Fintech Şirketlerinde MASAK Uyum Yükümlülükleri Nelerdir?

Finansal teknoloji şirketleri; para transferi, ödeme hizmetleri, elektronik para, dijital cüzdan, sanal POS, kripto varlık işlemleri ve benzeri finansal hizmetleri dijital ortamda gerçekleştirmeleri nedeniyle suç gelirlerinin aklanması ve terörizmin finansmanı bakımından yüksek önem taşıyan sektörlerden biridir.

Bu nedenle Türkiye’de faaliyet gösteren bir fintech şirketinin yalnızca TCMB, SPK veya KVKK mevzuatına uyum sağlaması yeterli değildir. Şirketin faaliyet türüne göre Mali Suçları Araştırma Kurulu (MASAK) mevzuatından kaynaklanan yükümlülüklerin de yerine getirilmesi gerekir.

Ancak önemli bir ayrım yapılmalıdır: Her fintech şirketi otomatik olarak MASAK yükümlüsü değildir. Şirketin yalnızca finans sektörüne yazılım geliştirmesi ile müşterilerin fonlarına temas eden bir ödeme veya elektronik para kuruluşu olarak faaliyet göstermesi aynı hukuki rejime tabi değildir.

Ödeme kuruluşları ve elektronik para kuruluşları ise MASAK tarafından açıkça yükümlüler arasında sayılmaktadır. Benzer şekilde kripto varlık hizmet sağlayıcıları ve diğer bazı finansal kuruluşlar da faaliyet alanlarına göre 5549 sayılı Kanun kapsamında yükümlüdür.

Bu yazıda fintech şirketlerinin MASAK uyum yükümlülükleri, ödeme kuruluşlarında MASAK yükümlülükleri, elektronik para kuruluşlarında uyum programı, müşteri tanıma, KYC, şüpheli işlem bildirimi, uyum görevlisi, risk yönetimi ve MASAK denetimleri ayrıntılı olarak ele alınmaktadır.

Fintech Şirketlerinin MASAK’a Tabi Olup Olmadığı Nasıl Belirlenir?

“Fintech” Türk mevzuatında bütün finansal teknoloji şirketlerini kapsayan tek bir lisans veya yükümlü kategorisi değildir.

Örneğin yalnızca bankalara dolandırıcılık tespit yazılımı geliştiren bir teknoloji şirketi ile kullanıcıların para transferlerini gerçekleştiren ödeme kuruluşunun MASAK bakımından statüsü aynı değildir.

Bu nedenle ilk olarak şirketin 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve ilgili ikincil mevzuat kapsamında yükümlü olup olmadığı belirlenmelidir.

MASAK’ın güncel yükümlü grupları arasında ödeme kuruluşları ile elektronik para kuruluşları açıkça yer almaktadır.

Dolayısıyla ödeme veya elektronik para kuruluşu kurulması planlanıyorsa MASAK uyumu, şirket faaliyet göstermeye başladıktan sonra ele alınacak ikincil bir konu olarak görülmemelidir.

Uyum sistemi şirketin teknolojik ve operasyonel yapısıyla birlikte kurulmalıdır.

MASAK Uyumunun Temel Amacı Nedir?

MASAK mevzuatının temel amaçlarından biri finansal sistemin suç gelirlerinin aklanması ve terörizmin finansmanı amacıyla kullanılmasının önlenmesidir.

Fintech şirketleri bakımından bu risk özellikle önemlidir. Çünkü dijital finans sistemlerinde işlemler kısa süre içerisinde çok sayıda hesap ve kullanıcı arasında gerçekleştirilebilir.

Örneğin;

• farklı kişiler adına çok sayıda hesap açılması,
• hesapların üçüncü kişilere kullandırılması,
• kısa süre içerisinde hesaba para girip çıkması,
• ekonomik amacı açıklanamayan transferler,
• olağandışı sayıda farklı kişiden para alınması,
• müşteri profiliyle uyumsuz işlem hacimleri,
• yasa dışı bahis veya dolandırıcılıkla bağlantılı para hareketleri

fintech şirketlerinin işlem izleme sistemlerinde değerlendirilmesi gereken riskler arasında bulunabilir.

MASAK, ödeme ve elektronik para kuruluşları için sektöre özgü Şüpheli İşlem Bildirim Rehberi yayımlamakta ve sektörel risk göstergelerini ayrıca düzenlemektedir. Rehber 2024 yılında MASAK Online sistemiyle birlikte güncellenmiştir.

Fintech Şirketlerinde Müşterinin Tanınması Yükümlülüğü

MASAK uyum sisteminin en önemli unsurlarından biri müşterinin tanınmasıdır.

Uygulamada bu süreç çoğunlukla “Know Your Customer” veya KYC olarak adlandırılmaktadır.

Fintech şirketi, müşteriyle iş ilişkisi kurarken yalnızca müşterinin adını ve telefon numarasını almakla yetinemez.

Somut işleme göre;

müşterinin kimliği, işlem amacı, müşteri profili, işlem davranışları ve gerektiğinde işlemin veya fonların kaynağı hakkında bilgi edinilmesi gerekebilir.

5549 sayılı Kanun ve Tedbirler Yönetmeliği, yükümlülerin müşterilerin kimliklerini tespit etmelerine ve gerekli müşteri tanıma tedbirlerini uygulamalarına ilişkin esasları düzenlemektedir.

Kimlik Tespiti Ne Zaman Yapılır?

Kimlik tespiti yalnızca yüksek tutarlı işlemlerde uygulanacak bir prosedür değildir.

Özellikle sürekli iş ilişkisi kurulması hâlinde müşteri kimliğinin mevzuatta öngörülen şekilde tespit edilmesi gerekir.

Ayrıca belirli parasal sınırları aşan tek seferlik veya bağlantılı işlemler ile şüpheli işlem bildirimi gerektiren durumlarda da kimlik tespiti yükümlülüğü gündeme gelebilir. Şüpheli işlem söz konusuysa parasal tutarın düşük olması, işlemi kendiliğinden MASAK yükümlülüklerinin dışına çıkarmaz.

Bu nedenle fintech şirketlerinin KYC sistemleri yalnızca “işlem limiti aşıldığında kimlik iste” şeklinde tasarlanmamalıdır.

Fintech Şirketlerinde Uzaktan Kimlik Tespiti Yapılabilir mi?

Evet. Özellikle ödeme ve elektronik para kuruluşlarında müşteri ediniminin mobil uygulama üzerinden gerçekleştirilmesi nedeniyle uzaktan kimlik tespiti önemli bir uygulama hâline gelmiştir.

MASAK Genel Tebliği Sıra No: 19 uyarınca ödeme ve elektronik para kuruluşlarının müşterileriyle sürekli iş ilişkisi kurulmasında uzaktan kimlik tespiti, TCMB’nin ödeme ve elektronik para kuruluşlarına ilişkin bilgi sistemleri düzenlemelerinde belirlenen yöntem ve tedbirler kapsamında gerçekleştirilebilir.

Bu nedenle yalnızca kimliğin fotoğrafının uygulamaya yüklenmesi, her durumda mevzuata uygun uzaktan kimlik tespiti yapıldığı anlamına gelmez.

Fintech şirketinin MASAK mevzuatı ile TCMB’nin teknik kimlik doğrulama düzenlemelerini birlikte değerlendirmesi gerekir.

Gerçek Faydalanıcının Tespiti Neden Önemlidir?

MASAK uyumunun temel prensiplerinden biri, işlemin görünürdeki tarafıyla yetinilmemesidir.

Özellikle tüzel kişi müşteriler bakımından şirketin arkasındaki gerçek kontrol sahibinin ve gerçek faydalanıcının tespit edilmesi gerekebilir.

Örneğin fintech şirketi adına hesap açan bir limited şirketin yalnızca ticaret sicili bilgilerini almak yeterli olmayabilir. Şirketin gerçek ortakları, kontrol yapısı ve işlemi gerçekte kimin adına gerçekleştirdiği ayrıca değerlendirilmelidir.

Bu konu özellikle;

çok katmanlı şirket yapılanmaları, yabancı ortaklık zincirleri, temsil yoluyla yapılan işlemler ve ekonomik amacı açık olmayan şirket hesapları bakımından önem taşır.

MASAK’ın müşterinin tanınmasına ilişkin sistemi, yükümlünün müşteriyi ve müşteri adına veya hesabına hareket eden kişileri gerektiği ölçüde tanımasını amaçlamaktadır.

Şüpheli İşlem Bildirimi Nedir?

Fintech şirketlerinin en önemli MASAK yükümlülüklerinden biri Şüpheli İşlem Bildirimi (ŞİB) yükümlülüğüdür.

Bir işlemin suçtan kaynaklanan mal varlığıyla ilgili olduğu veya yasa dışı amaçlarla kullanıldığına ilişkin bilgi, şüphe veya şüpheyi gerektirecek bir husus bulunması hâlinde MASAK’a bildirim yapılması gündeme gelir.

Ödeme ve elektronik para kuruluşları için MASAK tarafından ayrı sektörel şüpheli işlem bildirim rehberi hazırlanmıştır.

Burada şirketin işlemin kesin olarak suçtan kaynaklandığını ispat etmesi gerekmez.

Şüpheli işlem bildirimi sisteminin amacı zaten finansal kuruluşun karşılaştığı ciddi ve makul şüphelerin MASAK’a aktarılmasıdır.

Şüpheli İşlem Bildirimi Kaç Gün İçinde Yapılmalıdır?

Şüpheli işlem bildiriminin, şüphenin oluştuğu tarihten itibaren en geç on iş günü içerisinde MASAK’a yapılması gerekir.

Gecikmesinde sakınca bulunan hâllerde bildirim süreci daha hızlı şekilde yürütülmelidir.

Bu nedenle fintech şirketlerinde işlem izleme sisteminin yalnızca şüpheli işlemleri tespit etmesi yeterli değildir.

Tespit edilen alarmın;

inceleme → değerlendirme → karar → MASAK bildirimi

süreçlerinden zamanında geçmesini sağlayacak operasyonel sistemin de kurulması gerekir.

Her Olağandışı İşlem MASAK’a Bildirilmeli midir?

Her farklı veya sıra dışı işlem otomatik olarak şüpheli işlem bildirimine dönüşmez.

Fintech şirketinin müşterinin;

• ekonomik profili,
• geçmiş işlemleri,
• işlem sıklığı,
• işlem tutarı,
• fonların geldiği ve gittiği taraflar,
• işlemin açıklanabilir ekonomik amacı

gibi unsurları birlikte değerlendirmesi gerekir.

Bu nedenle yalnızca “100.000 TL üzerindeki bütün işlemleri ŞİB yap” şeklindeki mekanik bir sistem etkili MASAK uyumu olarak değerlendirilemez.

Risk temelli yaklaşım çerçevesinde işlemlerin bağlamı ve müşteri profiliyle uyumu önem taşır. MASAK, sektörel ŞİB rehberlerini de yükümlülerin şüpheli işlemleri zamanında, doğru ve nitelikli şekilde tespit edebilmesi amacıyla hazırlamaktadır.

Şüpheli İşlem Bildirildiği Müşteriye Söylenebilir mi?

Hayır.

MASAK’a şüpheli işlem bildirimi yapıldığının müşteriye veya yetkisiz üçüncü kişilere açıklanması yasaktır.

5549 sayılı Kanunun 4. maddesi kapsamında yükümlüler, MASAK’a şüpheli işlem bildirimi yapıldığını, yükümlülük denetimiyle görevlendirilen kişiler ile mevzuatta belirtilen yetkililer dışında kimseye açıklayamaz.

Dolayısıyla müşteri;

“İşlemimi neden durdurdunuz, hakkımda MASAK bildirimi mi yaptınız?”

şeklinde soru yönelttiğinde şirket çalışanlarının ŞİB sürecini ifşa etmemesi gerekir.

Bu nedenle yalnızca uyum departmanı değil, müşteri hizmetleri ve operasyon ekipleri de bu konuda eğitilmelidir.

Fintech Şirketlerinde Uyum Programı Oluşturmak Zorunlu mudur?

Faaliyet türüne göre evet.

Elektronik para kuruluşları ile ödeme kuruluşlarının önemli bir bölümü, MASAK mevzuatı uyarınca uyum programı oluşturmakla yükümlüdür.

Uyum programı temel olarak;

kurum politika ve prosedürlerinin oluşturulmasını, risk yönetimini, izleme ve kontrol faaliyetlerini, uyum görevlisi ve uyum biriminin oluşturulmasını, eğitim faaliyetlerini ve iç denetimi içermektedir.

Ancak ödeme kuruluşlarının faaliyet kapsamına göre istisnalar bulunmaktadır.

Münhasıran fatura ödemelerine aracılık, ödeme emri başlatma veya ödeme hesabına ilişkin bilgilerin sunulması hizmetlerini sağlayan belirli ödeme kuruluşları bakımından tam kapsamlı uyum programı yerine farklı uyum görevlisi yükümlülükleri uygulanabilmektedir.

Bu nedenle ödeme kuruluşunun TCMB faaliyet izninde hangi ödeme hizmetlerinin bulunduğu MASAK yükümlülüğünün kapsamını da etkileyebilir.

MASAK Uyum Programında Neler Bulunmalıdır?

Fintech şirketinin uyum programı hazır bir “MASAK politika dosyası” satın alınarak tamamlanabilecek bir işlem değildir.

Uyum sisteminin şirketin gerçek faaliyet modeline göre oluşturulması gerekir.

Örneğin elektronik para kuruluşunda;

müşteri edinimi, para yükleme, para çekme, kart işlemleri, para transferleri, temsilci ağı, işyeri ilişkileri ve dijital cüzdan işlemleri ayrı riskler oluşturabilir.

Uyum programında genel olarak;

kurum politikası ve prosedürleri, risk yönetimi, izleme ve kontrol, uyum görevlisi ve uyum birimi, eğitim ve iç denetim

mekanizmalarının birlikte çalışması gerekir.

Fintech Şirketlerinde Uyum Görevlisi Atanması

MASAK mevzuatına tabi birçok finansal kuruluşun şirket bünyesinde uyum görevlisi bulundurması gerekmektedir.

Elektronik para kuruluşları ile tam kapsamlı uyum programı oluşturması gereken ödeme kuruluşları bakımından uyum görevlisi, MASAK sisteminin merkezindeki kişilerden biridir.

Şüpheli işlemlerin değerlendirilmesi, MASAK bildirimlerinin yapılması, uyum politikalarının yürütülmesi ve risk yönetimi süreçlerinin koordinasyonu uyum görevlisinin görev alanıyla yakından bağlantılıdır. Uyum görevlisi atamak zorunda olan kuruluşlarda şüpheli işlem bildirimleri de kural olarak uyum görevlisi üzerinden gerçekleştirilmektedir.

2025 yılından itibaren uyum görevlilerinin lisanslanması ve yetkilendirilmesine ilişkin yeni sistem de uygulamaya alınmış; MASAK uyum görevlisi yetkilendirme sınavları ve lisans başvuruları başlatılmıştır. Bu nedenle 2026 yılında yapılacak yeni atamalarda güncel uyum görevlisi lisans ve atama kriterlerinin ayrıca kontrol edilmesi gerekir.

Uyum Görevlisi Sadece İsmen Atanabilir mi?

Uyum görevlisinin yalnızca ticaret sicili veya şirket içi kararla atanması yeterli değildir.

Uyum görevlisinin;

şirket içerisinde gerekli bilgiye erişebilmesi, işlem kayıtlarını inceleyebilmesi, üst yönetime raporlama yapabilmesi ve görevini bağımsız şekilde yerine getirebilmesi gerekir.

Bu nedenle uyum görevlisinin operasyon veya satış biriminin baskısı altında çalıştığı ve şüpheli işlemleri değerlendirme yetkisinin fiilen bulunmadığı bir organizasyon yapısı ciddi uyum riski oluşturabilir.

MASAK’ın uyum programı sisteminde uyum faaliyetleri yönetim kurulunun gözetim ve sorumluluğunda yürütülmektedir.

MASAK Uyumunda Yönetim Kurulunun Sorumluluğu Var mıdır?

Evet.

MASAK uyumu yalnızca uyum görevlisinin kişisel sorumluluğuna bırakılamaz.

Uyum programının etkin biçimde yürütülmesi şirket üst yönetimi ve yönetim kurulunun sorumluluk alanıyla doğrudan bağlantılıdır.

Uyum görevlisinin atanması, yeterli insan kaynağı ve teknolojik altyapının sağlanması, risk yönetimi sistemlerinin oluşturulması ve tespit edilen eksikliklerin giderilmesi yönetim seviyesinde ele alınmalıdır.

5549 sayılı Kanun kapsamında belirli uyum programı ihlallerinde sorumlu yönetim kurulu üyesi veya üst düzey yönetici bakımından da idari yaptırım öngörülebilmektedir. MASAK, bu yaptırım sistemini güncel yaptırımlar sayfasında ayrıca açıklamaktadır.

Fintech Şirketlerinde Risk Yönetimi Nasıl Yapılmalıdır?

Fintech şirketlerinin müşterilerini ve işlemlerini aynı risk seviyesinde değerlendirmesi beklenmez.

Risk temelli sistemde örneğin;

müşterinin ülkesi, faaliyet konusu, işlem hacmi, kullandığı ürün, para transferlerinin yönü ve müşteri edinim yöntemi farklı risk seviyeleri oluşturabilir.

Daha yüksek risk taşıyan müşteriler bakımından sıkılaştırılmış tedbirlerin uygulanması gerekebilir.

MASAK, 30 Eylül 2025 tarihinde Sıkılaştırılmış Tedbirler Rehberini güncelleyerek yükümlülere riskli durumlarda uygulanacak tedbirler konusunda ayrıca rehberlik sağlamıştır.

Dolayısıyla bütün müşterilere aynı KYC formunun uygulanması, tek başına risk temelli MASAK uyum sistemi oluşturmaz.

İşlem İzleme Sistemi Neden Önemlidir?

Fintech şirketlerinin işlem hacmi büyüdükçe bütün işlemlerin insan eliyle incelenmesi mümkün değildir.

Bu nedenle özellikle ödeme ve elektronik para kuruluşlarında otomatik veya yarı otomatik transaction monitoring – işlem izleme sistemleri önem taşır.

İşlem izleme sistemi;

müşterinin normal işlem davranışından sapmaları, bağlantılı hesapları, hızlı para giriş çıkışlarını, farklı kişiler arasında olağandışı transfer ilişkilerini ve şirketin risk modelinde belirlediği diğer göstergeleri tespit edebilmelidir.

Ancak yalnızca çok sayıda alarm üreten bir yazılım yeterli değildir.

Alarmların;

incelenmesi, gerekçelendirilmesi, kapatılması veya uyum görevlisine yükseltilmesi ve gerekiyorsa ŞİB’e dönüştürülmesi gerekir.

MASAK’ın sektörel ŞİB rehberlerinde ödeme ve elektronik para sektörüne özgü risk ve şüphe göstergelerine yer verilmesinin amacı da bu operasyonların daha nitelikli yürütülmesidir.

Yasa Dışı Bahis ve Dolandırıcılık Fintech Şirketleri İçin Neden Önemlidir?

Ödeme ve elektronik para sistemlerinin yasa dışı bahis, dolandırıcılık, hesap kiralama veya suç gelirlerinin transferinde kullanılmaya çalışılması sektördeki önemli risk alanlarından biridir.

Örneğin kullanıcı hesabına kısa süre içerisinde çok sayıda farklı kişiden para gelmesi ve paranın hemen başka hesaplara aktarılması, müşterinin ekonomik profiliyle açıklanamayan ödeme hareketleri veya çok sayıda hesap arasında benzer transfer örüntülerinin bulunması ayrıca incelenebilir.

Ancak fintech şirketinin yalnızca belirli kelimeler veya tek bir tutar üzerinden otomatik suç varsayımı yapması doğru değildir.

İşlem örüntüsü, müşteri profili ve diğer mevcut bilgiler birlikte değerlendirilmelidir.

Fintech Şirketlerinde Eğitim Yükümlülüğü

MASAK uyum programının önemli unsurlarından biri çalışanların eğitilmesidir.

Eğitim yalnızca uyum departmanına verilmemelidir.

Özellikle;

müşteri edinimi, operasyon, müşteri hizmetleri, fraud, ödeme işlemleri, finans ve yönetim kadrolarının MASAK risklerini kendi görevleri ölçüsünde tanıyabilmesi gerekir.

Çünkü şüpheli bir işlem ilk olarak uyum görevlisinin ekranında değil, çağrı merkezi görüşmesinde veya operasyon çalışanının incelemesinde ortaya çıkabilir.

Eğitim faaliyetleri, uyum programının MASAK tarafından öngörülen temel unsurlarından biridir.

MASAK İç Denetimi Nedir?

Uyum sistemi yalnızca prosedür hazırlanarak kurulmuş sayılmaz.

Şirketin belirli dönemlerde;

KYC süreçlerinin doğru çalışıp çalışmadığını, risk skorlarının uygulanıp uygulanmadığını, ŞİB değerlendirmelerinin zamanında yapılıp yapılmadığını ve çalışanların prosedürlere uyup uymadığını denetlemesi gerekir.

Bu nedenle iç denetim, uyum programının temel unsurlarından biridir.

Örneğin politika belgesinde yüksek riskli müşterilerin yılda bir kez gözden geçirileceği yazıyor ancak sistemde üç yıldır güncellenmemiş müşteri kayıtları bulunuyorsa, yalnızca politika belgesinin mevcut olması yeterli değildir.

MASAK’a Bilgi ve Belge Verme Yükümlülüğü

Fintech şirketlerinin MASAK kapsamındaki yükümlülükleri yalnızca müşteri tanıma ve ŞİB’den ibaret değildir.

MASAK veya yetkili denetim elemanları tarafından talep edildiğinde mevzuatta öngörülen bilgi ve belgelerin verilmesi de gerekir.

5549 sayılı Kanun uyarınca denetim elemanları yükümlülerden bilgi, belge ve kanuni defterleri isteyebilir ve gerekli kayıtları inceleyebilir.

Bu nedenle şirketin veri ve işlem kayıtlarını sonradan üretmeye çalışması yerine denetlenebilir, izlenebilir ve gerektiğinde ibraz edilebilir sistemler kurması gerekir.

MASAK Belgeleri Ne Kadar Süre Saklanmalıdır?

5549 sayılı Kanun uyarınca yükümlülerin yükümlülüklerine ve işlemlerine ilişkin belgeleri, ilgili mevzuatta belirlenen başlangıç tarihinden itibaren sekiz yıl süreyle muhafaza etmeleri ve istenmesi hâlinde yetkililere ibraz etmeleri gerekir.

Bu nedenle fintech şirketinin yalnızca müşteri hesabının kapatılmasıyla bütün kayıtları silmesi doğru olmayabilir.

KVKK kapsamında veri minimizasyonu ve silme yükümlülükleri ile MASAK ve diğer finansal mevzuattan kaynaklanan zorunlu saklama sürelerinin birlikte değerlendirilmesi gerekir.

MASAK Uyum Yükümlülükleri KVKK ile Çelişir mi?

Hayır. Ancak iki mevzuat birlikte uygulanmalıdır.

KVKK kişisel verilerin hukuka uygun şekilde işlenmesini ve gereğinden uzun tutulmamasını öngörürken MASAK mevzuatı bazı bilgi ve belgelerin belirli sürelerle saklanmasını zorunlu kılabilir.

Bu nedenle;

“KVKK nedeniyle bütün müşteri kayıtlarını hemen siliyoruz.”

yaklaşımı da,

“MASAK yükümlüsüyüz, bütün müşteri verilerini süresiz tutabiliriz.”

yaklaşımı da doğru değildir.

Her veri kategorisinin hangi kanuni yükümlülük nedeniyle ve ne kadar süre tutulduğu ayrıca belirlenmelidir.

Fintech Şirketlerinde Yaptırım Listelerinin Kontrolü

Fintech şirketlerinin yalnızca suç gelirlerinin aklanması riskini değil; terörizmin finansmanı ve kitle imha silahlarının yayılmasının finansmanı kapsamında uygulanan malvarlığının dondurulması kararlarını da dikkate alması gerekir.

Bu nedenle müşteri ve işlem taraflarının ilgili yaptırım ve malvarlığı dondurma listeleri bakımından kontrol edilmesi şirketin AML/CFT sisteminin önemli parçalarından biri hâline gelebilir.

MASAK, 6415 sayılı Terörizmin Finansmanının Önlenmesi Hakkında Kanun ile 7262 sayılı Kitle İmha Silahlarının Yayılmasının Finansmanının Önlenmesine İlişkin Kanun kapsamında ilgili düzenlemeleri ve listeleri yayımlamaktadır.

Fintech Şirketlerinde MASAK Uyum Süreci Nasıl Kurulmalıdır?

Sağlıklı bir MASAK uyum sistemi genel olarak şu aşamalar üzerinden oluşturulabilir:

1. Şirketin MASAK bakımından yükümlü olup olmadığı ve yükümlülüğün kapsamı belirlenir.
2. Sunulan ürün ve ödeme hizmetleri risk analizine tabi tutulur.
3. Müşteri kabul ve KYC prosedürleri oluşturulur.
4. Gerçek faydalanıcı tespit sistemi kurulur.
5. Müşteri risk sınıflandırması yapılır.
6. İşlem izleme ve alarm senaryoları oluşturulur.
7. Şüpheli işlem değerlendirme ve MASAK bildirim prosedürü hazırlanır.
8. Gerekiyorsa uyum görevlisi ve uyum görevlisi yardımcısı atanır.
9. Kurum politikası, risk yönetimi, izleme-kontrol, eğitim ve iç denetim mekanizmaları oluşturulur.
10. Belge saklama ve MASAK bilgi taleplerine cevap sistemi hazırlanır.
11. Çalışan eğitimleri düzenli olarak gerçekleştirilir.
12. Sistem belirli aralıklarla test ve iç denetime tabi tutulur.

Bu sistemin şirketin kuruluş aşamasında tasarlanması, sonradan yüz binlerce müşteri hesabının yeniden sınıflandırılması veya teknoloji altyapısının değiştirilmesi ihtiyacını azaltabilir.

MASAK Yükümlülüklerinin İhlalinin Sonuçları Nelerdir?

MASAK yükümlülüklerinin ihlal edilmesi önemli idari ve bazı durumlarda cezai sonuçlara yol açabilir.

5549 sayılı Kanunda;

kimlik tespiti, şüpheli işlem bildirimi, bilgi ve belge verme, muhafaza ve ibraz ile uyum programına ilişkin çeşitli yükümlülüklerin ihlali bakımından yaptırımlar öngörülmüştür.

İdari para cezaları yeniden değerleme nedeniyle yıllara göre değişebildiğinden, 2026 yılında uygulanacak güncel tutarlar MASAK tarafından ayrıca yayımlanmıştır.

Ödeme ve elektronik para kuruluşları bakımından MASAK ihlalleri yalnızca MASAK yaptırımı açısından da değerlendirilmemelidir.

Ciddi uyum eksiklikleri, kuruluşun genel risk yönetimi ve mevzuata uyumu bakımından TCMB denetimlerinde de önem taşıyabilir.

Fintech Şirketlerinin MASAK Uyumunda En Sık Yaptığı Hatalar

Fintech şirketlerinde sık karşılaşılan sorunlardan biri MASAK uyumunun yalnızca kimlik fotoğrafı alınması ve uyum görevlisi atanmasıyla tamamlandığının düşünülmesidir.

Uygulamada özellikle;

müşteri risk skorlamasının yapılmaması, gerçek faydalanıcının araştırılmaması, bütün müşterilerin aynı risk seviyesinde değerlendirilmesi, işlem izleme sisteminin yetersiz olması, üretilen alarmların zamanında incelenmemesi, ŞİB süresinin kaçırılması, şüpheli işlem bildiriminin müşteriye açıklanması, çalışan eğitimlerinin yapılmaması, yüksek riskli müşterilerde sıkılaştırılmış tedbirlerin uygulanmaması ve politikaların fiili operasyonla uyuşmaması önemli risk alanları oluşturabilir.

Özellikle ödeme ve elektronik para şirketlerinde müşteri sayısının kısa sürede yüz binlere veya milyonlara çıkabilmesi nedeniyle manuel uyum sistemleri ölçek büyüdükçe işlevsiz hâle gelebilir.

MASAK Uyum Programı Şirket Kurulurken mi Hazırlanmalıdır?

Özellikle lisanslı fintech şirketlerinde MASAK uyumunun şirket faaliyete başladıktan sonra ele alınması doğru bir yaklaşım değildir.

Örneğin müşteri risk skorlaması yazılım mimarisine baştan eklenmemişse daha sonra bütün kullanıcı sisteminin değiştirilmesi gerekebilir.

Aynı şekilde;

KYC, işlem izleme, yaptırım kontrolü, gerçek faydalanıcı bilgileri, ŞİB alarm sistemi ve kayıt saklama yapısının teknoloji geliştirme aşamasında planlanması önemli avantaj sağlar.

Bu nedenle ödeme kuruluşu veya elektronik para kuruluşu projesinde;

TCMB lisans uyumu + MASAK uyumu + bilgi sistemleri + KVKK

süreçlerinin birbirinden bağımsız değil, aynı ürün mimarisinin parçaları olarak planlanması gerekir.

Sıkça Sorulan Sorular

Her fintech şirketi MASAK yükümlüsü müdür?

Hayır. Fintech yalnızca genel bir sektör tanımıdır. Şirketin sunduğu hizmetin MASAK mevzuatında yükümlü faaliyetler arasında bulunup bulunmadığı değerlendirilmelidir. Ödeme kuruluşları ile elektronik para kuruluşları MASAK yükümlüleri arasındadır.

Ödeme kuruluşları MASAK’a tabi midir?

Evet. Ödeme kuruluşları 5549 sayılı Kanun ve ilgili MASAK mevzuatı kapsamında yükümlüdür. Bununla birlikte faaliyet türüne göre tam kapsamlı uyum programı yükümlülüğü bakımından bazı istisnalar bulunmaktadır.

Elektronik para kuruluşları MASAK uyum programı hazırlamak zorunda mıdır?

Evet. Elektronik para kuruluşları uyum programı oluşturması gereken yükümlüler arasında yer almaktadır.

Şüpheli işlem ne kadar sürede MASAK’a bildirilmelidir?

Şüphenin oluştuğu tarihten itibaren kural olarak en geç on iş günü içerisinde bildirim yapılmalıdır.

Müşteriye MASAK bildirimi yapıldığı söylenebilir mi?

Hayır. Şüpheli işlem bildiriminin müşteriye veya yetkisiz kişilere açıklanması yasaktır.

MASAK kayıtları kaç yıl saklanmalıdır?

5549 sayılı Kanun kapsamında ilgili bilgi ve belgeler kural olarak sekiz yıl muhafaza edilmelidir.

Fintech şirketinde uyum görevlisi zorunlu mudur?

Şirketin faaliyet türüne ve tabi olduğu uyum rejimine göre uyum görevlisi atanması gerekebilir. Elektronik para kuruluşları ve tam kapsamlı uyum programına tabi ödeme kuruluşları bakımından uyum görevlisi sistemin temel unsurlarından biridir. 2026 itibarıyla atamalarda MASAK’ın güncel lisans ve yetkilendirme şartlarının da dikkate alınması gerekir.

Sonuç: Fintech Şirketlerinde MASAK Uyumu Teknolojik ve Hukuki Bir Sistem Olarak Kurulmalıdır

Fintech şirketlerinde MASAK uyumu yalnızca birkaç politika belgesi hazırlanması veya bir uyum görevlisi atanmasından ibaret değildir.

Özellikle ödeme kuruluşları ve elektronik para kuruluşlarının;

müşterilerini tanıması, gerçek faydalanıcıları tespit etmesi, müşteri risklerini sınıflandırması, işlemleri sürekli izlemesi, şüpheli işlemleri zamanında MASAK’a bildirmesi, bildirim gizliliğini koruması, gerekli belgeleri saklaması, çalışanlarını eğitmesi ve etkin bir iç kontrol ve denetim sistemi oluşturması gerekir. MASAK’ın güncel mevzuat ve sektörel rehberleri bu yükümlülüklerin ödeme ve elektronik para sektörüne özgü biçimde uygulanmasını öngörmektedir.

Fintech şirketlerinin işlem hacimlerinin yüksek, işlemlerin ise saniyeler içerisinde gerçekleşebilmesi nedeniyle MASAK uyumunun manuel bir kontrol sistemi olarak tasarlanması çoğu durumda yeterli olmayacaktır.

Bu nedenle özellikle ödeme kuruluşu, elektronik para kuruluşu, dijital cüzdan, para transferi ve diğer lisanslı fintech projelerinde MASAK uyum sisteminin şirket faaliyete başlamadan önce kurulması; KYC, işlem izleme, risk skorlama, yaptırım kontrolleri ve ŞİB süreçlerinin doğrudan yazılım ve operasyon altyapısına entegre edilmesi önem taşımaktadır.

Başarılı bir fintech projesinde MASAK uyumu, faaliyetin önündeki bürokratik bir yükümlülük olarak değil, şirketin lisansını, finansal sistemdeki güvenilirliğini ve uzun vadeli faaliyet devamlılığını koruyan temel bir risk yönetimi sistemi olarak değerlendirilmelidir.