Comment se passe l'audit du casino avant d'obtenir une licence

Avant de délivrer une licence, le régulateur (et/ou les vérificateurs accrédités) vérifie non seulement les « papiers », mais aussi le fonctionnement des processus et des technologies de l'opérateur : honnêteté des jeux, sécurité des données, paiements, protection des joueurs et préparation aux incidents. Ci-dessous, une carte d'audit pratique : ce que vous regardez, dans quel ordre, quels artefacts vous demandez et quelles erreurs vous trouvez le plus souvent.

Logique générale de l'audit préalable à la licence

1. Pré-écran/dossier : structure de propriété, bénéficiaires, sources de fonds, personnes clés (fit & proper).

2. Branche technique : Certification RNG/mathématicien et plateforme, logs, télémétrie, contrôle de version.

3. Branche d'exploitation : AML/KYC/KYT, Responsible Gaming, paiements, publicité/affiliations, sapport.

4. Sécurité et vie privée : infobièse, gestion des accès, plan d'intervention en cas d'incident, DPIA.

5. Finances et rapports : ségrégation des fonds clients, compte GGR/net, contrôle des conclusions.

6. Interviews et walkthrough : démonstration de processus « en direct », essais sélectifs de cas.

7. Remédiation : élimination des commentaires, ré-échantillons, conclusion finale.

Ce qui est vérifié : par destinations

1) Diligence légale et gouvernance d'entreprise

Transparence de la structure, origine des fonds, sanctions/contrôles RER.

Fonction clé : Agent de conformité, MLRO, InfoSec Lead, RG Lead, contrôleur de paiement.

Politiques : AML/KYC/KYT, RG, IB/vie privée, marketing/publicité, gestion des risques, gestion du changement.

Artefacts : organisation, registre des bénéficiaires, CV des personnes clés, politiques et règlements de niveau 1-2, registre des risques.

2) Honnêteté des jeux : RNG, RTP et contrôle de version

Certification RNG et modèles mathématiques de machines à sous/tables/jeux en direct.

Seuils/corridors RTP, publication du retour théorique, suivi des faits.

Release & change management : hachage des bilds, contrôle de l'environnement, interdiction des modifications « à chaud » des mathématiques.

Loging : Logs invariables de rounds/paris/payements et techniques.

Artefacts : certificats de laboratoire, liste de jeux avec versions et hachages, matem. modèles, schéma de dépliage, exemples de logs/rapports RTP.

3) Plateforme et fiabilité

Architecture, redondance, surveillance, alertes, SLO/SLI.

Tests de charge, résistance aux pannes, antifrod et antibot.

Intégrations avec les fournisseurs de contenu et les passerelles de paiement : actes de test, SLA.

Artefacts : diagrammes architecturaux, plan BCP/DR, résultats des tests de charge, liste des intégrations et des actes.

4) Sécurité de l'information et vie privée

Contrôle d'accès (RBAC/ABAC), MFA, gestion des secrets, journal des actions administratives.

Vulnérabilités et patch management, pentestes, analyse statique/dynamique.

Cryptage des données au repos/en transit, classes de données, DPIA/PIA.

Procédures IR (incident response) : classification, SLA, notifications, post-mortem.

Artefacts : politique de l'IB, résultats des pentestes, rapports des scanners, matrice des accès, journal des incidents (impersonnel).

5) AML/KYC/KYT et paiements

Procédures d'identification, vérification de l'âge et de la personnalité avant le retrait (souvent avant le jeu).

Surveillance des transactions (KYT) : limites, seuils, scénarios d'escalade, déclaration des transactions suspectes.

La ségrégation des fonds clients, le registre des retraits, le contrôle des chargbacks/retours.

Crypto-politique (le cas échéant) : analyse en chaîne, risques d'adressage, off-ramp.

Artefacts : playbook KYC/EDD, captures d'écran des procédures, rapports KYT, registres des comptes clients, contrats avec les fournisseurs de paiement.

6) Responsible Gaming (RG)

Limites de dépôt/taux/temps, délais, auto-exclusion (y compris les registres inter-opérateurs, le cas échéant).

Surveillance comportementale : déclencheurs de dommages (accélération des dépôts, séances nocturnes, « spirale de la perte »), scénarios d'intervention.

Communications : avertissements, section d'aide, formation de Sapport, documentation des cas.

Artefacts : screencasts d'outils RG, journal d'intervention (impersonnel), KPI RG et rapports de formation.

7) Publicité, bonus et affiliations

Anti-mislead : interdiction des « gains garantis », clair T&C (wager, contribution des jeux, timing, pari max, limites de retrait).

Ciblage de l'âge 18 +/21 + ; listes noires des sites et restrictions de look-alike.

Contrôle des affiliations : contrats, créations pré-approval, tracking de trafic et plaintes.

Artefacts : règles de bonus, catalogues créatifs, processus d'approvals, registre des partenaires, rapports de surveillance publicitaire.

8) Sapport et règlement des différends

SLA de réponse, multicanalité, escalade vers l'ombudsman/ADR (si prévu).

Scripts RG/AML, journal des revendications, métriques FCR/CSAT/NPS.

Artefacts : règlement Sappport, base de connaissances, déchargement de tiquets (impersonnels), rapports ADR.

À quoi ressemble le processus : timing « par semaine »

Semaines − 8... − 4 : Préaudit - analyse gap, collecte d'artefacts, fixation de versions, tests internes, corrections.

Semaines − 3... − 2 : Doc-revue - les auditeurs demandent des politiques/revues/contrats, une démonstration des environnements est en préparation.

Semaine − 1 : Tech-walkthrough - présentation de la plate-forme, des logs, des moniteurs ; Extraction sélective de données.

Semaine 0 : Audit on-site/remote - entretien avec Key Functions, tests de dépistage/traçabilité, demandes de données supplémentaires.

Semaine + 1 : Rapport de l'auditeur - Liste des incohérences (MAJOR/MINEUR/OBS), recommandations.

Semaines + 2... + 6 : Remédiation - mesures correctives, échantillons, confirmations ; conclusion finale.

Exactement ce qu'ils vont demander de montrer : « liste à la porte »

Registre des jeux avec versions/hachages et certificats.

Logs de round/pari/paiement (samples, extraction par ticket-ID).

Gestion du changement : applications, chaînes d'approche, notes de sortie.

Matrice d'accès et journal des actions admin.

Plans BCP/DR + résultats de l'exercice (table-top/technique).

Règles KYT et rapports de fonctionnement/escalade.

Dossiers de formation du personnel (RG/AML/IB) et notes.

Création publicitaire, bonus T&C, registre d'affiliation.

Les cas de test que le système « lance »

RNG/RTP : vérification de la conformité de la version dans la vente certifiée, rapprochement du rapport RTP pour la période.

RG : l'organisation de la limite, l'excès de la limite, la pause, l'autoexception → le contrôle des blocages et les communications.

KYC : Sans papiers → rejet ; La réévaluation lors de la sortie ; EDD pour « risque élevé ».

Paiements : dépôts/retraits avec seuils → déclenchement des déclencheurs AML ; les retours ; charjbecki.

IB : tentative de connexion sans MFA ; l'escalade des droits ; la lecture des revues ; réaction de l'IR à une fuite « simulée ».

Marketing : audit sélectif des créatifs pour la présence de mislead/ » presque gagné » ; vérification des publics cibles.

Remarques typiques et comment les fermer

Conformité papier : les outils RG/AML sont sur papier, mais pas dans le produit → mettre en UX, former le sapport, montrer les cas.

Changement-contrôle faible : les versions sans approval/tests → introduire une matrice de sortie, l'interdiction de « hot-fix maths ».

Logs non immuables : pas de hachage/rétention → stockage/archives WORM, stratégies de stockage.

Trous dans les accès : comptes communs, pas de MFA → mettre en œuvre SSO/MFA, comptes personnels, révisions des accès.

T&C bonus non évidents : limites cachées/contribution impaire des jeux → réécrire les règles, faire des calculatrices dans l'IU.

IR/BCP "Pour le pointage" : il n'y a pas de doctrines, est absent le poste-mortemov → le calendrier дрижей, la comptabilité et les améliorations.

Chèques (enregistrer)

Liste de vérification des artefacts au début de l'audit

Registre des bénéficiaires et fit & proper.
Politiques AML/KYC/KYT, RG, IB/vie privée, publicité/affiliation, gestion du changement.
Certificats RNG/RTP + liste des jeux avec versions/hachages.
Schémas architecturaux, BCP/DR, rapports de pentestes et scans.
Matrice d'accès, Journal des actions admin, SSO/MFA.
Logs de round/taux/paiement (samples), rapports RTP, rapports GGR/impôts.
Procédures de Sapport, registres des plaintes/ADR, métriques SLA/CSAT.
Création publicitaire, bonus T&C, registre d'affiliation et approvals.
Rapports sur la formation du personnel (RG/AML/IB).

Chèque du produit lui-même

Les limites/délais/l'auto-exclusion fonctionnent et sont reflétées dans l'IA.
KYC/EDD/ECDD sont intégrés dans le flow de dépôt/retrait.
Contrôle des versions et interdiction des modifications « chaudes » des mathématiques.
Les SLA payantes et la ségrégation des fonds sont respectées.
Les antifrods/antibots sont actifs et logés.
T&C bonus transparents et calculatrices de paris.
Gestion de l'incident : service, RACI, exercice, post-mortem.

Comment se préparer : 6 conseils pour passer de la première fois

1. Faites un audit mock interne par checklists avec une « commande rouge » de Complaens et ingénieurs.

2. Bloquez les versions 1 à 2 semaines avant l'audit (freeze) et documentez tout ce que vous avez déjà fait.

3. Préparez un environnement de démonstration avec des loges de combat (impersonnelles) et des pistes.

4. Entraînez-vous à Key Functions : réponses courtes et spécifiques, cartes de processus de visite, liens prêts/captures d'écran.

5. Montrez la culture IR/BCP : calendrier des exercices, analyse des incidents, améliorations.

6. Fermez les « victoires rapides » : MFA/SSO, WORM logs, T&C bonus compréhensibles, calculatrice de vader, boutons RG visibles.

Qu'après l'audit

Vous recevrez un rapport de classification des incohérences et des recommandations. Faites un plan d'actions : deadlines, responsables, métriques de succès. Après la remédiation - confirmer les corrections avec des artefacts (captures d'écran, politiques, logs, actes de test) et, si nécessaire, passer une nouvelle vérification sélective.

Une vérification préalable à la licence réussie n'est pas une « vérification », mais une preuve de durabilité : mathématiques honnêtes et contrôle de version, processus RG/AML réels, plateforme sécurisée, paiements transparents et discipline marketing. Si ces éléments sont intégrés dans le produit et la culture, la licence passe du stress à la formalité - et la confiance des joueurs et des partenaires devient votre atout à long terme.