Ödeme ve elektronik para kuruluşları; hızlı, dijital ve yüksek hacimli işlem yapıları nedeniyle suç gelirlerinin aklanması ve terörün finansmanı riskleri açısından yakından izlenen kuruluşlar arasında yer alır. MASAK mevzuatı bu kuruluşlardan yalnızca kimlik tespiti değil, risk temelli, belgelenmiş ve yönetim tarafından sahiplenilmiş bir uyum programı bekler. Bu yazıda uyum programının temel yapı taşlarını ve uygulamada sık karşılaşılan eksikleri ele alıyoruz.
Yasal çerçeveye kısa bakış
Türkiye'de aklama ve terörün finansmanıyla mücadelenin temelinde 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ile 6415 sayılı Terörizmin Finansmanının Önlenmesi Hakkında Kanun yer alır; 7262 sayılı Kanun ise kitle imha silahlarının yayılmasının finansmanının önlenmesine ilişkin kuralları içerir. Uygulamanın ayrıntıları, başta Tedbirler Yönetmeliği ve Uyum Programı Yönetmeliği olmak üzere ikincil düzenlemeler ve MASAK genel tebliğleriyle belirlenir.
Ödeme ve elektronik para kuruluşları bu mevzuat kapsamında yükümlüdür. 2021'de yürürlüğe giren değişikliklerle bu kuruluşlar, uyum programı oluşturma ve uyum görevlisi atama yükümlülüğü kapsamına alındı; yalnızca belirli hizmetleri sunan kuruluşlar için ise farklı düzenlemeler bulunuyor. Hangi yükümlülüklerin size uygulanacağını izin kapsamınıza göre ayrıca değerlendirmeniz gerekir.
Uluslararası gelişmeler de yakından izlenmelidir. Türkiye, Haziran 2024'te Mali Eylem Görev Gücünün (FATF) artırılmış izleme listesinden çıkarıldı; FATF, Haziran 2026 genel kurulunda ise Türkiye'ye ilişkin yeni karşılıklı değerlendirme raporunu kabul etti. Ödeme şeffaflığını düzenleyen 16 numaralı FATF Tavsiyesinde Haziran 2025'te yapılan değişikliklerin de 2030 sonuna kadar uygulamaya geçirilmesi öngörülüyor.
Uyum programının yapı taşları
Uyum programı; kurumsal politika ve prosedürler, risk yönetimi, izleme ve kontrol, eğitim ve iç denetim faaliyetlerinden oluşur. Bu bileşenlerin kuruluşun büyüklüğü, işlem hacmi ve iş modeliyle orantılı olması, yönetim kurulu tarafından da sahiplenilmesi beklenir.
- Kurum politikası: Müşteri kabulü, risk sınıflandırması, işlem izleme ve bildirim süreçlerini tanımlayan, yönetim kurulunca onaylanmış yazılı politika
- Risk yönetimi: Müşteri, ürün, kanal ve coğrafya bazında risk değerlendirmesi; yüksek riskli durumlar için sıkılaştırılmış tedbirler
- İzleme ve kontrol: Senaryo tabanlı işlem izleme, uyarıların incelenmesi ve karar gerekçelerinin kayıt altına alınması
- Eğitim: Rol bazlı, düzenli ve etkinliği ölçülen bir eğitim programı
- İç denetim: Programın etkinliğinin bağımsız bir bakışla periyodik olarak test edilmesi
Risk değerlendirmesi, programın geri kalanını besleyen başlangıç noktasıdır. Ürün ve kanal bazında hangi risklerin öne çıktığı netleşmeden kurulan izleme senaryoları ya da müşteri kabul kuralları, çoğu zaman ya gereğinden fazla uyarı üretir ya da gerçek riskleri gözden kaçırır. Bu nedenle değerlendirmenin yeni ürün lansmanları, yeni pazarlar ve önemli iş ortaklıkları gibi değişikliklerde güncellenmesi önerilir.
Uyum görevlisi bu yapının merkezinde yer alır. 2025'te yapılan düzenlemelerle uyum görevlileri için nitelik şartları güncellendi ve yetkilendirme sınavına dayalı bir lisans rejimi getirildi. Uyum görevlisi ve yardımcısı atamalarında bu şartların ve MASAK'ın güncel duyurularının dikkate alınması gerekir.
KYC: müşterinin tanınmasında kritik noktalar
Müşterinin tanınması; kimlik tespiti ve doğrulamasının yanı sıra gerçek faydalanıcının belirlenmesini, iş ilişkisinin amacının anlaşılmasını ve müşteri profilinin güncel tutulmasını kapsar.
- Uzaktan müşteri edinimi yapılıyorsa, MASAK ve TCMB düzenlemelerinde öngörülen yöntemlere uygun ve denetlenebilir bir akış kurulması
- Tüzel kişi müşterilerde ortaklık yapısının gerçek faydalanıcılara kadar izlenmesi
- Siyasi nüfuz sahibi kişiler, yüksek riskli ülkeler ve karmaşık yapılar için sıkılaştırılmış tedbirlerin uygulanması
- Müşteri bilgilerinin risk seviyesine göre belirlenen aralıklarla güncellenmesi
- Müşterinin beyan ettiği faaliyet ve gelir bilgileriyle gerçekleşen işlem profilinin düzenli olarak karşılaştırılması
- Kimlik tespiti gerektiren işlem tutarı eşiklerinin güncel mevzuattan takip edilmesi ve sistem parametrelerine doğru yansıtılması
Tutar eşiklerinin mevzuat değişiklikleriyle güncellenebildiği unutulmamalıdır. Parametreleri koda gömmek yerine yönetilebilir kurallar olarak tasarlamak, değişikliklere hızla uyum sağlamayı kolaylaştırır. Malvarlığının dondurulmasına ilişkin kararların ve yüksek riskli ülke listelerinin sistemlere zamanında yansıtılması da aynı disiplinle yönetilmelidir.
İşlem izleme ve şüpheli işlem bildirimi
Ödeme kuruluşlarında izleme senaryoları iş modeline özgü olmalıdır. Pazaryeri, dijital cüzdan, para transferi veya üye iş yeri odaklı yapılarda riskler farklı biçimlerde ortaya çıkar. Senaryo tasarımında dikkate alınabilecek bazı sinyaller şunlardır:
- Kısa sürede çok sayıda farklı karşı tarafa yapılan transferler
- Müşteri profiliyle uyumsuz ani hacim artışları
- Hesapların üçüncü kişilere kullandırıldığına (hesap kiralama) işaret eden örüntüler
- Üye iş yerinde faaliyet konusuyla örtüşmeyen işlem tipleri
- Aynı cihaz, IP adresi veya iletişim bilgisinin birden fazla müşteri tarafından kullanılması
Senaryoların eşik ve parametreleri, gerçekleşen uyarı ve bildirim sonuçlarına göre düzenli olarak kalibre edilmelidir. Uyarı hacmini ekibin inceleme kapasitesiyle dengelemek, hem gecikmeleri hem de uyarı yorgunluğunu önler.
Şüpheli işlem bildirimi için mevzuat bir tutar sınırı öngörmez. Bildirimin, şüphenin oluştuğu tarihten itibaren en geç on iş günü içinde, gecikmesinde sakınca bulunan hâllerde ise derhâl yapılması gerekir. Bildirimde bulunulduğunun müşteri dahil üçüncü kişilere açıklanmaması da yasal bir yükümlülüktür. Ayrıca 5549 sayılı Kanun kapsamındaki belge ve kayıtların sekiz yıl süreyle saklanması ve talep edildiğinde ibraz edilmesi gerekir.
Öz değerlendirme için kısa soru listesi
Uyum programınızın olgunluğunu hızlıca ölçmek için aşağıdaki soruları yönetim ve uyum ekipleriyle birlikte yanıtlayabilirsiniz:
- Kurumsal risk değerlendirmemiz son ürün ve kanal değişikliklerini yansıtıyor mu?
- Uyum görevlisinin yetkisi, bağımsızlığı ve kaynakları görevini etkin biçimde yürütmesine yetiyor mu?
- Yüksek riskli müşteriler için sıkılaştırılmış tedbirlerin uygulandığını kanıtlayabiliyor muyuz?
- İzleme senaryolarımız iş modelimize özgü riskleri kapsıyor mu?
- Şüpheli işlem bildirimlerinde yasal süreye uyduğumuzu gösterebiliyor muyuz?
- Eğitim programımız personelin rolüne göre farklılaşıyor mu?
- İç denetim bulguları zamanında kapatılıyor ve yönetim kuruluna raporlanıyor mu?
Sık görülen eksikler
- Risk değerlendirmesinin bir kez hazırlanıp güncellenmeyen bir doküman olarak kalması
- İzleme senaryolarının hazır paketlerden alınıp iş modeline uyarlanmaması
- Uyarıların kapatılma gerekçelerinin yetersiz belgelenmesi
- Dış hizmet sağlayıcıya devredilen KYC adımlarında nihai sorumluluğun kuruluşta kaldığının gözden kaçırılması
- Eğitimlerin katılım listesiyle sınırlı kalması ve etkinliğin ölçülmemesi
- Mevzuat değişikliklerinin prosedürlere ve sistem kurallarına geç yansıtılması
Akılda tutun: Etkin bir uyum programı, denetimde sunulan dokümanlardan çok günlük operasyonda alınan kararların tutarlılığıyla kendini gösterir.
Sonuç
MASAK uyum programı, ödeme ve elektronik para kuruluşları için hem düzenleyici bir zorunluluk hem de iş sürekliliğinin güvencesidir. Mevzuattaki değişiklikleri izleyen, risk temelli ve iyi belgelenmiş bir yapı; denetimlerde olduğu kadar banka ve iş ortaklarıyla ilişkilerde de güven sağlar. ADD Danışmanlık olarak Risk ve Uyumluluk Yönetimi hizmetimizle uyum programınızın kurulması, gözden geçirilmesi ve iyileştirilmesi süreçlerinde destek sunuyoruz; mevcut yapınızı birlikte değerlendirmek için ön görüşme talebi oluşturabilirsiniz.
Bu içerik genel bilgilendirme amaçlıdır; hukuki veya mali görüş niteliği taşımaz. Güncel mevzuat için ilgili otoritelerin resmi yayınları esas alınmalıdır.
