Türkiye'de kripto varlık hizmet sağlayıcıları, 7518 sayılı Kanun ile getirilen düzenlemeler kapsamında Sermaye Piyasası Kurulu'nun (SPK) düzenleyici çerçevesine tabi hâle gelmiştir. Bu çerçeve; faaliyet izni, teknik yeterlilik, bilgi sistemleri denetimi ve kara para aklama ile mücadele (AML) yükümlülükleri gibi çok sayıda boyutu bir araya getirir. Bir kripto para borsasının uyum hazırlığı, bu boyutların bütünsel biçimde ele alınmasını gerektirir.
SPK uyumu, tek seferlik bir belge hazırlığı olarak değil; teknik altyapı, operasyonel süreçler ve kurumsal yönetişimi kapsayan sürekli bir hazırlık süreci olarak değerlendirilmelidir. Uyumun yalnızca hukuki bir formalite olarak görülmesi, teknik ve operasyonel gereksinimlerin göz ardı edilmesine yol açabilir.
Bu rehberde, kripto para borsaları için SPK uyum sürecinin temel bileşenleri; düzenleyici çerçeve, faaliyet izni, teknik kriterler, denetim ve AML boyutlarıyla yüksek seviyede ele alınmakta ve uyum sürecinin planlanmasına yönelik bir perspektif sunulmaktadır. İçerik, hukuki görüş niteliği taşımaz; teknik ve operasyonel hazırlık odaklıdır.
Düzenleyici Çerçeve
Kripto varlık hizmet sağlayıcılarının düzenleyici çerçevesi, 7518 sayılı Kanun ile sermaye piyasası mevzuatına eklenen hükümlere dayanır. Bu düzenleme, kripto varlık alım satım platformlarını ve saklama hizmeti sunan kuruluşları SPK'nın gözetimine tabi kılar. Çerçeve; kuruluş şartlarından teknik altyapıya, iç kontrol yapısından müşteri varlıklarının korunmasına kadar geniş bir alanı kapsar.
Düzenleyici çerçevenin doğru anlaşılması, uyum hazırlığının temelini oluşturur. Kanun düzeyindeki genel çerçevenin yanında, SPK tarafından yayımlanan ikincil düzenlemeler de sürecin ayrıntılarını belirler. Bu düzenlemelerin güncel biçimde takip edilmesi ve emin olunmayan atıfların kullanılmaması, uyum çalışmalarının doğruluğu açısından önemlidir.
Faaliyet İzni ve Faaliyette Bulunanlar Listesi
SPK uyum sürecinde en sık karıştırılan konulardan biri, faaliyet izni ile Faaliyette Bulunanlar Listesi arasındaki ayrımdır. Faaliyette Bulunanlar Listesi'nde yer almak, geçiş sürecine ilişkin bir durumu ifade eder; tek başına açık bir faaliyet izni anlamına gelmez. Faaliyet izni ise SPK tarafından, tanımlı şartların karşılanması hâlinde ayrı bir kararla verilir.
Bu ayrımın net biçimde anlaşılması, hem iletişimde hem de planlamada yanlış varsayımların önüne geçer. Bir kuruluşun kendisini "SPK lisanslı" olarak nitelendirmesi, yalnızca açık bir faaliyet izni kararının bulunduğu durumda doğru olur. Faaliyet izni kavramının kapsamına ilişkin ayrıntılar için faaliyet izninin ne olduğunu ele alan içerik incelenebilir.
Uyarı: Faaliyette Bulunanlar Listesi'nde yer almak ile faaliyet izni almak birbirinden farklıdır. Bu iki durumun eş anlamlı kullanılması, hem düzenleyici hem de itibar açısından risk oluşturur; kurumsal iletişimde bu ayrımın korunması gerekir.
Teknik Kriterler ve TÜBİTAK Boyutu
SPK uyumunun teknik boyutu, önemli ölçüde TÜBİTAK tarafından tanımlanan teknik kriterlere dayanır. Bu kriterler; bilgi sistemleri altyapısı, güvenlik, izlenebilirlik, iş sürekliliği ve veri yönetimi gibi alanlarda karşılanması beklenen teknik gereksinimleri belirler. Kriterlerin karşılanması, platformun teknik olgunluğunu ortaya koyan bir hazırlık göstergesidir.
Burada dikkat edilmesi gereken nokta, teknik kriterler ile faaliyet izninin ayrı süreçler olmasıdır. TÜBİTAK kriterleri teknik yeterliliği tanımlar; faaliyet iznini ise SPK verir. Teknik kriterlerin karşılanması, faaliyet izni sürecinin bir bileşenidir ancak izin kararının kendisi değildir. Teknik uyum sürecinin planlanmasına yönelik ayrıntılar için TÜBİTAK teknik kriterlerine uyum yol haritasını ele alan içerik referans alınabilir.
Bilgi: TÜBİTAK teknik kriterleri, ISO 27001 gibi bilgi güvenliği çerçeveleriyle örtüşen alanlar içerir. Bu çerçevelerle uyumlu bir yaklaşımın benimsenmesi, teknik hazırlığı destekler; ancak bu, bir sertifikasyon iddiasıyla karıştırılmamalıdır.
Bilgi Sistemleri Denetimi
SPK uyum sürecinin önemli bir bileşeni, bilgi sistemleri denetimidir. Bu denetim; platformun teknik altyapısının, güvenlik kontrollerinin, izlenebilirlik yapısının ve iş sürekliliği hazırlığının bağımsız biçimde değerlendirilmesini kapsar. Denetime hazırlık, uyum sürecinin en fazla kaynak gerektiren aşamalarından biri olarak öne çıkar.
Denetim hazırlığı, denetim gününe özel bir çalışma olarak değil; süreçlerin baştan denetlenebilir biçimde yapılandırılmasıyla sağlanır. İzlenebilirliğin, kayıt yönetiminin ve kontrol yapılarının denetim beklentileriyle örtüşecek biçimde kurgulanması, sürecin daha öngörülebilir ilerlemesini sağlar. Bilgi sistemleri denetimine hazırlığın yol haritası için bilgi teknolojileri denetimi hazırlık yol haritasını ele alan içerik incelenebilir.
AML ve MASAK Boyutu
Kripto para borsalarının uyum yükümlülükleri, sermaye piyasası düzenlemeleriyle sınırlı değildir. Kara para aklama ile mücadele (AML) kapsamında, MASAK mevzuatı çerçevesindeki yükümlülükler de sürecin ayrılmaz bir parçasıdır. Bu kapsamda; müşteri tanıma (KYC), risk bazlı izleme, şüpheli işlem değerlendirmesi ve yaptırım taraması gibi süreçlerin kurulması beklenir.
AML ve sermaye piyasası uyumunun birbirini tamamlayan süreçler olarak ele alınması, çift yönlü bir hazırlık gerektirir. Teknik altyapının hem SPK kriterlerine uygun hem de AML yükümlülüklerini destekleyecek biçimde tasarlanması, sonradan yapılacak maliyetli düzeltmelerin önüne geçer. MASAK yükümlülüklerine yönelik hazırlığın kapsamı için MASAK ve AML hazırlığı hizmeti değerlendirilebilir.
Uyum Süreci Planlaması ve Sık Yapılan Hatalar
Uyum süreci, birbirine bağlı çok sayıda çalışmanın eşgüdümlü yürütülmesini gerektirir. Planlamada; teknik altyapı hazırlığı, denetim hazırlığı, AML süreçlerinin kurulması ve kurumsal yönetişim yapısının oluşturulması birlikte ele alınır. Bu çalışmaların birbirinden bağımsız yürütülmesi, çoğunlukla tekrar eden işlere ve gecikmelere yol açar.
Uyum sürecinde sık karşılaşılan hatalar arasında; teknik kriterler ile faaliyet izninin karıştırılması, denetim hazırlığının son aşamaya bırakılması, AML süreçlerinin teknik altyapıdan bağımsız kurgulanması ve düzenleyici atıfların doğrulanmadan kullanılması sayılabilir. Bu hataların erken aşamada fark edilmesi, sürecin daha sağlıklı ilerlemesini sağlar. Uyum hazırlığının bütünsel biçimde planlanması için SPK uyum hazırlığı hizmeti bir başlangıç noktası olarak değerlendirilebilir.
Sonuç
Kripto para borsaları için SPK uyumu; düzenleyici çerçeve, faaliyet izni, teknik kriterler, bilgi sistemleri denetimi ve AML yükümlülüklerinin bir arada ele alındığı bütünsel bir hazırlık sürecidir. Bu bileşenlerin ayrı ayrı değil, birbirini tamamlayan bir bütün olarak planlanması, sürecin öngörülebilir ve sürdürülebilir ilerlemesini sağlar.
Faaliyet izni ile teknik yeterliliğin ayrı süreçler olduğunun anlaşılması ve düzenleyici atıfların doğrulanarak kullanılması, uyum çalışmalarının doğruluğu açısından belirleyicidir. Teknik altyapının baştan uyum ve denetim beklentileriyle örtüşecek biçimde tasarlanması, uzun vadede hem maliyet hem de risk açısından avantaj sağlar.
SPK uyum hazırlığı, teknik altyapı ve düzenleyici gereksinimlerin birlikte planlanmasını gerektirir. Faaliyet izni, denetim ve AML boyutlarının bütünsel ele alındığı bir yaklaşım, sürecin sağlıklı ilerlemesini destekler.