Elektronik para platformları, müşteri fonlarını elektronik para olarak ihraç eden ve ödeme hizmeti sunan kuruluşlar tarafından işletilir. Bu platformlarda kara para aklama ile mücadele (AML) ve müşteri tanıma (KYC) gereksinimleri, hem düzenleyici beklentilerin hem de operasyonel risk yönetiminin merkezinde yer alır. Gereksinimlerin platform mimarisine baştan yerleştirilmesi, sonradan eklenen kontrollere kıyasla çok daha tutarlı bir yapı ortaya çıkarır.

Bu rehberde, bir elektronik para platformunda bulunması beklenen AML ve KYC gereksinimleri; düzenleyici çerçeve, müşteri tanıma süreçleri, işlem izleme, yaptırım taraması ve raporlama başlıkları altında planlama perspektifiyle ele alınır. Amaç, uygulama tarifi vermek değil, karar vericinin ve uyum ekibinin tedarik ve tasarım aşamasında değerlendirmesi gereken kriterleri ortaya koymaktır.

Düzenleyici Çerçeve

Elektronik para kuruluşları, Türkiye'de ödeme ve elektronik para mevzuatı ile MASAK yükümlülükleri kapsamında değerlendirilir. Bu çerçeve, müşteri kimliğinin tespiti, şüpheli işlem bildirimi, kayıtların saklanması ve iç kontrol yapısının kurulması gibi temel yükümlülükleri tanımlar. Platform yazılımının bu yükümlülükleri karşılayacak biçimde yapılandırılması beklenir.

Düzenleyici beklentiler zaman içinde güncellendiğinden, platformun kural setlerinin ve eşik değerlerinin merkezi olarak yönetilebilmesi önem taşır. Sabit kodlanmış kontroller yerine, parametrik olarak güncellenebilen bir yapı, mevzuat değişikliklerine uyum sağlanmasını kolaylaştırır.

Bilgi: Bir kuruluşun ilgili listede yer alması, tek başına faaliyet izni anlamına gelmez. Faaliyet izni ve teknik gereksinimler ayrı süreçlerde değerlendirilir ve karıştırılmamalıdır.

Müşteri Tanıma (KYC) Gereksinimleri

Müşteri tanıma süreci, hesabın açılış anından itibaren kimliğin doğru biçimde tespit edilmesini hedefler. Elektronik para platformlarında bu süreç genellikle uzaktan yürütüldüğünden, dijital kimlik doğrulama kabiliyetleri kritik hâle gelir. Doğrulama derinliği, müşteri türüne ve risk seviyesine göre farklılaştırılır.

  • Kimlik ve pasaport belgelerinin doğrulanması, mümkün olduğunda NFC okuma ile belge güvenlik unsurlarının kontrol edilmesini kapsar.
  • Selfie ve canlılık (liveness) kontrolü ile belge üzerindeki fotoğrafın yüz eşleştirmesi, kimlik sahipliğinin uzaktan teyidini sağlar.
  • Adres doğrulama ve yaş kontrolü, hizmetin sunulduğu segmente göre ek gereksinim olarak tanımlanabilir.
  • Tüzel kişi müşterilerde ortaklık yapısı ve gerçek faydalanıcı bilgisinin toplanması, kurumsal tanıma sürecinin parçasıdır.

Risk temelli yaklaşım gereği, düşük riskli müşterilerde sadeleştirilmiş tedbirler, yüksek riskli müşterilerde ise sıkılaştırılmış tedbirler uygulanır. Platformun bu farklılaştırmayı kural setleriyle destekleyebilmesi beklenir. Müşteri risk profilinin, ilişki boyunca sabit kalmayıp yeni bilgilerle güncellenebilmesi de aynı yaklaşımın bir gereğidir.

Müşteri tanıma süreci, tek seferlik bir işlem değil; ilişki süresince tekrarlanan bir döngü olarak tasarlanmalıdır. Kimlik bilgilerinin güncelliğinin korunması, risk profilinin değişen koşullara göre yeniden değerlendirilmesi ve gerektiğinde ek belge talep edilmesi, sürecin sürekliliğini oluşturur. Bu döngünün platform tarafından desteklenmesi, uyum yükünün yönetilebilir kalmasını sağlar.

İşlem İzleme ve AML Kontrolleri

İşlem izleme, müşteri tanıma ile toplanan bilginin işlem davranışıyla birlikte değerlendirildiği katmandır. Amaç, beklenen davranıştan sapan hareketleri erken tespit etmek ve incelemeye almaktır. Bu katmanın etkinliği, kuralların kalitesi kadar üretilen uyarıların yönetilebilirliğine de bağlıdır.

  • Eşik değerleri ve senaryo kuralları, işlem tutarı, sıklık ve karşı taraf bilgisine göre yapılandırılır.
  • Uyarı yönetimi süreci, oluşan uyarıların önceliklendirilmesini ve inceleme kaydının tutulmasını gerektirir.
  • Yanlış pozitif oranının izlenmesi, kural setlerinin düzenli olarak gözden geçirilmesini sağlar.

Uyarı: Aşırı hassas kural setleri, incelenemeyecek kadar çok uyarı üretir ve gerçek riskli işlemlerin gözden kaçmasına yol açabilir. Kural kalibrasyonu, düzenli izleme gerektiren sürekli bir süreçtir.

Yaptırım ve PEP Taraması

Yaptırım taraması, müşteri ve karşı tarafların ulusal ve uluslararası yaptırım listeleriyle karşılaştırılmasını kapsar. Siyasi nüfuz sahibi kişi (PEP) taraması ile olumsuz medya taraması da bu kapsamda değerlendirilir. Tarama yalnızca açılış anında değil, müşteri ilişkisi boyunca periyodik olarak tekrarlanacak biçimde tasarlanmalıdır.

Veri kaynaklarının güncelliği ve kapsamı, tarama sonuçlarının isabetini doğrudan etkiler. OFAC ve OpenSanctions gibi kamuya açık kaynakların yanı sıra, kuruluşun hizmet coğrafyasına uygun listelerin de dâhil edilmesi beklenir. Eşleşmelerin değerlendirilmesi için bir inceleme akışının tanımlı olması gerekir.

Raporlama ve Kayıt Saklama

Şüpheli işlem bildirimi ve düzenleyici raporlama, AML yükümlülüklerinin görünür çıktısıdır. Platformun, inceleme sürecinde üretilen kayıtları ve karar gerekçelerini denetlenebilir biçimde saklaması beklenir. Kayıt bütünlüğü, sonradan yapılacak incelemelerde delil değeri taşır.

  • Müşteri tanıma belgeleri, işlem kayıtları ve uyarı inceleme notları, mevzuatın öngördüğü sürelerce saklanmalıdır.
  • Denetim izi (audit trail), kim tarafından hangi kararın ne zaman alındığını izlenebilir kılar.
  • Raporların standart formatlarda üretilebilmesi, düzenleyici taleplere zamanında yanıt verilmesini destekler.

Bu gereksinimlerin karşılanması, platformun yalnızca teknik değil operasyonel açıdan da denetim gereksinimlerine göre yapılandırılmış olmasını gerektirir. Kurulum modeli seçilirken verinin nerede saklandığı ve erişimin nasıl yönetildiği de değerlendirmeye dâhil edilmelidir. Verinin işlendiği coğrafya, erişim yetkilerinin nasıl sınırlandığı ve kayıtların değiştirilemez biçimde tutulup tutulmadığı, raporlama güvenilirliğinin doğrudan belirleyicileridir.

İç Kontrol ve Sorumluluk Yapısı

AML ve KYC gereksinimlerinin teknik olarak karşılanması, tek başına yeterli değildir; bu kontrollerin işletildiği bir iç kontrol yapısının kurulması da beklenir. İç kontrol, kimin hangi kontrolden sorumlu olduğunu, kararların nasıl onaylandığını ve istisnaların nasıl yönetildiğini tanımlar. Platform yazılımı, bu yapıyı destekleyecek rol ve yetki ayrımlarını sunacak biçimde yapılandırılmalıdır.

Sorumluluk yapısının netliği, hem operasyonel tutarlılığı hem de denetim süreçlerinde hesap verebilirliği artırır. Kontrollerin manuel müdahaleye açık olduğu noktalarda, bu müdahalelerin gerekçesiyle birlikte kayıt altına alınması önem taşır.

  • Görevler ayrılığı ilkesi, işlem başlatma ile onaylama yetkilerinin farklı rollerde tutulmasını gerektirir.
  • İstisna yönetimi, standart akış dışına çıkan durumların tanımlı bir onay mekanizmasıyla ele alınmasını sağlar.
  • Kontrol etkinliğinin düzenli gözden geçirilmesi, yapının zaman içinde güncel kalmasını destekler.

İç kontrol yapısının olgunluğu, düzenleyici değerlendirmelerde platformun bütünsel yeterliliğinin göstergelerinden biri olarak dikkate alınır. Bu nedenle teknik kabiliyetler ile organizasyonel süreçlerin birlikte tasarlanması önerilir.

Sonuç

Elektronik para platformlarında AML ve KYC gereksinimleri, müşteri tanımadan işlem izlemeye, yaptırım taramasından raporlamaya uzanan bütünleşik bir yapı olarak ele alınmalıdır. Bu gereksinimlerin platform tasarımına baştan yerleştirilmesi, hem düzenleyici beklentilerin karşılanmasını hem de operasyonel riskin yönetilmesini kolaylaştırır. Tedarik aşamasında sağlayıcının bu kabiliyetleri nasıl sunduğu, sözleşme öncesinde ayrıntılı biçimde değerlendirilmelidir.

Elektronik para platformu projeleri, uyum kabiliyetleri baştan planlandığında sağlam bir temel kazanır. Gereksinimlerin platform mimarisine nasıl yansıtılacağı ayrıntılı olarak değerlendirilebilir.

Ürünü İnceleyin Demo Talep Edin

İlgili içerikler için MASAK AML hazırlığı, KYC doğrulama yazılımı ve TCMB e-para ve ödeme hazırlığı sayfaları incelenebilir.