SPK ve MASAK Denetimlerine Hazırlık Rehberi

Kripto varlık hizmet sağlayıcıları, hem Sermaye Piyasası Kurulu (SPK) hem de Mali Suçları Araştırma Kurulu (MASAK) tarafında farklı odaklara sahip denetim ve gözetim süreçlerine tabi kabul edilir. SPK tarafındaki değerlendirme daha çok bilgi sistemleri ve kurumsal yapıya odaklanırken, MASAK tarafındaki gözetim kara para aklama ile mücadele yükümlülüklerine yoğunlaşır. Her iki sürece hazırlık, ortak bir disiplin gerektirir.

Bu rehber, iki denetim alanına birlikte hazırlanmak için izlenebilecek adımları planlama ve değerlendirme perspektifiyle ele alır. Amaç, uygulama tarifi vermek değil, karar vericilere ve uyum ekiplerine bir hazırlık çerçevesi sunmaktır.

İki Denetimin Farklı Odakları

Hazırlığın ilk adımı, iki denetim alanının kapsamının doğru biçimde ayrıştırılmasıdır. SPK tarafındaki bilgi sistemleri denetimi; kurumsal yönetişim, bilgi güvenliği, iş sürekliliği ve teknik altyapının denetlenebilirliği gibi başlıkları kapsar. MASAK tarafındaki gözetim ise müşteri tanıma, işlem izleme, şüpheli işlem bildirimi ve risk yönetimi gibi kara para aklama ile mücadele başlıklarına yoğunlaşır.

Bu iki alanın örtüştüğü noktalar bulunur; örneğin kayıtların saklanması ve izlenebilirlik her iki tarafça da beklenir. Bu nedenle hazırlık, alanları birbirinden tümüyle ayırmak yerine ortak gereksinimleri tek bir disiplinde toplayacak biçimde planlanır. SPK tarafındaki denetimin kapsamı için SPK bilgi sistemleri denetimi içeriği incelenebilir.

Hazırlığın erken aşamasında, hangi ekiplerin hangi denetim alanından sorumlu olduğunun belirlenmesi önerilir. Bilgi sistemleri, bilgi güvenliği ve uyum işlevlerinin koordineli çalışması, iki denetim alanının örtüşen gereksinimlerinin tek elden yönetilmesini kolaylaştırır. Sorumlulukların net biçimde dağıtılması, hazırlık sürecinde oluşabilecek boşlukların ve mükerrer çalışmaların azaltılmasına katkı sağlar. Bu koordinasyon, denetim takvimi belirginleştiğinde hazırlığın hızla yoğunlaştırılabilmesine de olanak tanır.

Dokümantasyon Hazırlığı

Denetim hazırlığının önemli bir bölümü, kurumun süreçlerini ve kontrollerini belgeleyen dokümantasyonun güncel ve tutarlı olmasına dayanır. Belgelerin yalnızca var olması değil, uygulamayı yansıtması ve birbiriyle çelişmemesi beklenir.

• Politika ve prosedürlerin güncel sürümlerinin erişilebilir olması ve uygulamayla tutarlılığı gözden geçirilir.
• Rol ve sorumlulukların tanımlı olması, hangi kararın hangi yetkiyle alındığının belgelenmesini sağlar.
• Kayıt saklama düzeninin, denetim sırasında talep edilebilecek bilgilerin erişilebilirliğini destekleyecek biçimde yapılandırılması önerilir.
• Önceki değerlendirmelerde tespit edilen bulguların ve bunlara ilişkin iyileştirmelerin izlenebilir biçimde kayıt altına alınması beklenir.

Dokümantasyonun bir denetim öncesinde hızla oluşturulan bir çıktı olarak değil, süreçlerin doğal bir parçası olarak sürdürülmesi tercih edilir. Belgelerin güncellenme tarihlerinin ve sürüm bilgilerinin izlenebilir olması, dokümantasyonun canlı biçimde yönetildiğini gösterir. Bu yaklaşım, denetim anında sunulan belgelerin gerçek uygulamayı yansıttığına dair güven oluşturur ve hazırlık yükünü zamana yayarak yönetilebilir kılar.

Teknik Kontrollerin Gözden Geçirilmesi

SPK tarafındaki bilgi sistemleri denetimine hazırlık, teknik kontrollerin denetlenebilir biçimde yapılandırılmış olmasını gerektirir. Bu başlık, ISO 27001 ve ISO 22301 ile uyumlu bir yaklaşımla ele alınabilir; ancak sertifikasyon iddiası yerine kontrollerin varlığı ve izlenebilirliği ön plandadır.

• Erişim yönetimi ve yetkilendirme kayıtlarının denetlenebilir biçimde tutulması gözden geçirilir.
• İş sürekliliği ve felaket kurtarma düzenlemelerinin, ölçülebilir hedeflerle tanımlanmış olması değerlendirilir.
• Loglama ve izleme düzeninin, olayların sonradan incelenebilmesine olanak tanıması beklenir.
• Bağımsız denetim gereksinimleri için BT bağımsız denetim hazırlık rehberi referans alınabilir.

Teknik kontrollerin hazırlığında, kontrolün varlığı kadar bu kontrolün ürettiği kanıtların erişilebilir olması da beklenir. Bir kontrolün tanımlı olması, denetim sırasında yeterli görülmez; kontrolün düzenli biçimde işletildiğini gösteren kayıtların sunulabilmesi aranır. Bu nedenle teknik hazırlık, yalnızca konfigürasyon düzeyinde değil, kanıt üretimi ve saklanması düzeyinde de değerlendirilir.

Zafiyet yönetimi ve düzenli güvenlik testleri, teknik kontrollerin güncel tehditlere karşı geçerliliğini koruduğunu göstermenin bir yolu olarak değerlendirilir. Test bulgularının önceliklendirilmesi ve giderilme durumunun izlenmesi, denetim sırasında kontrollerin canlı biçimde yönetildiğine dair kanıt sağlar. Bu izlerin düzenli olarak tutulması, hazırlığın süreklilik kazanmasını ve her denetim döneminde sıfırdan bir çalışmaya dönüşmemesini destekler.

AML Süreçlerinin Hazırlığı

MASAK tarafındaki gözetime hazırlık, kara para aklama ile mücadele süreçlerinin işler ve belgelenmiş olmasına dayanır. Müşteri tanıma, risk sınıflandırması, işlem izleme ve şüpheli işlem bildirimi süreçlerinin birbiriyle bütünleşik biçimde çalışması beklenir. Bu süreçlerin yalnızca tanımlanmış olması değil, üretilen kayıtlarla desteklenmesi ve uygulamada işler olduğunun gösterilebilmesi önem taşır.

• Müşteri tanıma sürecinin, kimlik doğrulama ve gerçek faydalanıcının belirlenmesini kapsayacak biçimde belgelenmesi beklenir.
• Risk sınıflandırmasının hangi kriterlere dayandığının ve düzeylerin nasıl güncellendiğinin açıklanabilir olması gözden geçirilir.
• İşlem izleme kurallarının kuruma özgü risk profiline göre yapılandırıldığının ve ürettiği uyarıların yönetildiğinin gösterilmesi önerilir.
• Şüpheli işlem bildirimi sürecinin, tespitten bildirime uzanan adımlarıyla tanımlı ve izlenebilir olması beklenir.

Bu süreçlerin bir program bütünlüğü içinde ele alınması için MASAK uyum programı içeriği incelenebilir. Tarama ve izleme altyapısının kurumsal düzeyde değerlendirilmesi için MASAK ve AML hazırlık sayfası referans alınabilir.

İç Değerlendirme ve Boşluk Analizi

Denetim öncesinde yürütülen bir iç değerlendirme, mevcut durum ile beklenen durum arasındaki farkların önceden tespit edilmesini sağlar. Boşluk analizi olarak adlandırılan bu çalışma, hazırlığın en değerli adımlarından biri olarak kabul edilir; çünkü eksikliklerin denetim sırasında değil, öncesinde giderilmesine olanak tanır.

• Mevcut kontrollerin beklenen gereksinimlerle karşılaştırılması, öncelikli iyileştirme alanlarını ortaya çıkarır.
• Tespit edilen boşukların bir eylem planına bağlanması ve sorumlularının belirlenmesi önerilir.
• İç değerlendirmenin belirli aralıklarla tekrarlanması, hazırlığın tek seferlik bir çalışma olmaktan çıkarılmasını sağlar.

Boşluk analizinin bağımsız bir gözle yürütülmesi, kurum içinde alışkanlık hâline gelmiş uygulamaların gözden kaçmasını önlemeye yardımcı olur. Değerlendirmeyi yürüten ekibin, incelenen süreçlerden ayrı bir perspektif sunması, bulguların nesnelliğini artırır. Bu yaklaşım, hazırlık sürecinin denetim beklentileriyle örtüşme düzeyini daha gerçekçi biçimde ortaya koyar.

Sonuç

SPK ve MASAK denetimlerine hazırlık, iki farklı odağı ortak bir disiplinde birleştiren bütünsel bir süreçtir. Kapsamın doğru ayrıştırılması, dokümantasyonun uygulamayla tutarlı olması, teknik kontrollerin denetlenebilirliği ve AML süreçlerinin işlerliği, hazırlığın temel eksenlerini oluşturur. Denetim öncesinde yürütülen iç değerlendirme ise eksikliklerin zamanında giderilmesine olanak tanıyarak sürecin en belirleyici adımı olarak öne çıkar.