1.14    La conformité avec les normes et exigences est consignée de façon bien organisée afin que les renseignements puissent être examinés et vérifiés par une personne chargée de la surveillance indépendante.

Exigences – À tout le moins :

1. Les documents sont examinés et analysés pour vérifier la conformité avec les normes et exigences et sont approuvés par le personnel de gestion.
2. Les vérificateurs internes et externes ont accès à tous les systèmes, documents (dont ceux portant sur les activités de contrôle) et ressources utiles à la tenue d’une vérification. 
3. Sur demande, les exploitants et les fournisseurs de services ou de biens relatifs au jeu retiennent les services d’un vérificateur indépendant que le registrateur juge acceptable pour qu’il effectue les vérifications exigées et qu’il lui fournisse une copie des rapports de vérification. 
4. Lorsque les vérificateurs internes et externes examinent les activités de contrôle pour en déterminer la conformité avec les normes et exigences, ils tiennent compte des attentes du registrateur, telles qu’elles sont énoncées dans le présent document.

1.15    Le conseil, ou toute autre structure de gouvernance lorsqu’il n’existe pas de conseil, est responsable de la conformité, et il y a des preuves que le conseil, ou toute autre structure de gouvernance, s’est acquitté(e) de cette responsabilité.

Exigences – À tout le moins :

1. On confie à une personne la tâche de surveiller la conformité des activités autres que celles dont il assure la surveillance.
2. On confie à une personne la tâche d’effectuer des vérifications internes. Cette personne vérifie régulièrement l’environnement de contrôle de l’organisation et le cadre de gestion de la conformité et exerce une surveillance sans lien de dépendance avec le personnel de gestion opérationnelle. La personne chargée de la vérification interne est habilitée à examiner de façon indépendante tout aspect du fonctionnement de l’organisation. 
3. La personne chargée de la surveillance de la conformité et de la vérification interne ou une autre personne chargée de la surveillance indépendante a un accès direct et sans restrictions au conseil, ou à toute autre structure de gouvernance, et signale, régulièrement ou au besoin, toutes les questions importantes concernant la conformité. 
4. Le conseil, ou toute autre structure de gouvernance, établit un ou des comités pour superviser les personnes chargées de la surveillance de la conformité de l’organisation et de la vérification. Le mandat porte sur la composition et la reddition de comptes. 
5. Les membres du conseil, ou de toute autre structure de gouvernance, et de tout comité établi pour superviser les personnes chargées de la surveillance de la conformité de l’organisation et de la vérification comprennent bien les activités, les initiatives et les principales opérations de l’entreprise et ont les aptitudes, la formation, l’expérience et l’indépendance nécessaires pour s’acquitter de leurs responsabilités fiduciaires.

1.16    Il existe un processus indépendant pour que soient déclarés de façon anonyme les lacunes de l’environnement de contrôle, ainsi que les cas de non-conformité possible avec les contrôles, les normes et exigences ou la loi.

Exigences – À tout le moins :

1. On se penche sur les points soulevés dans le cadre du processus de déclaration anonyme, et ces points sont communiqués au conseil en temps utile. 

1.17   Les personnes inscrites ont une relation transparente avec le registrateur. 

Exigences – À tout le moins, les exploitants :

1. Signalent, conformément à la matrice d’avis établie, tout incident pouvant avoir un effet sur l’intégrité des jeux ou la confiance du public, dont toute mesure prise pour éviter que des incidents similaires ne se reproduisent; 
2. Signalent, conformément à la matrice d’avis établie, tout incident de non-conformité avec la loi, les normes et exigences ou les activités de contrôle, dont toute mesure prise pour éliminer la cause de la non-conformité; 
3. Fournissent des rapports périodiques démontrant les résultats affichés sur une certaine période quant aux activités de contrôle; 
4. Mettent à la disposition du registrateur les données, les renseignements et les documents qu’il demande; 
5. Signalent, conformément à la matrice d’avis établie, toute plainte du public en ce qui a trait à la conformité avec les normes et exigences, dont toute mesure prise pour remédier à la situation. 

1.18    On se sert d’un cadre standard reconnu de l’industrie pour gérer l’environnement de contrôle de la technologie de l’information en vue de favoriser la conformité avec les normes et exigences.

1.19    Les utilisateurs ont accès au système de jeu en fonction des besoins de l’entreprise.

Exigences – À tout le moins :

1. Des privilèges d’accès sont accordés, modifiés ou révoqués selon l’emploi occupé et les exigences du poste, et toutes les activités associées à ces privilèges sont consignées.
2. Les privilèges d’accès sont examinés et confirmés de façon indépendante périodiquement.

1.20    L’accès aux systèmes d’information sur les jeux est surveillé, consigné et rattaché à une personne en particulier.

Exigences – À tout le moins :

1. Chaque compte d’utilisateur professionnel est attribué à une seule personne.
2. L’accès aux comptes du système (ou aux autres comptes auxquels sont rattachés des privilèges équivalents) est réservé au personnel qui fournit un soutien informatique, et des mécanismes sont en place pour sécuriser ces comptes et en surveiller l’utilisation. 

1.21    Des processus sont en place pour s’assurer que seules les personnes autorisées sont en mesure d’ouvrir des comptes du système.

1.22    Autant que possible, on se sert de composants, tant matériels que logiciels, qui sont acceptés par l’industrie.

1.23    Toute connexion ou interface entre le système de jeu et un autre système, interne ou d’une tierce partie externe, est surveillée, renforcée et évaluée régulièrement pour assurer l’intégrité et la sécurité du système de jeu.

1.24    Des mécanismes sont en place pour assurer la fiabilité, l’intégrité et la disponibilité du système de jeu.

1.25    Un environnement physique sûr convenable est en place pour prévenir les accès non autorisés au système de jeu et assurer la protection des actifs.

1.26    Les systèmes de jeu, l’infrastructure, les données, les registres des activités et tous les autres composants connexes sont protégés contre les menaces, les vulnérabilités, les attaques et les intrusions. 

Exigences – À tout le moins :

1. Tous les utilisateurs sont authentifiés.
2. Avant que les composants entrent en service ou soient modifiés, ils sont renforcés conformément aux pratiques exemplaires de l’industrie et à celles liées à la technologie. 
3. On évalue régulièrement si des mesures appropriées et efficaces ont été prises pour renforcer les composants technologiques. 
4. Les correctifs visant à remédier à tout risque de sécurité sont mis à niveau régulièrement.

1.27    Les activités de sécurité sont consignées de façon à pouvoir être vérifiées, elles sont surveillées et promptement analysées, un rapport est préparé, et des mesures de renforcement sont prises au besoin. 

Exigences – À tout le moins :

1. Si les composants du système de jeu font l’objet de tentatives d’attaque, d’intrusion et d’accès sans autorisation, des mesures appropriées sont prises en temps utile.
2. Les tentatives d’intrusion sont détectées activement, et, si possible, des mesures sont prises pour éviter qu’elles ne causent l’interruption ou une panne du système de jeu. 
3. On consigne adéquatement les renseignements de façon à déceler et à surveiller les tentatives d’attaque, d’intrusion et d’accès sans autorisation à l’égard des composants du système de jeu. Une procédure de renforcement appropriée est en place.

1.28    Des évaluations indépendantes sont effectuées régulièrement par une personne qualifiée afin de vérifier si la sécurité du système de jeu et de tous ses composants connexes est adéquate.  

1.29    Les exploitants et les fournisseurs de services ou de biens relatifs au jeu se tiennent au courant des tendances, des problèmes et des solutions en ce qui a trait à la sécurité.

1.30    Un cycle de développement du système tenant compte de la sécurité et de l’intégrité du traitement est en place pour la technologie mise au point à l’interne pour le système de jeu.

1.31    On exerce une diligence raisonnable à l’égard de toute technologie liée au système de jeu dont on fait l’acquisition en vue de s’assurer que les exigences relatives à la sécurité et à l’intégrité du traitement sont respectées.

1.32    Une stratégie de mise à l’essai est en place pour les changements technologiques afin de s’assurer que les systèmes de jeu fonctionnent correctement.

1.33    Tous les changements au système de jeu sont consignés de façon appropriée, uniforme et claire, examinés, mis à l’essai et approuvés.

Exigences – À tout le moins :

1. Tous les composants technologiques du système de jeu sont installés et entretenus conformément aux procédures de gestion du changement appropriées.
2. Les demandes de changement et d’entretien du système de jeu sont normalisées et assujetties aux procédures de gestion du changement. 
3. Les changements d’urgence sont approuvés, mis à l’essai, consignés et surveillés. 
4. Les procédures de gestion du changement tiennent compte de la répartition des tâches entre les équipes de développement et de production. 
5. Les changements ne peuvent être apportés qu’à l’aide de comptes réservés à cet effet.

1.34    Le système de jeu peut détecter des changements non autorisés.

1.35    Des mesures de gouvernance des données sont en place pour veiller à l’intégrité du traitement des données et à la protection des données sensibles.

1.36    Les données sensibles, dont les renseignements sur les joueurs et les données permettant de déterminer les résultats des jeux, sont sécurisées et protégées en tout temps contre un accès ou un usage non autorisé. 

Exigences – À tout le moins :

1. Le système de jeu permet de sauvegarder les données de façon appropriée pour qu’elles puissent être récupérées intégralement et avec exactitude.
2. Les fichiers de sauvegarde des données sont entreposés à un endroit sûr à l’extérieur des lieux et conformément aux politiques et aux lois pertinentes.

1.37    Les renseignements sur les joueurs sont protégés, et leur utilisation est contrôlée par l’OLG.

Exigences – À tout le moins :

1. Les exigences relatives à la protection des données en ce qui a trait aux renseignements personnels sur les joueurs sont conformes à celles de la Loi sur l’accès à l’information et la protection de la vie privée.
2. Les renseignements sur les joueurs ne servent qu’aux activités de l’OLG, sauf si elle a accordé son autorisation préalable.

1.38    Supprimé, janvier 2022.

1.39    La communication de données sensibles sur le jeu est protégée à des fins d’intégrité.

1.40    Des procédures sont établies et consignées pour la gestion des opérations et des incidents liés à la technologie de l’information, dont la gestion et la surveillance d’événements touchant la sécurité et l’intégrité du traitement, ainsi que les mesures prises par la suite.

Exigences – À tout le moins :

1. Des mesures proactives de surveillance et de détection des erreurs au sein du système de jeu et des composants connexes sont en place. Des mesures sont prises immédiatement pour remédier aux incidents de non-conformité avec les normes et exigences ou les activités de contrôle.
2. La date et l’heure de l’environnement du système de jeu et des composants connexes sont synchronisées. 
3. Les données sur les évènements sont conservées de façon à disposer de renseignements et de registres en ordre chronologique permettant la reconstitution et l’examen de séquences temporelles du traitement.

1.41    Les applications de jeu sur tous les appareils portatifs sont sécurisées de façon appropriée.

Directive : Cette norme ne cible pas les joueurs en train de se servir de leurs propres appareils portatifs, tels que leur téléphone intelligent. Le but est de prendre sur le fait les employés ou les joueurs qui utilisent ces appareils pour accéder au système de jeu de l’exploitant.

1.42    Les exploitants et les fournisseurs de biens ou de services relatifs au jeu ne signent des contrats qu’avec des fournisseurs fiables.

1.43    Des niveaux de service pour la gestion des fournisseurs sont établis.

Exigences – À tout le moins :

1. Les niveaux de service sont consignés et exécutoires.
2. Des mesures correctives sont prises pour remédier à tout cas de non-conformité avec les niveaux de service établis.

1.44    Les exploitants et les fournisseurs de biens ou de services relatifs au jeu fournissent au registrateur la liste des fournisseurs qui leur procurent des biens ou des services relatifs aux loteries et s’assurent de garder cette liste à jour.

1.45    Les exploitants et les fournisseurs de biens ou de services relatifs au jeu se conforment aux normes techniques pertinentes établies par le registrateur.

Politiques et procédures 

1.46    Toutes les personnes inscrites et tous les fournisseurs de biens ou de services non relatifs au jeu qui sont dispensés de l’inscription respectent toutes les politiques et procédures pertinentes de l’OLG, pourvu qu’elles soient conformes aux présentes normes et exigences.

1.47    L’exploitant élabore des politiques et des procédures concernant les rôles et responsabilités des vendeurs et de leurs employés de manière à atteindre les résultats escomptés définis dans les normes applicables aux vendeurs :  

• 1.1, 1.17, 1.46, 1.48
• 2.3, 2.4, 2.5, 2.6, 2.10, 2.14
• 3.2, 3.3
• 4.1, 4.3, 4.4, 4.11, 4.13, 4.16, 4.23, 4.24
• 5.11
• 6.1

1.48    Les vendeurs et leurs employés se conforment aux politiques et procédures de l’exploitant ainsi qu’au contrat qu’ils ont conclu avec l’exploitant.