Come funzionano AML e KYC

1) Perché vuoi AML e KYC

KYC (Know Your Customer) conferma che il cliente è una persona reale con un'identità valida e un indirizzo.

L'AML (Anti-Money Laundering) impedisce il riciclaggio di denaro, il finanziamento del terrorismo e il superamento delle sanzioni.

Nel iGaming è la condizione delle licenze, della banca partner e dei fornitori di pagamenti; inosservanza = multe, revoca della licenza e blocco dei pagamenti.

2) Processo KYC da onboording a accesso alla cassa

Passi KYC

1. Raccolta dati: FIO, data di nascita, cittadinanza, indirizzo, documento (passaporto/ID), selfie/video-liveness.

2. Controllo del documento: MRZ/chip, anti-tamponatore, scadenza, mappatura con selfie.

3. La conferma dell'indirizzo ( ) è il conto del servizio/estratto conto della banca 3-6 mes.

4. Sanzioni e PEP: screening contro gli elenchi delle sanzioni, individui politicamente rilevanti e adverse media.

5. Soluzione: pass/fail/richiesta di dati supplementari; registrazione del motivo e delle versioni dei criteri.

Mini-esempio di richiesta di verifica

json
POST /compliance/kyc/verify
{
"customerId": "c_1029",  "doc": {"type":"passport","country":"DE","number":"X1234567","expiry":"2030-04-01"},  "identity": {"firstName":"Alex","lastName":"K. ","dob":"1993-02-11"},  "address": {"line1":"Musterstr. 5","city":"Berlin","zip":"10115","country":"DE"},  "liveness": {"provider":"onfido","sessionId":"sess_9a7f"},  "consent": true
}

3) Sanzioni, PEP e adverse media

Sanzioni: corrispondenza diretta, corrispondenza di aliasi, corrispondenza secondaria (beneficiari).

PEP: attuali ed ex-incarichi + familiari/familiari.

Avverse media - menzioni negative di frode, corruzione, violenza.

Soluzione true/false/needs review con priorità per tipo di corrispondenza e freschezza della sorgente.

4) KYT per criptovalute (Know Your Communication)

Screening indirizzi/transazioni: mixer, cluster darknet, portafogli di sanzioni/borsa.

Traccia l'origine dei mezzi: percorso delle monete fino a in-ramp/borsa da KYC.

Regole: blocco di cluster ad alto rischio Richiesta di un indirizzo pulito; Richiesta di SoF/SoW per la cripta.

Esempio di risultato KYT

json
{
"address": "0x9a7f...2b1c",  "riskScore": 83,  "flags": ["mixer_proximity","sanctions_cluster_2hops"],  "recommendation": "deny_and_request_clean_address"
}

5) Scansione e livelli di convalida (risk-based approach)

Iniziale Risk Score (IRS) è un paese, metodo di pagamento, età, RER/sanzioni, dispositivo.

Ongoing Risk Score (ORS) in dinamica: quantità di depositi/conclusioni, frequenza, pattern anomali.

Livelli:

Low - base KYC, limiti standard.
Medium è un SoF/PoA in più, limiti ristretti.
High/EDD - Pacchetto di documenti avanzato, panoramica manuale, limiti/pausa ridotti.

6) SoF/SoW e afordability (come parte di AML)

SoF (fonte dei fondi): stipendio, affari, risparmi, vendita di beni, regalo/eredità, cripta (in modo pulito).

SoW (fonte di benessere): un contesto di reddito più generale.

Afordability: corrispondenza dell'intensità del gioco ai redditi; in caso di inadeguatezza - limiti/pausa.

7) Monitoraggio transazioni (TM) e regole comportamentali

Script tipici catturati dal motore TM:

Depositi frequenti e conclusioni istantanee (pass-through).
Frazionamento delle somme intorno alle soglie (strutturing).
Forte crescita della media teca; sessioni notturne a grandi giri.
Il titolare del pagamento e l'account non corrispondono.
Crittografia dei cluster «sporchi»; Molti nuovi indirizzi senza cronologia.

Evento TM

json
{
"event":"payment. deposit",  "ts":"2025-10-17T12:10:20Z",  "customerId":"c_1029",  "amount":"1000. 00",  "currency":"EUR",  "method":"card",  "country":"DE",  "device":"ios_app",  "traceId":"tr_55f",  "kvc":{"name_on_card_match":true}
}

8) Case management e indagini

Alert → Case d' → Alert si unisce in una valigetta; Aggiungi estratti/docu-laghetti; registrano le azioni e le versioni dei criteri ('policyVer').

Soluzioni: approve/limit/sollest info/suspend/offboard.

Escalation: per ufficiale/avvocato; Registro attività non aggiornato (WORM).

SAR/TR, un rapporto sospetto al regolatore secondo la legge locale.

9) Storage, privacy, sicurezza

Isolamento PII: singoli archivi e chiavi di accesso, minimizzazione dei campi.

Ritenzione: conservazione N anni (giurisdizione), dopo rimozione sicura.

Accesso: RBAC/ABAC, registro di accesso, crittografia (KMS/HSM).

Diritti del soggetto dati: accesso/correzione/restrizione di elaborazione, tranne la reticenza AML obbligatoria.

10) Metriche e SLO AML/KYC

KYC pass-rate / time-to-verify (p50/p95).

Alert precision/recall (qualità delle regole TM).

Ora di chiusura valigetta (MTTC), quota valigette con EDD.

SAR/STRR rate e la percentuale di incidenti confermati.

KYT coverage (quale% delle criptodepositi ha superato lo screening).

Affordability interventions (quanti limiti/ragno).

11) Cartelli architettonici della compilazione

Il livello di compilazione è un modulo separato con API e storage personalizzati.

Eventi: 'kyc. started/passed/failed`, `aml. alert/opened/closed`, `payment. deposit/withdrawal`, `kyd. address_screened`.

Idampotenza: tutti i webhoop e le soluzioni sono con «decisionId», la ripetizione non cambia il risultato.

Versioning policy: ogni calcolo conserva «policyVer», «dataVer», «modelVer» (se c'è ML).

12) Esempi di soluzioni (politiche di azione)

json
{
"decisionId":"dec_7f3",  "customerId":"c_1029",  "policy":"aml_v3. 6",  "riskScore":72,  "action":"limit_and_request_sof",  "limits":{"deposit_daily":"200. 00","withdrawal_daily":"0. 00"},  "explanation":["rapid_deposits","new_wallet","country_risk_medium"],  "ttl_days":30
}

13) Ruolo ML/AI e vincoli

Usa-case: priorità degli alert, anomalia dei pattern comportamentali, classificazione delle valigette.

Guardrails: spiegabilità, mancanza di discriminazione, uomo-nel-circuito; le regole hanno la precedenza sui modelli per le sanzioni/PEP/EDD.

14) Anti-pattern (che rompe la compilazione)

La stessa serie di controlli per tutti i paesi/metodi (nessun approccio risk-based).

Miscelazione di denaro OLTP e fogli di compilazione in un unico database.

La mancanza di idipotenza sui siti web sono soluzioni doppie.

Scatola nera di ML senza spiegazione e controllo.

Nessun registro delle versioni delle regole e delle soluzioni.

Nessun archivio WORM o controllo dell'accesso ai documenti.

Ignora KYT per la crittografia e non corrisponde il nome del pagatore.

15) Assegno foglio di avvio/controllo AML&KYC

Processi

Sono descritti i criteri KYC/AML/EDD/Afordability con «policyVer» e EOL.
Regolamenti SAR/TR, escalation e interazione con il regolatore/banca.

Tecnologia

Singolo plugin: API, vetrine, archivio WORM.
Eventi e webhoop idipotenti; « » .

KYC/KYT

I provider KYC (liveness, doc-scan) sono integrati; il flusso di PoA è chiaro.
KYT è collegato a tutte le criptooperazioni; fogli di stop e indirizzi puliti.

Monitoraggio

regole TM e segnali ML; dashboard SLO/qualità degli alert.
QA valigette: rivalutazione selettiva, formazione del team.

Privacy

Isolamento PII, crittografia, accesso ai ruoli, retenza, GDPR/norme locali.

16) Promemoria al giocatore (come passare KYC/AML più veloce)

Preparate foto chiare dei documenti e un Proof Address fresco.

Utilizzare le tue carte/portafogli; Il nome deve corrispondere.

Con un sacco di soldi, tenete gli estratti conto in anticipo.

Per una cripta - Tradurre da un indirizzo pulito, salvare Tx-hash e il rapporto rampa/borsa.

I sistemi AML/KYC non sono una formalità, ma un circuito di lavoro per la protezione dell'operatore e dei giocatori. Si basa sul controllo dell'identità e dell'indirizzo, le sanzioni/screening RER, il monitoraggio risk-based delle transazioni, KYT per la cripta, la gestione delle valigette e i rapporti documentati. Tecnicamente si tratta di un modulo separato con eventi, soluzioni idipotenti, archivi WORM e privacy rigorosa. Questo approccio riduce i rischi regolatori e di pagamento, accelera i pagamenti legali e supporta un gioco responsabile.