Kara para aklama ile mücadele (AML) programı, bir kurumun suç gelirlerinin aklanmasını ve terörizmin finansmanını önlemeye yönelik yükümlülüklerini sistemli biçimde yerine getirmesini sağlayan bütünsel çerçevedir. Bu program tek bir yazılımdan veya tek bir kontrolden ibaret değildir; risk değerlendirmesinden izlemeye, raporlamadan yönetişime uzanan birbiriyle bağlantılı bileşenlerden oluşur.
Türkiye'de kripto varlık hizmet sağlayıcıları, ödeme ve elektronik para kuruluşları ile diğer yükümlü gruplar, MASAK mevzuatı kapsamındaki yükümlülükleri karşılayacak bir AML programı oluşturmak durumundadır. Bu yol haritası; programın hangi aşamalarla kurulduğunu, teknoloji ve veri kaynağı boyutunu ve tedarikçi değerlendirmesinde dikkate alınacak ölçütleri planlama perspektifiyle ele almaktadır. Amaç, politika ve prosedür envanteri sunmak değil; karar vericilere ve uyum ekiplerine kurulum sürecini planlama çerçevesi kazandırmaktır.
AML Programının Amacı ve Kapsamı
AML programının temel amacı, kurumun taşıdığı aklama ve finansman risklerini tanımlamak, bu riskleri azaltacak kontrolleri devreye almak ve şüpheli durumların tespit edilerek yetkili mercilere bildirilmesini sağlamaktır. Program, bir kereye mahsus bir kurulum değil; risklerin ve mevzuatın değişimine göre güncellenen sürekli bir işleyiştir.
AML programının çağdaş çerçevesi risk temelli yaklaşıma dayanır. Bu yaklaşım, tüm müşteri ve işlemlere aynı yoğunlukta kontrol uygulamak yerine, kaynakların en yüksek riskin bulunduğu alanlara yönlendirilmesini öngörür. Düşük riskli ilişkiler için orantılı kontroller yeterliyken, yüksek riskli müşteri veya işlem türleri daha sıkı inceleme gerektirir. Bu nedenle risk değerlendirmesinin çıktısı, uygulanacak kontrollerin yoğunluğunu doğrudan belirleyen bir girdi olarak kullanılır ve programın hem etkinliğini artırır hem de operasyonel yükün gereksiz biçimde büyümesini engeller.
Kapsam belirlenirken kurumun faaliyet alanı, müşteri profili ve işlem türleri belirleyici olur. Kripto varlık hizmeti sunan bir kuruluşun risk profili ile bir ödeme kuruluşununki farklılaştığından, program da kuruma özgü biçimde tasarlanır. Bu farklılaşmanın kripto özelindeki yansımaları ödeme kuruluşları için işlem izleme rehberi içeriğiyle birlikte değerlendirilebilir.
Program Oluşturmanın Aşamaları
AML programının oluşturulması, birbirini izleyen ve önceki adımın çıktısı üzerine kurulan aşamalar hâlinde planlanır. Yüksek seviyeli bir yol haritası aşağıdaki aşamalardan oluşur:
- Kurumsal risk değerlendirmesi ile başlanır; müşteri, ürün, coğrafya ve kanal bazında risklerin belirlenmesi, tüm programın temelini oluşturur.
- Yönetişim yapısının tanımlanması aşamasında sorumlulukların dağılımı, uyum fonksiyonunun konumu ve karar mekanizmaları belirlenir.
- Müşteri tanıma ve doğrulama süreçlerinin (KYC ve KYB) tasarımı, riskin müşteri kabulü aşamasından itibaren yönetilmesini sağlar.
- İşlem izleme ve tarama kabiliyetlerinin devreye alınması, riskin yalnızca giriş aşamasında değil, ilişki süresince sürekli olarak değerlendirilmesini mümkün kılar.
- Şüpheli işlem tespit ve bildirim sürecinin kurulmasıyla, tespit edilen durumların tanımlı bir akış içinde yetkili mercilere iletilmesi güvence altına alınır.
- İzleme, gözden geçirme ve iyileştirme aşamasıyla program, değişen risklere ve mevzuata göre güncel tutulur.
Bu aşamaların sırası önemlidir; risk değerlendirmesi yapılmadan kurulan kontroller çoğu zaman kurumun gerçek risk profiliyle örtüşmez. Müşteri doğrulama boyutunun AML ile ilişkisi KYC doğrulama yazılımı kapsamında ayrıca ele alınmaktadır.
Teknoloji ve Veri Kaynağı Boyutu
AML programının etkinliği, dayandığı teknoloji ve veri kaynaklarının niteliğiyle doğrudan ilişkilidir. Manuel süreçlerle yürütülen bir program, artan işlem hacmi karşısında hem yavaşlar hem de tutarlılığını yitirir. Bu nedenle tarama ve izleme kabiliyetlerinin otomasyona dayanması önem taşır.
Veri kaynağı boyutunda yaptırım listeleri, siyasi nüfuz sahibi kişi (PEP) verileri ve olumsuz haber (adverse media) kaynakları öne çıkar. OFAC ve OpenSanctions gibi kaynaklar, yaptırım ve risk taramasında yaygın olarak kullanılan referanslardır. Veri kaynağının güncelliği ve kapsamı, tarama sonuçlarının güvenilirliğini belirleyen temel etkenlerdir.
Bilgi: Tarama sonuçlarının güvenilirliği, kullanılan verinin güncelliğiyle doğrudan ilişkilidir. Eski veya eksik veriyle çalışan bir sistem, yanlış negatif sonuçlar üreterek riski gözden kaçırabilir; bu nedenle veri kaynağının güncellenme sıklığı değerlendirmenin önemli bir ölçütüdür.
Uyum ve Denetim Hazırlığı
Bir AML programı yalnızca çalışır durumda olmakla kalmaz; aynı zamanda çalıştığının belgelenebilir ve bağımsız biçimde incelenebilir olması beklenir. Risk değerlendirmesinin, alınan kararların ve gerçekleştirilen taramaların izlenebilir biçimde kayıt altına alınması, denetim gereksinimlerine göre yapılandırılmış bir operasyonu destekler.
AML programının sürdürülebilirliği, teknoloji kadar insan boyutuna da bağlıdır. Uyum ekiplerinin ve ilgili personelin değişen risk tipleri ile mevzuat beklentileri konusunda düzenli olarak bilgilendirilmesi, kontrollerin kâğıt üzerinde kalmamasını sağlar. Rollerin ve sorumlulukların açıkça tanımlanması, şüpheli bir durumun fark edilmesi hâlinde izlenecek akışın ilgili herkes tarafından bilinmesini mümkün kılar. Bu yönüyle program, teknik bir kurulumdan çok, kurum genelinde paylaşılan bir uyum kültürünün parçası olarak konumlanır.
Bu belgelenebilirlik, hem düzenleyici incelemelerde hem de kurum içi gözden geçirmelerde değer üretir. İyi tasarlanmış bir program, uyum yükümlülüklerini karşılarken aynı zamanda denetim hazırlığını da güçlendirir. MASAK yükümlülüklerine yönelik hazırlığın bütünsel çerçevesi MASAK AML hazırlığı kapsamında ele alınmaktadır.
Tedarikçi ve Çözüm Değerlendirmesi
AML programının teknoloji bileşeni çoğu kurumda dış bir çözümle desteklenir. Tedarikçi değerlendirmesinde çözümün tarama kapsamı, veri kaynaklarının güncelliği, entegrasyon kolaylığı, raporlama kabiliyeti ve dağıtım seçenekleri belirleyici ölçütlerdir. Kurumun veri yerleşimi ve gizlilik gereksinimlerine göre on-prem veya müşteriye özel dağıtım seçeneklerinin bulunması, birçok kurumsal senaryoda önem taşır.
Çözüm değerlendirmesi yapılırken tarama kabiliyetlerinin kurumun risk profiliyle örtüşmesi, tekil özelliklerin varlığından daha belirleyicidir. AML tarama çözümlerinin kurumsal değerlendirme çerçevesi AML sorgulama yazılımı sayfasında ayrıntılı olarak sunulmaktadır.
Sonuç
AML programı oluşturmak, tek seferlik bir yazılım kurulumundan çok, risk değerlendirmesiyle başlayıp sürekli izleme ve iyileştirmeyle devam eden bütünsel bir sürecin planlanmasıdır. Aşamaların doğru sırayla kurgulanması, teknoloji ve veri kaynaklarının güncelliği ile programın denetlenebilir biçimde belgelenmesi, MASAK mevzuatı kapsamındaki yükümlülükleri karşılayan sağlam bir yapının temelini oluşturur. Karar vericiler için doğru yaklaşım, programı bir uyum yükü olarak değil, kurumsal risk yönetiminin kalıcı bir bileşeni olarak konumlandırmaktır.
AML programının teknoloji ve tarama bileşenleri kurumsal risk profiline göre yapılandırılabilir. Program kurulumunun ve çözüm seçiminin kurumsal ihtiyaçlara göre planlanması için uyum ekibiyle görüşülebilir.