Tilsynet skal være risikobaseret, således at Spillemyndigheden tager hensyn til det skøn, som udbydere af spil kan udøve i forhold til at prioritere deres ressourcer for bedst at bekæmpe risikoen for at blive benyttet til at hvidvaske økonomiske midler. Det er dog en forudsætning, at grundlaget for prioriteringen fremgår af fx risikovurderingen. Det betyder ikke, at spiludbyderen kan undlade at tage stilling til den enkelte risiko med henvisning til, at den ikke er prioriteret. De interne forretningsgange skal tage hensyn til alle relevante risici, som fremkommer på baggrund af virksomhedens forretningsmodel.

Spiludbyderen er forpligtet til at udlevere al information, som er nødvendigt for tilsynet. Omfanget af informationen fastlægges alene af Spillemyndigheden og er som udgangspunkt ikke begrænset udover, at informationsudleveringen skal kunne begrundes i det konkrete tilsynsemne. Spillemyndigheden har således vide rammer, men den udbedte information skal altid kunne anvendes til at belyse den eller de konkrete problemstillinger, som tilsynet skal varetage.

Spiludbyderens pligt til at udlevere informationer til brug for Spillemyndighedens tilsyn inkluderer også adgang til en spiludbyders lokaler for at indhente oplysninger. Adgangen kræver ikke en retskendelse, men vil forudsætte passende legitimation. Spillemyndigheden har ligeledes mulighed for at få adgang til spiludbyderens spilsystem ved fjernadgang eller lignende, hvis systemet ikke er geografisk placeret i Danmark. Det er i den forbindelse normal praksis efter spilleloven, at udbyderen skal give denne adgang inden for fem hverdage.