Crypto-casino
Torrent Gear
Entretien avec un représentant de Curacao Gaming Authority
Curaçao a entrepris une profonde réforme de la réglementation du gemblai en ligne : au lieu d'un système historique de « licences maîtres » et de sous-licences, un seul régulateur CGA (Curacao Gaming Authority) et un régime de licence directe pour les opérateurs et les fournisseurs critiques ont été mis en place. Nous avons discuté avec un représentant de la CGA de ce qui est nécessaire pour réussir le chemin de l'application, comment vivre dans un nouveau mode de conformité et ce qu'il faut attendre de l'industrie dans les années à venir.
Interview (Q&A)
1) Qui va avoir la licence de Curaçao aujourd'hui ?
Question : Pour quelles entreprises la licence de Curaçao est-elle pertinente ?
Réponse (CGA) : Pour les opérateurs et les fournisseurs B2B prêts à travailler dans un cadre transparent et à se conformer à AML/CFT, KYC, Responsible Gaming, sécurité et rapport GGR. Nous voyons l'intérêt des marques internationales avec une multi-géographie et un panier de paiement hybride (méthodes locales + actifs numériques là où autorisé). Un contrôle réel des risques et une infrastructure mature sont importants.
2) Quels types d'autorisations existent ?
Question : Comment les licences sont-elles maintenant structurées ?
Réponse : Il existe des licences B2C pour les opérateurs (casinos, paris, loteries, etc.) et des autorisations B2B pour les fournisseurs critiques (contenu de jeu, agrégateurs, hébergement des infrastructures critiques, RNG, fournisseurs de logique de paiement/d'identification). Nous soulignons également les fonctions clés au sein de l'organisation (conformité, AML, sécurité, RG) pour lesquelles nous effectuons des vérifications.
3) Passer des « sous-licences » aux licences directes
Question : Qu'est-ce qui est important de connaître les marques existantes dans les sous-licences du régime précédent ?
Réponse : Il y a une période de transition : il faut demander une licence directe, mettre les relations contractuelles et les processus en conformité avec les nouvelles règles, assurer la continuité des services et des rapports. Nous avons spécialement publié des exigences de pont sur les loges, les rapports et la SLA pour que la transition se déroule sans préjudice pour les joueurs.
4) Étapes d'obtention de la licence
Question : Quels sont les blocs du processus ?
Réponse : Cinq étapes clés :1. Fit & Proper - bénéficiaires, directeurs, fonctions clés ; sources de fonds, réputation, expérience.
2. Plan d'affaires et résilience financière - flux de trésorerie, réserves, assurances, plan de réponse aux scénarios de stress.
3. Politiques et procédures - AML/CFT, KYC/SoF/SoW, RG, gestion des incidents, externalisation, sécurité, protection des données.
4. Architecture technique : Segmentation des environnements, surveillance, stockage et intégrité des logs, tolérance aux pannes, intégration avec les fournisseurs, contrôle des versions et des accès.
5. Vérification de la préparation - Audit système et technique avant « go-live » ; puis des inspections planifiées, surtout la première année.
5) Documents et artefacts : ce qui est obligatoire
Question : Qu'est-ce que les plaignants ne font pas le plus souvent ?
Réponse : Politiques actuelles et non modèles, diagrammes d'architecture avec rôles et zones de confiance, registre des fournisseurs avec SLA et droits d'audit, procédures de gestion des incidents et BCP/DRP, registre des affiliations avec contrôle de la publicité, plan de formation du personnel (y compris la ligne de front), ainsi que rapport sur les indicateurs RG.
6) AML/KYC et finmonitoring
Question : Qu'est-ce qui est au centre des vérifications AML/CFT ?
Réponse : Risque-stratification des clients, bonne procédure d'onbording KYC, source de fonds pour les segments à haut risque, dépistage des sanctions et PEP, surveillance comportementale des transactions (velocity, juridictions, méthodes), qualité des escalades et journal des décisions. Il est important que le front office comprenne les critères et fixe la logique de chaque cas.
7) Responsible Gaming (RG)
Question : Quelles sont les attentes minimales pour RG ?
Réponse : Limites de dépôt/perte/temps, délais et auto-exclusion, « chèques de réalité », interventions précoces sur les schémas de risque comportementaux, textes compréhensibles dans l'interface. Le marketing ne doit pas être en conflit avec les signaux RG ; système de réévaluation obligatoire après intervention - plus.
8) Audit technique et sécurité
Question : Qu'est-ce que le technaudite regarde ?
Réponse : Les logs et leur intégrité, la facturation et les bilans corrects, les intégrations RNG/fournisseurs, la protection des API et des clés, la séparation des environnements, le contrôle de l'accès à la production, la surveillance et les alertes, le cryptage des données « sur disque » et « sur fil », la minimisation des PII et le respect des règles de stockage local.
9) Emplacement des serveurs et fournisseurs
Question : Y a-t-il une forte exigence d'hébergement sur l'île ?
Réponse : Nous examinons le contrôle et l'auditabilité. Il est important que le régulateur et les auditeurs aient accès à la télémétrie, aux journaux et aux environnements nécessaires, quel que soit le nuage/centre de données. Les fournisseurs critiques doivent subir votre évaluation des risques et être réattribués régulièrement.
10) Paiements, steiblcoins et Web3
Question : Que pensez-vous des cryptoplats ?
Réponse : Il est possible dans le cadre de la loi et du cadre AML : risque ciblé, listes de sanctions, surveillance des adresses « fraîches », partenaires compris/non-ramp. Le joueur doit voir les commissions et ETA ; Les politiques RG s'appliquent également au cryptosegment. Toutes innovations - à travers le prisme de la transparence et du contrôle.
11) Marque blanche et externalisation
Question : Est-il possible de construire une entreprise sur un label blanc ?
Réponse : Oui, mais la responsabilité incombe au licencié. Il faut des contrats avec des SLA clairs, des droits d'auditeur, un plan de réponse aux incidents, des limites de rôle et une réévaluation régulière du fournisseur. Des exigences de transparence accrues s'appliquent aux services critiques.
12) Affiliations et marketing
Question : Comment contrôler les partenaires ?
Réponse : Entrez le registre des affiliations, les règles sur la publicité (âge, géo, honnêtes offers), les mécanismes de vérification du trafic, stop-list et les vérifications créatives régulières. L'opérateur est responsable des promesses d'affiliation et doit réagir rapidement aux violations.
13) Calendrier et planification
Question : Comment accélérer le passage ?
Réponse : Venez avec des politiques et des diagrammes prêts, une base contractuelle, certaines fonctions clés et une infrastructure pilote avec logs et surveillance. Les retards les plus fréquents sont l'élimination des commentaires sur AML/RG et la « transmission » de l'architecture technique à l'audit.
14) Erreurs typiques des requérants
Question : Qu'est-ce qui conduit le plus souvent à des refus ou à de longues améliorations ?
Réponse :- Les politiques « copipastiques » sans lien avec les processus réels.
- Rôles et accès peu clairs, absence de segmentation des duties.
- Faible trace des flux de trésorerie et SoF/SoW.
- Il n'y a pas de métriques RG et de scénarios d'intervention précoce.
- Relations non formées avec les fournisseurs/affiliés et absence de droits d'audit.
- Journal instable des incidents et des sorties.
15) À quoi ressemble la conformité « mature » après le lancement
Question : Qu'est-ce qui distingue un bon titulaire de licence ?
Réponse : Une culture de conformité continue : audits internes planifiés, métriques et alertes sur AML/RG/sécurité, mise à jour des politiques, formation du personnel, journal des changements d'infrastructure, réattribution régulière des fournisseurs, déclaration en temps opportun sur les RGT et les incidents clés.
Pratique : chèques-feuilles et feuilles de route
Chèque de préparation de la demande
- Structure transparente de la propriété et des bénéficiaires ; profils des fonctions clés.
- Ensemble complet de politiques : AML/CFT, KYC/SoF/SoW, RG, incidents, externalisation, IB, gestion des risques.
- Diagrammes d'architecture, délimitation des accès, processus de sortie, surveillance et logs.
- Contrats avec des fournisseurs critiques : SLA, droits d'audit, plan d'incident.
- Registres : affiliation, incidents, plaintes, communiqués ; plan de formation du personnel.
- Fin de plan : réserves, assurances, scénarios de stress.
- Vitrines métriques : alertes AML et résultats, indicateurs RG, SLO flow critique.
Une feuille de route de 90 jours pour le nouveau candidat
Semaines 1 à 3 : analyse gap, attribution de fonctions clés, brouillons de stratégie, schémas primaires d'architecture et de logging.
Semaines 4 à 6 : finalisation AML/KYC/RG, contrats avec les fournisseurs, suivi pilote et journal des événements.
Semaines 7 à 9 : « audit sec » (interne/externe), fixation des processus SoF/SoW, test de résistance BCP/DRP.
Semaines 10 à 12 : Dépôt de la demande, mise au point définitive des commentaires, préparation à l'inspection technique et opérationnelle.
Le nouveau régime de Curaçao est l'octroi de licences directes, transparentes et gérables. Ceux qui ont des processus réels, une architecture mature, une discipline de rapport et le respect des exigences RG/AML réussissent. La CGA cherche à trouver un équilibre : donner à l'industrie innovation et flexibilité, tout en assurant la maîtrise des risques et la protection des acteurs.