Ichki audit va tashqi audit

1) Maqsad va viloyat

Operatsiyalar va Komplayens jarayonlarining tizimli, mustaqil va takrorlanadigan nazoratini ta’minlash: litsenziyalarga/qonunlarga muvofiqligi, moliyaviy va operatsion hisobotlarning ishonchliligi, tavakkalchiliklarni nazorat qilish samaradorligi (KYC/AML/RG, GDPR/PII, to’lovlar/PCI, o’yinlarning halolligi, axborot-kommunikatsiya texnologiyalari, marketing/affiliatlar, provayderlar). Bo’lim tekshirishlarni dasturlash prinsiplari, rollari, metodologiyasini, hisobotlar formatini va nomuvofiqliklarni yopish tartibini belgilaydi.

2) Prinsiplar va «uch himoya chizig’i»

1-liniya: jarayon egalari (Operatsiyalar, To’lovlar, O’yin provayderlari, Marketing/Affiliates, Qo’llab-quvvatlash xizmati) - day-to-day tavakkalchiliklarini boshqaradilar.
2-liniya: Komplayens/Tavakkalchilik/Xavfsizlik/DPO - siyosat, monitoring, maslahatlar, ijrosini nazorat qilish.
3-liniya: Ichki audit (IA) - nazoratning adekvatligi va samaradorligini mustaqil baholash; Kuzatuvchi kengash/Audit-qo’mitaga hisobot beradi.
Tashqi audit (EA): mustaqil uchinchi tomonlar - moliyaviy hisobot, sertifikatlashtirish (ISO/SOC/PCI), tartibga soluvchi inspeksiyalar.

Prinsiplari: mustaqillik, xolislik, dalillar, maxfiylik, xavf-xatar va qadriyatlarga e’tibor qaratish, shaffoflik va kuzatib borish.

3) IA vs EA chegaralanishi

4) Rollar va RACI

Head of Internal Audit (IA Lead) - strategiya, mustaqillik, reja/reporting. (A)

Internal Auditors - dala tekshiruvlari, ish hujjatlari, xulosalar. (R)

Process Owners (1-liniya) - ma’lumotlar/artefaktlarni taqdim etish, CAPA. (R)

Compliance/InfoSec/AML/RG (2-liniya) - ko-auditlar, metodologlar. (C/R)

CFO/Controller - moliyaviy kontraktlar, GL, qiyoslashlar. (C)

Legal/DPO - normalarni talqin qilish, PII va retensiya. (C)

Audit Committee - IA rejasini ma’qullaydi, hisobotlarni qabul qiladi, mustaqillikni nazorat qiladi. (A)

External Auditors/Assessors - EA o’tkazadi; NDA bo’yicha artefaktlardan foydalanish. (I/R kontrakt bo’yicha)

5) Tavakkalchilikka yo’naltirilgan rejalashtirish (Annual Audit Plan)

1. Tavakkalchiliklar reyestri: ehtimollik × ta’sir (moliya/GGR, litsenziyalar, o’yinchilarning obro’si, xavfsizligi).
2. Jarayon xaritasi: to’lovlar/PSP, hamyon, KYC/AML/KYB, RG, o’yin provayderlari/RTP, marketing/affiliatlar, IB/GDPR, hodisalar/bildirishnomalar, tartibga soluvchi hisobotlar.
3. Ustuvorlik matritsasi: High/Medium/Low → davriyligi (kv. yarim yil/yil).
4. Kope: maqsadlar, mezonlar, tartib-taomillar, tanlov, resurslar, taymline, qaramlik.
5. Ma’qullash: Audit-qo’mita yillik rejani tasdiqlaydi; S1/S2 hodisalarda ad-hoc ga yo’l qo’yiladi.

6) Metodologiya: audit bosqichlari

A. Predaudit (Planning): hujjatlarni so’rash, jarayonni tushunish, nazorat dizaynini baholash, tavakkalchilik-baholash, test dasturi.
B. Dala bosqichi (Fieldwork): intervyu, walkthrough, dizayn/tezkorlik testlari, tahliliy tartib-taomillar, artefaktlar inspeksiyasi, tanlash.
S. Xulosalar va reyting: faktlarni mezonlar bilan solishtirish; findings tasnifi.
D. Hisobot: loyiha → faktlarni kelishish → final → menejment/qo’mitaga taqdimot.
E. CAPA va Follow-up: tuzatish/ogohlantirish harakatlari rejasi, bajarilishini nazorat qilish, tekshirish.

7) Dalillar va tanlov

Dalillar turlari: hujjatli (siyosatlar, loglar, tiketlar), jismoniy (skrinshotlar, konfiguratsiyalar), og’zaki (intervyular), tahliliy (solishtirmalar, trendlar).
Sifat: yetarlilik (hajm), o’rinlilik (relevantlik), ishonchlilik (manba).
Tanlov: tasodifiy, tizimli, yo’naltirilgan (risk-based), anomaliyalar bo’yicha; miqdori umumiy yig’indining xavfi va hajmi bilan belgilanadi.
Izlanuvchanlik: har bir xulosa test bilan bog’liq, test dalil bilan bog’liq (noyob ID); «ketma-ket raqamlash».

8) Nomuvofiqliklar tasnifi va reytinglar

Critical (S1): litsenziya/qonun xavfi/katta moliyaviy zarar/PII-breach. Darhol harakat qilish, Qo’mita/Kengashga hisobot berish talab etiladi.
High (S2): nazoratning jiddiy nuqsoni; tuzatish uchun qisqa SLA.
Medium (S3): cheklangan nuqson; tuzatishlar rejasi.
Low (S4): yaxshilash/kuzatish (optimallashtirish).

Audit oʻtkaziladigan jarayon reytingi: Effective/Generally Effective with Improvements/Partially Effective/Ineffective.

9) Ishchi hujjatlar va retensiya

Working Papers: dastur, nazorat varaqalari, tanlov, intervyu protokollari, dalillar, hisob-kitoblar, xulosalar.
Rasmiylashtirish standartlari: indeks, versiya, egasi, sana, artefaktlarga havolalar, o’zgarishlarni nazorat qilish.
Maxfiylik va PII: RBAC orqali foydalanish, shifrlangan saqlash, sezgir maydonlarni yashirish.
Saqlash muddati: siyosat bo’yicha (odatda 5-7 yil) yoki, agar litsenziya/regulyator talab qilsa, undan ko’proq.

10) Tekshirish mavzulari (IA katalogi)

1. To’lovlar/PSP/PCI: auth/decline/chargebacks, PAN taxallusi, kirish jurnallari, yetkazib beruvchilar reyestri.
2. KYC/AML/KYB: KYC, RER/sanksiyalar, SAR/STR muddatlarining to’liqligi va aniqligi, tergov sifati, keyslarni yuritish.
3. Mas’uliyatli o’yin (RG): limitlar/o’z-o’zini istisno qilish, aloqa tartib-taomillari, intervensiyalar samaradorligi, reklama cheklovlari.
4. GDPR/PII/DPO: qayta ishlash reyestri, DSAR, maxfiylik hodisalari, qayta ishlovchilar bilan shartnomalar.
5. O’yin provayderlari/halollik: RTP drift, raund hodisalari, balanslarni sinxronlashtirish, RNG/bild versiyalari.
6. Marketing/Affiliatlar: kreativ/maqsadli cheklovlarga rioya qilish, atributsiya, shartnomalar, to’lovlar.
7. Noxush jarayonlar: arizadan oldingi vaqt (TTS), regulyatorlarga o’z vaqtida bildirishnomalar, artefaktlarning to’liqligi.
8. Tartibga solish hisoboti: sxemalar, muddatlar, DQ, GL/PSP bilan solishtirish.
9. IT-nazoratlari/axborot texnologiyalari: kirish, SOD, o’zgartirish/relizlar, audit jurnallari, arxaplar, DR/BCP mashqlari.

11) Hisobot formati IA (shablon)

Ijro rezyumesi: hajmi, maqsadlari, reytingi, asosiy xulosalari va tavakkalchiligi.
Kontekst: jarayon/tizim/yurisdiksiya, davr, qo’llaniladigan talablar.
Metodologiya va cheklovlar (agar mavjud bo’lsa).
Ustuvorlik bo’yicha batafsil xulosalar: fakt → mezon → xavf → ta’sir → tavsiyalar.
CAPA jadvali: egasi, qadamlari, muddatlari, muvaffaqiyat metrikasi.
Ilovalar: namunalar, diagrammalar, dalillar reyestri, glossariy.

12) Tashqi audit bilan o’zaro hamkorlik (EA)

Moliyaviy hisobot: GL tayyorlash, taqqoslash, PSP/banklar/provayderlar tomonidan tasdiqlash, boshqaruv xatlari.
Muvofiqlikni sertifikatlash/baholash: ISO 27001/9001, SOC 2, PCI DSS, regulyatorlarning tarmoq inspeksiyalari.
IA rollari: pre-assessment (gap-tahlil), so’rovlarni kuzatib borish, CAPAni tezlashtirish, takrorlashdan qochish.
Shaffoflik: artefaktlarning yagona vitrini, tashrif taqvimi, kirish qoidalari, NDA.
Kommunikatsiyalar: «EA readiness» muntazam stendlari, kirish nuqtasi - Audit Coordinator.

13) CAPA va ijrosini nazorat qilish

CAPA-reja: aniq qadamlar, metrika, egasi, muddati, qaram tizimlar/buyruqlar.
Verifikatsiya: joriy etilganlik dalillari (skrinshotlar, loglar, siyosatlar, test natijalari), sana, mas’ul auditor.
Eskalatsiya: S1/S2 - Qo’mitaga majburiy apdeyt; kechiktirilganda - dashbordning «qizil zonasi».
Tavakkalchilikni baholashning o’zgarishi: muvaffaqiyatli CAPAdan so’ng - xavf qoldiqlari va tekshirishlar chastotasini qayta ko’rib chiqish.

14) Audit dashbordi (boshqaruv nazorati)

Reja maqomi: choraklar va yo’nalishlar bo’yicha% tugallangan.
Findings portfeli: jiddiylik va kechikishlar bo’yicha.
CAPA progress: bajarildi/ishda/muddati o’tgan, yopilish vaqti medianasi.
Jarayonlarning issiqlik xaritasi: CAPA dan oldin/keyin nazorat qilish xavfi/samaradorligi.
Takroriy aniqlashlar: tizimli muammolar indikatori.

15) Axloqiy talablar va mustaqillik

Manfaatlar to’qnashuvi: auditorlar o’zlarining oldingi operatsion faoliyatini 12 oydan ≤ audit qilmaydilar; mojarolarni deklaratsiyalash.
Ma’lumotlardan foydalanish: faqat «minimal zarur» tamoyili bo’yicha; shaxsiy nusxa ko’chirishni taqiqlash.
Kommunikatsiyalar: neytral formulalar, «ayblov» ohangining yo’qligi; oldindan talqin qilish faktlari.

16) Chek varaqlari

Auditni boshlash

• Maqsadlar/mezonlar/chegaralar aniqlandi.
• Artefaktlar so’ralgan va olingan, formatlar/muddatlar kelishilgan.
• Mustaqillik tasdiqlandi, nizolar yo’q.
• Test va tanlov dasturi tasdiqlandi.

Dala bosqichi

• walkthrough va key-roles bilan intervyu o’tkazildi.
• Dizayn va operatsion samaradorlik testlari.
• ID/havolalar bilan dalillar reyestri shakllantirildi.
• Jarayon egalari uchun oraliq brif (finalda kutilmagan hodisalarsiz).

Hisobot va CAPA

• Faktlar kelishilgan, bahsli masalalar hal etilgan.
• Xulosalar tasniflangan (S1-S4), xavf/ta’sir baholangan.
• CAPA-reja egalari va muddatlari bilan tasdiqlandi.
• Follow-up sanalari taqvimga kiritilgan.

17) Artefaktlar shablonlari (tez qo’shimchalar)

Request List (PBC): hujjatlar/tushirishlar/kirish muddatlari roʻyxati.
Test Sheet: nazorat → protsedura → tanlash → natija → dalil → xulosa.
Finding Card: kod, sarlavha, tavsif, xavf, ta’sir, sabab (root cause), tavsiya, S-daraja, egasi, muddat.
CAPA Sheet: qadam, metrika, tasdiqlash artefaktlari, sana, tekshirildi.

18) Tez - tez xatolar va ulardan qanday qochish mumkin

IA va 2-qatorning yopishib qolgan rollari → mustaqillik buzilgan. Yechim: IAning to’g «ridan to’g» ri Qo’mitaga hisoboti.
Dalillarning etarli darajada kuzatilmasligi → xulosalarning zaif himoyasi. Yechim: yagona reyestr va raqamlash.
xavf va qadriyatni baholash o’rniga «nomuvofiqliklarni ov qilish». Yechim: tavakkalchilik-fokus va ustuvorlik.
CAPA’ni muddati o’tgan resurslarsiz ortiqcha yuklash. Yechim: SMART-maqsadlar va WIP limiti.
Hisobotni tekshirishda sifat/yangilik ma’lumotlarini e’tiborsiz qoldirish. Yechim: DQ-chek-ro’yxat.

19) Tezkor boshlash (30 kun ichida joriy etish)

1-hafta: IA xartiyasi (mandat/hisobdorlik) tasdiqlansin, tavakkalchilik-baholash o’tkazilsin, yillik reja loyihasini tuzilsin.
2-hafta: shablonlarni (PBC, Test/Finding/CAPA sheets) yaratish, dalillar reyestrini va maqomlar dashbordini sozlash.
3 hafta: «qisqa shakldagi» 2 ta tajriba auditini o’tkazish (masalan, PSP/PCI va RG/DSAR), hisobotlar chiqarish, CAPAni ro’yxatdan o’tkazish.
4-hafta: uchuvchilarni follow-up o’tkazish, metodologiyani tuzatish, yillik rejani tasdiqlash uchun Qo’mitaga kiritish, tashqi audit/sertifikatlashtirish jadvalini kelishish.

• Tartibga soluvchi hisobotlar va ma’lumotlar formatlari
• Qoidabuzarliklar to’g "risidagi bildirishnomalar va hisobot muddatlari
• Dashbord komplayens va monitoring
• Noxush pleybuklar va ssenariylar
• Inqirozli boshqaruv va kommunikatsiyalar
• Biznes uzluksizligi rejasi (BCP )/DRP
• Operatsiyalar auditi jurnallari