ANEXO III

ANEXO III

Modelo y contenido mínimo del informe de certificación de la funcionalidad

El informe definitivo de certificación de la funcionalidad se estructura en los apartados y presentará el contenido mínimo que a continuación se relaciona:

1. Identificación de la certificación.

2. Descripción del objeto de certificación.

3. Resumen ejecutivo de la certificación de la funcionalidad.

4. Detalle del cumplimiento de los requisitos técnicos.

5. Detalle de los análisis específicos.

6. Detalle de las pruebas de integración.

7. Descripción del lugar, equipo y fechas de realización de la certificación.

8. Descripción de los entornos utilizados en las pruebas diferentes al efectivamente empleado por el operador para el desarrollo de la actividad de juego.

9. Descripción del soporte digital que acompañará al informe de certificación.

1. Identificación de la certificación

En la primera página del informe se detallará lo siguiente:

a) Tipo de informe de certificación: Se consignará «informe definitivo de certificación de la funcionalidad».

b) Código de identificación del informe: El código de identificación del informe será único y permitirá referirse al mismo de manera unívoca y su diferenciación de cualquier otro informe emitido por la entidad de certificación. Cada vez que la entidad de certificación realice cualquier modificación en un informe deberá generar un nuevo código de identificación para el mismo.

c) Datos identificativos de la entidad certificadora.

d) Datos identificativos de quien firma el informe por parte de la entidad certificadora.

e) Fechas de realización de los trabajos de certificación.

f) Fecha de emisión del informe de certificación.

2. Descripción del objeto de certificación

El objeto de certificación expondrá el alcance del sistema técnico de juego objeto de certificación, e incluirá al menos la siguiente información:

• La identificación de los elementos de software empleados en el sistema técnico para el desarrollo y explotación del juego objeto de la licencia correspondiente, con mención expresa del fabricante, nombre del producto y versión. En esta relación de elementos deberá constar en todo caso el capturador y el almacén.

• Relación de los componentes calificados como críticos y huella de los mismos. Esta relación podrá adjuntarse en un apartado diferenciado, como anexo, respondiendo a criterios de orden.

• La identificación de los centros de procesos de datos en que están instalados.

• Canales de acceso certificados (Internet, SMS, IVR, presencial…).

Para las licencias generales:

• Sitios web certificados y nombres comerciales.

• Versión del servicio web de verificación de identidad de jugadores contra el que el sistema consulta.

• Medios de pago utilizados durante la certificación.

Para las licencias singulares:

• Sitios web certificados y nombres comerciales.

• Rol del operador: deberá indicarse si el operador actúa como B2C, B2B o ambos. En el caso de que se trate de un operador B2B, deberá indicarse si actúa como coorganizador de juego, es decir, si gestiona plataformas de juego en la que sean miembros o se adhieran otros operadores de juego que pongan en común cantidades jugadas por sus respectivos usuarios.

• La oferta de juego bajo el alcance de la certificación, indicando variantes de juego certificadas. Para cada uno de los juegos y variantes certificadas, se indicará el nombre definido por el fabricante, el nombre comercial y, en su caso, la correspondencia con los juegos y variantes permitidas por la reglamentación básica.

• Tecnologías de acceso al sistema técnico de juego certificadas, como por ejemplo:

• Acceso web.

• Cliente descargable en tecnología Flash.

• Clientes descargables para PC (indicando para qué sistemas operativos).

• Aplicaciones nativas para Smartphone, tabletas u otros dispositivos móviles (indicando para qué sistemas operativos).

• Clientes de móvil de acceso web, por ejemplo, basados en HTML.

Para el caso de las apuestas deportivas de contrapartida y las apuestas cruzadas deberá indicarse si la oferta de juego incluye apuestas en directo.

Cuando el alcance del informe de certificación incluya varias variantes de juego, deberá indicarse a lo largo del informe, para cada prueba, análisis o requisito técnico, si la valoración emitida o cualquier otra información que se incluya hacen referencia a todas las variantes, o en su caso, solo a las que corresponda.

3. Resumen ejecutivo de la certificación de la funcionalidad

3.1 Calificación global de la funcionalidad.

Se incluirá una calificación global del cumplimiento de los requisitos técnicos por el sistema técnico de juego efectivamente utilizado por el operador para la licencia. La calificación podrá ser «Conforme» o «No conforme».

Esta calificación solamente podrá ser «Conforme» cuando la entidad de certificación estime que el sistema técnico de juego efectivamente utilizado por el operador para la licencia es conforme con todos los requisitos que resulten de aplicación.

Calificación global de la funcionalidad

Se Calificará globalmente el resultado del análisis como «Conforme» o «No conforme».

3.2 Cuadro resumen del cumplimiento de los requisitos técnicos.

Las áreas de requisitos cuyo cumplimiento deben certificarse para cada licencia se describen en el anexo V a la Resolución por la que se aprueba esta disposición.

Para cada requisito se habrá obtenido una calificación que podrá ser «Conforme», «No conforme», o «No aplica».

Los requisitos técnicos han sido agrupados por áreas.

En el resumen ejecutivo se presentará una tabla resumen con el número de requisitos que reciben cada calificación para cada área.

Las calificaciones se detallarán del siguiente modo:

	Número de requisitos	Número de requisitos conformes	Número de requisitos no conformes	Número de requisitos no aplica
Área XXX	7	6	0	1
Área YYY	4	4	0	0

3.3 Cuadro resumen de los análisis específicos.

Para determinadas funcionalidades de especial relevancia, la entidad de certificación deberá realizar varios análisis específicos. En algunos casos será necesario detallar el análisis llevado a cabo en un apartado posterior.

3.3.1 Análisis de las comprobaciones de identidad y prohibiciones.

Este análisis será de aplicación únicamente para licencias generales.

Calificación.

Se calificará globalmente el resultado del análisis como «Conforme» o «No conforme» respecto a los requisitos técnicos en esta materia.

Datos generales

Acepta participantes no residentes.	Sí/No.
Permite jugar sin registro de usuario.	Sí/No. En caso afirmativo, listar los juegos en que lo permite.
Canales para acreditar la identidad.	Indicar relación de canales: internet, telefónico, SMS, presencial, otros.

Comprobaciones antes de activar el registro de usuario

Utiliza el servicio de verificación de la identidad proporcionado por la Dirección General del Juego para residentes.	Sí/No. En caso de que se utilice pero no en todos los casos, indicar cuándo.
Otros medios de comprobación de identidad.	Relación de otros medios de comprobación de la identidad utilizados.
Documentos de identificación admitidos para no residentes.	Relación de documentos admitidos para acreditar la identidad de no residentes.
Comprobación de la mayoría de edad.	Sí/No.
Utiliza el servicio de verificación de inclusión el RGIAJ.	Sí/No.
Realiza comprobación de vinculados.	Sí/No.

Comprobaciones antes del abono de premios

Utiliza el servicio de variaciones del RGIAJ cada hora y actualiza la lista de prohibidos del operador.

Sí/No.

3.3.2 Análisis del generador de números aleatorios.

Este análisis será de aplicación únicamente para licencias singulares donde se utilice un generador de números aleatorios, o GNA.

Calificación.	Se calificará globalmente el resultado del análisis como «Conforme», o «No conforme» respecto a los requisitos técnicos en esta materia.
Fabricante.	Datos del fabricante del GNA.
Producto y versión.	Nombre del elemento software y versión.
Huella digital.	Huella digital del binario.
Tipo de GNA.	Se indicará: – GNA hardware. – GNA software.
Aleatorio/Pseudoaleatorio.	Se indicará: – Aleatorio. – Pseudoaleatorio. En caso de ser aleatorio, se indicará el nombre del fenómeno en que se basa.
GNA compartido.	Se indicará uno de los siguientes valores: – Instancia de GNA no compartida con otros juegos. – Instancia de GNA compartida con otros juegos. Indicar cuáles. – GNA integrado en el propio software de juego. – Otros. Describir.
Algoritmo.	En el caso de GNA hardware se indicará el nombre del fenómeno en que se basa. En el caso de GNA software se indicará el nombre del algoritmo, así como el nombre de las librerías o llamadas del sistema operativo en que se basa. En el caso de que se base en un algoritmo propio, indicarlo.
Resemillado.	Indicar Sí/No incluye procedimiento de resemillado.
Longitud del espacio.	Longitud en bits del espacio de diferentes números aleatorios.
Relación de tests estadísticos.	Relación de los nombres de los tests estadísticos que se han realizado.

3.3.3 Análisis del porcentaje de retorno al jugador.

Este análisis será de aplicación únicamente para licencias singulares, en aquellos juegos con porcentaje de retorno.

Porcentaje de retorno al jugador publicado para el juego.

Se indicará el porcentaje de retorno publicado por el operador para cada juego. Se indicará adicionalmente el sitio donde esté publicado el porcentaje de retorno.

3.3.4 Análisis de la lógica del juego y los sucesos aleatorios.

Este análisis será de aplicación únicamente para licencias singulares.

Cumplimiento de reglas particulares del juego.	Sí/No.
Sistema de gestión de riesgos para apuestas de contrapartida.	Indicación de desarrollo a medida o nombre del producto o servicio utilizado.
Auditoría de cambios en la configuración mediante parámetros del sistema de gestión de riesgos de las apuestas de contrapartida.	Sí/No.
Auditoría de cambios realizados por el personal del operador sobre las apuestas.	Sí/No.
Relación de sucesos aleatorios.	Relación de sucesos en los que intervenga el generador de números aleatorios, indicando si son presorteados.
Auditoría de cambios en la configuración mediante parámetros de la lógica del juego.	Sí/No.

3.3.5 Medidas contra el fraude y el blanqueo de capitales.

Este análisis será de aplicación únicamente para licencias generales y deberá describir las medidas implementadas por el operador para el control de los comportamientos fraudulentos o colusorios por parte del jugador.

Existencia de medidas técnicas contra el fraude y el blanqueo de capitales.

Sí/No.

3.4 Cuadro resumen de las pruebas de integración.

Este cuadro incluirá la calificación de las pruebas de integración practicadas clasificadas por áreas, que como mínimo deberá incluir a las descritas en el anexo VI.

La nomenclatura para las pruebas adicionales a las descritas en el anexo VI comenzará por «X».

Los resultados se detallarán del siguiente modo:

Área y referencia del requisito		Calificación
Área de requisitos A:
A.1	Nombre de la prueba	Conforme.
A.2	Nombre de la prueba	No aplica.
A.3	Nombre de la prueba	No conforme.
X.1	Nombre de la prueba adicional	Conforme.
X.2	Nombre de la prueba adicional	Conforme.
Área de requisitos B:
B.1	Nombre de la prueba	Conforme.
B.2	Nombre de la prueba	No aplica.
X.3	Nombre de la prueba adicional	Conforme.

4. Detalle del cumplimiento de los requisitos técnicos

Los requisitos técnicos cuyo cumplimiento debe certificarse para cada licencia se describen en el anexo V a la Resolución por la que se aprueba esta disposición.

Para cada requisito se habrá obtenido una calificación que podrá ser «Conforme», «No conforme», o «No aplica».

En este apartado se detallará el cumplimiento de cada uno de los requisitos técnicos. Los requisitos se han agrupado por áreas.

Adicionalmente será necesario documentar en el espacio de observaciones las siguientes situaciones:

– Cuando el motivo por el que el requisito pudiera calificarse como «No aplica».

– Cuando haya habido incidencias, aunque posteriormente se hayan subsanado.

– Cuando las pruebas se hayan realizado en un entorno distinto al efectivamente empleado por el operador para el desarrollo de la actividad de juego.

Las calificaciones se detallarán del siguiente modo:

Área y referencia del requisito	Calificación	Observaciones
Área de requisitos X:
Referencia A	Conforme.
Referencia B	No conforme.	No es conforme al requisito debido a…
Referencia C	No aplica.	El requisito no es de aplicación debido a…

La entidad de certificación deberá entregar un anexo en el que para cada requisito técnico se documenten las evidencias de las pruebas realizadas y los resultados obtenidos.

5. Detalle de los análisis específicos

Para determinadas funcionalidades de especial relevancia, la entidad de certificación deberá realizar varios análisis específicos que se describen en este apartado.

5.1 Análisis de las comprobaciones de identidad y prohibiciones subjetivas.

La entidad de certificación analizará las comprobaciones de identidad y de las prohibiciones subjetivas.

El análisis deberá describir como mínimo los siguientes aspectos:

– Datos generales:

○ Si el sistema acepta participantes no residentes.

○ Si el sistema permite jugar sin registro de usuario. La entidad de certificación describirá el juego o juegos en los que puede darse esta circunstancia.

○ La relación de canales que pueden utilizarse para acreditar la identidad: internet, telefónico, SMS, presencial u otros.

– Las comprobaciones realizadas antes de activar el registro de usuario:

○ Si se utiliza el servicio de verificación de la identidad proporcionado por la Dirección General de Ordenación del Juego para residentes.

○ Relación de otros medios de comprobación de la identidad utilizados.

○ La comprobación de la mayoría de edad.

○ La utilización del servicio de verificación de inclusión en el RGIAJ.

○ La realización de la comprobación de vinculados.

– Comprobaciones realizadas antes del abono de premios:

○ La utilización del servicio de variaciones del RGIAJ cada hora y la consiguiente actualización de la lista de prohibidos del operador y los estados de los participantes afectados.

5.2 Análisis del generador de números aleatorios.

Este análisis será de aplicación únicamente para licencias singulares donde se utilice un generador de números aleatorios, o GNA.

La entidad de certificación describirá los análisis, pruebas o tests realizados para justificar el comportamiento aleatorio del GNA y el cumplimiento de los requisitos técnicos. Se incluirán los resúmenes o gráficos justificativos, el número de simulaciones realizadas, los parámetros utilizados, así como el intervalo de confianza.

La entidad de certificación indicará si existen procedimientos de resemillado y si cumplen los requisitos técnicos.

En el caso de que existan parámetros de configuración de los que pudiera depender el funcionamiento del GNA, se describirán y se indicarán los valores de configuración para los que se ha realizado la certificación.

5.3 Análisis del retorno al jugador en los juegos.

La entidad de certificación deberá describir el porcentaje de retorno al jugador publicado por el operador para cada juego. También deberá verificar el sitio de publicación del referido porcentaje.

La entidad de certificación deberá describir todos los parámetros de configuración que puedan afectar al porcentaje de retorno al jugador, así como si el sistema técnico de juego permite registrar la auditoría de los cambios en dichos parámetros.

5.4 Análisis de la lógica del juego y los sucesos aleatorios.

La entidad de certificación, para cada una de las variantes de juego, deberá acreditar que el desarrollo del juego es conforme a las reglas particulares.

La entidad de certificación deberá analizar ciertos aspectos de la lógica del juego, los sucesos aleatorios en el juego, las configuraciones parametrizables, la contabilidad del juego y en general la capacidad de auditoría de cualquier cambio que se introduzca en las apuestas o los ganadores de forma manual.

Este análisis será de aplicación únicamente para licencias singulares.

En el caso de apuestas:

– Sistema de gestión de riesgos.

Para las apuestas de contrapartida, se describirá el sistema de gestión de riesgos, indicándose si para este fin se ha instalado alguna aplicación comercial o un desarrollo a medida.

Deberá indicarse si el sistema usado es parametrizable o no. En caso afirmativo, deberán describirse los parámetros de configuración más importantes así como los valores configurados en el momento de la certificación.

Asimismo, la entidad de certificación incluirá en este informe si la aplicación guarda un registro de los cambios llevados a cabo en el sistema referidos a la gestión de riesgos. En caso de que así sea, se indicará los ficheros o tablas de base de datos donde se almacena esta información.

Adicionalmente, para los operadores que ofrezcan apuestas en directo, deberán describirse las medidas implementadas por el operador para evitar que el jugador pueda realizar apuestas sobre acontecimientos que ya hayan tenido lugar o cuyo resultado sea conocido («late betting»).

– Auditoría de las apuestas.

La entidad de certificación deberá explicar la aplicación de gestión de apuestas, y el registro y traza de las modificaciones que pudieran realizarse desde las aplicaciones de backoffice por el personal del operador, entre las cuáles se analizarán al menos las siguientes:

○ Cambio de los datos de una apuesta.

○ Inserción de nuevas apuestas.

○ Borrado de apuestas.

○ Cambio en el resultado del evento.

○ Cambio en la adjudicación de los premios.

Se describirá la auditoría de los cambios, así como la manera en que se impide la manipulación de la auditoría.

Se deberá describir los ficheros o tablas de base de datos donde se almacena esta información de auditoría.

– Gestión de los fondos.

En las apuestas mutuas se deberá analizar la aplicación que gestiona la contabilidad de los fondos.

La aplicación explicará el registro y auditoría del fondo de juego, del reparto de premios, de los supuestos en que no hubiese acertantes de una categoría, o de cualquier otro movimiento.

En los juegos de casino, póquer, juegos complementarios y máquinas de azar:

– Se describirá cada uno de los sucesos aleatorios implementados en el juego en los que intervenga el generador de números aleatorios. Por ejemplo si existe mezcla inicial de cartas, el sorteo de la carta del mazo si no existe una mezcla inicial, la fabricación de los cartones de bingo, venta de cartones de bingo, el presorteo de las bolas del bingo, el sorteo de una bola de bingo si no es presorteado, el giro de la ruleta, el giro de los rodillos en las máquinas de azar, etcétera.

– Se deberá analizar la gestión contable de las partidas y, de los botes progresivos, en aquellos juegos en los que se permita su utilización. Los importes apostados, los premios obtenidos, las comisiones calculadas o los botes progresivos constituidos o aplicados deberán poder ser auditados.

– Auditoría de las partidas.

La entidad de certificación deberá explicar el registro y traza de las modificaciones que pudieran realizarse desde las aplicaciones de backoffice por el personal del operador.

Se describirá la auditoría de los cambios, así como la manera en que se impide la manipulación de la auditoría.

Se deberá describir los ficheros o tablas de base de datos donde se almacena esta información de auditoría.

– En el caso de que el software utilizado para implementar la lógica de juego sea configurable, la entidad de certificación deberá describir e indicar el valor de los parámetros de configuración que estén relacionados con los siguientes aspectos:

• Modalidades de juego.

• Estrategia de juego de la banca o nivel de riesgo asumido.

• Importes máximos.

• Reglas de juego.

La entidad de certificación deberá acreditar asimismo que existe registro de auditoría de cualquier modificación de estos parámetros.

5.5 Medidas contra el fraude y el blanqueo de capitales.

Este análisis será de aplicación únicamente para licencias generales.

La entidad de certificación describirá y evaluará las medidas implementadas en el sistema técnico de juego contra el fraude y el blanqueo de capitales. Asimismo, se adjuntarán aquellos documentos o evidencias recabadas durante la certificación.

6. Detalle de las pruebas de integración

En este apartado se detallarán las pruebas de integración realizadas, clasificadas por áreas, que como mínimo comprenderán a las que se describen en el anexo VI a la Resolución por la que se aprueba esta disposición.

La nomenclatura para estas pruebas adicionales a las descritas en el anexo VI comenzará por «X».

El resultado de cada prueba recibirá la calificación de «Conforme», «No conforme», o «No aplica», en función del resultado esperado y el cumplimiento de la reglamentación.

Cada prueba se detallará del siguiente modo:

Área.	Del anexo VI.
Referencia de la prueba.	Del anexo VI o «X***» para las pruebas adicionales.
Nombre de la prueba.
Descripción de la prueba.
Resultado esperado.
Tipo de prueba.	Según la clasificación de tipos de prueba del anexo VI.
Fecha/hora de realización de la prueba.
Resultado obtenido.
Calificación.
Observaciones.

Como resultado obtenido, la entidad de certificación deberá entregar un anexo en el que recogerá y documentará las evidencias del resultado de la realización de las pruebas de integración. Las evidencias que se deben recoger dependen del tipo de prueba a realizar y están descritas en el referido anexo VI a la Resolución por la que se aprueba esta disposición.

7. Descripción del lugar, equipo y fechas de realización de la certificación

En este apartado se describirá el equipo de trabajo que ha realizado la certificación, así como el lugar o lugares y la fecha o fechas en que se ha realizado.

8. Descripción de los entornos utilizados en las pruebas diferentes al efectivamente empleado por el operador para el desarrollo de la actividad de juego

En el caso de que determinadas pruebas del sistema técnico de juego se hayan realizado en un entorno diferente al efectivamente empleado por el operador para el desarrollo y explotación del juego objeto de la licencia, la entidad de certificación deberá describir en este apartado los diferentes entornos empleados.

Para cada uno de estos entornos, se indicará la relación de pruebas para las que se ha utilizado cada entorno.

9. Descripción del soporte digital que acompañará al informe de certificación

Este apartado describirá el contenido del soporte digital que acompañará al informe de certificación.

El informe de certificación se acompañará de un soporte digital, y estará estructurado de la siguiente manera:

– Informe de certificación completo en formato digital.

– Cuestionario descriptivo del objeto de certificación en formato digital.

– Evidencias de la evaluación de los requisitos técnicos. Se agruparán dentro de una carpeta denominada «Requisitos técnicos».

– Evidencias de las pruebas de integración. Se agruparán dentro de una carpeta denominada «Integración».

– Copia de los elementos software del sistema técnico de juego, que contendrá copia de los binarios de los elementos software del sistema técnico de juego certificado. Deberán agruparse en una carpeta que se denominará «Binarios» y se estructurarán en subcarpetas con el nombre de cada uno de los elementos software indicados en el cuestionario.