Entrevista con el representante de la Autoridad de Juegos de Curacao

Curazao llevó a cabo una profunda reforma de la regulación del juego en línea: en lugar del histórico esquema de «licencias maestras» y sublicencias, se creó un único regulador CGA (Curacao Gaming Authority) y un modo de licencia directa para operadores y proveedores críticos. Hablamos con un representante de CGA sobre lo que se necesita para completar con éxito el camino de la aplicación, cómo vivir en un nuevo modo de cumplimiento y qué esperar para la industria en los próximos años.

Entrevista (Q&A)

1) ¿A quién le conviene la licencia de Curazao hoy?

Pregunta: ¿Para qué empresas es relevante la licencia de Curazao?

Respuesta (CGA): Para operadores y proveedores B2B dispuestos a trabajar en un marco transparente y cumplir con AML/CFT, KYC, Responsible Gaming, seguridad e informes sobre GGR. Vemos el interés de marcas internacionales con múltiples geografías y una cesta de pago híbrida (métodos locales + activos digitales donde se permite). Es importante un verdadero control de riesgos y una infraestructura madura.

2) ¿Qué tipos de permisos existen?

Pregunta: ¿Cómo se estructuran las licencias ahora?

Respuesta: Hay licencias B2C para operadores (casinos, apuestas, loterías, etc.) y permisos B2B para proveedores críticos (contenido de juegos, agregadores, alojamiento de infraestructura crítica, RNG, proveedores de lógica de pago/identificación). También destacamos las funciones clave dentro de la organización (cumplimiento, AML, seguridad, RG) sobre las que realizamos las inspecciones.

3) Pasar de «sublicencias» a licencias directas

Pregunta: ¿Qué es importante conocer las marcas existentes en las sublicencias del régimen pasado?

Respuesta: El período de transición es válido: es necesario solicitar una licencia directa, ajustar las relaciones contractuales y los procesos a las nuevas regulaciones, garantizar la continuidad de los servicios e informes. Hemos publicado específicamente los requisitos de «puente» de logotipos, informes y SLA para que la transición pase sin perjudicar a los jugadores.

4) Etapas de obtención de la licencia

Pregunta: ¿De qué bloques consiste el proceso?

Respuesta: Cinco pasos clave:

1. Fit & Proper - beneficiarios, directores, funciones clave; fuentes de fondos, reputación, experiencia.

2. Plan de negocios y sostenibilidad financiera: flujos de efectivo, reservas, seguros, plan de respuesta a escenarios de estrés.

3. Políticas y procedimientos - AML/CFT, KYC/SoF/SoW, RG, gestión de incidentes, externalización, seguridad, protección de datos.

4. Arquitectura técnica: segmentación de entornos, monitoreo, almacenamiento e integridad de registros, tolerancia a fallas, integraciones con proveedores, control de versiones y accesos.

5. Comprobación de preparación: auditoría técnica y del sistema antes de «ir en vivo»; luego las inspecciones programadas, especialmente en el primer año.

5) Documentos y artefactos: lo que es obligatorio

Pregunta: ¿Qué es lo más común que los solicitantes no indiquen?

Respuesta: Políticas actualizadas en lugar de plantillas, diagramas de arquitectura con roles y zonas de confianza, registro de proveedores con SLA y derechos de auditoría, procedimientos de gestión de incidentes y BCP/DRP, registro de afiliados con control de publicidad, plan de capacitación de personal (incluyendo front line), e informe de RCP Indicadores G.

6) AML/KYC y Finmingering

Pregunta: ¿Qué se centra en las verificaciones AML/CFT?

Respuesta: La estratificación de riesgo de los clientes, el procedimiento KYC de ajuste correcto, la fuente de fondos para segmentos de alto riesgo, la detección de sanciones y PEP, el monitoreo de comportamiento de las transacciones (velocity, jurisdicciones, métodos), la calidad de las escalaciones y el registro de soluciones. Es importante que el frente-despacho entienda los criterios y fije la lógica de cada caso.

7) Responsible Gaming (RG)

Pregunta: ¿Cuáles son las expectativas mínimas de RG?

Respuesta: Límites de depósito/pérdida/tiempo, tiempos de espera y auto-exclusión, «reality checks», intervenciones tempranas sobre patrones de riesgo de comportamiento, textos comprensibles en la interfaz. La comercialización no debe entrar en conflicto con las señales RG; sistema de reevaluación obligatoria después de las intervenciones - más.

8) Auditoría técnica y seguridad

Pregunta: ¿Qué está viendo la Teaudita?

Respuesta: Registros y su integridad, facturación y balances correctos, RNG/integraciones de proveedores, protección de API y claves, separación de entornos, control de acceso a productos, monitoreo y alertas, cifrado de datos «en disco» y «en cable», minimización de PII y cumplimiento de reglas locales de almacenamiento.

9) Ubicación de servidores y proveedores

Pregunta: ¿Existe un duro requisito de «hospedarse en la isla»?

Respuesta: Nos fijamos en la capacidad de control y auditabilidad. Es importante que el regulador y los auditores tengan acceso a la telemetría, registros y entornos necesarios, independientemente de la nube/centro de datos. Los proveedores críticos deben someterse a su evaluación de riesgos y volver a certificarse regularmente.

10) Pagos, stablecoins y Web3

Pregunta: ¿Cómo se siente acerca de los pagos criptográficos?

Respuesta: Es posible dentro del marco legal y AML: puntuación de riesgo direccional, listas de sanciones, monitoreo de direcciones «frescas», socios comprensibles. El jugador debe ver las comisiones y ETA; Las políticas de RG también se aplican al segmento criptográfico. Cualquier innovación es a través del prisma de transparencia y control.

11) Etiqueta blanca y subcontratación

Pregunta: ¿Es posible construir un negocio con una etiqueta blanca?

Respuesta: Sí, pero la responsabilidad es del licenciatario. Se necesitan contratos con SLAs claros, derechos de auditoría, un plan de respuesta a incidentes, límites de rol y revalorización regular del proveedor. Se aplican mayores requisitos de transparencia a los servicios críticos.

12) Afiliados y marketing

Pregunta: ¿Cómo controlar a los socios?

Respuesta: Introduzca un registro de afiliados, reglas de publicidad (edad, geo, offers honestos), mecanismos de verificación de tráfico, stop-list y verificaciones creativas regulares. El operador es responsable de las promesas de los afiliados y debe responder rápidamente a las irregularidades.

13) Calendario y planificación

Pregunta: ¿Cómo acelerar el paso?

Respuesta: Venga con políticas y diagramas listos, una base contractual, ciertas funciones clave e infraestructura piloto con logs y monitoreo. Los retrasos más frecuentes son la eliminación de comentarios sobre AML/RG y la «comunicación» de la arquitectura técnica a la auditoría.

14) Errores típicos de los solicitantes

P: ¿Cuál es el resultado más común de fallas o revisiones prolongadas?

Respuesta:

Políticas «copipastas» sin conexión con procesos reales.
Roles y accesos oscuros, sin segregaciones de duties.
Seguimiento débil de los flujos de efectivo y SoF/SoW.
No hay métricas de RG y escenarios de intervención temprana.
Relaciones no formales con proveedores/afiliados y falta de derechos de auditoría.
Registro inestable de incidentes y lanzamientos.

15) Cómo se ve el cumplimiento «maduro» después del lanzamiento

Pregunta: ¿Qué distingue a un buen licenciatario?

Respuesta: Cultura de cumplimiento permanente: auditorías internas programadas, métricas y alertas de seguridad AML/RG, actualización de políticas, capacitación de personal, registro de cambios de infraestructura, recertificación regular de proveedores, reportes oportunos de GGR e incidentes clave.

Práctica: hojas de verificación y hojas de ruta

Lista de comprobación de la preparación de la solicitud

Estructura transparente de la propiedad y los beneficiarios; perfiles de funciones clave.
Conjunto completo de políticas: AML/CFT, KYC/SoF/SoW, RG, incidentes, outsourcing, IB, gestión de riesgos.
Diagramas de arquitectura, delimitación de accesos, procesos de liberación, monitoreo y registros.
Contratos con proveedores críticos: SLA, derechos de auditoría, plan de incidentes.
Registros: afiliados, incidentes, quejas, comunicados; Plan de formación del personal.
Plan fin: reservas, seguros, escenarios de estrés.
Vitrinas métricas: alertas AML y resultados, indicadores RG, SLO de flow crítico.

Hoja de ruta de 90 días para el nuevo solicitante

Semanas 1-3: análisis gap, asignación de funciones clave, borradores de políticas, esquemas primarios de arquitectura y lógica.

Semanas 4-6: finalización de AML/KYC/RG, contratos con proveedores, monitoreo piloto y registro de eventos.

Semanas 7-9: «auditoría seca» (interna/externa), fijación de procesos SoF/SoW, prueba de estrés BCP/DRP.

Semanas 10-12: presentación de solicitudes, revisión de observaciones, preparación para Teaudit e inspecciones operativas.

El nuevo régimen de Curazao es una licencia directa, transparente y administrada. Pasan con éxito aquellos que vienen con procesos reales, arquitectura madura, disciplina de reporting y respeto a los requisitos RG/AML. CGA apuesta por el equilibrio: dar a la industria innovación y flexibilidad, al tiempo que garantiza el control de riesgos y la protección de los jugadores.