Checklista compliance AML dla operatorów iGaming (2026)

Większość uchybień AML w hazardzie nie wynika z braku wiedzy. Operatorzy rozumieją zasady; zawodzi warstwa operacyjna, w której polityki spotykają się z codziennymi decyzjami. Ta checklista zbudowana jest wokół obszarów, które regulatorzy badają w audytach i postępowaniach, więc można jej użyć zarówno do zbudowania programu, jak i do sprawdzenia istniejącego.

1. Ocena ryzyka całej działalności

Udokumentuj ryzyka prania pieniędzy i finansowania terroryzmu związane z produktami, bazą klientów, rynkami, metodami płatności i kanałami, oceń je i powiąż każde zidentyfikowane ryzyko z kontrolą. Aktualizuj co najmniej raz w roku i przy każdym nowym rynku, produkcie lub metodzie płatności. Regulatorzy proszą o ten dokument jako pierwszy.

2. Polityki i procedury dopasowane do biznesu

Polityki muszą opisywać, jak Twój operator faktycznie działa, a nie szablon. Powinny obejmować onboarding klienta, poziomy due diligence, środki wzmożone, źródło środków i majątku, screening PEP i sankcyjny, monitoring, raportowanie, dokumentację, szkolenia i ład korporacyjny, z imiennymi właścicielami i kontrolą wersji.

3. Poziomy due diligence klienta

Określ, co i jak weryfikowane jest przy rejestracji, pierwszym depozycie i na określonych progach. Weryfikacja tożsamości i wieku przed grą, sprawdzenie adresu i własności metody płatności, screening sankcyjny i PEP oraz jasne zasady przejścia klienta ze standardowego do wzmożonego due diligence. Dokumentuj wyjątki i sposób ich zatwierdzania.

4. Wyzwalacze weryfikacji źródła środków i majątku

Ustal obiektywne wyzwalacze – skumulowane depozyty, straty netto, tempo, użycie wielu metod płatności, depozyty krypto, jurysdykcje wysokiego ryzyka – i określ akceptowalne dowody na każdym poziomie. Zapisuj przegląd, decyzję i osobę weryfikującą. Wyzwalacz bez udokumentowanego wyniku to najczęstsze ustalenie audytu.

5. Monitoring transakcji

Monitoring musi generować alerty dla nietypowych wzorców: szybki depozyt i wypłata przy minimalnej grze, dzielenie kwot poniżej progów, niezgodne instrumenty płatnicze, chip dumping w grach peer-to-peer i przejęcia kont. Każdy alert wymaga rozstrzygnięcia w określonym czasie, a reguły należy stroić według harmonogramu na podstawie wyników alertów.

6. Raportowanie podejrzanych transakcji

Określ, jak personel eskaluje podejrzenia wewnętrznie, jak decyduje MLRO, termin zgłoszenia do jednostki analityki finansowej i jak zapobiega się ujawnieniu klientowi. Prowadź rejestr zgłoszeń wewnętrznych i zewnętrznych z uzasadnieniem decyzji o niezgłaszaniu.

7. MLRO i ład korporacyjny

Powołaj zatwierdzonego przez regulatora MLRO z uprawnieniami, zasobami i bezpośrednim dostępem do zarządu. Raportuj wskaźniki AML kierownictwu co najmniej kwartalnie: liczbę alertów, rozstrzygnięcia, złożone zgłoszenia, liczbę klientów wysokiego ryzyka, ukończone szkolenia i otwarte kwestie.

8. Szkolenia

Szkolenia dostosowane do roli przy zatrudnieniu i corocznie, z ewidencją obecności i oceną. Personel pierwszej linii, płatności, VIP i compliance potrzebują różnych treści, a zespoły VIP to znany słaby punkt.

9. Przechowywanie dokumentacji

Przechowuj dokumentację due diligence, dane transakcyjne i zgłoszenia przez ustawowy okres, zwykle pięć lat po zakończeniu relacji, w formie umożliwiającej szybkie udostępnienie. Zgraj to z harmonogramem retencji RODO.

10. Niezależny przegląd i gotowość do audytu

Zlecaj niezależny przegląd AML co najmniej raz na rok–dwa lata, usuwaj ustalenia z przypisanymi osobami i terminami oraz prowadź teczkę audytową: ocena ryzyka, polityki, ewidencja szkoleń, strojenie monitoringu, rejestr zgłoszeń i raporty dla zarządu.

11. Styk z odpowiedzialną grą

Sygnały AML i bezpiecznej gry nakładają się. Zadbaj, by weryfikacja przystępności finansowej, duże straty i przeglądy źródła środków były współdzielone między obiema funkcjami, bo regulatorzy coraz częściej oceniają je razem.

Nasza praktyka compliance i AML buduje i audytuje programy AML operatorów na Malcie, w Wielkiej Brytanii, UE i Polsce. Tło regulacyjne znajdziesz w artykule o tym, czego wymaga compliance AML.