Как проходит аудит казино перед получением лицензии

Перед выдачей лицензии регулятор (и/или аккредитованные аудиторы) проверяют не только «бумаги», но и то, как устроены процессы и технологии оператора: честность игр, безопасность данных, платежи, защиту игроков и готовность к инцидентам. Ниже — практическая карта аудита: что смотрят, в каком порядке, какие артефакты просят и какие ошибки чаще всего находят.

Общая логика предлицензионного аудита

1. Pre-screen / досье: структура владения, бенефициары, источники средств, ключевые лица (fit & proper).

2. Техническая ветка: сертификация RNG/математик и платформы, логи, телеметрия, контроль версий.

3. Операционная ветка: AML/KYC/KYT, Responsible Gaming, платежи, реклама/аффилиаты, саппорт.

4. Безопасность и приватность: инфобез, управление доступами, план реагирования на инциденты, DPIA.

5. Финансы и отчётность: сегрегация клиентских средств, учёт GGR/неттива, контроль выводов.

6. Интервью и walkthrough: демонстрация процессов «вживую», выборочные прогоны кейсов.

7. Ремедиация: устранение замечаний, повторные пробы, финальное заключение.

Что проверяют: по направлениям

1) Юридический due diligence и корпоративное управление

Прозрачность структуры, происхождение средств, санкционные/PEP-проверки.

Назначение Key Functions: Compliance Officer, MLRO, InfoSec Lead, RG Lead, платёжный контролёр.

Политики: AML/KYC/KYT, RG, ИБ/приватность, маркетинг/реклама, управление рисками, change-management.

Артефакты: оргструктура, реестр бенефициаров, CV ключевых лиц, политики и регламенты 1–2-х уровней, реестр рисков.

2) Честность игр: RNG, RTP и контроль версий

Сертификация RNG и математических моделей слотов/столов/live-игр.

Пороговые значения/коридоры RTP, публикация теоретической отдачи, мониторинг факта.

Release & change management: хэши билдов, контроль среды, запрет «горячих» правок математики.

Логирование: неизменяемые логи раундов/ставок/выплат и техсобытий.

Артефакты: сертификаты лабораторий, список игр с версиями и хэшами, матем. модели, схема деплоя, примеры логов/отчётов RTP.

3) Платформа и надёжность

Архитектура, резервирование, мониторинг, алерты, SLO/SLI.

Нагрузочные тесты, отказоустойчивость, антифрод и антибот.

Интеграции с провайдерами контента и платёжными шлюзами: акты тестов, SLA.

Артефакты: архитектурные диаграммы, план BCP/DR, результаты нагрузочных тестов, список интеграций и актов.

4) Информационная безопасность и приватность

Контроль доступов (RBAC/ABAC), MFA, управление секретами, журнал административных действий.

Уязвимости и патч-менеджмент, пентесты, статический/динамический анализ.

Шифрование данных в покое/в транзите, классы данных, DPIA/PIA.

Процедуры IR (incident response): классификация, SLA, уведомления, пост-мортемы.

Артефакты: политика ИБ, результаты пентестов, отчёты сканеров, матрица доступов, журнал инцидентов (обезличенный).

5) AML/KYC/KYT и платежи

Процедуры идентификации, верификация возраста и личности до вывода (часто — до игры).

Мониторинг транзакций (KYT): лимиты, пороги, сценарии эскалации, отчётность по подозрительным операциям.

Сегрегация клиентских средств, реестр выводов, контроль чарджбеков/возвратов.

Крипто-политика (если применимо): цепочной анализ, адресные риски, off-ramp.

Артефакты: playbook KYC/EDD, скриншоты процедур, отчёты KYT, регистры клиентских счетов, договоры с платёжными провайдерами.

6) Responsible Gaming (RG)

Лимиты депозитов/ставок/времени, тайм-ауты, самоисключение (в т.ч. межоператорские реестры, где есть).

Поведенческий мониторинг: триггеры вреда (ускорение депозитов, ночные сессии, «спираль проигрыша»), сценарии интервенций.

Коммуникации: предупреждения, раздел помощи, обучение саппорта, документация кейсов.

Артефакты: скринкасты RG-инструментов, журнал интервенций (обезличенный), KPI RG и отчёты обучения.

7) Реклама, бонусы и аффилиаты

Анти-mislead: запрет «гарантированных выигрышей», ясные T&C (вейджер, вклад игр, сроки, макс-ставка, лимиты вывода).

Возрастной таргетинг 18+/21+; чёрные списки площадок и look-alike-ограничения.

Контроль аффилиатов: договоры, pre-approval креативов, трекинг трафика и жалоб.

Артефакты: правила бонусов, каталоги креативов, процесс approvals, реестр партнёров, отчёты рекламного мониторинга.

8) Саппорт и разрешение споров

SLA ответа, многоканальность, эскалация к омбудсмену/ADR (если предусмотрен).

Скрипты по RG/AML, журнал претензий, метрики FCR/CSAT/NPS.

Артефакты: регламент саппорта, база знаний, выгрузки тикетов (обезличенные), отчёты ADR.

Как выглядит процесс: таймлайн «по неделям»

Недели −8…−4: Предаудит — gap-анализ, сбор артефактов, фиксация версий, внутренние тесты, исправления.

Недели −3…−2: Док-ревью — аудиторы запрашивают политики/журналы/договоры, готовится демонстрация сред.

Неделя −1: Tech-walkthrough — показ платформы, логов, мониторингов; выборочные извлечения данных.

Неделя 0: On-site/remote аудит — интервью Key Functions, sampling/traceability тесты, запросы доп. данных.

Неделя +1: Отчёт аудитора — список несоответствий (MAJOR/MINOR/OBS), рекомендации.

Недели +2…+6: Ремедиация — корректирующие действия, пробы, подтверждения; финальное заключение.

Что именно попросят показать: «список у двери»

Реестр игр с версиями/хэшами и сертификатами.

Логи раундов/ставок/выплат (сэмплы, извлечения по ticket-ID).

Change-management: заявки, approval-цепочки, release notes.

Матрица доступов и журнал админ-действий.

Планы BCP/DR + результаты учений (table-top/технические).

KYT-правила и отчёты по сработкам/эскалациям.

Записи обучения персонала (RG/AML/ИБ) и зачёты.

Рекламные креативы, T&C бонусов, реестр аффилиатов.

Тест-кейсы, которыми «прощупывают» систему

RNG/RTP: верификация соответствия версии в проде сертифицированной, сверка RTP-отчёта за период.

RG: постановка лимита, превышение лимита, тайм-аут, самоисключение → проверка блокировок и коммуникаций.

KYC: онбординг без документов → отклонение; повторная верификация при выводе; EDD для «высокого риска».

Платежи: депозиты/выводы с порогами → срабатывание AML-триггеров; возвраты; чарджбеки.

IB: попытка входа без MFA; эскалация прав; чтение журналов; реакция IR на «симулированную» утечку.

Маркетинг: выборочный аудит креативов на наличие mislead/«почти выиграл»; проверка целевых аудиторий.

Типичные замечания и как их закрывать

Бумажный комплаенс: инструменты RG/AML есть на бумаге, но не в продукте → внедрить в UX, обучить саппорт, показать кейсы.

Слабый change-control: релизы без approval/тестов → ввести релизную матрицу, запрет «hot-fix математики».

Логи без неизменяемости: нет хэшей/retention → WORM-хранилище/архивы, политики хранения.

Дыры в доступах: общие учётки, нет MFA → внедрить SSO/MFA, персональные учётки, ревизии доступов.

Неочевидные бонусные T&C: скрытые лимиты/нечёткий вклад игр → переписать правила, сделать калькуляторы в UI.

IR/BCP «для галочки»: нет учений, нет пост-мортемов → календарь дрижей, отчётность и улучшения.

Чек-листы (сохраните)

Чек-лист артефактов к началу аудита

Реестр бенефициаров и fit & proper.
Политики AML/KYC/KYT, RG, ИБ/приватность, реклама/аффилиаты, change-management.
Сертификаты RNG/RTP + список игр с версиями/хэшами.
Архитектурные схемы, BCP/DR, отчёты пентестов и сканирования.
Матрица доступов, журнал админ-действий, SSO/MFA.
Логи раундов/ставок/выплат (сэмплы), отчёты RTP, отчёты GGR/налоги.
Процедуры саппорта, регистры жалоб/ADR, метрики SLA/CSAT.
Рекламные креативы, T&C бонусов, реестр аффилиатов и approvals.
Отчёты обучения персонала (RG/AML/ИБ).

Чек-лист самого продукта

Лимиты/тайм-ауты/самоисключение работают и отражены в UI.
KYC/EDD/ECDD встроены в флоу депозита/вывода.
Контроль версий и запрет «горячих» правок математики.
Платёжные SLA и сегрегация средств соблюдаются.
Антифрод/антиботы активны и логируются.
Прозрачные бонусные T&C и калькуляторы отыгрыша.
Инцидент-менеджмент: дежурства, RACI, учения, пост-мортемы.

Как готовиться: 6 советов, чтобы пройти с первого раза

1. Сделайте внутренний mock-аудит по чек-листам с «красной командой» из комплаенса и инженеров.

2. Заблокируйте релизы за 1–2 недели до аудита (freeze) и задокументируйте всё, что уже выкатили.

3. Подготовьте демо-среду с «боевыми» логами (обезличенными) и трассировками.

4. Потренируйте Key Functions: короткие, конкретные ответы, визит-карты процессов, готовые ссылки/скриншоты.

5. Покажите культуру IR/BCP: календарь учений, разборы инцидентов, улучшения.

6. Закройте «быстрые победы»: MFA/SSO, WORM-логи, понятные бонусные T&C, калькулятор вейджера, видимые RG-кнопки.

Что после аудита

Вы получите отчёт с классификацией несоответствий и рекомендациями. Сделайте plan of actions: дедлайны, ответственные, метрики успеха. После ремедиации — подтвердите исправления артефактами (скриншоты, политики, логи, акты тестов) и, при необходимости, пройдите повторную выборочную проверку.

Успешный предлицензионный аудит — это не «пройти проверку», а доказать устойчивость: честная математика и контроль версий, реальные RG/AML-процессы, безопасная платформа, прозрачные платежи и дисциплина маркетинга. Если эти элементы встроены в продукт и культуру, лицензирование превращается из стресса в формальность — а доверие игроков и партнёров становится вашим долгосрочным активом.