Spillemyndighedens tilsyn skal være risikobaseret. ►Det gælder både i forhold til, hvilke spiludbydere der udvælges til inspektion og hvilke forpligtelser i hvidvaskloven, der prioriteres. En risikobaseret tilgang betyder blandt andet, at der ved tilsynet skal◄ tages hensyn til det skøn, som spiludbydere kan udøve i forhold til at prioritere deres ressourcer for bedst at bekæmpe risikoen for at blive misbrugt til hvidvask og terrorfinansiering. Det er dog en forudsætning, at grundlaget for prioriteringen ►af spiludbyderens ressourcer◄ fremgår af fx deres risikovurdering. Det betyder ikke, at spiludbyderen kan undlade at tage stilling til den enkelte risiko med henvisning til, at den ikke er prioriteret. De interne forretningsgange skal tage hensyn til alle relevante risici, som fremkommer på baggrund af virksomhedens forretningsmodel.
Spillemyndigheden fører som udgangspunkt tre forskellige typer af tilsyn:
- full scope-inspektioner,
- tematiske inspektioner
- ad hoc-inspektioner.
Ved en full scope-inspektion indhentes og gennemgås spiludbyderens materiale i forhold til overholdelse af flere forpligtelser i hvidvaskloven.
Ved en tematisk inspektion udvælger Spillemyndigheden et tema og gennemgår herefter typisk flere spiludbyderes materiale inden for det valgte tema.
Ved en ad hoc-inspektion indhentes og gennemgås spiludbyderens materiale i forhold til overholdelse af specifikke dele i hvidvaskloven. ►Ad hoc-inspektioner indledes typisk, hvis Spillemyndigheden bliver bekendt med forhold, der kan begrunde en nærmere undersøgelse.◄ Det kan fx være på baggrund af oplysninger som Spillemyndigheden får via nyhedsmedier, borgerhenvendelser, politiet eller lignende.
Spiludbyderen er forpligtet til at udlevere al information, som er nødvendigt for inspektionen.
Omfanget af informationen fastlægges alene af Spillemyndigheden, og er som udgangspunkt ikke begrænset udover, at informationsudleveringen skal kunne begrundes i den konkrete inspektion. Spillemyndigheden har således vide rammer, men den udbedte information skal altid kunne anvendes til at belyse den eller de konkrete problemstillinger, som inspektionen skal varetage.
Spiludbyderens pligt til at udlevere informationer til brug for Spillemyndighedens inspektion inkluderer også adgang til en spiludbyders lokaler for at indhente oplysninger. Adgangen kræver ikke en retskendelse, men vil forudsætte passende legitimation.
Spillemyndigheden har også mulighed for at få adgang til spiludbyderens spilsystem via fjernadgang, hvis systemet ikke er geografisk placeret i Danmark. Det er i den forbindelse normal praksis efter spilleloven, at udbyderen skal give denne adgang inden for fem hverdage og sker ved, at ansatte fra udbyderen møder fysisk op hos Spillemyndigheden og giver adgangen til deres system.