Türkiye’de ödeme kuruluşları, müşteriler adına veya müşterilerin talimatları doğrultusunda para transferi, ödeme kabulü ve diğer ödeme hizmetlerini gerçekleştirmeleri nedeniyle suç gelirlerinin aklanmasının ve terörizmin finansmanının önlenmesi sisteminde önemli bir konuma sahiptir. Bu nedenle ödeme kuruluşlarının yalnızca müşterinin adını ve iletişim bilgilerini kaydetmesi yeterli değildir. Kuruluşun müşterinin kim olduğunu, işlemin hangi amaçla gerçekleştirildiğini, müşteri adına başka bir kişinin hareket edip etmediğini ve gerektiğinde işlemin gerçek faydalanıcısının kim olduğunu tespit edebilmesi gerekir.

Ödeme kuruluşlarında müşteri tanıma yükümlülüğünün temel hukuki çerçevesini 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik ve MASAK tarafından yayımlanan ikincil düzenlemeler oluşturmaktadır. MASAK, müşterinin tanınmasını yükümlülerin müşterileri ve müşterilerinin faaliyetleri hakkında yeterli bilgi sahibi olmasını sağlayan temel tedbirlerden biri olarak düzenlemektedir.

Ödeme kuruluşları bakımından müşteri tanıma süreci yalnızca şirketin kuruluşunda hazırlanacak bir prosedür değildir. Müşteri ediniminden işlem izlemeye, gerçek faydalanıcı kontrolünden şüpheli işlem değerlendirmesine kadar kuruluşun bütün operasyonlarına entegre edilmesi gereken sürekli bir uyum yükümlülüğüdür.

Ödeme Kuruluşları MASAK Kapsamında Yükümlü müdür?

Evet. Ödeme kuruluşları, suç gelirlerinin aklanmasının ve terörizmin finansmanının önlenmesine ilişkin mevzuat kapsamında yükümlü kuruluşlar arasında bulunmaktadır. Bu nedenle ödeme kuruluşlarının müşteri tanıma, kimlik tespiti, şüpheli işlem bildirimi, bilgi ve belge verme, muhafaza ve ibraz ile faaliyet kapsamına göre uyum programına ilişkin yükümlülükleri bulunmaktadır.

Ancak müşteri tanıma yükümlülüğü yalnızca bir kişinin kimlik kartının fotokopisinin alınması olarak anlaşılmamalıdır.

Ödeme kuruluşunun müşteriyi tanıması;

• müşterinin kimliğinin tespit edilmesini,
• müşterinin kimlik bilgilerinin doğrulanmasını,
• iş ilişkisinin amacının anlaşılmasını,
• müşteri adına hareket eden kişilerin belirlenmesini,
• gerçek faydalanıcının tespit edilmesini,
• müşterinin risk profilinin oluşturulmasını,
• müşteri bilgilerinin güncel tutulmasını ve
• işlemlerin müşteri profiliyle uyumunun izlenmesini

gerektirebilir.

Dolayısıyla uygulamada kullanılan KYC – Know Your Customer sistemi, MASAK müşteri tanıma yükümlülüğünün teknolojik ve operasyonel karşılığı olarak düşünülebilir.

Müşterinin Tanınması ile Kimlik Tespiti Aynı Şey midir?

Hayır.

Kimlik tespiti, müşterinin kim olduğunun mevzuatta belirtilen bilgi ve belgeler üzerinden belirlenmesi ve doğrulanmasıdır.

Müşterinin tanınması ise kimlik tespitinden daha kapsamlıdır.

Ödeme kuruluşunun yalnızca müşterinin kim olduğunu değil, mümkün olduğu ölçüde müşterinin faaliyetlerini, işlemlerinin amacını, risk seviyesini ve işlem davranışlarını da değerlendirmesi gerekir. MASAK’ın müşterinin tanınmasına ilişkin düzenlemeleri kimlik tespitinin yanında gerçek faydalanıcının tespiti, iş ilişkisinin amacı hakkında bilgi edinilmesi, müşterinin durumunun ve işlemlerinin izlenmesi gibi tedbirleri de kapsamaktadır.

Örneğin kullanıcı kimlik doğrulama işlemini başarıyla tamamlamış olsa dahi;

hesabına yüzlerce farklı kişiden ödeme geliyor, para hesaba ulaştığı anda farklı kişilere aktarılıyor ve işlemlerin kullanıcının bilinen ekonomik profiliyle açıklanması mümkün olmuyorsa müşterinin tanınması süreci yalnızca kimlik doğrulamasıyla tamamlanmış sayılamaz.

Bu durumda kuruluşun müşteri ve işlemleri risk temelli olarak ayrıca değerlendirmesi gerekebilir.

Ödeme Kuruluşlarında Kimlik Tespiti Ne Zaman Yapılır?

MASAK mevzuatında kimlik tespitinin yapılmasını gerektiren farklı durumlar bulunmaktadır.

Özellikle sürekli iş ilişkisi tesis edilmesi hâlinde tutara bakılmaksızın müşterinin kimliğinin tespit edilmesi gerekir. Bunun yanında mevzuatta belirlenen tutarı aşan işlemler veya birbiriyle bağlantılı birden fazla işlemin toplamının ilgili sınırı aşması hâlinde de kimlik tespiti gündeme gelir. Şüpheli işlem bildirimini gerektiren bir durum bulunduğunda ise işlem tutarına bakılmaksızın kimlik tespitinin yapılması gerekir.

Bu nedenle bir ödeme kuruluşunun;

“Müşterinin işlem tutarı düşük, dolayısıyla kimlik tespiti yapmamıza gerek yok.”

şeklinde genel bir politika oluşturması doğru değildir.

Müşteriyle sürekli iş ilişkisi kurulup kurulmadığı ve işlemde şüphe bulunup bulunmadığı ayrıca değerlendirilmelidir.

Sürekli İş İlişkisi Nedir?

Ödeme kuruluşları bakımından uygulamada en önemli kavramlardan biri sürekli iş ilişkisidir.

Bir müşterinin ödeme kuruluşunda hesap oluşturması, dijital cüzdan veya benzeri sürekli kullanılabilir bir hizmetten yararlanması ya da kuruluşla devamlılık taşıyan bir sözleşme ilişkisine girmesi, iş modelinin özelliklerine göre sürekli iş ilişkisi oluşturabilir.

Sürekli iş ilişkisinde kimlik tespiti yalnızca belirli bir işlem tutarının aşılması hâlinde yapılmaz. İlişkinin kuruluş aşamasında müşterinin tanınması ve gerekli kontrollerin gerçekleştirilmesi gerekir. Tedbirler Yönetmeliği, sürekli iş ilişkisi kurulmasında kimlik tespiti ve müşteri tanıma tedbirlerini ayrıca düzenlemektedir.

Bu sebeple mobil ödeme uygulamasında müşterinin önce yüzlerce işlem yapmasına izin verilip belirli bir parasal eşiğe ulaştığında ilk kez KYC sürecine alınması, sürekli iş ilişkisi bulunan modeller bakımından mevzuat açısından ayrıca değerlendirilmelidir.

Gerçek Kişi Müşterilerde Hangi Bilgiler Alınır?

Gerçek kişi müşterilerin kimlik tespitinde mevzuatta öngörülen kimlik bilgilerinin alınması ve uygun kaynaklar üzerinden doğrulanması gerekir.

Türk vatandaşları bakımından kimlik bilgilerinin kimlik belgesi ve uygun doğrulama sistemleri üzerinden kontrol edilmesi; yabancı müşteriler bakımından ise kişinin statüsüne ve kullanılan yönteme göre pasaport veya diğer kabul edilen kimlik belgelerinin değerlendirilmesi gündeme gelebilir. Kimlik tespitinin hangi belge ve yöntemlerle yapılacağı Tedbirler Yönetmeliğinde ayrıntılı olarak düzenlenmiştir.

Ödeme kuruluşunun uygulama ekranında müşterinin kendi beyanıyla;

“Adım Ahmet, soyadım Yılmaz.”

şeklinde bilgi girmesi tek başına kimlik doğrulama anlamına gelmez.

Kimlik bilgilerinin mevzuatın öngördüğü yöntemlerle teyit edilmesi gerekir.

Yabancı Müşterilerin Uzaktan Kimlik Tespiti Yapılabilir mi?

Uzaktan müşteri edinimi özellikle ödeme kuruluşları bakımından giderek önem kazanmaktadır.

MASAK Genel Tebliği Sıra No: 19 uyarınca ödeme ve elektronik para kuruluşları, müşterileriyle sürekli iş ilişkisi kurarken uzaktan kimlik tespitini TCMB’nin ödeme ve elektronik para kuruluşlarının bilgi sistemlerine ilişkin düzenlemelerinde belirlenen yöntem ve tedbirler çerçevesinde gerçekleştirebilir.

Ayrıca MASAK tarafından 19 Ocak 2026 tarihinde, Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan kimlik tespitine imkân veren düzenleme değişikliğinin yayımlandığı duyurulmuştur. Bu nedenle yabancı müşterilerin dijital kanallardan edinilmesine ilişkin süreçlerde güncel MASAK ve TCMB düzenlemelerinin birlikte değerlendirilmesi gerekir.

Bu gelişme özellikle Türkiye’de uluslararası para transferi veya yabancı müşterilere yönelik ödeme hizmetleri sunan fintech şirketleri açısından önem taşımaktadır.

Ancak uzaktan kimlik tespitinin mümkün olması, yalnızca pasaport görüntüsünün sisteme yüklenmesinin yeterli olduğu anlamına gelmez.

Ödeme Kuruluşlarında Uzaktan Kimlik Tespiti Nasıl Yapılır?

Uzaktan kimlik tespiti, yüz yüze müşteri ediniminin mobil veya dijital ortamda gerçekleştirilmesine yönelik düzenlenmiş bir süreçtir.

Ödeme kuruluşunun bu süreçte hem MASAK’ın müşterinin tanınması hükümlerine hem de TCMB’nin bilgi sistemleri ve uzaktan müşteri edinimine ilişkin teknik gerekliliklerine uyması gerekir. MASAK Genel Tebliği Sıra No: 19, ödeme ve elektronik para kuruluşlarının uzaktan kimlik tespitinde TCMB Tebliğinde belirlenen yöntem ve tedbirlere atıf yapmaktadır.

Bu nedenle teknoloji altyapısında;

• kimlik belgesinin doğrulanması,
• kişinin gerçek ve canlı olduğunun belirlenmesi,
• kimlik ile kişi arasındaki bağlantının kurulması,
• sürecin güvenliği,
• sahte kimlik girişimlerinin engellenmesi,
• işlemlerin gerekli şekilde kayıt altına alınması

gibi unsurların birlikte değerlendirilmesi gerekir.

Ödeme kuruluşunun üçüncü bir KYC yazılım şirketinden hizmet satın alması da kuruluşun kendi MASAK yükümlülüklerinin ortadan kalktığı anlamına gelmez.

Tüzel Kişi Müşteriler Nasıl Tanınmalıdır?

Ödeme kuruluşunun müşterileri yalnızca gerçek kişilerden oluşmaz.

E-ticaret şirketleri, platformlar, mağazalar, işletmeler ve diğer ticari müşteriler bakımından tüzel kişi müşteri tanıma süreci daha kapsamlı olabilir.

Kuruluşun yalnızca;

“Şirketin adı ABC Ltd. Şti.”

bilgisini alması yeterli değildir.

Şirketin hukuki varlığı, yetkilileri, temsilcileri, ortaklık yapısı ve gerektiğinde gerçek faydalanıcısı incelenmelidir.

Müşteri adına işlem yapan kişinin de kimliğinin tespit edilmesi ve müşteriyi temsile yetkili olup olmadığının doğrulanması gerekir. MASAK düzenlemeleri, müşteri adına başka bir kişinin hareket etmesi durumunda müşteri adına hareket eden kişinin de kimliğinin tespit edilmesini öngörmektedir.

Bu husus özellikle sanal POS ve işyeri edinimi süreçlerinde önemlidir.

Gerçek Faydalanıcı Kimdir?

Gerçek faydalanıcının tespiti, müşteri tanıma sisteminin en önemli aşamalarından biridir.

Bir ödeme kuruluşunun müşterisi bir şirket olduğunda yalnızca ticaret sicilinde görünen şirketin tanınması her zaman yeterli olmayabilir.

Ödeme kuruluşunun, gerçek faydalanıcının tespit edilmesine ilişkin mevzuat kapsamında şirket üzerinde nihai kontrolü bulunan veya işlemin gerçekte hesabına gerçekleştirildiği gerçek kişiyi belirlemek üzere gerekli tedbirleri alması gerekir. Tedbirler Yönetmeliği, müşterinin tanınması kapsamında gerçek faydalanıcının tespitine yönelik hükümler içermektedir.

Örneğin müşteri şirket;

A Şirketi → B Holding → yabancı şirket → gerçek kişi ortak

şeklinde bir ortaklık zincirine sahipse yalnızca A şirketinin Türkiye’deki yöneticisinin kimliğinin tespit edilmesi yeterli olmayabilir.

Şirketin gerçek kontrol yapısının anlaşılması gerekebilir.

Gerçek Faydalanıcının Tespit Edilememesi Hâlinde Ne Olur?

Müşteri tanıma yükümlülüğünün önemli sonuçlarından biri budur.

MASAK mevzuatına göre yükümlüler, gerekli kimlik tespitini gerçekleştiremedikleri veya iş ilişkisinin amacı hakkında yeterli bilgi edinemedikleri hâllerde iş ilişkisi tesis etmemeli ve talep edilen işlemi gerçekleştirmemelidir. Mevcut müşteri ilişkilerinde de kimlik tespiti ve müşteri tanıma yükümlülüklerinin yerine getirilememesi hâlinde ilişkinin sona erdirilmesi gündeme gelebilir.

Bu nedenle ödeme kuruluşunun ticari hedefleri nedeniyle;

“Önce müşteriyi sisteme alalım, ortaklık yapısını daha sonra inceleriz.”

şeklinde hareket etmesi ciddi uyum riski doğurabilir.

Müşteri Adına Başka Bir Kişi İşlem Yapıyorsa Ne Olur?

Ödeme kuruluşlarında hesabın veya ödeme aracının gerçek müşteri dışında başka kişiler tarafından kullanılması önemli bir risk alanıdır.

MASAK düzenlemeleri, müşteri adına işlem yapan kişinin kimliğinin de tespit edilmesini gerektirebilir.

Örneğin bir şirket adına ödeme kuruluşunda işyeri hesabı açılırken işlemleri şirket çalışanı gerçekleştiriyorsa;

• şirketin kimliği,
• temsil yetkilileri,
• işlemi yapan kişinin kimliği,
• temsil yetkisinin dayanağı

birlikte değerlendirilmelidir.

Benzer şekilde bireysel ödeme hesaplarının başka kişilere kullandırılması veya “hesap kiralama” şeklindeki uygulamalar da müşteri tanıma ve şüpheli işlem izleme sistemleri bakımından ayrıca önem taşır.

Müşterinin İş İlişkisinin Amacı Öğrenilmeli midir?

Evet.

Müşteri tanıma yükümlülüğü yalnızca kimliğin belirlenmesinden ibaret olmadığı için özellikle sürekli iş ilişkilerinde kuruluşun ilişkinin amacı ve niteliği hakkında bilgi sahibi olması gerekir.

Örneğin ticari müşterinin;

• hangi sektörde faaliyet gösterdiği,
• ödeme hizmetini hangi amaçla kullanacağı,
• beklenen işlem hacmi,
• işlem yapılacak ülkeler,
• tahmini müşteri profili

risk değerlendirmesi bakımından önem taşıyabilir.

Tedbirler Yönetmeliği uyarınca yükümlü, iş ilişkisinin amacı hakkında yeterli bilgi edinemediğinde iş ilişkisini kurmama yükümlülüğüyle karşılaşabilir.

Bu nedenle müşteri edinimi sırasında sorulan sorular yalnızca formalite olarak görülmemelidir.

Ödeme Kuruluşları Müşterilerini Risk Gruplarına Ayırabilir mi?

MASAK sisteminin temel yaklaşımlarından biri risk temelli müşteri tanıma sistemidir.

Her müşterinin aynı risk seviyesinde kabul edilmesi doğru değildir.

Örneğin;

• müşterinin faaliyet gösterdiği sektör,
• bulunduğu ülke,
• işlemlerin niteliği,
• işlem hacmi,
• kullanılan ürün,
• müşteri edinim yöntemi,
• para transferlerinin yönü,
• müşterinin gerçek faydalanıcı yapısı

gibi unsurlar risk değerlendirmesinde dikkate alınabilir.

Yüksek riskli durumlarda standart müşteri tanıma tedbirlerinin ötesinde sıkılaştırılmış tedbirler uygulanması gündeme gelebilir. MASAK, bu konuda 30 Eylül 2025 tarihinde güncellenmiş Sıkılaştırılmış Tedbirler Rehberini yayımlamıştır.

Sıkılaştırılmış Tedbirler Nelerdir?

Yüksek risk tespit edilen müşteriler veya işlemler bakımından daha ayrıntılı inceleme yapılması gerekebilir.

Uyum Programı Yönetmeliğinde sıkılaştırılmış tedbirler kapsamında müşteriye ilişkin ilave bilgi edinilmesi, müşteri ile gerçek faydalanıcının kimlik bilgilerinin daha sık güncellenmesi ve işlemlerin daha yakından takip edilmesi gibi tedbirler öngörülmektedir.

Somut olayın özelliklerine göre ödeme kuruluşu;

• müşteri hakkında ilave bilgi isteyebilir,
• işlemin ekonomik amacını araştırabilir,
• fonların kaynağı hakkında bilgi talep edebilir,
• müşteri bilgilerini daha sık güncelleyebilir,
• işlem takibini yoğunlaştırabilir,
• üst yönetim onayı mekanizması kullanabilir.

Burada amaç bütün yüksek riskli müşterilerin otomatik olarak reddedilmesi değil, riskin uygun tedbirlerle yönetilmesidir.

Siyasi Nüfuz Sahibi Kişiler Bakımından Özel Kontrol Gerekir mi?

Müşteri risk değerlendirmesinde siyasi nüfuz sahibi kişiler ve bunlarla bağlantılı belirli kişiler ayrıca dikkate alınması gereken müşteri grupları arasında yer alabilir.

Bu tür müşteriler bakımından ilişkinin niteliği, fonların kaynağı ve işlem profili daha ayrıntılı biçimde incelenebilir; risk seviyesine göre sıkılaştırılmış tedbirler uygulanabilir.

MASAK’ın müşterinin tanınması ve risk temelli uyum sistemi, yüksek riskli müşteri gruplarında standart kontrollerin ötesinde tedbirlerin uygulanmasına imkân vermektedir.

Bu nedenle ödeme kuruluşunun yalnızca yaptırım listesi kontrol eden bir yazılım kullanması, bütün müşteri tanıma yükümlülüğünü yerine getirdiği anlamına gelmez.

Müşteri Bilgileri Bir Kez Alındıktan Sonra Yeterli midir?

Hayır.

Müşterinin tanınması sürekli bir süreçtir.

Müşterinin kimlik bilgileri, faaliyetleri veya gerçek faydalanıcı yapısı zaman içerisinde değişebilir.

Örneğin kurumsal müşterinin;

• ortakları değişebilir,
• şirket kontrolü başka bir kişiye geçebilir,
• faaliyet konusu değişebilir,
• işlem hacmi önemli ölçüde artabilir.

Benzer şekilde bireysel müşterinin işlem davranışları ilk müşteri edinimi sırasında belirlenen profilinden önemli ölçüde farklılaşabilir.

Bu nedenle müşteri bilgilerinin risk seviyesine uygun aralıklarla güncellenmesi ve işlemlerin mevcut müşteri profiliyle uyumunun izlenmesi gerekir. Yüksek riskli müşteriler bakımından bilgilerin daha sık güncellenmesi sıkılaştırılmış tedbirlerden biri olarak açıkça öngörülmektedir.

İşlem İzleme Müşteri Tanıma Yükümlülüğünün Bir Parçası mıdır?

Evet.

Gerçek anlamda müşteri tanıma sistemi yalnızca onboarding, yani müşteri edinimi aşamasında çalışmaz.

Ödeme kuruluşunun müşteri sisteme girdikten sonraki işlem davranışlarını da izlemesi gerekir.

Örneğin aylık 20.000 TL işlem yapacağını belirten bir kullanıcının hesabından kısa süre içerisinde milyonlarca liralık transfer geçmesi müşteri profiliyle uyumsuzluk göstergesi olabilir.

Benzer şekilde;

• çok sayıda farklı kişiden para alınması,
• paranın saniyeler veya dakikalar içerisinde başka hesaplara aktarılması,
• aynı cihazdan çok sayıda farklı müşteri hesabına erişilmesi,
• ekonomik açıklaması bulunmayan sürekli para hareketleri

müşteri tanıma ve şüpheli işlem değerlendirme sistemlerinin birlikte ele almasını gerektirebilecek durumlar oluşturabilir.

MASAK, ödeme ve elektronik para kuruluşları için sektörel Şüpheli İşlem Bildirim Rehberi yayımlamış ve bu rehberlerde sektörün özelliklerine göre risk ve şüphe göstergelerine yer vermiştir.

Müşteri Profiliyle Uyuşmayan İşlem Otomatik Olarak Suç mudur?

Hayır.

Bir işlemin müşterinin olağan işlem davranışından farklı olması tek başına işlemin suçtan kaynaklandığını göstermez.

Ancak kuruluş bakımından inceleme gerektiren bir alarm oluşturabilir.

Uyum veya ilgili kontrol biriminin;

müşterinin profili, işlemin tarafları, işlem tutarı, işlem sıklığı ve ekonomik açıklamasını birlikte değerlendirmesi gerekir.

MASAK’ın Şüpheli İşlem Bildirim sisteminde de gerektiğinde müşteri ve işlem hakkında daha ayrıntılı araştırma yapılabileceği; ancak bu araştırma sırasında müşterinin kendisi hakkında bildirim yapılacağından şüphelenmesine yol açacak davranışlardan kaçınılması gerektiği belirtilmektedir.

Kimlik Tespiti Yapılamıyorsa İşlem Gerçekleştirilebilir mi?

Kural olarak hayır.

Kimlik tespitinin yapılmasının zorunlu olduğu bir işlemde ödeme kuruluşunun müşterinin kimliğini gerekli şekilde tespit edememesi hâlinde işlem yapılmaması gerekir.

Tedbirler Yönetmeliği uyarınca yükümlüler, kimlik tespiti yapamadıkları veya iş ilişkisinin amacı hakkında yeterli bilgi edinemedikleri hâllerde iş ilişkisi kurmaz ve talep edilen işlemi gerçekleştirmez.

Bu hüküm müşteri tanıma yükümlülüğünün en önemli sonuçlarından biridir.

Dolayısıyla ticari satış hedeflerinin KYC gerekliliklerinin önüne geçirilmesi mümkün değildir.

Ön Ödemeli Kartlarda Kimlik Tespiti Farklı mıdır?

Ön ödemeli araçlar bakımından belirli şartlarda basitleştirilmiş tedbir uygulanmasına ilişkin özel düzenlemeler bulunmaktadır.

MASAK Genel Tebliği Sıra No: 5, belirli sınırlara ve kullanım koşullarına bağlı ön ödemeli kart veya benzeri araçlar bakımından kimlik tespiti yükümlülüğüne ilişkin özel hükümler içermektedir.

Ancak bu istisnaların varlığı;

“ön ödemeli kartlarda hiçbir zaman kimlik tespiti yapılmaz”

anlamına gelmez.

Ürünün yeniden yüklenebilir olup olmadığı, yükleme ve kullanım limitleri, nakit çekim imkânı ve diğer koşullar birlikte değerlendirilmelidir. Ayrıca şüpheli işlem bulunması hâlinde basitleştirilmiş tedbirlere dayanılarak müşteri tanıma yükümlülüğünden kaçınılamaz. MASAK da basitleştirilmiş tedbirlerin müşterinin tanınması sisteminin genel ilkeleri içerisinde ve sınırları dikkate alınarak uygulanacağını belirtmektedir.

Müşterinin Tanınması ile Şüpheli İşlem Bildirimi Arasındaki İlişki Nedir?

Bu iki yükümlülük birbirinden ayrı olmakla birlikte doğrudan bağlantılıdır.

Ödeme kuruluşu müşterisini yeterli ölçüde tanımıyorsa müşterinin hangi işlemlerinin olağan, hangilerinin şüpheli olduğunu tespit etmesi de güçleşir.

Örneğin müşterinin;

• mesleği,
• ticari faaliyeti,
• beklenen işlem hacmi,
• hizmeti kullanım amacı

bilinmiyorsa 500.000 TL tutarındaki bir transferin müşterinin normal faaliyetiyle uyumlu olup olmadığını değerlendirmek daha güç olacaktır.

Bu nedenle etkili bir Şüpheli İşlem Bildirim sisteminin ön koşullarından biri etkili bir müşteri tanıma sistemidir. MASAK’ın ödeme ve elektronik para kuruluşları için hazırladığı sektörel rehberlerin amacı da kuruluşların şüpheli işlemleri doğru ve nitelikli biçimde tespit edebilmesini sağlamaktır.

Ödeme Kuruluşu KYC Hizmetini Başka Bir Şirkete Devredebilir mi?

Ödeme kuruluşları kimlik doğrulama teknolojileri, görüntülü görüşme altyapıları veya çeşitli dış hizmet sağlayıcılarından teknik destek alabilir.

Ancak dış hizmet alınması, ödeme kuruluşunun MASAK mevzuatındaki nihai sorumluluğunun ortadan kalktığı şeklinde değerlendirilmemelidir.

Bu nedenle dışarıdan KYC hizmeti alınırken;

• kullanılan sistemin mevzuata uygunluğu,
• kimlik bilgilerinin doğrulanma yöntemi,
• hata oranları,
• sahte kimlik kontrolleri,
• erişim güvenliği,
• kayıtların muhafazası,
• kişisel verilerin korunması

gibi unsurlar birlikte değerlendirilmelidir.

Ayrıca ödeme kuruluşları bakımından MASAK düzenlemelerinin yanında TCMB’nin bilgi sistemleri düzenlemelerinin de dikkate alınması gerekir. Uzaktan kimlik tespitine ilişkin MASAK düzenlemesi doğrudan TCMB’nin bu konudaki teknik gerekliliklerine atıf yapmaktadır.

Müşteri Tanıma Sürecinde KVKK da Uygulanır mı?

Evet.

Müşteri tanıma sürecinde kimlik, adres, iletişim, işlem ve bazı durumlarda biyometrik nitelikte olabilecek verilerin işlenmesi nedeniyle KVKK yükümlülükleri de gündeme gelebilir.

Ancak MASAK mevzuatının hukuken zorunlu tuttuğu bir verinin işlenmesi ile isteğe bağlı pazarlama amacıyla veri işlenmesi aynı hukuki sebebe dayanmaz.

Bu nedenle ödeme kuruluşunun KYC ekranında alınan bütün verileri;

“müşteri açık rıza verdi”

şeklinde tek bir hukuki gerekçeyle açıklaması doğru olmayabilir.

MASAK ve diğer finansal mevzuattan doğan zorunlu veri işleme yükümlülükleri ile KVKK kapsamındaki aydınlatma ve veri güvenliği yükümlülükleri birlikte değerlendirilmelidir.

Ödeme Kuruluşları Müşteri Tanıma Kayıtlarını Saklamak Zorunda mıdır?

Evet.

5549 sayılı Kanun kapsamında yükümlülerin yükümlülükleriyle ilgili belgeleri, defter ve kayıtları mevzuatta öngörülen süre boyunca muhafaza ve istenmesi hâlinde yetkili makamlara ibraz yükümlülüğü bulunmaktadır. Kanunda muhafaza ve ibraz için sekiz yıllık süre öngörülmektedir.

Dolayısıyla müşterinin hesabını kapatması;

müşteriye ilişkin bütün KYC kayıtlarının aynı gün geri döndürülemez şekilde silinmesi gerektiği anlamına gelmez.

MASAK, KVKK, vergi ve diğer finansal mevzuattan kaynaklanan saklama yükümlülükleri birlikte değerlendirilmelidir.

Müşteri Tanıma Yükümlülüğünün İhlali Hâlinde Ne Olur?

Müşterinin tanınmasına ilişkin yükümlülüklerin ihlali, ödeme kuruluşları bakımından önemli idari yaptırımlar doğurabilir.

5549 sayılı Kanunda kimlik tespiti ve diğer müşteri tanıma yükümlülüklerine aykırılıklar bakımından idari para cezaları öngörülmektedir. MASAK’ın güncel yaptırımlar sayfasında 2022-2026 yıllarında uygulanacak ceza tutarları ve yükümlülük ihlallerine ilişkin esaslar ayrıca yayımlanmaktadır.

Üstelik müşterinin tanınması yükümlülüğünün ihlali yalnızca tek seferlik bir prosedür eksikliği olarak değerlendirilmemelidir.

Çok sayıda müşteri hesabının mevzuata aykırı biçimde açılmış olması, ödeme kuruluşunun genel MASAK uyum sisteminde ciddi yapısal eksiklik bulunduğuna işaret edebilir.

Ödeme kuruluşları TCMB’nin de gözetim ve denetimine tabi olduğundan, ciddi AML/KYC eksikliklerinin kuruluşun genel mevzuata uyum ve risk yönetimi değerlendirmeleri bakımından da sonuç doğurması mümkündür.

Ödeme Kuruluşlarında Etkili KYC Sistemi Nasıl Kurulmalıdır?

Ödeme kuruluşlarında müşteri tanıma sisteminin hem hukuki hem de teknolojik olarak tasarlanması gerekir.

Sağlıklı bir sistemde genel olarak;

1. Müşteri türleri belirlenir.
2. Gerçek kişi ve tüzel kişi KYC süreçleri ayrıştırılır.
3. Kimlik doğrulama yöntemleri oluşturulur.
4. Müşteri adına hareket eden kişiler kontrol edilir.
5. Gerçek faydalanıcı tespit sistemi kurulur.
6. İş ilişkisinin amacı ve beklenen işlem profili belirlenir.
7. Müşteriler risk kategorilerine ayrılır.
8. Yüksek riskli müşteriler için sıkılaştırılmış tedbirler oluşturulur.
9. Müşteri bilgileri belirli aralıklarla güncellenir.
10. İşlem izleme sistemi müşteri risk profiliyle entegre edilir.
11. Şüpheli işlemler uyum birimine yönlendirilir.
12. KYC kayıtları mevzuata uygun şekilde muhafaza edilir.

Bu yapı yalnızca politika ve prosedür dokümanında yer almamalı, ödeme kuruluşunun yazılım ve operasyon sistemlerinde fiilen uygulanmalıdır.

Ödeme Kuruluşlarında Müşteri Tanıma Konusunda En Sık Yapılan Hatalar

Ödeme kuruluşlarında en sık karşılaşılan hatalardan biri, müşteri tanıma yükümlülüğünün yalnızca kimlik belgesi alınmasından ibaret olduğunun düşünülmesidir.

Uygulamada özellikle;

• müşterinin kimlik bilgilerinin doğrulanmaması,
• sürekli iş ilişkisinde kimlik tespitinin geciktirilmesi,
• tüzel kişinin gerçek faydalanıcısının araştırılmaması,
• müşteri adına hareket eden kişinin yetkisinin kontrol edilmemesi,
• bütün müşterilerin aynı risk seviyesinde değerlendirilmesi,
• müşteri bilgilerinin yıllarca güncellenmemesi,
• yüksek riskli müşterilere sıkılaştırılmış tedbir uygulanmaması,
• müşteri profilinin işlem izleme sistemiyle ilişkilendirilmemesi,
• uzaktan kimlik doğrulama yazılımının mevzuata uygunluğunun kontrol edilmemesi,
• müşteri tanınamadığı hâlde ticari gerekçelerle işlem yapılmaya devam edilmesi

önemli MASAK uyum riskleri doğurabilir.

Sıkça Sorulan Sorular

Ödeme kuruluşu müşterinin kimliğini tespit etmek zorunda mıdır?

Evet. MASAK mevzuatında öngörülen durumlarda ödeme kuruluşlarının müşterilerin kimliklerini tespit etmesi ve müşterinin tanınmasına yönelik gerekli tedbirleri uygulaması gerekir. Sürekli iş ilişkisi tesisinde kimlik tespiti işlem tutarından bağımsız olarak önem taşır.

Müşteri kimlik tespitini kabul etmezse ödeme hizmeti verilebilir mi?

Kimlik tespitinin zorunlu olduğu durumda gerekli tespit yapılamıyorsa ödeme kuruluşu iş ilişkisi tesis etmemeli veya talep edilen işlemi gerçekleştirmemelidir.

Kimlik tespiti sadece yüksek tutarlı işlemlerde mi yapılır?

Hayır. Sürekli iş ilişkisi kurulması veya şüpheli işlem söz konusu olması gibi durumlarda işlem tutarından bağımsız kimlik tespiti yükümlülüğü gündeme gelebilir.

Ödeme kuruluşları müşterilerini uzaktan tanıyabilir mi?

Evet. Ödeme ve elektronik para kuruluşlarının müşterileriyle sürekli iş ilişkisi tesisinde uzaktan kimlik tespiti, MASAK ve TCMB tarafından belirlenen yöntem ve tedbirlere uygun olarak gerçekleştirilebilir.

Yabancı müşterilere uzaktan hesap açılabilir mi?

2026 yılında yapılan değişiklikle Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan kimlik tespitine imkân veren düzenleme yayımlanmıştır. Somut müşteri edinimi sürecinin güncel MASAK ve TCMB teknik şartlarına uygun kurulması gerekir.

Şirket müşterilerinde sadece şirket yetkilisinin kimliğini almak yeterli midir?

Her durumda hayır. Tüzel kişinin kendisinin yanı sıra müşteri adına hareket eden kişilerin ve gerekli durumlarda gerçek faydalanıcının tespit edilmesi gerekir.

Müşteri bilgileri sonradan güncellenmeli midir?

Evet. Müşterinin tanınması sürekli bir süreçtir. Özellikle yüksek riskli müşterilerde kimlik ve gerçek faydalanıcı bilgilerinin daha sık güncellenmesi sıkılaştırılmış tedbirler arasında bulunmaktadır.

Sonuç: Ödeme Kuruluşlarında Müşterinin Tanınması Tek Seferlik Kimlik Kontrolü Değildir

Ödeme kuruluşlarında müşteri tanıma yükümlülüğü, yalnızca kullanıcının kimlik kartının sisteme yüklenmesinden ibaret değildir.

Etkili bir müşteri tanıma sistemi;

müşterinin kimliğinin doğrulanması, iş ilişkisinin amacının anlaşılması, müşteri adına hareket eden kişilerin ve gerçek faydalanıcının tespit edilmesi, müşterinin risk seviyesinin belirlenmesi, bilgilerin güncel tutulması ve müşteri işlemlerinin sürekli izlenmesi

unsurlarının birlikte uygulanmasını gerektirir. MASAK’ın yürürlükteki düzenlemeleri müşterinin tanınmasını ödeme kuruluşlarının suç gelirlerinin aklanması ve terörizmin finansmanıyla mücadele sisteminin temel unsurlarından biri olarak düzenlemektedir.

Özellikle dijital ortamda faaliyet gösteren ödeme kuruluşlarında yüz binlerce kullanıcının manuel yöntemlerle takip edilmesinin mümkün olmaması nedeniyle KYC, müşteri risk skorlama, gerçek faydalanıcı kontrolü, işlem izleme ve şüpheli işlem alarm sistemlerinin yazılım altyapısıyla birlikte tasarlanması önem taşımaktadır.

Bu nedenle ödeme kuruluşlarının MASAK müşteri tanıma süreçlerini faaliyet başladıktan sonra hazırlanacak bir uyum dosyası olarak değil, müşteri edinimi ve ödeme altyapısının temel bir parçası olarak değerlendirmesi; 5549 sayılı Kanun, MASAK düzenlemeleri ve TCMB’nin ödeme kuruluşlarına ilişkin teknik düzenlemelerini birlikte dikkate alması gerekir.