MASAK uyumu, 5549 sayılı Kanun ve ilgili yönetmelikler kapsamındaki yükümlülerin müşterilerini tanıması, riskleri değerlendirmesi, şüpheli işlemleri bildirmesi, kayıtları saklaması ve bu süreçleri belgelemesidir. KYC/AML yazılımı bu işlerin tutarlı, izlenebilir ve denetime hazır yürütülmesini sağlar. Aşağıda yükümlüler için uygulanabilir bir kontrol listesi bulacaksınız.
Önemli not: Bu yazı genel bilgilendirme amaçlıdır. Mevzuat ve MASAK düzenlemeleri zaman zaman değişir; eşik tutarlar, süreler ve sektöre özel yükümlülükler için güncel mevzuatı, MASAK’ın rehberlerini ve hukuk/uyum danışmanınızı esas alın. Uyum süreçlerini e-posta, Excel ve dağınık dosyalarla yürütmek küçük hacimlerde mümkün görünse de müşteri ve işlem sayısı arttıkça tutarsız kararlar, eksik kayıtlar ve geç bildirimler kaçınılmaz hale gelir. Denetimde sorulan soru da genellikle “ne yaptınız?” değil, “neden bu kararı verdiniz ve bunu nasıl kanıtlıyorsunuz?” olur. Yazılım seçimi, bir otomasyon değil, kanıtlanabilir bir karar sürecinin kurulmasıdır. Çözümümüzün ayrıntıları için KYC/AML uyum yazılımı sayfamıza bakabilirsiniz.
Kimler yükümlü?
Yükümlü kavramı 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik ile belirlenir. Liste geniştir ve finans sektörünün dışına da uzanır. Aşağıdaki tablo genel bir fikir vermek içindir; işletmenizin yükümlü olup olmadığını ve hangi yükümlülüklere tabi olduğunu güncel mevzuattan teyit edin.
| Grup | Örnek yükümlüler |
|---|---|
| Bankacılık ve finans | Bankalar, finansal kiralama, faktoring ve finansman şirketleri |
| Ödeme hizmetleri | Ödeme kuruluşları ve elektronik para kuruluşları |
| Sermaye piyasası | Aracı kurumlar, portföy yönetim şirketleri ve ilgili kurumlar |
| Kripto varlık | Kripto varlık hizmet sağlayıcıları |
| Sigorta ve emeklilik | Sigorta, reasürans ve emeklilik şirketleri ile aracıları (ilgili branşlarda) |
| Kıymetli maden ve döviz | Kıymetli maden aracı kurumları, döviz büroları, kuyumculuk alanında faaliyet gösterenler |
| Belirli meslek ve ticaret alanları | Gayrimenkul alım satımına aracılık edenler, taşıt alım satımı yapanlar, noterler; belirli işlemlerle sınırlı olmak üzere serbest meslek mensupları |
| Diğer | Şans ve bahis oyunları alanında faaliyet gösterenler ve mevzuatta sayılan diğer kişi ve kurumlar |
Mevzuat çerçevesi
| Düzenleme | Ne düzenler? (özet) |
|---|---|
| 5549 sayılı Kanun | Yükümlülerin temel yükümlülükleri: müşteri tanıma, şüpheli işlem bildirimi, bilgi ve belge verme, saklama, bildirimin gizliliği; MASAK’ın yetkileri ve yaptırımlar |
| 6415 sayılı Kanun | Terörün finansmanının önlenmesi ve malvarlığının dondurulmasına ilişkin usuller |
| 7262 sayılı Kanun | Kitle imha silahlarının yayılmasının finansmanının önlenmesi |
| Tedbirler Yönetmeliği | Müşteri tanımanın usul ve esasları, gerçek faydalanıcı, sıkılaştırılmış ve basitleştirilmiş tedbirler, şüpheli işlem bildiriminin usulü |
| Uyum Programına İlişkin Yükümlülükler Hakkında Yönetmelik | Kapsamdaki yükümlüler için uyum programı, uyum görevlisi, risk yönetimi, izleme ve kontrol, eğitim ve iç denetim |
| MASAK genel tebliğleri ve rehberleri | Uygulamaya ilişkin ayrıntılar, sektöre özel rehberler ve bildirim formatları |
| Sektör düzenleyicilerinin kuralları | Örneğin uzaktan kimlik tespiti, bilgi sistemleri ve sektöre özgü uyum gereksinimleri (BDDK, SPK, TCMB vb.) |
Temel yükümlülükler: kısa özet
Müşteri tanıma (KYC)
Yükümlüler, mevzuatta sayılan durumlarda (örneğin sürekli iş ilişkisi kurulurken, mevzuatta belirlenen tutarları aşan işlemlerde, şüpheli işlem bildirimini gerektiren hallerde ve önceden edinilen kimlik bilgilerinin doğruluğundan şüphe duyulduğunda) müşterinin ve adına hareket edilenlerin kimliğini tespit etmek ve doğrulamak zorundadır. Tüzel kişilerde temsil yetkisi ve gerçek faydalanıcının tespiti de bu kapsamdadır.
Risk temelli yaklaşım ve sürekli izleme
Müşteri ilişkisi kurulduktan sonra iş tamamlanmış sayılmaz. Müşterinin profili ile işlemlerinin uyumu izlenir; yüksek riskli müşteri ve işlemlerde sıkılaştırılmış tedbirler uygulanır. Siyasi nüfuz sahibi kişiler, yüksek riskli ülkeler ve yeni teknolojilerin kötüye kullanılma riski bu değerlendirmenin tipik başlıklarıdır.
Şüpheli işlem bildirimi (ŞİB)
Bir işlemin suç gelirlerinden kaynaklandığına veya terörün finansmanında kullanıldığına dair bilgi, şüphe veya şüpheyi gerektiren makul bir neden bulunması halinde MASAK’a bildirim yapılır. Tedbirler Yönetmeliği genel kural olarak şüphenin oluşmasından itibaren on iş günü içinde bildirim öngörür; gecikmesinde sakınca bulunan hallerde bildirimin derhal yapılması beklenir. Bildirimin yapıldığı, müşteri dahil üçüncü kişilere açıklanamaz.
Malvarlığının dondurulması ve liste taramaları
6415 ve 7262 sayılı Kanunlar kapsamında malvarlığı dondurulan kişi ve kuruluşlara ilişkin kararların takibi ve müşteri ile işlemlerin bu listelere karşı taranması gerekir. Listelerin güncel tutulması ve taramanın hem müşteri kabulünde hem de liste güncellendiğinde portföyde yapılması önemlidir.
Bilgi ve belge saklama
5549 sayılı Kanun, işlemlere ve müşteri tanımaya ilişkin belgelerin düzenleme tarihinden, kayıtların ise son kayıt tarihinden itibaren sekiz yıl saklanmasını ve istenildiğinde yetkililere ibraz edilmesini öngörür. Sadece belgenin değil, verilen kararın gerekçesinin de saklanması denetim açısından kritik önemdedir.
MASAK uyumu kontrol listesi
Aşağıdaki liste, uyum programınızın temel yapı taşlarını gözden geçirmeniz için hazırlanmıştır. Her madde tüm yükümlüler için aynı ağırlıkta değildir; kurumunuzun tabi olduğu düzenlemelere göre uyarlayın.
Yönetişim
- ☐ Kurumunuzun hangi yükümlülüklere tabi olduğu yazılı olarak belirlendi
- ☐ Gerekli hallerde uyum görevlisi atandı, yetki ve sorumlulukları tanımlandı
- ☐ Kurum politikası ve prosedürler yönetim tarafından onaylandı ve güncel
- ☐ Kurum düzeyinde risk değerlendirmesi yapıldı ve periyodik olarak güncelleniyor
Müşteri tanıma
- ☐ Gerçek ve tüzel kişiler için kimlik tespiti ve doğrulama adımları tanımlı
- ☐ Gerçek faydalanıcı tespiti için yöntem ve belge listesi belirlendi
- ☐ Uzaktan müşteri edinimi varsa, sektör düzenleyicisinin kurallarına uygun doğrulama yöntemi kullanılıyor
- ☐ Müşteri risk skorlaması (ülke, ürün, kanal, meslek, işlem profili) uygulanıyor
- ☐ Siyasi nüfuz sahibi kişi ve yaptırım listesi taraması müşteri kabulünde yapılıyor
- ☐ Yüksek riskli müşteriler için sıkılaştırılmış tedbirler ve onay mekanizması tanımlı
İzleme ve bildirim
- ☐ İşlem izleme senaryoları kurumun risk profiline göre belirlendi
- ☐ Alarmlar için inceleme, eskalasyon ve kapatma süreci tanımlı
- ☐ Her alarm kararı gerekçesiyle kayıt altına alınıyor
- ☐ Şüpheli işlem bildirimi süreci ve süreleri takip ediliyor
- ☐ Bildirimin gizliliği ilkesine uygun erişim kısıtları uygulanıyor
- ☐ Liste güncellemelerinde müşteri portföyü yeniden taranıyor
Kayıt, eğitim ve denetim
- ☐ Belgeler ve kayıtlar mevzuattaki süre boyunca erişilebilir şekilde saklanıyor
- ☐ Kararların denetim izi (kim, ne zaman, neden) tutuluyor
- ☐ Çalışanlara periyodik uyum eğitimi veriliyor ve kayıt altına alınıyor
- ☐ İç denetim veya bağımsız gözden geçirme planlandı
- ☐ MASAK’tan gelebilecek bilgi ve belge taleplerine yanıt süreci tanımlı
KYC/AML yazılımında olması gereken modüller
| Modül | İşlev | Uyum açısından önemi |
|---|---|---|
| Dijital kimlik doğrulama | Kimlik belgesi okuma, NFC ile çip doğrulama, canlılık kontrolü, yüz eşleştirme | Kimlik tespitinin güvenilir ve kayıtlı yapılması |
| Müşteri ve gerçek faydalanıcı kaydı | Gerçek ve tüzel kişi bilgileri, ortaklık yapısı, temsil yetkisi | Gerçek faydalanıcı tespitinin belgelenmesi |
| Liste taraması | Yaptırım, malvarlığı dondurma ve siyasi nüfuz sahibi kişi listelerine karşı tarama; bulanık eşleştirme | Müşteri kabulünde ve liste güncellemelerinde tutarlı kontrol |
| Risk skorlama | Ülke, ürün, kanal, meslek ve işlem profiline göre puanlama | Risk temelli yaklaşımın sistematik uygulanması |
| İşlem izleme | Kural tabanlı ve davranışsal senaryolar, eşik ve örüntü analizleri | Olağan dışı işlemlerin zamanında fark edilmesi |
| Vaka yönetimi | Alarm atama, inceleme, not, ek belge, onay akışı | Kararların gerekçesiyle belgelenmesi |
| Bildirim hazırlığı | Şüpheli işlem bildirimi için veri derleme, süre takibi | Bildirimlerin eksiksiz ve zamanında hazırlanması |
| Denetim izi ve raporlama | Kim, ne zaman, neyi, neden değiştirdi; yönetim raporları | Denetime hazır olma |
| Entegrasyonlar | Çekirdek sistem, ödeme altyapısı, CRM, kimlik servisleri ile API bağlantıları | Verinin tek kaynaktan, gecikmesiz akması |
Uzaktan müşteri edinimi yapan kurumlar için kimlik doğrulama katmanı önemlidir; NFC ile kimlik kartı çipinin okunmasına dayalı çözümler hakkında NFC kimlik doğrulama sayfamızda ayrıntılı bilgi bulabilirsiniz.
İşlem izleme senaryolarına örnekler
İşlem izleme senaryoları kurumun ürünlerine, müşteri profiline ve risk değerlendirmesine göre tasarlanmalıdır. Hazır senaryo kütüphaneleri başlangıç noktası olabilir, ancak eşikler ve kurallar kurumun kendi verisiyle ayarlanmadıkça ya çok fazla yanlış alarm üretir ya da gerçek riskleri kaçırır.
| Senaryo türü | Örnek örüntü | Dikkat edilecek nokta |
|---|---|---|
| Bölünmüş işlemler | Bildirim veya kimlik tespiti eşiklerinin altında kalan, kısa sürede tekrarlanan işlemler | Eşiklerin güncel mevzuata göre ayarlanması |
| Profil uyumsuzluğu | Beyan edilen gelir veya faaliyetle uyumsuz işlem hacmi | Müşteri profilinin güncel tutulması |
| Hızlı giriş-çıkış | Hesaba gelen fonların kısa sürede başka hesaplara aktarılması | Ürün türüne göre normal davranışın tanımlanması |
| Riskli coğrafya | Yüksek riskli veya işbirliği yapmayan ülkelerle ilişkili işlemler | Ülke listelerinin güncel tutulması |
| Çoklu hesap / cihaz | Aynı cihaz, IP veya iletişim bilgisiyle çok sayıda hesap | Dijital platformlarda dolandırıcılık sinyalleriyle birlikte değerlendirme |
| Kripto varlık özel senaryoları | Riskli adreslerle etkileşim, karıştırma hizmetleri, ani yüksek hacimli transferler | Zincir üstü analiz verisiyle entegrasyon |
Kripto varlık platformlarına özgü uyum gereksinimleri için kripto platform uyum sayfamıza göz atabilirsiniz.
Manuel süreç mi, uyum yazılımı mı?
| Kriter | Excel ve manuel süreç | KYC/AML yazılımı |
|---|---|---|
| Tutarlılık | Kişiye göre değişen kararlar | Tanımlı kurallar ve onay akışları |
| Liste taraması | Elle, gecikmeli, hata riski yüksek | Otomatik, liste güncellemesinde portföy taraması |
| Denetim izi | Dağınık e-posta ve dosyalar | Merkezi, değiştirilemez kayıt |
| Ölçeklenebilirlik | Hacim arttıkça personel ihtiyacı doğrusal artar | Alarm önceliklendirme ile verimli kullanım |
| Bildirim süresi takibi | Hatırlatmalara bağlı | Sistemsel süre takibi ve uyarılar |
| Raporlama | Elle derleme | Hazır yönetim ve denetim raporları |
Uyum yazılımı seçerken sorulacak sorular
- ☐ Yazılım, kurumunuzun tabi olduğu düzenlemelere göre yapılandırılabiliyor mu? Kurallar kod değişikliği olmadan güncellenebiliyor mu?
- ☐ Liste kaynakları hangileri, ne sıklıkla güncelleniyor ve güncellemede portföy otomatik taranıyor mu?
- ☐ Bulanık eşleştirme (Türkçe karakterler, transliterasyon, isim varyasyonları) nasıl çalışıyor?
- ☐ Her karar için kim, ne zaman, neden bilgisi değiştirilemez biçimde kaydediliyor mu?
- ☐ Veriler nerede barındırılıyor? Yurt içi barındırma ve KVKK gereksinimleri karşılanıyor mu?
- ☐ Çekirdek sistem, ödeme altyapısı ve kimlik servisleriyle entegrasyon nasıl yapılıyor?
- ☐ Yanlış alarm oranını düşürmek için senaryo ayarı ve test ortamı sağlanıyor mu?
- ☐ Mevzuat değişikliklerinde güncellemeler nasıl ve hangi sürede yapılıyor?
- ☐ Rol bazlı yetkilendirme ve bildirimin gizliliği ilkesine uygun erişim kısıtları var mı?
Kurulum süreci ve tipik süreler
Süreler, kurumun büyüklüğüne, entegrasyon sayısına, veri kalitesine ve süreçlerin olgunluğuna göre önemli ölçüde değişir. Aşağıdakiler tipik aralıklardır.
| Aşama | İçerik | Tipik süre |
|---|---|---|
| Analiz | Mevzuat kapsamı, süreçler, veri kaynakları, risk metodolojisi | 2–4 hafta |
| Yapılandırma | Risk skorlama modeli, senaryolar, onay akışları, roller | 3–6 hafta |
| Entegrasyon | Çekirdek sistem, kimlik servisleri, liste kaynakları | 4–10 hafta |
| Test ve ayar | Geçmiş veriyle senaryo testi, eşik ayarı, kullanıcı kabul testi | 2–4 hafta |
| Canlıya geçiş ve eğitim | Kademeli geçiş, kullanıcı eğitimi, dokümantasyon | 1–3 hafta |
Uyum performansını ölçmek: örnek KPI’lar
| KPI | Ne gösterir? |
|---|---|
| Müşteri kabul süresi | Kimlik doğrulama ve risk değerlendirmesinin müşteri deneyimine etkisi |
| Alarm başına inceleme süresi | Uyum ekibinin iş yükü ve verimliliği |
| Yanlış alarm oranı | Senaryo ve eşiklerin kalitesi |
| Süresi içinde tamamlanan bildirim oranı | Bildirim süreçlerinin işleyişi |
| Bekleyen alarm sayısı ve yaşı | Birikmiş iş ve risk |
| Periyodik gözden geçirmesi geciken müşteri sayısı | Sürekli izleme disiplininin durumu |
KVKK ve veri güvenliği
KYC/AML süreçleri yoğun kişisel veri işler; kimlik belgeleri, biyometrik veriler ve finansal işlemler bunların başında gelir. Bu veriler hukuki yükümlülüğün yerine getirilmesi kapsamında işlense de KVKK’daki genel ilkeler, aydınlatma yükümlülüğü ve veri güvenliği tedbirleri geçerliliğini korur. Biyometrik verilerin özel nitelikli kişisel veri olduğu ve ek tedbirler gerektirdiği unutulmamalıdır. Şifreleme, rol bazlı erişim, erişim kayıtları, saklama süresi sonunda imha politikası ve yurt dışına aktarım kurallarına uyum, yazılım mimarisinin baştan parçası olmalıdır.
Örnek senaryo
Temsili senaryodur. Yeni lisans almış bir ödeme kuruluşu, müşteri edinimini tamamen dijital kanaldan yapmayı planlıyor. Kurum önce yükümlülük haritasını çıkarıyor, ardından kimlik doğrulama, liste taraması ve risk skorlamayı müşteri kabul akışına yerleştiriyor. İşlem izleme için ürünlerine özel küçük bir senaryo setiyle başlıyor; ilk aylarda alarmları inceleyip eşikleri kendi verisine göre ayarlıyor. Her alarm kararı gerekçesiyle kaydediliyor, bildirim süreleri sistem üzerinden takip ediliyor ve uyum görevlisi aylık bir yönetim raporu alıyor.
Sık sorulan sorular
MASAK uyumu nedir?
MASAK uyumu, 5549 sayılı Kanun ve ilgili düzenlemeler kapsamındaki yükümlülerin müşteri tanıma, risk değerlendirmesi, şüpheli işlem bildirimi, bilgi ve belge saklama ve eğitim gibi yükümlülüklerini yerine getirmesi ve bunu belgeleyebilmesidir.
Hangi işletmeler MASAK yükümlüsüdür?
Bankalar, ödeme ve elektronik para kuruluşları, aracı kurumlar, sigorta şirketleri, kripto varlık hizmet sağlayıcıları, kıymetli maden ve döviz alanındaki kurumlar, gayrimenkul ve taşıt alım satımı yapanlar, noterler ve mevzuatta sayılan diğer kişi ve kurumlar yükümlüdür. Kesin kapsam için güncel mevzuat esas alınmalıdır.
KYC ile AML arasındaki fark nedir?
KYC (müşterini tanı), müşterinin kimliğinin tespiti, doğrulanması ve risk profilinin çıkarılmasıdır. AML (aklama ile mücadele) ise KYC’yi de içeren daha geniş bir çerçevedir; işlem izleme, liste taraması, şüpheli işlem bildirimi ve kayıt saklama gibi süreçleri kapsar.
Şüpheli işlem bildirimi ne kadar sürede yapılmalıdır?
Tedbirler Yönetmeliği genel kural olarak şüphenin oluşmasından itibaren on iş günü içinde bildirim öngörür; gecikmesinde sakınca bulunan hallerde bildirimin derhal yapılması beklenir. Güncel süreler için mevzuat kontrol edilmelidir.
Belgeler ne kadar süre saklanmalıdır?
5549 sayılı Kanun, işlemlere ve müşteri tanımaya ilişkin belgelerin düzenleme tarihinden, kayıtların ise son kayıt tarihinden itibaren sekiz yıl saklanmasını öngörür.
Gerçek faydalanıcı nedir?
Gerçek faydalanıcı, bir müşteri adına işlem yapılan veya müşteri üzerinde nihai olarak kontrol ya da etki sahibi olan gerçek kişi veya kişilerdir. Tüzel kişi müşterilerde ortaklık ve kontrol yapısı incelenerek tespit edilir.
KYC/AML yazılımı kullanmak zorunlu mu?
Mevzuat genel olarak belirli bir yazılımın kullanılmasını değil, yükümlülüklerin etkin biçimde yerine getirilmesini ve belgelenmesini ister. Ancak müşteri ve işlem hacmi arttıkça bu yükümlülükleri manuel yöntemlerle tutarlı biçimde yerine getirmek pratikte zorlaşır.
Yaptırım listesi taraması ne sıklıkla yapılmalı?
Tarama müşteri kabulünde ve işlem sırasında yapılmalı, listeler güncellendiğinde müşteri portföyü yeniden taranmalıdır. Liste kaynaklarının güncel tutulması taramanın kendisi kadar önemlidir.
KYC/AML yazılımı kurulumu ne kadar sürer?
Kurumun büyüklüğü, entegrasyon sayısı ve veri kalitesine göre değişir. Tipik bir kurulum; analiz, yapılandırma, entegrasyon, test ve canlıya geçiş aşamalarıyla birkaç ay sürebilir.
Uyum altyapınızı birlikte planlayalım
Yükümlülük haritanızı çıkarmak, süreçlerinizi bu kontrol listesiyle değerlendirmek ve ihtiyacınıza uygun KYC/AML altyapısını planlamak için bize ulaşabilirsiniz. 360 Soft ekibine +90 850 335 10 87, info@360-soft.com veya iletişim sayfamız üzerinden ulaşabilirsiniz. Hukuki yorum gerektiren konularda uyum ve hukuk danışmanınızla birlikte çalışmanızı öneririz.
