPR) yaratish.
3. Artefaktlar reyestri va PBC/Finding/CAPA namunalarini yaratish.

2 hafta

4. SA uchuvchisini 2 jarayonda va PR uchuvchisini 1 jarayonda o’tkazish.
5. Dashbordni va CAPA jurnalini moslash.
6. «Dalillar va tanlov» bo’yicha trening berish.

3 hafta

7. eng yaqin sertifikatlashtirish/inspeksiya bo’yicha EAR sessiyasi.
8. MR/IA jadvalini har chorakda kelishish.
9. Materialit chegarasi va tanlov oʻlchamlarini belgilash.

4-hafta

10. v1 chiqarish. 0 cheklist katalogi va kalendar xaritasi.
11. Retro uchuvchini o’tkazish, cheklistlarning versiyalarini yangilash (v1. 1).
12. Jarayon egalarini KPIga qoʻshish.

15) Bog’liq bo’limlar

Ichki audit va tashqi audit

Tartibga soluvchi hisobotlar va ma’lumotlar formatlari

Qoidabuzarliklar to’g "risidagi bildirishnomalar va hisobot muddatlari

Dashbord komplayens va monitoring

Noxush pleybuklar va ssenariylar

Inqirozli boshqaruv va kommunikatsiyalar