KYC (Müşterini Tanı) ve AML (Suç Gelirlerinin Aklanmasının Önlenmesi) uyum yazılımı; müşteriyi uzaktan veya yüz yüze doğrulayan, gerçek faydalanıcıyı belirleyen, müşteri riskini puanlayan, yaptırım ve PEP listelerine karşı tarayan, işlemleri sürekli izleyen ve şüpheli durumları kayıt altına alınmış bir vaka akışıyla uyum görevlisinin önüne getiren sistemdir. 360 Soft Marketing Yazılım ve Danışmanlık olarak bu altyapıyı çekirdek bankacılık, ödeme, cüzdan veya borsa sistemlerinize entegre ediyor ya da ihtiyaca göre sıfırdan geliştiriyoruz. Bu sayfada; kimlerin yükümlü olduğunu, 5549 sayılı Kanun ve ilgili düzenlemelerin yazılımdan ne beklediğini, modülleri, mimariyi, kurulum takvimini, fiyatı belirleyen faktörleri ve tedarikçi seçerken sormanız gereken soruları ayrıntılı olarak bulacaksınız.
KYC/AML yazılımı neden gerekli? Sorunun özü
Finansal hizmet sunan bir kurum için uyum, lisansın devamı demektir. Müşteri sayısı birkaç yüzü geçtiğinde Excel tabloları, e-posta onayları ve elle yapılan liste kontrolleri hem yavaşlar hem de denetimde savunulamaz hale gelir. En sık karşılaştığımız sorunlar şunlardır:
- İz kaydı eksikliği: Hangi müşterinin, hangi tarihte, hangi listeye karşı, kim tarafından kontrol edildiği ve hangi gerekçeyle onaylandığı gösterilemiyor.
- Yavaş müşteri kabulü: Belge kontrolü ve manuel inceleme günler sürüyor; dijital kanaldan gelen müşteri başvuruyu yarıda bırakıyor.
- Tutarsız risk değerlendirmesi: Aynı profildeki iki müşteri, inceleyen kişiye göre farklı risk seviyesine atanıyor.
- Alarm yorgunluğu: Kaba kurallar çok sayıda yanlış alarm üretiyor; gerçekten şüpheli işlemler bu gürültü içinde kayboluyor.
- Liste güncelliği: Yaptırım ve malvarlığı dondurma kararları güncellendiğinde müşteri portföyünün yeniden taranması unutuluyor.
- Raporlama yükü: Şüpheli işlem bildirimi, iç denetim ve yönetim raporları her seferinde elle derleniyor.
KYC/AML yazılımı bu sorunları tek bir veri modeli, kural motoru ve vaka yönetimi ekranı altında toplar. Amaç uyum görevlisinin yerini almak değil; onun kararlarını hızlı, tutarlı ve belgelenebilir hale getirmektir.
Kimler yükümlü? 5549 sayılı Kanun kapsamındaki kurumlar
Türkiye’de suç gelirlerinin aklanması ve terörün finansmanıyla mücadelenin temel çerçevesi 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, buna bağlı Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik, 6415 sayılı Terörün Finansmanının Önlenmesi Hakkında Kanun, 7262 sayılı Kitle İmha Silahlarının Yayılmasının Finansmanının Önlenmesi Hakkında Kanun ve MASAK (Mali Suçları Araştırma Kurulu) genel tebliğleridir. Yükümlü grubu oldukça geniştir; yazılım ihtiyacı ise işlem hacmi ve dijitalleşme düzeyine göre değişir:
| Yükümlü grubu | Tipik uyum ihtiyacı | Yazılımda öne çıkan modüller |
|---|---|---|
| Bankalar ve katılım bankaları | Yüksek hacimli işlem izleme, uzaktan müşteri edinimi, muhabir ilişkiler | İşlem izleme, uzaktan kimlik tespiti, vaka yönetimi, liste taraması |
| Ödeme ve elektronik para kuruluşları | Hızlı dijital onboarding, cüzdan ve kart işlemlerinin izlenmesi | e-KYC, risk puanlama, gerçek zamanlı işlem kontrolü |
| Kripto varlık hizmet sağlayıcıları | Blokzincir adres riski, transfer bilgisi, yüksek riskli ülke ve platform teması | Zincir analizi entegrasyonu, transfer kontrolü, sıkılaştırılmış tedbirler |
| Yatırım kuruluşları ve portföy yönetimi | Müşteri uygunluk, kaynak araştırması, piyasa işlemlerinin izlenmesi | Risk puanlama, gerçek faydalanıcı, periyodik gözden geçirme |
| Sigorta, emeklilik, finansal kiralama, faktoring, finansman | Poliçe ve sözleşme bazlı müşteri tanıma, erken iptal ve iade senaryoları | Müşteri kabul akışı, liste taraması, senaryo bazlı izleme |
| Kuyumcular, döviz büroları, gayrimenkul ve diğer yükümlüler | Eşik üstü nakit işlemler, kimlik tespiti, kayıt saklama | Hafif KYC modülü, eşik kontrolü, raporlama |
Kapsamın kesin sınırı ve kurumunuza özgü yükümlülükler için uyum görevliniz ve hukuk danışmanınızın değerlendirmesi esastır. 360 Soft yazılım, entegrasyon ve operasyon tarafını üstlenir; mevzuat yorumunu kurumunuzun uyum fonksiyonuyla birlikte çalışarak sisteme yansıtır.
Mevzuat arka planı: yazılım hangi yükümlülükleri desteklemeli?
Uyum programı genel olarak müşterinin tanınması, risk yönetimi, izleme ve kontrol, eğitim, iç denetim, şüpheli işlem bildirimi, sürekli bilgi verme ve kayıt saklama başlıklarından oluşur. Yazılım bu başlıkların her biri için kanıt üreten bir altyapı olmalıdır.
Müşterinin tanınması ve gerçek faydalanıcı
Sürekli iş ilişkisi kurulurken ve mevzuatta belirtilen eşikleri aşan işlemlerde kimlik tespiti yapılması, tüzel kişilerde yetkililerin ve gerçek faydalanıcının belirlenmesi, iş ilişkisinin amacı ve niteliği hakkında bilgi alınması beklenir. Yazılım; kimlik bilgilerini, belge görüntülerini, doğrulama sonuçlarını ve ortaklık yapısını tek müşteri kaydında toplamalı, eksik bilgi olan müşteriyi işlem yapmadan önce durdurabilmelidir.
Risk temelli yaklaşım
Düzenlemeler; yüksek riskli müşteri, ürün, ülke ve kanal kombinasyonlarında sıkılaştırılmış tedbirler, düşük riskli durumlarda ise mevzuatın izin verdiği ölçüde basitleştirilmiş tedbirler uygulanmasını öngörür. Risk puanlama motoru parametrik olmalı; ağırlıklar, eşikler ve yüksek riskli ülke listeleri kod değişikliği gerekmeden uyum ekibi tarafından güncellenebilmelidir.
Uzaktan kimlik tespiti ve görüntülü görüşme
Bankalar için BDDK’nın uzaktan kimlik tespiti yöntemlerine ve elektronik ortamda sözleşme ilişkisinin kurulmasına ilişkin yönetmeliği; müşteri temsilcisiyle gerçekleştirilen görüntülü görüşme, kimlik kartındaki çipin NFC ile okunması, canlılık ve yüz eşleştirme kontrolleri, görüşme kayıtlarının saklanması ve sahtecilik belirtilerinde sürecin sonlandırılması gibi asgari koşullar tanımlar. Ödeme ve elektronik para kuruluşları için ise 6493 sayılı Kanun çerçevesinde TCMB’nin ve ilgili MASAK düzenlemelerinin öngördüğü uzaktan kimlik tespiti kuralları geçerlidir. Kurallar kurum türüne, müşteri tipine ve işlem limitlerine göre farklılaştığından, akış tasarımını mutlaka kurumunuzun tabi olduğu güncel düzenlemeye göre yapıyoruz. Teknik altyapı ayrıntıları için NFC kimlik doğrulama sayfamızı inceleyebilirsiniz.
Yaptırım, malvarlığı dondurma ve PEP taraması
6415 ve 7262 sayılı Kanunlar kapsamında Resmî Gazete’de yayımlanan malvarlığı dondurma kararları, BM Güvenlik Konseyi listeleri ve kurumunuzun faaliyet gösterdiği pazarlara göre AB, OFAC ve İngiltere gibi uluslararası listeler taramaya dahil edilir. Siyasi nüfuz sahibi kişiler (PEP), yakınları ve iş ortakları için ek inceleme ve üst yönetim onayı gibi kontroller FATF tavsiyeleri ve ulusal düzenlemeler doğrultusunda kurgulanır. Yazılım, Türkçe karakter ve harf çevirisi farklılıklarını (ör. Ş/S, Ğ/G, Arapça ve Kiril kökenli isimlerin Latin yazımları) dikkate alan bulanık eşleştirme yapmalıdır.
Şüpheli işlem bildirimi (ŞİB) ve gizlilik
Yükümlüler, bir işlemin suç geliri ya da terörün finansmanıyla ilişkili olduğuna dair bilgi, şüphe veya şüpheyi gerektiren makul bir nedenin bulunması halinde MASAK’a bildirimde bulunmak zorundadır. Bildirim, genel kural olarak şüphenin oluştuğu tarihten itibaren mevzuatta öngörülen süre içinde (Tedbirler Yönetmeliği’nde on iş günü olarak düzenlenir), gecikmesinde sakınca bulunan hallerde derhal yapılır. Bildirimin yapıldığı bilgisinin müşteri dahil üçüncü kişilere açıklanmaması gerekir. Vaka yönetimi modülünde ŞİB’e konu dosyalar sınırlı yetkiyle görülmeli, süre takibi otomatik yapılmalı ve bildirim hazırlığı için gereken tüm bilgiler tek ekranda derlenmelidir.
Kayıt saklama ve sürekli bilgi verme
5549 sayılı Kanun, belgelerin düzenleme tarihinden, defter ve kayıtların son kayıt tarihinden, kimlik tespitine ilişkin belgelerin ise son işlem tarihinden itibaren sekiz yıl süreyle saklanmasını öngörür. Yazılım bu kayıtları değiştirilemez iz kaydıyla saklamalı, MASAK’ın talep edebileceği bilgi ve belgeleri hızla dışa aktarabilmeli ve sürekli bilgi verme kapsamındaki periyodik bildirimler için veri hazırlığı yapabilmelidir.
Kripto varlık hizmet sağlayıcıları ve SPK rejimi
2024 yılında 6362 sayılı Sermaye Piyasası Kanunu’nda yapılan değişikliklerle kripto varlık hizmet sağlayıcılarının kuruluş ve faaliyet izinleri SPK’nın düzenleme ve denetimine bağlandı; bu kurumlar aynı zamanda MASAK yükümlüsüdür. Kripto platformlarında klasik KYC/AML’ye blokzincir adres risk analizi, kripto varlık transferlerine eşlik eden bilgilerin (travel rule) yönetimi, yüksek riskli platformlarla temasın izlenmesi ve SPK ile TÜBİTAK kaynaklı bilgi sistemleri ve teknik gereksinimlere uyum gündeme gelir. Bu konuyu kripto platform uyum sayfamızda ve kripto varlık saklama ve cüzdan altyapısı çözümümüzde ayrıntılandırıyoruz.
Modüller ve özellikler
Aşağıdaki tablo, uçtan uca bir KYC/AML platformunda bulunması gereken modülleri ve her modülün temel işlevlerini özetler. Projelerde genellikle bu modüllerin bir kısmı sistemlerde zaten vardır; biz eksik halkaları tamamlayıp bütün akışı tek iz kaydında birleştiririz.
| Modül | Temel işlevler | Uyum açısından katkısı |
|---|---|---|
| Uzaktan müşteri edinimi (e-KYC) | Kimlik belgesi görüntü analizi, NFC çip okuma, canlılık testi, yüz eşleştirme, görüntülü görüşme kuyruğu, temsilci ekranı | Mevzuattaki asgari kontrollerin eksiksiz uygulanması ve kayıt altına alınması |
| Kimlik ve adres doğrulama | Kurumun yetkisi ve protokolleri dahilinde kamu ve özel veri kaynaklarıyla doğrulama, adres teyidi, iletişim bilgisi doğrulama | Beyan edilen bilginin bağımsız kaynakla teyidi |
| Kurumsal müşteri (KYB) | Ticaret sicili bilgileri, imza yetkilileri, ortaklık zinciri, gerçek faydalanıcı tespiti | Tüzel kişi ve gerçek faydalanıcı yükümlülüklerinin karşılanması |
| Müşteri risk puanlama | Meslek, sektör, ülke, ürün, kanal, işlem profili ve liste sonuçlarına göre parametrik skor; otomatik yeniden puanlama | Risk temelli yaklaşımın tutarlı ve belgelenebilir uygulanması |
| Yaptırım ve PEP taraması | Ulusal ve uluslararası listeler, bulanık eşleştirme, liste güncellemesinde portföyün yeniden taranması, beyaz liste yönetimi | Malvarlığı dondurma kararlarına hızlı uyum |
| Olumsuz haber taraması | Seçilmiş kaynaklarda müşteriyle ilgili olumsuz haber araması ve analist onayı | Sıkılaştırılmış tedbirlerde ek bilgi |
| İşlem izleme | Kural tabanlı senaryolar, eşik ve hız kontrolleri, parçalı işlem tespiti, profil sapması, gerçek zamanlı ve gün sonu izleme | Şüpheli işlemlerin zamanında tespiti |
| Vaka yönetimi | Alarm birleştirme, görev atama, dört göz onayı, not ve ek belge, süre takibi, karar gerekçesi | Her kararın kim tarafından ve neden verildiğinin kanıtı |
| ŞİB hazırlık | Bildirime esas bilgilerin derlenmesi, sınırlı erişim, gizlilik kontrolü, süre uyarıları | Bildirim yükümlülüğünün süresinde ve gizlilik içinde yerine getirilmesi |
| Periyodik gözden geçirme | Risk seviyesine göre KYC yenileme takvimi, belge son kullanma takibi, müşteriye otomatik bilgi talebi | Müşteri bilgilerinin güncel tutulması |
| Raporlama ve denetim | Yönetim panoları, iç denetim raporları, kural performansı, dışa aktarma, değiştirilemez iz kaydı | İç kontrol ve denetimlerde hızlı kanıt sunumu |
Kural motoru: işlem izleme senaryolarına örnekler
İşlem izleme senaryoları kurumun ürünlerine göre tasarlanır. Aşağıdaki örnekler tipik başlangıç kural kümesini gösterir; eşik değerleri kurumunuzun risk değerlendirmesine göre belirlenir:
- Kısa sürede çok sayıda, eşiğin altında kalan işlem (parçalı işlem şüphesi)
- Hesaba giren tutarın kısa süre içinde neredeyse tamamen dışarı aktarılması (geçiş hesabı davranışı)
- Müşterinin beyan ettiği gelir veya faaliyetle uyumsuz işlem hacmi
- Yüksek riskli ülke veya yargı bölgeleriyle ilgili işlemler
- Çok sayıda farklı gönderenden tek alıcıya akış (toplayıcı hesap)
- Uzun süre hareketsiz kalan hesapta ani yüksek hacim
- Aynı cihaz, IP veya iletişim bilgisini paylaşan çok sayıda müşteri
- Kripto platformlarında riskli olarak işaretlenmiş adreslerle doğrudan veya dolaylı temas
Kural tabanlı yaklaşım şeffaf ve açıklanabilir olduğu için başlangıçta tercih edilir. Yeterli etiketli veri biriktiğinde istatistiksel modeller ve makine öğrenmesi, alarm önceliklendirme ve yanlış alarm azaltma amacıyla kural motorunu destekleyecek şekilde eklenebilir. Model kararlarının açıklanabilir olması ve uyum görevlisinin son karar yetkisini koruması, bu tür eklemelerde temel ilkemizdir. Dolandırıcılık tarafındaki ihtiyaçlar için fraud izleme hizmetimize de göz atabilirsiniz.
Mimari ve entegrasyonlar
KYC/AML platformu tek başına çalışan bir ada değildir; müşteri ve işlem verisinin aktığı tüm sistemlerle konuşmak zorundadır. Tipik bir mimaride şu katmanlar bulunur:
- Kanal katmanı: Mobil uygulama ve web SDK’sı ile kimlik belgesi çekimi, NFC okuma, canlılık testi ve görüntülü görüşme başlatma.
- Entegrasyon katmanı: Çekirdek bankacılık, ödeme altyapısı, cüzdan, kart yönetimi, CRM ve borsa eşleştirme motorlarıyla REST API, mesaj kuyruğu (ör. Kafka, RabbitMQ) veya dosya bazlı aktarım.
- Doğrulama servisleri: Kurumun yetkisi ve imzaladığı protokoller kapsamında kamu kimlik doğrulama servisleri (ör. bankalar ve yetkili kuruluşlar için Kimlik Paylaşım Sistemi), liste sağlayıcıları ve zincir analizi sağlayıcıları.
- Karar katmanı: Risk puanlama motoru, kural motoru, liste eşleştirme ve gerektiğinde skor modelleri.
- Vaka ve iş akışı katmanı: Alarm kuyruğu, görev atama, onay zinciri, ŞİB hazırlığı.
- Veri ve raporlama katmanı: İz kaydı deposu, veri ambarı, BI panoları ve dışa aktarma.
Gerçek zamanlı kontrol gereken noktalarda (ör. ödeme onayı öncesi liste kontrolü) servis yanıt süresi kritik olduğundan bu kontroller senkron API ile, daha ağır analizler ise gün içi veya gün sonu toplu işlerle yürütülür. Kurulum modeli olarak kurum içi (on-premise), özel bulut veya yurt içi veri merkezinde barındırılan bulut seçenekleri değerlendirilir; finansal kurumlarda bilgi sistemleri ve veri yerelleştirme düzenlemeleri bu seçimi belirleyen ana etkendir. Fintech projelerinde genel yaklaşımımız için fintech yazılım geliştirme ve elektronik para kuruluşu yazılım altyapısı sayfalarımıza bakabilirsiniz.
Kurulum süreci: adım adım ve tipik süreler
Süreler kapsam, entegre edilecek sistem sayısı ve kurum içi onay süreçlerine göre değişir. Aşağıdaki süreler orta ölçekli bir ödeme veya e-para kuruluşu için tipik aralıklardır; kesin plan keşif çalışmasından sonra çıkarılır.
| Adım | Yapılanlar | Tipik süre |
|---|---|---|
| 1. Keşif ve gereksinim analizi | Uyum politikası, risk değerlendirmesi, süreçler ve veri kaynaklarının incelenmesi; mevzuat gereksinimlerinin uyum görevlisiyle listelenmesi | 2–4 hafta |
| 2. Çözüm tasarımı | Veri modeli, entegrasyon noktaları, risk puanlama parametreleri, kural kataloğu ve rol-yetki matrisi | 2–3 hafta |
| 3. Geliştirme ve entegrasyon | Modüllerin kurulumu veya geliştirilmesi, çekirdek sistem ve kanal entegrasyonları, liste ve doğrulama servisleri | 6–16 hafta |
| 4. Kural kalibrasyonu | Geçmiş verilerle senaryoların çalıştırılması, eşiklerin ayarlanması, yanlış alarm analizi | 2–4 hafta |
| 5. Test ve paralel çalışma | Fonksiyonel, performans ve güvenlik testleri; süreçle paralel çalıştırma | 3–6 hafta |
| 6. Canlıya geçiş ve eğitim | Kademeli geçiş, kullanıcı eğitimleri, prosedür dokümanları | 1–2 hafta |
| 7. İyileştirme | Kural performansının izlenmesi, yeni senaryolar, mevzuat değişikliklerinin yansıtılması | Sürekli |
Operasyon desteği: KYC/AML operasyon outsourcing
Yazılımı kurmak işin yarısıdır; alarm kuyruğunu her gün eritmek, belge kontrollerini yapmak ve periyodik gözden geçirmeleri zamanında tamamlamak sürekli insan kaynağı gerektirir. 360 Soft, uyum görevlinizin yetki ve sorumluluğunu devralmadan, onun belirlediği prosedürlere göre çalışan bir operasyon ekibi sağlayabilir: müşteri kabul belge kontrolü, görüntülü görüşme operasyonu, liste eşleşmelerinin ilk seviye incelemesi, alarm ön analizi ve dosya hazırlığı. Nihai karar ve MASAK’a bildirim yetkisi kurumunuzda kalır. Ayrıntılar için KYC/AML operasyon outsourcing sayfamızı inceleyin; kişisel veri süreçleri için KVKK uyum operasyonu hizmetimiz de tamamlayıcıdır.
Fiyatı belirleyen faktörler
KYC/AML yazılımı için tek bir liste fiyatı vermek yanıltıcı olur; maliyet aşağıdaki değişkenlere göre şekillenir. Keşif görüşmesinde bu faktörleri birlikte netleştirip kapsamlı bir teklif hazırlıyoruz.
| Faktör | Maliyete etkisi |
|---|---|
| Müşteri ve işlem hacmi | İzlenen işlem sayısı ve gerçek zamanlı kontrol ihtiyacı altyapı boyutunu ve lisans modelini belirler. |
| Modül kapsamı | Liste taraması ile uçtan uca e-KYC, işlem izleme ve vaka yönetimi arasında belirgin fark vardır. |
| Entegrasyon sayısı ve karmaşıklığı | Çekirdek sistemin API olgunluğu, eski sistemler ve dosya bazlı aktarımlar geliştirme eforunu artırır. |
| Üçüncü taraf veri servisleri | Liste sağlayıcıları, kimlik doğrulama, zincir analizi gibi servisler genellikle işlem başı veya yıllık abonelikle ücretlendirilir. |
| Barındırma modeli | Kurum içi kurulum, özel bulut veya yönetilen hizmet; donanım, lisans ve işletim maliyetlerini değiştirir. |
| Özelleştirme düzeyi | Kuruma özgü senaryolar, ekranlar ve raporlar özel geliştirme gerektirir. |
| Operasyon desteği | Alarm inceleme ve belge kontrolü gibi işlerin dış kaynakla yürütülmesi aylık hizmet bedeli olarak eklenir. |
| Bakım ve mevzuat güncellemesi | Kural setlerinin ve akışların düzenleme değişikliklerine göre güncellenmesi yıllık destek kapsamında planlanır. |
Karşılaştırma: Excel ve manuel süreç, hazır SaaS, özel yazılım
| Kriter | Excel / manuel süreç | Hazır SaaS paket | Özel / entegre yazılım (360 Soft) |
|---|---|---|---|
| Başlangıç hızı | Başlar | Hızlı; standart akışlar hazır | Keşif ve geliştirme süresi gerekir |
| İz kaydı ve denetim | Zayıf; değiştirilebilir dosyalar | Genellikle güçlü | Güçlü; kuruma özgü denetim ihtiyacına göre tasarlanır |
| Yerel mevzuat ve Türkçe süreçler | Ekibin bilgisine bağlı | Tedarikçiye göre değişir; yerel uyarlama sınırlı olabilir | Kurumun tabi olduğu düzenlemeye göre kurgulanır |
| Çekirdek sistem entegrasyonu | Yok; veri elle taşınır | Standart API’lerle; özel sistemlerde zorlanabilir | Sistemlere göre özel entegrasyon |
| Ölçeklenebilirlik | Çok düşük | Yüksek | Mimariye göre yüksek |
| Veri yerleşimi | Kurum içinde | Tedarikçinin veri merkezine bağlı; yurt dışı aktarım değerlendirilmelidir | Kurum içi veya yurt içi barındırma seçilebilir |
| Toplam maliyet | Düşük lisans, yüksek personel ve risk maliyeti | Öngörülebilir abonelik; hacimle artar | İlk yatırım daha yüksek; uzun vadede kontrol kurumda |
| Uygun olduğu durum | Çok düşük hacim, lisans öncesi dönem | Standart ürünler, hızlı lansman | Özgün ürünler, yoğun entegrasyon, yerleşim gereksinimi |
Pratikte sıkça hibrit model öneriyoruz: liste verisi veya zincir analizi gibi uzmanlaşmış servisler hazır sağlayıcılardan alınır, iş akışı, risk puanlama, vaka yönetimi ve entegrasyonlar ise kuruma özgü geliştirilir.
Başarıyı ölçmek: KPI tablosu
Aşağıdaki göstergeler projenin başında ölçülüp hedeflenir ve canlı kullanımda yönetim panosunda izlenir. Hedef değerler kurumun hacmine ve risk iştahına göre birlikte belirlenir.
| Gösterge | Ne ölçer | Neden önemli |
|---|---|---|
| Müşteri kabul süresi | Başvurudan hesabın açılmasına kadar geçen süre | Dijital kanalda dönüşüm ve müşteri deneyimi |
| Otomatik onay oranı | Manuel incelemeye düşmeden tamamlanan başvuruların oranı | Operasyon yükü |
| Başvuru terk oranı | KYC adımlarında yarıda bırakılan başvurular | Akış tasarımının kalitesi |
| Yanlış alarm oranı | İnceleme sonucu kapatılan alarmların toplam alarma oranı | Kural kalitesi ve analist verimliliği |
| Alarm yaşlanması | Açık alarmların bekleme süresi dağılımı | Zamanında inceleme ve bildirim riski |
| ŞİB süre uyumu | Bildirimlerin öngörülen süre içinde tamamlanma oranı | Doğrudan yasal yükümlülük |
| Periyodik gözden geçirme uyumu | Zamanı gelen KYC yenilemelerinin tamamlanma oranı | Müşteri bilgilerinin güncelliği |
| Liste güncelleme süresi | Yeni bir kararın yayımlanmasından portföyün yeniden taranmasına kadar geçen süre | Malvarlığı dondurma kararlarına uyum hızı |
Veri güvenliği ve KVKK
KYC sürecinde işlenen kimlik görüntüleri, biyometrik veriler ve finansal işlem kayıtları en hassas veri kategorileri arasındadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu, özel nitelikli kişisel verilere ilişkin ek güvenlik önlemleri ve sektörünüze özgü bilgi sistemleri düzenlemeleri tasarımın başından itibaren dikkate alınmalıdır. Uyguladığımız temel önlemler:
- Aktarımda ve depolamada şifreleme; anahtar yönetiminin uygulamadan ayrılması
- Rol ve görev bazlı erişim, ŞİB dosyaları için kısıtlı yetki
- Tüm görüntüleme, değiştirme ve dışa aktarma işlemleri için değiştirilemez erişim kaydı
- Biyometrik verilerin amaçla sınırlı işlenmesi ve saklama süresi sonunda imha süreçleri
- Yurt dışı aktarım gerektiren servislerde KVKK’daki aktarım şartlarının değerlendirilmesi
- Sızma testleri, kod güvenliği taramaları ve zafiyet yönetimi
- Test ortamlarında gerçek müşteri verisi yerine maskelenmiş veri kullanımı
Tedarikçi seçerken kontrol listesi
KYC/AML yazılımı veya entegrasyon ortağı seçerken aşağıdaki soruları sormanızı öneriyoruz:
- Akışlar kurumunuzun tabi olduğu güncel düzenlemeye (BDDK, TCMB, SPK, MASAK) göre yapılandırılabiliyor mu?
- Risk puanlama ağırlıkları, kural eşikleri ve yüksek riskli ülke listeleri kod değişikliği olmadan güncellenebiliyor mu?
- Yaptırım listesi eşleştirmesi Türkçe karakterleri ve farklı harf çevirilerini doğru ele alıyor mu?
- Liste güncellendiğinde portföy otomatik olarak yeniden taranıyor mu?
- Her karar için kim, ne zaman, hangi gerekçeyle sorusuna yanıt veren değiştirilemez iz kaydı var mı?
- ŞİB dosyalarına erişim kısıtlanabiliyor ve süreler otomatik takip edilebiliyor mu?
- Çekirdek sisteminiz, ödeme altyapınız ve CRM ile entegrasyon için hazır bağlayıcı veya kanıtlanmış yöntem var mı?
- Verileriniz nerede barındırılacak; yurt dışı aktarım söz konusu mu?
- Kural performansını (alarm sayısı, yanlış alarm oranı) raporlayan panolar mu?
- Mevzuat değiştiğinde güncellemeler bakım kapsamında mı, ayrı proje mi?
- Gerektiğinde operasyon desteği (belge kontrolü, alarm ön inceleme) sağlanabiliyor mu?
- Kaynak kod, veri ve dokümantasyon sözleşme sonunda kurumunuza nasıl devrediliyor?
Neden 360 Soft?
- Yerel süreç bilgisi: Türkçe arayüz, yerel kimlik belgeleri ve Türkiye’deki düzenleyici yapıya göre tasarlanmış akışlar.
- Entegrasyon odaklılık: Hazır ürünleri olduğu gibi dayatmak yerine çekirdek sisteminize uyum sağlayan mimari.
- Yazılım ve operasyon bir arada: İsterseniz yazılımı, isterseniz yazılımla birlikte operasyon ekibini sağlıyoruz.
- Şeffaf kapsam: Mevzuat yorumunu uyum görevlinizle birlikte yapıyor, yazılımın neyi yapıp neyi yapmadığını baştan açıkça yazıyoruz.
İlgili sayfalar: NFC kimlik doğrulama, kripto platform uyum çözümleri, fintech yazılım geliştirme, kripto varlık saklama ve cüzdan altyapısı, elektronik para kuruluşu yazılım altyapısı, fintech sektörü çözümleri, kripto borsa outsourcing ve ödeme operasyonları outsourcing.
Örnek uygulama senaryosu: Yeni bir ödeme kuruluşunun uyum altyapısı
Temsili senaryodur; belirli bir müşteri projesini anlatmaz. Kendi işletmenize uyarlanmış planı keşif görüşmesinde birlikte çıkarırız.
Durum
Lisans sürecindeki bir ödeme kuruluşu, müşteri kabulünü ve işlem izlemeyi Excel ve manuel kontrollerle yürütüyor; denetimde iz kaydı gösteremiyor.
Kurgulanan çözüm
- NFC kimlik okuma ve canlılık testiyle uzaktan müşteri kabulü
- Meslek, ülke ve ürün bazlı müşteri risk puanı
- Yaptırım ve PEP listesi taraması
- Kural tabanlı işlem izleme ve vaka yönetimi ekranı
- Tüm kararlar için iz kaydı
Projede ölçülecek sonuçlar
- Müşteri kabul süresi
- Manuel inceleme gerektiren başvuru oranı
- Yanlış alarm oranı
- Denetimde iz kaydı gösterebilme
İlgili rehberler
Sık sorulan sorular
KYC ve AML arasındaki fark nedir?
KYC (Müşterini Tanı), müşterinin kimliğinin tespiti, doğrulanması ve risk profilinin çıkarılmasıdır. AML ise müşteri ilişkisi boyunca işlemleri izleyerek suç gelirlerinin aklanması ve terörün finansmanı şüphelerini tespit etmeyi ve bildirmeyi kapsar. İkisi birlikte uyum programını oluşturur.
Hangi kurumlar KYC/AML yazılımı kullanmak zorunda?
Mevzuat belirli bir yazılım kullanımını değil, yükümlülüklerin yerine getirilmesini zorunlu kılar. Ancak bankalar, ödeme ve elektronik para kuruluşları, kripto varlık hizmet sağlayıcıları, yatırım ve sigorta kuruluşları gibi işlem hacmi yüksek yükümlüler için bu yükümlülükleri manuel yöntemlerle denetlenebilir biçimde yerine getirmek pratikte çok zordur.
5549 sayılı Kanun yazılımdan ne bekler?
Kanun ve ilgili yönetmelik; müşterinin tanınması, şüpheli işlem bildirimi, sürekli bilgi verme, kayıt saklama ve uyum programı gibi yükümlülükler getirir. Yazılım bu yükümlülüklerin tutarlı biçimde uygulanmasını ve denetimde kanıtlanmasını sağlayan araçtır.
Uzaktan kimlik tespiti nasıl çalışır?
Genel olarak kimlik belgesinin görüntüsü alınır, yeni nesil kimlik kartındaki çip NFC ile okunur, canlılık testi ve yüz eşleştirmesi yapılır; bankalarda ve düzenlemenin gerektirdiği diğer durumlarda müşteri temsilcisiyle görüntülü görüşme gerçekleştirilir. Asgari şartlar kurumun tabi olduğu BDDK, TCMB veya ilgili düzenlemeye göre farklılaşır.
Şüpheli işlem bildirimi ne kadar sürede yapılmalı?
Genel kural olarak şüphenin oluştuğu tarihten itibaren on iş günü içinde, gecikmesinde sakınca bulunan hallerde ise derhal yapılır. Yazılım bu süreleri otomatik takip eder ve yaklaşan son tarihler için uyarı üretir.
Kayıtlar ne kadar süre saklanmalı?
5549 sayılı Kanun belge ve kayıtların sekiz yıl süreyle saklanmasını öngörür. Sürenin başlangıcı belge türüne göre düzenleme, son kayıt veya son işlem tarihidir. Yazılım bu kayıtları değiştirilemez iz kaydıyla saklar.
Yaptırım ve PEP taraması hangi listeleri kapsar?
Tipik olarak 6415 ve 7262 sayılı Kanunlar kapsamındaki malvarlığı dondurma kararları, BM Güvenlik Konseyi listeleri ve kurumun faaliyetine göre AB, OFAC ve İngiltere listeleri ile ticari PEP veri tabanları kullanılır. Kapsam kurumunuzun risk değerlendirmesine göre belirlenir.
Kripto varlık hizmet sağlayıcıları için ek gereksinimler var mı?
Evet. SPK lisans rejimi ve MASAK yükümlülüklerine blokzincir adres risk analizi, kripto varlık transferlerinde eşlik eden bilgilerin yönetimi ve riskli platformlarla temasın izlenmesi gibi ek kontroller gerekir.
Yanlış alarm oranı nasıl düşürülür?
Geçmiş verilerle kural kalibrasyonu yapılır, müşteri segmentine göre farklı eşikler tanımlanır, tekrarlayan alarmlar birleştirilir ve yeterli veri biriktiğinde alarm önceliklendirme modelleri eklenir. Kural performansı panolarda düzenli izlenir.
Hazır bir ürün mü, özel geliştirme mi?
İhtiyaca göre. Hazır servisleri (ör. liste verisi) kullanıp iş akışı ve entegrasyonları kuruma özgü geliştirdiğimiz hibrit model sıkça tercih edilir; tamamen özel geliştirme veya çekirdek sisteme modül olarak entegrasyon da mümkündür.
Kurulum ne kadar sürer?
Orta ölçekli bir kurumda keşiften canlıya geçişe kadar tipik olarak 4 ila 8 ay arası planlanır. Kapsam dar tutulduğunda, örneğin liste taraması ve vaka yönetimiyle, süre belirgin şekilde kısalır.
Verilerimiz nerede barındırılır?
Kurum içi, özel bulut veya yurt içi veri merkezi seçenekleri sunuyoruz. Seçim; sektörünüzün bilgi sistemleri düzenlemeleri, KVKK ve kurumunuzun güvenlik politikası birlikte değerlendirilerek yapılır.
Mevzuat danışmanlığı veriyor musunuz?
Yazılım, entegrasyon ve operasyon tarafını üstleniyoruz. Mevzuat yorumu ve nihai uyum kararları için kurumunuzun uyum görevlisi ve hukuk danışmanlarıyla birlikte çalışırız.
Operasyonu da sizin ekibiniz yürütebilir mi?
Evet. Belge kontrolü, görüntülü görüşme operasyonu, liste eşleşmelerinin ilk seviye incelemesi ve alarm ön analizi için operasyon desteği sağlıyoruz. Nihai karar ve bildirim yetkisi kurumunuzun uyum görevlisinde kalır.
KYC/AML altyapınızı birlikte planlayalım
Müşteri kabul ve işlem izleme sürecinizi birlikte inceleyelim; eksik halkaları, entegrasyon noktalarını ve gerçekçi bir takvimi içeren yol haritasını çıkaralım. Bize +90 850 335 10 87 numaralı telefondan, info@360-soft.com adresinden veya WhatsApp üzerinden ulaşabilir, iletişim sayfamızdan mesaj bırakabilir ya da doğrudan teklif alabilirsiniz. Ofisimiz Nidakule Ataşehir, İstanbul’dadır.
Bu sayfa 360 Soft Yetkili Temsilcisi Yasir Bünyamin İncedere tarafından hazırlanmıştır. Son güncelleme: Kasım 2026.