Tilsynet skal være risikobaseret, således at Spillemyndigheden tager hensyn til det skøn, som udbydere af spil kan udøve i forhold til at prioritere deres ressourcer for bedst at bekæmpe risikoen for at blive udnyttet til at hvidvaske økonomiske midler. Det er dog en forudsætning, at grundlaget for prioriteringen fremgår af fx risikovurderingen. Det betyder ikke, at spiludbyderen kan undlade at tage stilling til den enkelte risiko med henvisning til, at den ikke er prioriteret. De interne forretningsgange skal tage hensyn til alle relevante risici, som fremkommer på baggrund af virksomhedens forretningsmodel.

Spillemyndigheden fører som udgangspunkt tre forskellige typer af tilsyn: full scope-inspektioner, tematiske inspektioner og ad hoc-inspektioner. Ved en full scope-inspektion indhentes og gennemgås spiludbyderens materiale i forhold til overholdelse af samtlige forpligtelser i hvidvaskloven. Ved en tematisk inspektion udvælger Spillemyndigheden et tema og gennemgår herefter typisk flere spiludbyderes materiale inden for det valgte tema. Ved en ad hoc-inspektion indhentes og gennemgås spiludbyderens materiale i forhold til overholdelse af specifikke dele i hvidvaskloven.

Spiludbyderen er forpligtet til at udlevere al information, som er nødvendigt for inspektionen.

Omfanget af informationen fastlægges alene af Spillemyndigheden, og er som udgangspunkt ikke begrænset udover, at informationsudleveringen skal kunne begrundes i den konkrete inspektion. Spillemyndigheden har således vide rammer, men den udbedte information skal altid kunne anvendes til at belyse den eller de konkrete problemstillinger, som inspektionen skal varetage.

Spiludbyderens pligt til at udlevere informationer til brug for Spillemyndighedens inspektion inkluderer også adgang til en spiludbyders lokaler for at indhente oplysninger. Adgangen kræver ikke en retskendelse, men vil forudsætte passende legitimation. Spillemyndigheden har ligeledes mulighed for at få adgang til spiludbyderens spilsystem via fjernadgang, hvis systemet ikke er geografisk placeret i Danmark. Det er i den forbindelse normal praksis efter spilleloven, at udbyderen skal give denne adgang inden for fem hverdage og sker ved, at ansatte fra udbyderen møder fysisk op hos Spillemyndigheden og giver adgangen til deres system.