MASAK Uyum Programı ve AML/CFT Danışmanlığı

MASAK uyum programı kimler için zorunludur?

5549 sayılı Kanun’un yükümlüleri; bankacılık, sigortacılık, bireysel emeklilik, sermaye piyasaları ve diğer finansal hizmetler ile kanunda ve Cumhurbaşkanı kararlarında sayılan iş ve meslekleri yürütenlerdir (5549 m.2/d). Tedbirler Yönetmeliği m.4 bu listeyi somutlaştırır; uyum programı kurma yükümlülüğü ise Uyum Programı Yönetmeliği m.4’te sayılan yükümlülere aittir.

Bir şirketin yükümlü olup olmadığı iş modeline göre değişir. Örneğin P2P ticareti yapan bir şirketin faaliyeti izin gerektiren bir KVHS faaliyetine dönüşüyorsa, hem SPK izni hem MASAK yükümlülüğü gündeme gelir: P2P şirket kuruluşu ve uyum.

Uyum programı hangi unsurlardan oluşur?

Uyum programı, yükümlünün büyüklüğüne ve iş hacmine göre ölçeklenen, risk temelli bir tedbirler bütünüdür (5549 m.5/1). Bir kripto varlık hizmet sağlayıcısı için asgari bileşenler şunlardır:

Kripto varlık hizmet sağlayıcıları müşteriyi nasıl tanımalıdır?

Kripto varlık hizmet sağlayıcıları, sürekli iş ilişkisi kurarken tutar gözetmeksizin, bağlantılı işlemler dahil 15.000 TL ve üzerindeki işlemlerde ve şüpheli işlem bildirimini gerektiren her durumda müşterinin kimliğini tespit eder (Tedbirler Yönetmeliği m.5/1).

• Gerçek faydalanıcı: Tüzel kişi müşterilerde yüzde yirmi beşi aşan paya sahip gerçek kişi ortakların kimliği tespit edilir; bu yoksa nihai kontrolü elinde bulunduran kişiler ortaya çıkarılır (m.17/A).
• Tutar ve işlem sayısı sınırı: KVHS’ler müşteri ilişkisinde asgari tedbirlerin yanında tutar ve işlem sayısı sınırı belirlemeye yönelik uygun tedbirler alır (Uyum Programı Yönetmeliği m.13/2).
• Yüz yüze olmayan işlemler: Yeni teknolojiler ve uzaktan müşteri edinimi aklama riskine karşı özel dikkat gerektirir (Tedbirler Yönetmeliği m.20).
• İşlemin reddi: Kimlik tespiti yapılamıyorsa veya iş ilişkisinin amacı hakkında yeterli bilgi edinilemiyorsa iş ilişkisi kurulmaz; bu durumun şüpheli işlem olup olmadığı ayrıca değerlendirilir (m.22).

Şüpheli işlem bildirimi (ŞİB) nasıl ve ne sürede yapılır?

Şüpheli işlem, işleme konu malvarlığının yasa dışı yollardan elde edildiğine veya yasa dışı amaçlarla kullanıldığına dair herhangi bir bilgi, şüphe veya şüpheyi gerektirecek bir husus bulunmasıdır; bildirim tutar gözetilmeksizin ve şüphenin oluştuğu tarihten itibaren en geç on iş günü içinde yapılır (Tedbirler Yönetmeliği m.27, m.28/2).

1. 1
   İç bildirim

   Personel, şüpheyi uyum görevlisine bildirir; iç bildirimler de gizlilik kapsamındadır (m.29/2).
2. 2
   Araştırma

   Yükümlü, yetki ve imkânları ölçüsünde işlemi araştırır; müşteri profili, fon kaynağı ve zincir üstü kayıtlar değerlendirilir (m.28/1).
3. 3
   Bildirim

   Şüpheli İşlem Bildirim Formu ile MASAK’a bildirilir; yeni bulgu çıkarsa ek bildirim yapılır (m.28/1, 28/3).
4. 4
   Gizlilik

   Bildirim yapıldığı veya yapılacağı, işlem tarafları dahil kimseye açıklanamaz (5549 m.4/2, Tedbirler Yönetmeliği m.29/1).
5. 5
   Askıya alma ihtimali

   Hazine ve Maliye Bakanı, MASAK’ın şüpheyi teyit ve analiz edebilmesi için işlemi yedi iş günü askıya alabilir; karara aykırı işlem yapan yükümlüye işlem tutarı kadar idari para cezası verilir (5549 m.19/A-3).

Kripto transferlerinde bilgi paylaşımı (travel rule) nasıl uygulanır?

Kripto varlık hizmet sağlayıcıları, aracılık ettikleri 15.000 TL ve üzeri kripto varlık transferlerinde göndericinin adını veya unvanını, cüzdan adresini (yoksa referans numarasını) ve adres, doğum yeri ve tarihi, müşteri numarası veya kimlik numarası gibi belirleyici bilgilerden en az birini transfer mesajına ekler ve doğruluğunu teyit eder (Tedbirler Yönetmeliği m.24/A-1).

Bilgiler transferle eş zamanlı ve güvenli biçimde gönderilir; bunun için dağıtık defter teknolojisi, bağımsız bir mesajlaşma platformu veya uygulama arayüzü kullanılabilir (m.24/A-5). SPKn m.35/C-5 de transferlerde SPK ve MASAK düzenlemelerine uyulmasını ve kayıtların takip edilebilir tutulmasını ayrıca şart koşar.

MASAK denetimi ve idari para cezaları nasıl işler?

MASAK, yükümlülerin uyumunu denetim elemanları aracılığıyla denetler; herkes istenen bilgi ve belgeleri, kayıtları ve bunlara erişim için gerekli bilgileri tam ve doğru vermekle yükümlüdür (5549 m.7; Tedbirler Yönetmeliği m.35 vd.).

• Müşteri tanıma ve devamlı bilgi verme yükümlülüklerinin ihlali ile şüpheli işlem bildirimi yükümlülüğünün ihlali, farklı tutarlarda idari para cezasına bağlanmıştır; yükümlü banka, ödeme ve elektronik para kuruluşu gibi bir finansal kuruluşsa ceza iki kat uygulanır (5549 m.13/1).
• Eğitim, iç denetim ve risk yönetimi yükümlülüklerinde önce yazılı ihtar ve süre verilir; eksiklik giderilmezse artan idari para cezaları ve sonunda faaliyetin durdurulması veya izin iptali tedbirleri gündeme gelir (5549 m.13/2).
• Askıya alma kararına aykırı işlem yapan yükümlüye işlem tutarı kadar idari para cezası verilir (5549 m.19/A-3).

Uyum programı nasıl kurulur, ne kadar sürer?

Uyum programının kurulumu risk değerlendirmesiyle başlar; politikalar, prosedürler ve izleme kuralları bu değerlendirmeden türetilir. SPK’ca faaliyette bulunduğu ilan edilen kripto varlık hizmet sağlayıcıları için geçiş hükmü, uyum görevlisinin bir ay içinde atanmasını ve uyum programının atamadan itibaren en geç bir ay içinde oluşturulmasını öngörmüştü (Uyum Programı Yönetmeliği geçici m.1/7).

1. 1
   Risk değerlendirmesi

   Müşteri tipleri, ürünler (spot, P2P, transfer), kanallar, ülkeler ve ağlar bazında aklama ve terörün finansmanı riski puanlanır.
2. 2
   Politika ve prosedürler

   Kurum politikası, müşteri kabul politikası, sıkılaştırılmış tedbirler, travel rule ve yaptırım taraması prosedürleri yazılır ve yürürlüğe konur.
3. 3
   Organizasyon

   Uyum görevlisi ve yardımcısı atanır; görev tanımları ve raporlama hattı belirlenir.
4. 4
   Sistem ve izleme

   Senaryo ve eşik kuralları, zincir üstü risk sinyalleri, alarm yönetimi ve dosyalama kurulur.
5. 5
   Eğitim ve test

   Personel eğitimi verilir; örnek olaylarla ŞİB akışı test edilir; iç denetim planı hazırlanır.

Uyum programlarında sık yapılan hatalar

Sık görülen bir hata, uyum programını kâğıt üzerinde bırakmaktır: politika vardır ama izleme kuralları iş modeline uymaz, alarmlar kapatılır ve karar gerekçesi kayda geçmez.

Büromuzun yaklaşımı

PEGA Hukuk & Danışmanlık, uyum programını iş modelinin gerçek işlem akışı üzerinden kurar: müşteri yolculuğu, fon ve kripto varlık akışları ve karşı taraf ilişkileri haritalanır, her risk noktası bir kontrole bağlanır. Kripto varlık transferlerinde zincir üstü risk değerlendirmesi, büronun transfer takibi deneyimiyle birlikte yapılır. Aynı ekip ceza ve bloke dosyalarında da çalıştığı için, uyum programı ileride bir soruşturmada “bilme” ve “amaç” unsurlarına karşı savunulabilir kayıt üretecek biçimde tasarlanır. Sorumlu avukat Av. Ahmet Karaca’dır.

Sık sorulan sorular

İlgili rehberler ve uzmanlık alanları

• MASAK şüpheli işlem bildirimi ve fon kaynağı
• P2P işlemlerinde MASAK transfer kuralları
• Yaptırımlar ve yayılmanın finansmanı: cüzdan, mixer, P2P
• Paravan şirket ve gerçek faydalanıcı analizi
• P2P merchant faaliyeti SPK izni gerektirir mi?

Bu sayfadaki bilgiler genel nitelikte hukuki bilgilendirme amacı taşır; somut bir olaya ilişkin hukuki görüş yerine geçmez. Mevzuat atıfları yayın tarihindeki konsolide metinlere (mevzuat.gov.tr) göredir; her dosya kendi koşulları içinde değerlendirilmelidir.