Fintech Şirketlerinde Kara Para Aklamayla Mücadele

Finansal teknoloji şirketleri; ödeme, para transferi, elektronik para, dijital cüzdan, sanal POS ve kripto varlık hizmetlerinin saniyeler içerisinde gerçekleştirilebilmesini sağlamaktadır. Finansal işlemlerin hızlanması ve hizmetlerin tamamen dijital ortama taşınması kullanıcılar açısından önemli kolaylıklar sağlarken, finansal sistemlerin suç gelirlerinin aklanması ve terörizmin finansmanı amacıyla kullanılma riskini de beraberinde getirmektedir.

Bu nedenle Türkiye’de faaliyet gösteren fintech şirketlerinin yalnızca teknik olarak güvenli bir ödeme altyapısı kurması yeterli değildir. Şirketin iş modeline göre müşterinin tanınması, kimlik tespiti, gerçek faydalanıcının belirlenmesi, müşteri risklerinin sınıflandırılması, işlemlerin izlenmesi ve şüpheli işlemlerin MASAK’a bildirilmesini sağlayacak kapsamlı bir AML – Anti-Money Laundering uyum sistemi oluşturulması gerekebilir.

Türk hukukunda günlük kullanımda “kara para aklama” olarak ifade edilen kavramın hukuki karşılığı esas itibarıyla suçtan kaynaklanan mal varlığı değerlerinin aklanmasıdır. Fintech şirketleri bakımından suç gelirlerinin aklanmasının önlenmesine ilişkin temel düzenlemelerin başında 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve bu Kanuna dayanılarak çıkarılan MASAK düzenlemeleri gelmektedir. Ödeme kuruluşları ile elektronik para kuruluşları MASAK mevzuatı kapsamında yükümlü kuruluşlar arasında yer almaktadır.

Fintech Şirketleri Kara Para Aklama Bakımından Neden Risklidir?

Fintech sistemlerinin temel avantajlarından biri işlemlerin hızlı, uzaktan ve yüksek ölçüde otomatik olarak gerçekleştirilebilmesidir.

Ancak aynı özellikler kötü niyetli kişiler tarafından da kullanılmaya çalışılabilir.

Örneğin;

• üçüncü kişiler adına açılmış hesapların kullanılması,
• başka kişilere ait hesapların kiralanması,
• çok sayıda küçük tutarlı işlemin gerçekleştirilmesi,
• kısa süre içerisinde farklı hesaplar arasında para dolaştırılması,
• para hesaba gelir gelmez başka hesaplara aktarılması,
• sahte şirketler üzerinden ödeme alınması,
• yasa dışı bahis gelirlerinin ödeme sisteminden geçirilmesi,
• dolandırıcılık gelirlerinin farklı hesaplara dağıtılması

fintech sektöründe karşılaşılabilecek suç geliri aklama risklerinden bazılarıdır.

MASAK da suç gelirlerinin aklanmasında işlemlerin parçalanması, çok sayıda kişi veya hesap kullanılması ve fonların farklı finansal kanallardan geçirilmesi gibi yöntemlere dikkat çekmektedir.

Bu nedenle fintech şirketinin yalnızca ödeme işlemini teknik olarak doğru gerçekleştirmesi yeterli değildir. İşlemin kimin adına, hangi ekonomik amaçla ve hangi işlem örüntüsü içerisinde gerçekleştirildiğinin de gerekli durumlarda değerlendirilebilmesi gerekir.

Her Fintech Şirketi MASAK Yükümlüsü müdür?

Hayır.

“Fintech” hukuken tek bir faaliyet kategorisi değildir.

Örneğin bankalara muhasebe yazılımı geliştiren bir teknoloji şirketi ile müşteriler arasında para transferi gerçekleştiren ödeme kuruluşunun MASAK bakımından hukuki statüsü aynı olmayabilir.

Şirketin MASAK mevzuatı kapsamında yükümlü olup olmadığı, gerçekleştirdiği faaliyet esas alınarak belirlenir.

Ödeme kuruluşları ve elektronik para kuruluşları MASAK mevzuatındaki yükümlü gruplar arasında yer alırken kripto varlık hizmet sağlayıcıları bakımından da müşterinin tanınması, şüpheli işlem bildirimi, bilgi ve belge verme ve uyum programı dâhil kapsamlı AML yükümlülükleri bulunmaktadır. MASAK, kripto varlık hizmet sağlayıcılarına ilişkin rehberini 30 Eylül 2025 tarihinde güncellemiştir.

Bu nedenle bir fintech girişimi kurulurken ilk olarak:

“Şirket hangi finansal hizmeti sunacak ve bu faaliyet MASAK bakımından hangi yükümlülükleri doğuracak?”

sorusu cevaplandırılmalıdır.

Fintech Şirketlerinde AML Sistemi Nedir?

AML, İngilizce Anti-Money Laundering ifadesinin kısaltmasıdır ve suç gelirlerinin aklanmasıyla mücadele amacıyla oluşturulan sistemlerin genel adıdır.

Fintech şirketinde etkili bir AML sistemi yalnızca müşterinin kimliğinin alınmasından ibaret değildir.

Genel olarak sistem;

KYC + müşteri risk değerlendirmesi + gerçek faydalanıcı kontrolü + işlem izleme + yaptırım kontrolleri + şüpheli işlem bildirimi + eğitim + iç kontrol ve denetim

mekanizmalarının birlikte çalışmasını gerektirir.

Şirket müşteriyi sisteme alırken gerekli kontrolleri yapmalı ancak müşterinin tanınması sürecini onboarding aşamasında sona erdirmemelidir.

Müşteri sisteme girdikten sonraki işlemlerin de müşteri profili ve belirlenen risk seviyesiyle uyumlu olup olmadığı takip edilmelidir.

KYC Kara Para Aklamayla Mücadelenin Neden Temelidir?

KYC, yani Know Your Customer – Müşterini Tanı, fintech şirketlerinin AML sisteminin temel unsurlarından biridir.

Şirketin müşterinin kim olduğunu bilmediği bir sistemde şüpheli işlem tespitinin etkili biçimde yapılması son derece güçtür.

Ödeme kuruluşunun gerekli durumlarda;

• müşterinin kimliğini tespit etmesi,
• bilgileri doğrulaması,
• müşteri adına başka bir kişinin hareket edip etmediğini belirlemesi,
• tüzel kişilerde gerçek faydalanıcıyı araştırması,
• iş ilişkisinin amacı hakkında bilgi edinmesi

gerekir.

MASAK’ın müşterinin tanınmasına ilişkin düzenlemeleri kimlik tespitinden daha geniş bir sistemi esas almakta; gerçek faydalanıcı ve müşteri risklerinin değerlendirilmesine yönelik yükümlülükler de öngörmektedir.

Sadece Kimlik Fotoğrafı Almak KYC İçin Yeterli midir?

Hayır.

Bir müşterinin kimlik kartının veya pasaportunun fotoğrafını uygulamaya yüklemesi tek başına etkili bir KYC sisteminin varlığını göstermez.

Kimlik tespitinin mevzuatta öngörülen yöntemlerle gerçekleştirilmesi ve gerekli bilgilerin doğrulanması gerekir.

Ödeme ve elektronik para kuruluşlarının sürekli iş ilişkisi kurulmasında uzaktan kimlik tespiti gerçekleştirmesi mümkündür; ancak bu işlemin TCMB’nin bilgi sistemleri düzenlemelerinde belirlenen yöntem ve tedbirlerle uyumlu olması gerekir. MASAK Genel Tebliği Sıra No: 19 bu konuda doğrudan TCMB düzenlemelerine atıf yapmaktadır.

Dolayısıyla fintech şirketinin KYC yazılımı satın alması, kullandığı sistemin otomatik olarak Türk mevzuatına uygun olduğu anlamına gelmez.

Gerçek Faydalanıcı Neden Araştırılmalıdır?

Suç gelirlerinin aklanmasında kullanılabilecek yöntemlerden biri işlemlerin şirketler veya üçüncü kişiler üzerinden gerçekleştirilerek gerçek kişinin görünmez hâle getirilmesidir.

Bu nedenle özellikle kurumsal müşteriler bakımından yalnızca ticaret sicilinde görünen şirketin kimliğinin belirlenmesi yeterli olmayabilir.

Örneğin ödeme kuruluşunda hesap açan şirket;

A Ltd. Şti. → B Holding → yabancı şirket → gerçek kişi

şeklinde bir ortaklık zincirinin parçasıysa şirketin gerçek kontrol yapısının incelenmesi gerekebilir.

MASAK, gerçek faydalanıcının tanınmasını müşterinin tanınması sisteminin önemli bir parçası olarak ayrıca ele almaktadır.

Bu nedenle fintech şirketlerinin kurumsal müşteri edinimi sırasında yalnızca şirket unvanı, vergi numarası ve şirket yetkilisini kaydetmekle yetinmemesi; mevzuatın gerekli gördüğü ölçüde nihai kontrol ve gerçek faydalanıcı yapısını da değerlendirmesi gerekir.

Fintech Şirketlerinde Müşteri Risk Sınıflandırması Nasıl Yapılır?

AML sisteminin temel prensiplerinden biri bütün müşterilerin aynı risk seviyesinde değerlendirilmemesidir.

Müşterinin;

• faaliyet gösterdiği sektör,
• bulunduğu ülke,
• işlem hacmi,
• kullandığı ürün,
• para transferlerinin yönü,
• müşteri edinim yöntemi,
• gerçek faydalanıcı yapısı,
• beklenen işlem davranışı

gibi unsurlar risk değerlendirmesinde dikkate alınabilir.

Bunun sonucunda müşteriler örneğin düşük, standart veya yüksek risk kategorilerinde değerlendirilebilir.

Ancak yalnızca yazılım tarafından oluşturulan bir risk puanı yeterli değildir.

Risk skorlamasının şirketin gerçek faaliyet modeline uygun şekilde oluşturulması, belirli aralıklarla gözden geçirilmesi ve yüksek riskli müşteriler bakımından daha kapsamlı kontrol mekanizmalarının uygulanması gerekir.

MASAK, 30 Eylül 2025 tarihinde Sıkılaştırılmış Tedbirler Rehberini güncellemiş; yüksek riskli müşteriler, teknolojik riskler, riskli ülkeler, kripto varlık hizmet sağlayıcıları ve ödeme-elektronik para kuruluşları bakımından uygulanacak ilave tedbirleri kapsamlı biçimde ele almıştır.

Sıkılaştırılmış Tedbirler Ne Zaman Uygulanır?

Yüksek riskli müşteri veya işlem tespit edilmesi hâlinde standart KYC işlemlerinin ötesine geçilmesi gerekebilir.

Somut durumun özelliklerine göre şirket;

• müşteri hakkında ilave bilgi isteyebilir,
• gerçek faydalanıcıyı daha ayrıntılı araştırabilir,
• müşteri bilgilerinin güncellenme sıklığını artırabilir,
• fonların kaynağı hakkında bilgi talep edebilir,
• işlemin ekonomik amacını araştırabilir,
• işlemleri daha yakından takip edebilir,
• üst yönetim onayı mekanizması uygulayabilir.

MASAK’ın yürürlükteki düzenlemeleri yüksek riskli ilişkiler bakımından müşteriye ve gerçek faydalanıcıya ilişkin bilgilerin daha sık güncellenmesi dâhil sıkılaştırılmış tedbirlerin uygulanmasına imkân vermektedir.

Bu yaklaşımın amacı yüksek risk taşıyan bütün müşterileri otomatik olarak reddetmek değil, riskin seviyesine uygun kontrol mekanizmaları oluşturmaktır.

Fintech Şirketlerinde İşlem İzleme Sistemi Nasıl Çalışmalıdır?

Milyonlarca ödeme işlemi gerçekleştiren bir fintech şirketinde işlemlerin tamamının çalışanlar tarafından tek tek incelenmesi mümkün değildir.

Bu nedenle transaction monitoring – işlem izleme sistemleri AML süreçlerinin temel parçalarından biridir.

Sistem örneğin;

• kısa sürede çok sayıda para transferi,
• müşterinin geçmiş davranışından önemli sapmalar,
• çok sayıda farklı kişiden para alınması,
• paranın hesaba girdikten hemen sonra başka hesaplara aktarılması,
• bağlantılı hesaplar arasında olağandışı transferler,
• belirli riskli işlem örüntüleri

bakımından alarm üretebilir.

Ancak işlem izleme sisteminin başarısı yalnızca kaç alarm ürettiğiyle ölçülmemelidir.

Her gün yüz binlerce anlamsız alarm üreten bir sistem, gerçek şüpheli işlemlerin uyum ekibinin dikkatinden kaçmasına neden olabilir.

Bu nedenle alarm senaryolarının şirketin gerçek risklerine göre tasarlanması gerekir.

Hesap Kiralama Fintech Şirketleri İçin Neden Büyük Bir Risktir?

Son yıllarda ödeme ve banka hesaplarının üçüncü kişilere kullandırılması veya “hesap kiralama” modelleri dolandırıcılık ve suç gelirlerinin transferi bakımından önemli risk alanlarından biri hâline gelmiştir.

Bir kişinin kendi adına açılmış ödeme hesabını başka bir kişinin kullanımına bırakması, sistem açısından hesabın görünürdeki sahibi ile işlemi gerçekte gerçekleştiren kişinin farklılaşmasına neden olabilir.

Örneğin aynı cihazdan çok sayıda farklı hesaba giriş yapılması, aynı IP üzerinden olağandışı sayıda hesap yönetilmesi veya müşteri profilinden tamamen bağımsız işlem davranışlarının ortaya çıkması, kuruluşun kendi risk modeli içerisinde ayrıca değerlendirebileceği göstergeler olabilir.

Bu nedenle KYC sistemi yalnızca müşteri hesabı açılırken değil, hesap kullanıldığı sürece çalışmalıdır.

Yasa Dışı Bahis ve Dolandırıcılık İşlemleri Nasıl Tespit Edilebilir?

Ödeme sistemlerinin yasa dışı bahis, dolandırıcılık veya suç gelirlerinin dağıtılmasında kullanılması fintech şirketleri açısından önemli AML risklerinden biridir.

Örneğin;

aynı hesaba kısa süre içerisinde çok sayıda farklı kişiden para gelmesi, paranın kısa süre sonra başka hesaplara aktarılması veya aynı hesap grubunun sürekli benzer işlem kalıpları göstermesi uyum sisteminin incelemesini gerektirebilir.

Ancak burada önemli bir hukuki nokta vardır:

Tek bir işlem göstergesi otomatik olarak suç anlamına gelmez.

Şirketin müşterinin genel profili, işlem geçmişi, ekonomik faaliyetleri ve transferin taraflarını birlikte değerlendirmesi gerekir.

Bu nedenle etkili bir AML sistemi yalnızca “belirli tutarın üzerindeki bütün işlemleri engelle” şeklinde tasarlanmamalıdır.

Parçalama Yöntemi Nedir?

Suç gelirlerinin aklanmasında karşılaşılan yöntemlerden biri büyük miktarda paranın tek işlem yerine çok sayıda daha küçük işleme bölünmesidir.

Bu yönteme uluslararası uygulamada structuring veya bazı biçimlerinde smurfing denilmektedir.

MASAK da aklama yöntemlerini açıklarken işlemlerin parçalanması ve çok sayıda kişinin kullanılması yöntemlerine yer vermektedir.

Bu nedenle fintech şirketinin yalnızca tek bir işlemin tutarına bakması yeterli değildir.

Birbiriyle bağlantılı;

• müşteri hesapları,
• telefon numaraları,
• cihazlar,
• IP adresleri,
• transfer alıcıları,
• işyerleri

arasında oluşan ilişki ağlarının da risk bazlı olarak incelenebilmesi gerekebilir.

Şüpheli İşlem Bildirimi Nedir?

Şirketin yaptığı inceleme sonucunda bir işlemin suçtan kaynaklanan mal varlığıyla bağlantılı olduğuna veya yasa dışı amaçlarla kullanıldığına ilişkin bilgi, şüphe veya şüpheyi gerektirecek bir husus bulunması hâlinde Şüpheli İşlem Bildirimi (ŞİB) yükümlülüğü gündeme gelebilir.

Burada işlemin kesin olarak suçtan kaynaklandığının ispatlanması gerekmez.

Şüpheli işlem bildirim mekanizmasının amacı, yükümlünün finansal faaliyet sırasında tespit ettiği makul şüphelerin MASAK’a bildirilmesidir.

MASAK, ödeme ve elektronik para kuruluşları için sektöre özgü Şüpheli İşlem Bildirim Rehberi yayımlamıştır. Güncel sistemde ŞİB işlemleri elektronik ortamda MASAK Online üzerinden yürütülmektedir.

Şüpheli İşlem Kaç Gün İçinde MASAK’a Bildirilmelidir?

Şüpheli işlemler, işleme ilişkin şüphenin oluştuğu tarihten itibaren en geç on iş günü içerisinde MASAK’a bildirilmelidir. Gecikmesinde sakınca bulunan hâllerde ise bildirimin derhâl gerçekleştirilmesi gerekir.

Burada on iş günlük sürenin işlem tarihinden değil, şüphenin oluştuğu tarihten itibaren değerlendirilmesi önemlidir.

Bu nedenle fintech şirketinde;

alarm → inceleme → uyum değerlendirmesi → ŞİB kararı → MASAK bildirimi

sürecinin kim tarafından ve hangi sürede gerçekleştirileceği önceden belirlenmelidir.

Şüpheli İşlem Bildirimi Müşteriye Söylenebilir mi?

Hayır.

MASAK’a şüpheli işlem bildirimi yapıldığının müşteriye veya yetkisiz üçüncü kişilere açıklanması yasaktır.

5549 sayılı Kanunun 4. maddesi kapsamında yükümlüler, MASAK’a şüpheli işlem bildirimi yapıldığını mevzuatta belirtilen yetkililer dışında işleme taraf olanlar dâhil hiç kimseye açıklayamaz.

Bu nedenle yalnızca uyum görevlisinin değil;

• müşteri hizmetleri,
• operasyon,
• fraud,
• hukuk ve
• yönetim

birimlerinin de ŞİB gizliliği konusunda bilgilendirilmesi gerekir.

Fintech Şirketlerinde Uyum Programı Nedir?

MASAK mevzuatı belirli yükümlü grupları için kapsamlı uyum programı oluşturulmasını öngörmektedir.

Ödeme ve elektronik para kuruluşlarında faaliyet kapsamına göre uyum programı yükümlülükleri gündeme gelir.

Uyum programı temel olarak;

• kurum politika ve prosedürleri,
• risk yönetimi,
• izleme ve kontrol,
• uyum görevlisi ve uyum birimi,
• eğitim,
• iç denetim

mekanizmalarının birlikte çalışmasını sağlayan yapıdır.

Bu nedenle internetten indirilen standart bir “AML Politikası” belgesinin şirket sunucusuna kaydedilmesiyle MASAK uyumu sağlanmış olmaz.

Politikaların şirketin gerçek operasyonunda uygulanması gerekir.

Uyum Görevlisinin Görevi Nedir?

Uyum görevlisi, MASAK uyum sisteminin merkezindeki görevlilerden biridir.

Uyum görevlisinin görevleri arasında şirketin suç gelirlerinin aklanmasının ve terörizmin finansmanının önlenmesine ilişkin süreçlerinin yürütülmesi, şüpheli işlemlerin değerlendirilmesi ve mevzuat kapsamında gereken bildirimlerin gerçekleştirilmesi gibi önemli fonksiyonlar bulunmaktadır.

2025 yılında uyum görevlilerinin yetkilendirilmesine ilişkin sistemde önemli değişiklikler yapılmış ve MASAK tarafından uyum görevlisi yetkilendirme sınavları başlatılmıştır. MASAK’ın güncel duyurularında yetkilendirme sınavlarının elektronik ortamda yürütülmesine ilişkin uygulamalar da yer almaktadır.

Bu nedenle yeni fintech şirketlerinde uyum görevlisi atanırken yalnızca şirket içindeki pozisyon değil, 2026 itibarıyla yürürlükte bulunan güncel yetkilendirme ve lisans koşulları da kontrol edilmelidir.

Uyum Görevlisi Tek Başına AML Sisteminden Sorumlu mudur?

Hayır.

Kara para aklamayla mücadele yalnızca uyum görevlisinin işi olarak görülemez.

Örneğin müşterinin şüpheli davranışını ilk fark eden kişi çağrı merkezi çalışanı olabilir.

Olağandışı transfer örüntüsünü fraud ekibi tespit edebilir.

Müşterinin gerçek faydalanıcı yapısındaki problemi kurumsal müşteri edinimi ekibi fark edebilir.

Bu nedenle AML kültürünün şirket genelinde oluşturulması gerekir.

Özellikle;

müşteri edinimi + operasyon + fraud + bilgi teknolojileri + müşteri hizmetleri + hukuk + uyum + yönetim

birimlerinin koordineli çalışması önemlidir.

Fintech Şirketlerinde AML Eğitimi Neden Gereklidir?

Çalışanların AML risklerini tanımadığı bir şirkette en gelişmiş yazılım sistemi bile tek başına yeterli olmayabilir.

Örneğin müşteri hizmetleri personeli müşteriden şu ifadeyi duyabilir:

“Bu hesap benim ama işlemleri arkadaşım yapıyor.”

Bu bilgi, operasyon açısından basit bir müşteri açıklaması gibi görünse de AML bakımından önemli olabilir.

Bu nedenle çalışanlara görevleriyle bağlantılı olarak;

• müşterinin tanınması,
• şüpheli işlem göstergeleri,
• hesap kiralama riskleri,
• ŞİB gizliliği,
• yaptırım kontrolleri,
• kurum prosedürleri

konularında düzenli eğitim verilmesi gerekir.

Eğitim, MASAK uyum programının temel unsurları arasındadır.

Yaptırım Listeleri ve Mal Varlığının Dondurulması Kontrolleri

Fintech şirketlerinin AML/CFT sistemleri yalnızca suç gelirlerinin aklanmasını değil, terörizmin finansmanı ve kitle imha silahlarının yayılmasının finansmanına ilişkin riskleri de dikkate almalıdır.

Bu nedenle müşterilerin ve işlem taraflarının mevzuat kapsamında uygulanması gereken yaptırım ve mal varlığı dondurma kararları bakımından kontrol edilmesi gerekebilir.

Bu kontrolün yalnızca müşteri hesabı açılırken bir kez yapılması yerine ilgili risklere göre güncellenebilir bir sistem hâline getirilmesi önemlidir.

Kripto Fintech Şirketlerinde AML Yükümlülükleri

Kripto varlık sektörünün yapısı nedeniyle AML tedbirleri kripto fintech şirketleri bakımından ayrıca önemlidir.

MASAK tarafından 30 Eylül 2025 tarihinde güncellenen Kripto Varlık Hizmet Sağlayıcılar Rehberinde;

• müşterinin tanınması,
• kimlik tespiti,
• uzaktan kimlik tespiti,
• sıkılaştırılmış tedbirler,
• Travel Rule,
• kripto transferlerindeki süre ve limit uygulamaları,
• kamusal nüfuz sahibi kişiler,
• şüpheli işlem bildirimi,
• uyum programı

başlıklarına ilişkin özel açıklamalar bulunmaktadır.

Bu nedenle kripto para borsası veya diğer kripto varlık hizmet sağlayıcılarının klasik ödeme kuruluşlarının AML prosedürlerini aynen kopyalaması yeterli değildir.

Kripto işlemlerinin kendine özgü risklerinin ayrıca değerlendirilmesi gerekir.

Fintech Şirketlerinde Kayıtlar Ne Kadar Saklanmalıdır?

5549 sayılı Kanun kapsamında yükümlüler, yükümlülüklerine ve işlemlerine ilişkin belgeleri mevzuatta öngörülen başlangıç tarihlerinden itibaren sekiz yıl süreyle muhafaza etmek ve istenmesi hâlinde yetkili makamlara ibraz etmekle yükümlüdür. Kimlik tespitine ilişkin belgeler bakımından da sekiz yıllık muhafaza yükümlülüğü bulunmaktadır.

Dolayısıyla müşterinin uygulamadaki hesabını kapatması bütün KYC ve işlem kayıtlarının aynı gün silinmesi gerektiği anlamına gelmez.

Bu noktada MASAK mevzuatı ile KVKK kapsamındaki saklama ve imha yükümlülükleri birlikte değerlendirilmelidir.

AML ile KVKK Birbiriyle Çelişir mi?

Kural olarak hayır.

MASAK mevzuatı bazı kişisel verilerin işlenmesini ve belirli sürelerle saklanmasını zorunlu tutabilir.

KVKK ise kişisel verilerin hukuka uygun, belirli amaçlarla ve gerekli süre boyunca işlenmesini gerektirir.

Bu nedenle fintech şirketinin;

“KVKK nedeniyle müşterilerden kimlik bilgisi alamıyoruz.”

şeklindeki yaklaşımı doğru olmayabileceği gibi;

“MASAK yükümlüsüyüz, istediğimiz her müşteri verisini süresiz saklayabiliriz.”

yaklaşımı da doğru değildir.

Her veri işleme faaliyetinin hukuki sebebi, amacı ve saklama süresi ayrı ayrı belirlenmelidir.

AML Sisteminde Teknoloji Kullanımı Zorunlu mudur?

Mevzuatta her fintech şirketinin belirli markada bir AML yazılımı kullanması gerektiğine ilişkin genel bir kural bulunmasa da yüksek müşteri ve işlem hacmine sahip dijital finans kuruluşlarında etkili kontrol sisteminin teknolojik altyapı olmadan yürütülmesi uygulamada son derece güçtür.

Örneğin sistem;

• cihaz eşleşmelerini,
• bağlantılı müşteri hesaplarını,
• olağandışı işlem örüntülerini,
• müşteri risk skorlarını,
• yaptırım kontrollerini,
• işlem alarmlarını

otomatik olarak takip edebilir.

Ancak kullanılan yapay zekâ veya otomatik karar sistemi de hatasız kabul edilmemelidir.

Yanlış pozitif alarmlar, müşterilerin hatalı şekilde riskli kabul edilmesi veya gerçek risklerin sistem tarafından gözden kaçırılması gibi ihtimaller nedeniyle insan kontrolü ve düzenli model doğrulaması önemlidir.

AML Sisteminin İç Denetimi Nasıl Yapılmalıdır?

Uyum programının gerçekten çalışıp çalışmadığının belirlenmesi için düzenli denetim yapılması gerekir.

Örneğin iç denetimde;

• KYC dosyaları eksiksiz mi,
• gerçek faydalanıcılar tespit edilmiş mi,
• müşteri risk puanları doğru uygulanıyor mu,
• yüksek riskli müşteriler yeterince izleniyor mu,
• işlem alarmları zamanında inceleniyor mu,
• ŞİB kararları belgeleniyor mu,
• çalışan eğitimleri gerçekleştiriliyor mu

soruları incelenebilir.

İç denetim MASAK uyum programının temel unsurlarından biridir.

Bu nedenle uyum sisteminin yalnızca denetim gelmeden önce evrak tamamlamak amacıyla oluşturulmaması gerekir.

MASAK Denetiminde Fintech Şirketinden Neler İstenebilir?

MASAK ve yükümlülük denetimiyle görevli kişiler mevzuat kapsamında şirketlerden bilgi ve belge talep edebilir.

Bu nedenle fintech şirketinin;

müşteri edinimi kayıtlarını, kimlik tespiti belgelerini, işlem kayıtlarını, risk değerlendirmelerini ve diğer mevzuat kapsamındaki bilgi ve belgeleri gerektiğinde ulaşılabilir ve denetlenebilir biçimde muhafaza etmesi önemlidir.

Fintech şirketinin milyonlarca işlem arasında belirli bir müşteriye ilişkin verileri sonradan bulamaması da önemli bir uyum sorunu oluşturabilir.

Kara Para Aklamayla Mücadele Yükümlülüklerinin İhlalinin Sonuçları

AML yükümlülüklerinin ihlali yalnızca şirket içerisinde düzeltilmesi gereken operasyonel bir eksiklik değildir.

5549 sayılı Kanun ve ilgili düzenlemelerde;

• kimlik tespiti,
• şüpheli işlem bildirimi,
• uyum programı,
• bilgi ve belge verme,
• muhafaza ve ibraz

gibi yükümlülüklerin ihlaline ilişkin farklı idari ve bazı hâllerde cezai sonuçlar bulunmaktadır.

MASAK, 2026 yılında uygulanacak idari para cezası tutarlarını 19 Ocak 2026 tarihinde güncel olarak duyurmuştur. Ayrıca uyum programına ilişkin belirli eksikliklerin giderilmemesi hâlinde faaliyetlerin durdurulması, kısıtlanması veya faaliyet izni bakımından ilgili düzenleyici kuruma bildirim yapılması sonucunu doğurabilecek yaptırım mekanizmaları bulunmaktadır.

Bu nedenle ödeme ve elektronik para kuruluşlarında AML uyum eksiklikleri yalnızca para cezası riski olarak görülmemelidir.

Kuruluşun faaliyet izninin devamlılığı açısından da önemli sonuçlar doğurabilir.

Fintech Şirketlerinde Etkili Kara Para Aklamayla Mücadele Sistemi Nasıl Kurulur?

Sağlıklı bir AML uyum projesi genel olarak şu aşamalardan oluşmalıdır:

1. Şirketin MASAK bakımından yükümlülük kapsamı belirlenir.
2. Ürün ve hizmetlerin AML risk analizi yapılır.
3. Müşteri kabul politikası hazırlanır.
4. Gerçek ve tüzel kişi KYC süreçleri oluşturulur.
5. Gerçek faydalanıcı tespit sistemi kurulur.
6. Müşteri risk sınıflandırması yapılır.
7. Yüksek riskli müşterilere uygulanacak sıkılaştırılmış tedbirler belirlenir.
8. İşlem izleme senaryoları oluşturulur.
9. Bağlantılı hesap ve cihaz analizleri tasarlanır.
10. Şüpheli işlem alarm ve inceleme sistemi kurulur.
11. ŞİB karar ve MASAK bildirim süreci oluşturulur.
12. Gereken yaptırım ve mal varlığı dondurma kontrolleri uygulanır.
13. Uyum görevlisi ve uyum organizasyonu yapılandırılır.
14. Çalışan eğitimleri gerçekleştirilir.
15. Bilgi ve belgelerin muhafaza sistemi kurulur.
16. Uyum programı düzenli iç denetime tabi tutulur.

Ancak bu adımların yalnızca yazılı prosedürlerde bulunması yeterli değildir.

Fintech şirketinin yazılımı, müşteri edinim ekranları, fraud sistemi, ödeme altyapısı ve uyum departmanı aynı AML mimarisi içerisinde çalışmalıdır.

Fintech Şirketlerinin Kara Para Aklamayla Mücadelede En Sık Yaptığı Hatalar

Fintech şirketlerinde AML alanında sık karşılaşılan hatalar şunlardır:

• KYC’nin yalnızca kimlik fotoğrafı almaktan ibaret görülmesi,
• gerçek faydalanıcının araştırılmaması,
• müşteri risk skorlamasının yapılmaması,
• bütün müşterilere aynı kontrol seviyesinin uygulanması,
• işlem izleme sistemlerinin gerçek iş modeline göre özelleştirilmemesi,
• çok sayıda alarmın incelenmeden kapatılması,
• müşteri profili değişmesine rağmen risk seviyesinin güncellenmemesi,
• hesap kiralama ve bağlantılı hesap risklerinin takip edilmemesi,
• şüpheli işlem bildirim sürelerinin kaçırılması,
• ŞİB yapıldığının müşteriye açıklanması,
• uyum görevlisinin yeterli yetki ve kaynağa sahip olmaması,
• AML sisteminin yalnızca uyum departmanının sorumluluğu olarak görülmesi,
• çalışan eğitimlerinin yapılmaması,
• MASAK mevzuatı ile TCMB veya SPK düzenlemelerinin birbirinden bağımsız değerlendirilmesi.

Fintech şirketlerinin hızla büyümesi bu eksikliklerin etkisini daha da artırabilir. Bir şirket yüz müşteriye sahipken manuel olarak yönetilebilen kontrol sistemi, yüz binlerce kullanıcıya ulaşıldığında tamamen yetersiz kalabilir.

Sıkça Sorulan Sorular

Fintech şirketleri kara para aklamayla mücadele etmek zorunda mıdır?

Şirketin faaliyet alanı MASAK mevzuatında yükümlü faaliyetler kapsamındaysa ilgili AML yükümlülüklerine uyması gerekir. Ödeme ve elektronik para kuruluşları MASAK yükümlüleri arasında bulunmaktadır.

Fintech şirketlerinde KYC zorunlu mudur?

Faaliyet ve işlem türüne göre müşterinin tanınması ve kimlik tespiti yükümlülükleri uygulanmaktadır. KYC yalnızca kimlik doğrulamayı değil, gerekli durumlarda iş ilişkisinin amacı ve gerçek faydalanıcının belirlenmesini de kapsayabilir.

Her yüksek tutarlı işlem şüpheli işlem midir?

Hayır. Bir işlemin yalnızca tutarının yüksek olması otomatik olarak suç veya şüpheli işlem olduğu anlamına gelmez. Müşteri profili, işlem davranışı, ekonomik amaç ve diğer risk göstergeleri birlikte değerlendirilmelidir.

Şüpheli işlem kaç günde MASAK’a bildirilmelidir?

Şüphenin oluştuğu tarihten itibaren en geç on iş günü içerisinde, gecikmesinde sakınca bulunan hâllerde ise derhâl bildirim yapılmalıdır.

Müşteriye MASAK bildirimi yapıldığı söylenebilir mi?

Hayır. Şüpheli işlem bildiriminin müşteriye veya yetkisiz üçüncü kişilere açıklanması yasaktır.

Ödeme kuruluşlarında AML kayıtları ne kadar saklanır?

5549 sayılı Kanun kapsamında ilgili bilgi ve belgeler kural olarak sekiz yıl muhafaza edilmelidir.

Kripto para şirketleri de MASAK’a tabi midir?

Kripto varlık hizmet sağlayıcıları bakımından da müşterinin tanınması, şüpheli işlem bildirimi, uyum programı ve diğer AML/CFT yükümlülükleri bulunmaktadır. MASAK bu kuruluşlara yönelik güncel sektörel rehber yayımlamaktadır.

Sonuç: Fintech Şirketlerinde Kara Para Aklamayla Mücadele Şirketin Temel Risk Yönetim Sistemidir

Fintech şirketlerinde kara para aklamayla mücadele, müşteriden kimlik belgesi alınması veya uyum görevlisinin atanmasıyla tamamlanan bir prosedür değildir.

Etkili bir AML sistemi;

müşterinin tanınması, gerçek faydalanıcının tespit edilmesi, müşteri risklerinin sınıflandırılması, yüksek riskli müşterilere sıkılaştırılmış tedbir uygulanması, işlemlerin sürekli izlenmesi, şüpheli işlemlerin zamanında MASAK’a bildirilmesi, kayıtların korunması, çalışanların eğitilmesi ve sistemin düzenli olarak denetlenmesi

unsurlarının birlikte uygulanmasını gerektirir. MASAK’ın 2025 ve 2026 döneminde güncellediği sektörel rehberler, sıkılaştırılmış tedbirler ve yaptırım sistemi de özellikle teknoloji yoğun finansal kuruluşlarda risk temelli ve sürekli çalışan uyum sistemlerinin önemini ortaya koymaktadır.

Ödeme kuruluşları, elektronik para kuruluşları, dijital cüzdan sağlayıcıları ve kripto varlık hizmet sağlayıcıları açısından AML sisteminin şirket faaliyete başladıktan sonra kurulmaya çalışılması önemli hukuki ve operasyonel riskler doğurabilir.

Bu nedenle fintech şirketlerinde kara para aklamayla mücadele sistemi, ürün geliştirme ve lisanslama aşamasından itibaren planlanmalı; KYC, fraud, işlem izleme, MASAK bildirimleri ve veri altyapısı aynı uyum mimarisi içerisinde oluşturulmalıdır.

Özellikle yüksek işlem hacmine ulaşmayı hedefleyen fintech girişimleri bakımından doğru yaklaşım;

önce risklerin tespiti → sonra mevzuata uygun AML politikasının oluşturulması → son olarak bu politikanın yazılım ve operasyon sistemlerine entegre edilmesi

şeklinde olmalıdır.