Bir fintech şirketinin satın alınması, sıradan bir teknoloji şirketinin devralınmasından önemli ölçüde farklıdır. Çünkü satın alınan şirket yalnızca bir yazılım, mobil uygulama, marka veya müşteri portföyünden oluşmayabilir. Şirket aynı zamanda TCMB faaliyet izni, ödeme veya elektronik para altyapısı, müşteri fonları, MASAK yükümlülükleri, kişisel veriler, bilgi sistemleri, dış hizmet sağlayıcıları ve düzenleyici denetim geçmişi taşıyor olabilir.

Bu nedenle fintech şirketlerinde klasik şirketler hukuku due diligence çalışması tek başına yeterli değildir.

Özellikle ödeme kuruluşu veya elektronik para kuruluşu satın alınırken şu soru son derece önemlidir:

“Şirketin bilançosunda görünmeyen ancak lisansını, faaliyetini veya gelecekteki sermaye ihtiyacını etkileyebilecek düzenleyici bir risk var mı?”

Türkiye’de ödeme ve elektronik para kuruluşlarının faaliyetleri 6493 sayılı Kanun kapsamında TCMB’nin düzenleme ve denetimine tabidir. TCMB, kuruluşların hangi ödeme hizmetleri bakımından yetkili olduğunu ayrıca kamuya açık olarak göstermektedir. Bu nedenle hedef şirketin yalnızca “TCMB lisanslı” olup olmadığına değil, faaliyet izninin tam olarak hangi hizmetleri kapsadığına bakılması gerekir. (Türkiye Cumhuriyet Merkez Bankası)

Fintech şirketi satın alırken yapılacak hukuki inceleme bu nedenle şirketler hukuku, finansal regülasyon, MASAK, KVKK, bilgi sistemleri, fikrî mülkiyet, sözleşmeler, iş hukuku, vergi ve rekabet hukukunun birlikte değerlendirilmesini gerektirir.

Fintech Due Diligence Nedir?

Due diligence, satın alınması düşünülen şirketin hukuki, mali, ticari ve operasyonel risklerinin işlem tamamlanmadan önce sistematik biçimde incelenmesidir.

Klasik şirket satın almalarında genellikle;

şirket payları, ticaret sicili, sözleşmeler, davalar, vergi borçları, çalışanlar ve fikrî mülkiyet hakları incelenir.

Fintech şirketinde ise bunlara ilave olarak;

faaliyet izni + düzenleyici denetimler + müşteri fonları + özkaynak + MASAK + bilgi sistemleri + KVKK + ödeme altyapısı + dış hizmetler

ayrı bir inceleme katmanı oluşturur.

Bu nedenle fintech şirketi satın alırken değerleme çalışmasına geçmeden önce ilk yapılması gerekenlerden biri hedef şirketin regulatory map – düzenleyici haritasının çıkarılmasıdır.

İlk Soru: Satın Alınan Şirket Gerçekte Hangi Fintech Faaliyetini Yürütüyor?

“Fintech şirketi” Türk hukukunda tek bir lisans kategorisini ifade etmez.

Bir şirket;

ödeme kuruluşu, elektronik para kuruluşu, açık bankacılık şirketi, ödeme altyapısı sağlayıcısı, dijital cüzdan işletmecisi, yalnızca finansal yazılım geliştiren teknoloji şirketi veya başka bir düzenlemeye tabi finansal teknoloji şirketi olabilir.

Bu ayrım satın alma işleminin tamamını etkiler.

Örneğin yalnızca bankalara yazılım geliştiren bir SaaS şirketinin devralınması ile yüz binlerce müşterinin parasını yöneten elektronik para kuruluşunun devralınması aynı hukuki incelemeye tabi tutulamaz.

Bu nedenle due diligence’ın başlangıcında;

“Hedef şirket hangi hizmetleri fiilen sunuyor ve bu hizmetlerin hukuki karşılığı nedir?”

sorusu cevaplandırılmalıdır.

Ödeme veya elektronik para faaliyeti bulunuyorsa şirketin mevcut faaliyet izinleri TCMB’nin güncel kuruluş listeleriyle karşılaştırılmalıdır. (Türkiye Cumhuriyet Merkez Bankası)

TCMB Faaliyet İzni Kontrol Edilmeden Fintech Şirketi Satın Alınmamalıdır

Hedef şirket ödeme veya elektronik para kuruluşuysa ilk incelenecek belgelerden biri faaliyet iznidir.

Ancak yalnızca şirketin geçmişte lisans almış olması yeterli değildir.

Şu hususlar ayrıca kontrol edilmelidir:

Faaliyet izni hâlen geçerli mi?

İzin geçici olarak durdurulmuş mu?

Daha önce faaliyet izni kapsamı daraltılmış mı?

Şirket hangi ödeme hizmetleri için yetkili?

Şirket fiilen faaliyet izninde bulunmayan bir ürün sunuyor mu?

Devam eden faaliyet genişletme başvurusu var mı?

TCMB nezdinde devam eden bir inceleme bulunuyor mu?

Bu kontrol özellikle önemlidir. TCMB’nin 2025 yılı gözetim ve denetim sonuçlarında 14 kuruluşun faaliyet izni geçici olarak durdurulmuş, 7 kuruluşun faaliyet izni iptal edilmiş ve 72 kuruluşa toplam 373,2 milyon TL idari para cezası uygulanmıştır. (Türkiye Cumhuriyet Merkez Bankası)

Dolayısıyla “lisanslı şirket satın alıyoruz” düşüncesi tek başına yatırım güvenliği sağlamaz.

Asıl soru lisansın sağlıklı ve sürdürülebilir şekilde korunup korunmadığıdır.

Fintech Şirketinin Paylarını Satın Almak İçin TCMB İzni Gerekebilir

Ödeme ve elektronik para kuruluşlarının pay devirleri sıradan anonim şirketlerdeki pay devirlerinden farklıdır.

TCMB Yönetmeliğine göre doğrudan veya dolaylı şekilde şirket sermayesinin %10 veya daha fazlasını temsil eden payların edinilmesi TCMB iznine tabidir.

Ayrıca bir ortağın payının;

%10, %20, %33 veya %50 eşiklerini aşmasına

veya bu oranların altına düşmesine neden olan pay edinim ve devirleri de TCMB izni gerektirir.

Bu nedenle örneğin yatırımcı şirketin %51’ini satın almak istiyorsa işlem yalnızca satıcı ve alıcının hisse devir sözleşmesi imzalamasıyla tamamlanabilecek klasik bir M&A işlemi değildir.

TCMB pay devri izin süreci transaction structure’ın doğrudan parçası hâline gelir.

Sadece Pay Oranı mı Önemlidir?

Hayır.

Yönetmelik, pay oranından bağımsız olarak yönetim kuruluna veya denetim komitesine üye belirleme imtiyazı veren payların tesisi veya devrini de TCMB iznine tabi tutmaktadır.

Ayrıca kuruluş sermayesinde %10 veya daha fazla paya sahip tüzel kişinin kontrolünün el değiştirmesine yol açan işlemler de izne tabidir.

Bu nedenle satın alma yalnızca hedef şirket seviyesinde değil;

hedef şirket → holding → fon → yatırımcı → nihai kontrol sahibi

zinciri üzerinden analiz edilmelidir.

Özellikle yabancı fonlar, private equity yapıları ve uluslararası holdingler bakımından dolaylı kontrol değişikliği gözden kaçırılmamalıdır.

TCMB İzni Almadan Pay Devri Yapılırsa Ne Olur?

Pay devrinin gerekli TCMB izni alınmadan tamamlanması önemli şirketler hukuku sorunları doğurabilir.

Yönetmelik, gerekli izin bulunmayan pay sahiplerinin genel kurulda oy kullanması hâlinde, ilgili genel kurul kararlarının iptali için TCMB tarafından yönetim kurulundan Türk Ticaret Kanunu çerçevesinde gerekli işlemlerin başlatılmasının istenebileceğini düzenlemektedir.

Bu nedenle fintech şirketi satın alma sözleşmelerinde TCMB izni gereken işlemlerde izin süreci genellikle closing condition – kapanış ön şartı olarak yapılandırılmalıdır.

Başka bir ifadeyle:

SPA imzalanır → TCMB izni alınır → izin sonrası kapanış gerçekleştirilir.

İzin alınmadan bedelin tamamen ödenmesi ve kontrolün fiilen alıcıya geçirilmesi ciddi hukuki risk yaratabilir.

TCMB Pay Devri Başvurusunda Alıcı da İncelenir

Bir ödeme veya elektronik para kuruluşunu satın almak isteyen yatırımcı yalnızca satın alma bedelini ödeyebilecek mali güce sahip olduğunu göstermekle yetinmez.

TCMB pay devri başvurusunda payların satın alınmasında kullanılacak kaynağa ilişkin açıklama, pay devir sözleşmesinin örneği, alıcının yetkili organ kararları ve alıcıya ilişkin çeşitli bilgi ve belgeler talep edilmektedir.

Kontrol sağlayacak şekilde ilk kez pay edinecek veya devralacak kişiler bakımından TCMB’nin EK-21 soru seti daha da dikkat çekicidir.

Alıcıdan;

yatırımın nedeni, daha önce yaptığı yatırımlar, satın alma sonrası uygulanacak üç yıllık strateji, hedef şirketin iş modeli veya pazarlama stratejisinde yapılması planlanan değişiklikler, işlemin finansal etkisinin nasıl yönetileceği ve satın alma sonrası üç yıllık finansal projeksiyonlar

hakkında bilgi istenmektedir.

Dolayısıyla fintech satın alımında yalnızca satıcı due diligence’a tabi değildir.

Alıcının kendisi de düzenleyici incelemenin konusu olabilir.

Satın Alma Bedelinin Kaynağı da Önemlidir

Fintech şirketlerinde pay devri sürecinde satın alma bedelinin kaynağı özellikle önemlidir.

TCMB’nin pay devri başvuru listesinde payların satın alınmasında kullanılacak kaynak hakkında açıklama istenmektedir.

Bu nedenle özellikle yabancı yatırımcılar veya çok katmanlı fon yapılarında;

fonun kaynağı, nihai yatırımcılar, finansmanın krediyle mi özkaynakla mı sağlandığı, grup içi finansman yapısı ve fon hareketlerinin belgelenebilirliği

işlem planlamasının başında hazırlanmalıdır.

Satın alma bedeli belli olup para kaynağının son aşamada açıklanmaya çalışılması, düzenleyici izin sürecini zorlaştırabilir.

Şirketin Özkaynağı Satın Alma Öncesinde Kontrol Edilmelidir

Fintech şirketinin şirket değeri yüksek olsa bile düzenleyici anlamda özkaynak yeterliliği sorunlu olabilir.

30 Haziran 2026 itibarıyla TCMB tarafından belirlenen asgari özkaynak tutarları;

münhasıran fatura ödemelerine aracılık eden ödeme kuruluşları için 20 milyon TL, münhasıran hesap bilgisi hizmeti sunanlar hariç diğer ödeme kuruluşları için 40 milyon TL, elektronik para kuruluşları için ise 105 milyon TL olarak uygulanmaktadır.

Bu tutarlar satın alma incelemesinde yalnızca son bilançodan kontrol edilmemelidir.

Şirketin;

zararları, sermaye kayıpları, maddi olmayan varlıkları, işlem hacmi ve gelecekte oluşabilecek özkaynak ihtiyacı

birlikte değerlendirilmelidir.

Örneğin yatırımcı 100 milyon TL bedelle şirket satın alırken, closing sonrasında şirkete ayrıca ciddi miktarda sermaye koymak zorunda kalabilir.

Bu nedenle teklif hazırlanırken şu hesap yapılmalıdır:

Satın alma bedeli + gerekli sermaye enjeksiyonu + regülasyon uyum maliyeti = gerçek yatırım maliyeti.

Müşteri Fonları Mutlaka İncelenmelidir

Ödeme ve elektronik para kuruluşlarının bilançosunda en kritik alanlardan biri müşteri fonlarıdır.

Due diligence sırasında yalnızca şirketin banka hesabında ne kadar para bulunduğuna bakılması yeterli değildir.

Şu karşılaştırmanın yapılması gerekir:

Müşterilere karşı yükümlülük ne kadar?

Koruma hesaplarında ne kadar fon bulunuyor?

Sistem kayıtlarıyla banka kayıtları birbirini doğruluyor mu?

Herhangi bir fon açığı var mı?

Ödeme mevzuatı, ödeme fonlarının şirketin diğer fonlarından ayrıştırılmasını ve yalnızca ödeme işleminin gerçekleştirilmesi amacıyla kullanılmasını öngörmektedir. TCMB’nin güncel faaliyet izinleri ve denetim yapısı da müşteri fonlarının korunmasını kuruluşların temel yükümlülüklerinden biri hâline getirmektedir. (Türkiye Cumhuriyet Merkez Bankası)

Fintech satın alımında müşteri fonlarında tespit edilecek küçük görünen bir açık, çok daha büyük bir düzenleyici problemin göstergesi olabilir.

MASAK Due Diligence Ayrı Bir İnceleme Alanıdır

Ödeme ve elektronik para kuruluşları MASAK mevzuatı bakımından yükümlü kuruluşlardır.

Bu nedenle satın alma öncesinde şirketin yalnızca TCMB mevzuatına değil, suç gelirlerinin aklanmasının ve terörizmin finansmanının önlenmesine ilişkin yükümlülüklere de ne ölçüde uyduğu incelenmelidir.

MASAK’ın güncel yükümlülük sisteminde uyum programı kapsamında risk yönetimi, izleme ve kontrol, uyum görevlisi, eğitim ve iç denetim gibi mekanizmalar bulunmaktadır; uyum programı tedbirlerinin belirli aralıklarla gözden geçirilmesi de öngörülmektedir. (Hazine ve Maliye Bakanlığı)

Due diligence sırasında özellikle;

KYC süreçlerinin eksik olup olmadığı, gerçek faydalanıcı tespitlerinin yapılıp yapılmadığı, yüksek riskli müşterilerin nasıl izlendiği, şüpheli işlem bildirim süreçlerinin çalışıp çalışmadığı ve uyum görevlisinin etkinliği

incelenmelidir.

MASAK’ın 2025 yılında sıkılaştırılmış tedbirler rehberini güncellemiş olması da özellikle ödeme ve elektronik para kuruluşlarında risk bazlı uyumun önemini artırmıştır. (Hazine ve Maliye Bakanlığı)

MASAK Geçmişi Neden Şirket Değerini Etkileyebilir?

Bir ödeme kuruluşunun müşteri portföyünün büyüklüğü ilk bakışta değerleme açısından olumlu görünebilir.

Ancak müşteri portföyünün önemli bölümü;

riskli müşterilerden, eksik KYC yapılmış hesaplardan, şüpheli işlem modellerinden veya gerçek faydalanıcısı belirlenmemiş kurumsal müşterilerden

oluşuyorsa bu müşteri tabanı satın alan şirket açısından avantaja değil yükümlülüğe dönüşebilir.

Satın alma sonrasında bütün müşterilerin yeniden incelenmesi, hesapların kapatılması veya yüksek maliyetli remediation çalışmaları yapılması gerekebilir.

MASAK yükümlülüklerinin ihlalinde idari para cezalarının yanında belirli şartlarda faaliyet kısıtlaması veya faaliyet izninin iptaline yönelik süreçlerin ilgili kuruma bildirilmesine kadar ilerleyebilen yaptırım mekanizmaları bulunmaktadır. (Hazine ve Maliye Bakanlığı)

Bu nedenle fintech şirketinin değerlemesinde yalnızca müşteri sayısı değil, müşteri portföyünün uyum kalitesi de dikkate alınmalıdır.

KVKK Due Diligence Neden Fintech Satın Alımlarında Kritik?

Fintech şirketlerinin en değerli varlıklarından biri çoğu zaman müşteri verisidir.

Ancak müşteri verisi şirketin serbestçe kullanabileceği sıradan bir ticari mal değildir.

Ödeme ve elektronik para şirketleri;

kimlik bilgileri, iletişim verileri, işlem geçmişleri, cihaz bilgileri ve finansal davranışlara ilişkin yoğun kişisel veri işlemektedir. Kişisel Verileri Koruma Kurumu ödeme ve elektronik para sektörüne özel olarak Kişisel Verilerin Korunmasına İlişkin İyi Uygulamalar Rehberi yayımlamıştır. (KVKK)

Due diligence kapsamında;

aydınlatma metinleri, veri işleme hukuki sebepleri, açık rıza süreçleri, veri işleyen sözleşmeleri, yurt dışına veri aktarımı, veri saklama süreleri, VERBİS yükümlülükleri ve geçmiş veri ihlalleri

incelenmelidir.

Özellikle hedef şirket Google Cloud, AWS, Azure, global CRM veya yabancı fraud sağlayıcıları kullanıyorsa müşteri verilerine yurt dışından erişim bulunup bulunmadığı ayrıca teknik olarak analiz edilmelidir.

“Müşteri Veritabanı Çok Büyük” Her Zaman Avantaj Değildir

Bir yatırımcı açısından bir milyon kayıtlı kullanıcı çok değerli görünebilir.

Ancak şu sorular cevaplandırılmalıdır:

Bu kullanıcıların verileri hukuka uygun şekilde mi toplandı?

Pazarlama izni var mı?

Kullanıcılar aktif mi?

Verilerin saklanmaya devam edilmesi için hukuki sebep bulunuyor mu?

Yurt dışı aktarım mekanizması hukuka uygun mu?

Silinmesi gereken kayıtlar hâlâ tutuluyor mu?

Bu soruların cevabı olumsuzsa yüksek kullanıcı sayısı şirket değerini artırmak yerine KVKK ve operasyonel remediation maliyetini artırabilir.

Bilgi Sistemleri ve Siber Güvenlik Due Diligence’ın Merkezi Olmalıdır

Fintech şirketinin en önemli altyapısı fiziksel ofisi değil bilgi sistemleridir.

Bu nedenle teknik due diligence ile hukuki due diligence birbirinden tamamen ayrı yürütülmemelidir.

Özellikle;

bilgi sistemleri bağımsız denetim raporları, penetration test sonuçları, kritik açıklar, log yönetimi, erişim yetkileri, veri merkezi yapısı, iş sürekliliği, disaster recovery, geçmiş siber olaylar ve kullanılan dış hizmet sağlayıcılar

incelenmelidir.

TCMB, ödeme ve elektronik para kuruluşlarının bilgi sistemleri ve raporlamalarının takibi amacıyla 2025 yılında Ödeme Kuruluşları Denetim Takip Sistemi – OKDS sistemini üretime almıştır. (Türkiye Cumhuriyet Merkez Bankası)

Bu gelişme de bilgi sistemleri uyumunun fintech kuruluşlarının gözetiminde merkezi bir unsur olduğunu göstermektedir.

Son Sızma Testi Raporuna Mutlaka Bakılmalıdır

Yalnızca;

“Şirket her yıl pentest yaptırıyor.”

ifadesi yeterli değildir.

Asıl incelenmesi gereken pentest sonuçlarıdır.

Örneğin;

kritik bir güvenlik açığı 18 aydır kapatılmamışsa, müşteri verilerine gereğinden geniş erişim bulunuyorsa veya eski çalışanların yönetici hesapları hâlen aktifse şirketin önemli bir siber güvenlik ve düzenleyici riski olabilir.

Bu tür bulgular satın alma sözleşmesinde;

özel tazminat hükümleri, kapanış öncesi remediation şartları veya purchase price adjustment

mekanizmalarının kullanılmasına neden olabilir.

Bulut Hizmetleri ve Dış Hizmet Sağlayıcıları İncelenmelidir

Bir fintech şirketinin kendi geliştirdiği mobil uygulama aslında onlarca farklı üçüncü taraf şirkete bağlı olabilir.

Örneğin;

KYC sistemi başka şirkette, fraud yazılımı başka şirkette, sunucular başka sağlayıcıda, çağrı merkezi başka şirkette, kart altyapısı başka şirkette olabilir.

Bu nedenle due diligence sırasında vendor map – tedarikçi haritası oluşturulmalıdır.

Özellikle kritik sağlayıcılar bakımından;

sözleşme süresi, change of control hükümleri, fesih hakkı, fiyat değişiklikleri, alt yükleniciler, veri erişimleri ve sağlayıcı değiştirmenin mümkün olup olmadığı

kontrol edilmelidir.

Satın alma işlemi sonrasında kritik teknoloji sağlayıcının;

“Şirketin kontrolü değiştiği için sözleşmeyi feshediyoruz.”

deme hakkının bulunması şirket değerini ciddi şekilde etkileyebilir.

Fikrî Mülkiyet Hakları Gerçekten Şirkete mi Ait?

Fintech şirketlerinde en sık gözden kaçan alanlardan biri yazılımın mülkiyetidir.

Şirketin mobil uygulamasının kendi markasıyla faaliyet göstermesi, kaynak kodunun ve yazılım üzerindeki bütün fikrî hakların şirkete ait olduğu anlamına gelmez.

Due diligence sırasında;

kaynak kodunu kim geliştirdi, çalışanlarla fikrî hak devir hükümleri var mı, freelance geliştiriciler kullanıldı mı, yazılım ajansıyla hak devri yapılmış mı, açık kaynak kodlar hangi lisanslarla kullanıldı ve üçüncü tarafların kod üzerinde hakkı bulunuyor mu

incelenmelidir.

Örneğin şirketin temel ödeme motoru yıllar önce freelance bir geliştirici tarafından hazırlanmış ancak telif hakları devredilmemişse, yatırımcı şirketin en önemli teknolojik varlığını satın aldığını düşünürken gerçekte yalnızca kullanım fiili devralıyor olabilir.

Marka ve Alan Adları da Kontrol Edilmelidir

Fintech şirketlerinde marka değeri şirket değerlemesinin önemli parçasıdır.

Bu nedenle;

marka tescilleri, alan adları, mobil uygulama mağaza hesapları, sosyal medya hesapları, yazılım lisansları ve logo/tasarım hakları

incelenmelidir.

Özellikle alan adının veya uygulama mağaza hesabının şirket çalışanının şahsi adına kayıtlı olması önemli operasyonel risk oluşturabilir.

Banka ve Kart Kuruluşu Sözleşmeleri İncelenmelidir

Bir fintech şirketinin faaliyet izni tek başına şirketin faaliyetine devam etmesi için yeterli olmayabilir.

Şirket;

bankalar, kart şemaları, BKM, POS sağlayıcıları, teknoloji firmaları ve çeşitli ödeme altyapılarıyla ticari sözleşmelere bağlı olabilir.

Bu nedenle kritik ticari sözleşmelerde özellikle change of control hükümleri incelenmelidir.

Satın alma işlemi;

karşı tarafa sözleşmeyi feshetme, fiyatları değiştirme veya önceden izin verme hakkı tanıyor olabilir.

Bu nedenle şirket paylarının devrinden önce kritik sözleşmelerin hangilerinin karşı taraf onayı gerektirdiği belirlenmelidir.

Temsilci ve İşyeri Ağı İncelenmelidir

Ödeme kuruluşları bazı faaliyetlerini temsilciler veya geniş işyeri ağları üzerinden yürütebilir.

Due diligence sırasında yalnızca merkez şirket incelenmemelidir.

Temsilcilerin;

sözleşmeleri, faaliyet kapsamları, komisyon modelleri, KYC süreçleri ve mevzuata aykırı uygulamaları

da risk yaratabilir.

Şirketin binlerce temsilcisi bulunuyorsa küçük bir prosedür hatası bütün ağda uygulanıyor olabilir.

Bu durumda münferit bir problem yerine sistematik bir düzenleyici ihlal söz konusu olabilir.

TCMB Denetim Geçmişi Mutlaka İstenmelidir

Fintech şirketi satın alırken satıcıdan yalnızca ticaret sicili ve bilanço belgeleri istemek yeterli değildir.

Özellikle;

TCMB denetim raporları, savunma istem yazıları, uyarılar, idari para cezaları, faaliyet kısıtlamaları, devam eden incelemeler ve kuruluşun TCMB’ye verdiği taahhütler

data room’a alınmalıdır.

TCMB’nin 2025 yılında 7 pay devri izin başvurusunu onaylamış olması ve aynı yıl önemli sayıda kuruluş hakkında para cezası, faaliyet durdurma ve lisans iptali kararı uygulanmış olması, hem pay devrinin hem de düzenleyici geçmişin uygulamada aktif şekilde denetlendiğini göstermektedir. (Türkiye Cumhuriyet Merkez Bankası)

Geçmiş İdari Para Cezaları Neden Önemlidir?

Ödenmiş bir idari para cezası dahi önemlidir.

Çünkü cezanın altında yatan sorun hâlen devam ediyor olabilir.

Örneğin şirket daha önce;

müşteri fonlarının korunması, bilgi güvenliği, TCMB raporlaması veya müşteri bilgilendirmeleri nedeniyle ceza aldıysa alıcının şu soruyu sorması gerekir:

“Bu eksiklik gerçekten giderildi mi, yoksa yalnızca ceza mı ödendi?”

Sorun devam ediyorsa satın alma sonrası yeni yaptırımların ortaya çıkması mümkündür.

Bu nedenle cezaların yalnızca tutarı değil, root cause – temel nedeni incelenmelidir.

Devam Eden Davalar ve Müşteri Şikâyetleri İncelenmelidir

Fintech şirketinin hakkında birkaç büyük dava bulunmaması, hukuki riskin düşük olduğu anlamına gelmeyebilir.

Örneğin binlerce tüketici aynı konu hakkında düşük tutarlı şikâyette bulunuyor olabilir.

Bu durum gelecekte toplu maliyet yaratabilir.

Due diligence kapsamında;

tüketici uyuşmazlıkları, hakem heyeti başvuruları, ticari davalar, iş davaları, ceza soruşturmaları ve düzenleyici şikâyetler

toplu olarak incelenmelidir.

Özellikle müşteri şikâyetlerinin konu bazında sınıflandırılması faydalıdır.

Örneğin şikâyetlerin %40’ı “hesabım gerekçesiz kapatıldı”, %30’u “paramı çekemiyorum” diyorsa bu durum operasyonel veya uyum kaynaklı daha büyük bir sorunun işareti olabilir.

Vergi ve SGK İncelemesi Unutulmamalıdır

Fintech şirketinin finansal teknoloji şirketi olması klasik şirket yükümlülüklerini ortadan kaldırmaz.

Vergi incelemeleri, KDV uygulamaları, transfer fiyatlandırması, stopajlar, kurumlar vergisi ve SGK borçları da due diligence kapsamında incelenmelidir.

Özellikle yabancı grup şirketlerine;

yazılım lisansı, yönetim hizmeti, teknoloji bedeli veya marka kullanım bedeli

ödeniyorsa transfer fiyatlandırması ve vergisel risklerin ayrıca değerlendirilmesi gerekir.

Çalışanlar ve Kritik Personel İncelemesi

Fintech şirketlerinin değerinin önemli bölümü belirli çalışanlarda toplanabilir.

CTO, yazılım ekibi, bilgi güvenliği yöneticisi veya uyum ekibinin işlem sonrasında şirketten ayrılması önemli operasyonel risk yaratabilir.

Bu nedenle;

iş sözleşmeleri, gizlilik hükümleri, rekabet yasağı, çalışanlara ait hisse opsiyonları, prim programları ve fikrî hak hükümleri

incelenmelidir.

Özellikle çalışanlara verilmiş ESOP, opsiyon veya pay vaadi bulunuyorsa fully diluted shareholding hesabı yapılmadan satın alma oranı belirlenmemelidir.

Fintech Satın Alımlarında Rekabet Kurumu İzni de Gündeme Gelebilir

Fintech şirketleri, birleşme ve devralma mevzuatı bakımından ayrıca önemlidir.

Rekabet Kurumu, “teknoloji teşebbüsü” tanımı içerisinde finansal teknolojileri açıkça saymaktadır. 2026 yılında birleşme ve devralma bildirim eşikleri de yeniden düzenlenmiş ve teknoloji teşebbüslerine ilişkin özel rejimde değişiklikler yapılmıştır. (Rekabet Kurumu Haber Portalı)

Bu nedenle satın alma işlemi;

yalnızca TCMB pay devri izni bakımından değil, Rekabet Kurulu izni gerektirip gerektirmediği bakımından da analiz edilmelidir.

Özellikle uluslararası yatırım fonları veya büyük finans grupları tarafından yapılan fintech satın alımlarında Rekabet Kurumu bildirim yükümlülüğü closing takvimini doğrudan etkileyebilir.

Pay Alımı mı, Varlık Alımı mı?

Fintech satın almalarında temel işlem modellerinden biri share deal, yani şirket paylarının satın alınmasıdır.

Bu modelde lisans sahibi tüzel kişi aynı kalır; şirketin sahipleri değişir. Ancak ödeme veya elektronik para kuruluşunda belirli oranların aşılması hâlinde TCMB pay devri izni gerekir.

Diğer model asset deal, yani şirketin belirli varlıklarının satın alınmasıdır.

Örneğin yalnızca;

yazılım, marka, müşteri sözleşmeleri veya teknoloji altyapısı

satın alınabilir.

Ancak bir şirketin ödeme kuruluşuna ait yazılımı veya markayı satın alması, satın alan şirkete kendiliğinden ödeme kuruluşu lisansı sağlamaz. Türkiye’de ödeme hizmeti sunmak veya elektronik para ihraç etmek isteyen kuruluşun 6493 sayılı Kanun kapsamında gerekli TCMB faaliyet iznine sahip olması gerekir. (Türkiye Cumhuriyet Merkez Bankası)

Bu nedenle yatırımcı açısından asıl hedef mevcut lisanslı operasyonu devam ettirmekse çoğu durumda işlem yapısı başlangıçta doğru planlanmalıdır.

Due Diligence Sonucunda Riskler Nasıl Sözleşmeye Yansıtılmalıdır?

Hukuki incelemenin amacı yalnızca uzun bir rapor hazırlamak değildir.

Tespit edilen riskler satın alma sözleşmesine dönüştürülmelidir.

Örneğin risk;

küçük ve belirlenebilir ise satın alma bedelinden düşülebilir.

Geçmiş dönemden kaynaklanıyor ancak gelecekte ortaya çıkabilecekse satıcıdan özel tazminat taahhüdü alınabilir.

Closing öncesinde giderilebiliyorsa kapanış şartına dönüştürülebilir.

Sonucu belirsizse bedelin bir kısmı escrow hesabında tutulabilir.

Şirketin sermaye ihtiyacı bulunuyorsa bedel ile sermaye artırımı birlikte planlanabilir.

Bu nedenle due diligence ile SPA müzakeresi birbirinden ayrı süreçler değildir.

Fintech SPA’sında Hangi Konular Özellikle Düzenlenmelidir?

Fintech şirketi satın alma sözleşmesinde klasik M&A hükümlerinin yanında özellikle;

TCMB pay devri izni, Rekabet Kurumu izni gerekiyorsa bunun alınması, faaliyet izninin kapanışa kadar korunması, müşteri fonlarında açık bulunmaması, düzenleyici soruşturmaların açıklanması, MASAK ve KVKK ihlallerine ilişkin özel beyanlar, siber olayların açıklanması, bilgi sistemleri raporları ve kritik çalışanların korunması

düzenlenmelidir.

Satıcının yalnızca;

“Şirket mevzuata uygundur.”

şeklinde genel bir garanti vermesi bazı işlemlerde yeterli olmayabilir.

Örneğin ayrı ayrı;

“Şirket hakkında açıklanmamış TCMB soruşturması yoktur.”

“Koruma hesaplarında müşteri fonu açığı bulunmamaktadır.”

“Bilinen ve açıklanmamış kritik veri ihlali bulunmamaktadır.”

gibi spesifik representations & warranties düzenlenebilir.

Kapanış Öncesinde Hangi Belgeler Yeniden Kontrol Edilmelidir?

Due diligence’ın tamamlanması ile closing arasında aylar geçebilir.

Bu nedenle kapanıştan hemen önce bazı kontrollerin yenilenmesi gerekir.

Özellikle;

TCMB faaliyet izninin statüsü, yeni bir idari yaptırım olup olmadığı, özkaynak seviyesi, müşteri fonları, önemli dava ve soruşturmalar, kritik sözleşmelerin devamı ve yeni siber olaylar

yeniden kontrol edilmelidir.

Bu mekanizma M&A sözleşmelerinde bring-down of warranties hükümleriyle desteklenebilir.

Fintech Şirketi Satın Alırken Kullanılabilecek Hukuki İnceleme Kontrol Listesi

Pratik bir satın alma incelemesinde aşağıdaki ana başlıkların tamamının kontrol edilmesi yararlı olacaktır:

1. Şirketler hukuku: Esas sözleşme, pay defteri, ortaklık yapısı, imtiyazlar, pay rehinleri, opsiyonlar ve genel kurul kararları.
2. Regülasyon: TCMB faaliyet izni, izin kapsamı, faaliyet genişletmeleri, pay devri izinleri ve düzenleyici yazışmalar.
3. Finansal yeterlilik: Asgari özkaynak, sermaye kaybı, teminatlar ve ek sermaye ihtiyacı.
4. Müşteri fonları: Koruma hesapları, mutabakatlar ve olası fon açıkları.
5. MASAK: KYC, gerçek faydalanıcı, risk yönetimi, işlem izleme, şüpheli işlem bildirimi ve uyum programı.
6. KVKK: Veri envanteri, aydınlatma, hukuki sebepler, yurt dışı veri aktarımı ve geçmiş veri ihlalleri.
7. Bilgi sistemleri: Bağımsız denetimler, sızma testleri, loglar, erişim yetkileri, iş sürekliliği ve siber olaylar.
8. Dış hizmetler ve bulut: Kritik tedarikçiler, alt yükleniciler, veri lokasyonu ve change of control hükümleri.
9. Ticari sözleşmeler: Banka, işyeri, kart altyapısı, temsilci, teknoloji ve stratejik ortaklık sözleşmeleri.
10. Fikrî mülkiyet: Kaynak kodu, yazılım hakları, marka, alan adı ve açık kaynak lisansları.
11. Davalar ve yaptırımlar: TCMB, MASAK, KVKK, tüketici ve adli süreçler.
12. Çalışanlar: Kritik personel, fikrî hak devirleri, ESOP ve işçilik riskleri.
13. Vergi ve SGK: Vergi incelemeleri, borçlar ve grup içi işlemler.
14. Rekabet hukuku: İşlemin Rekabet Kurulu iznine tabi olup olmadığı.
15. İşlem izinleri: TCMB pay devri izni ve diğer gerekli düzenleyici onayların closing ön şartı olarak yapılandırılması.

Sıkça Sorulan Sorular

Fintech şirketi satın alırken due diligence yapılması zorunlu mudur?

Her şirket satın alımında kanunen aynı kapsamda due diligence yapılmasını zorunlu kılan genel bir kural bulunmamakla birlikte, düzenlemeye tabi fintech şirketlerinde hukuki inceleme yapılmadan yatırım gerçekleştirilmesi son derece yüksek risklidir. Özellikle ödeme ve elektronik para kuruluşlarında faaliyet izni, müşteri fonları ve düzenleyici geçmiş satın alma değerini doğrudan etkileyebilir.

Ödeme kuruluşunun %51’i satın alınabilir mi?

Evet; ancak bu ölçekte bir pay devri TCMB iznine tabidir. Yönetmelik %10, %20, %33 ve %50 eşiklerini aşan pay değişikliklerini özel olarak düzenlemektedir.

TCMB pay devri izni kapanıştan önce mi alınmalıdır?

İzne tabi bir işlemde pay devrinin hukuki yapısının TCMB izni dikkate alınarak kurulması gerekir. Yönetmelik gerekli izin bulunmayan pay sahiplerinin ortaklık hakları bakımından önemli sınırlamalar öngördüğünden, uygulamada izin sürecinin kapanış ön şartı olarak yapılandırılması güçlü bir risk yönetimi yöntemidir.

Yabancı yatırımcı Türkiye’deki ödeme kuruluşunu satın alabilir mi?

Yabancı yatırımcıların ödeme veya elektronik para kuruluşuna yatırım yapması mümkündür; ancak pay devri TCMB Yönetmeliğindeki izin şartlarına tabi olabilir. Pay devralacak yabancı banka veya finansal kuruluşlar bakımından Yönetmelikte ayrıca sunulması gereken belgeler de düzenlenmektedir.

Satın alan yatırımcıdan fon kaynağı istenir mi?

Evet. TCMB pay devri başvurusu kapsamında satın alma bedelinin kaynağına ilişkin açıklama talep edilmektedir.

TCMB alıcının satın alma sonrası planlarını da inceler mi?

Kontrol sağlayacak şekilde ilk kez pay edinecek veya devralacak kişiler bakımından EK-21 kapsamında üç yıllık stratejiler, hedef şirkette planlanan yapısal değişiklikler ve üç yıllık finansal projeksiyonlar gibi bilgiler istenmektedir.

Fintech satın alımında Rekabet Kurulu izni gerekebilir mi?

Evet. İşlemin taraflarının ciroları ve devre konu şirketin niteliğine göre birleşme-devralma bildirimi gerekebilir. Finansal teknolojiler Rekabet Kurumunun teknoloji teşebbüsü tanımı içerisinde yer almakta ve 2026 yılında bildirim rejimi ayrıca güncellenmiştir. (Rekabet Kurumu Haber Portalı)

Şirketin yazılımını satın almak ödeme kuruluşu lisansını da devralmak anlamına gelir mi?

Hayır. Yazılım, marka veya diğer varlıkların satın alınması tek başına alıcıya TCMB faaliyet izni sağlamaz. Türkiye’de düzenlemeye tabi ödeme hizmeti sunmak veya elektronik para ihraç etmek için gerekli faaliyet izninin bulunması gerekir. (Türkiye Cumhuriyet Merkez Bankası)

Sonuç: Fintech Şirketi Satın Alırken Asıl Satın Alınan Şey Lisanslı Bir Ekosistemdir

Fintech şirketi satın almak, yalnızca şirket paylarını, mobil uygulamayı veya müşteri listesini satın almak değildir.

Özellikle ödeme ve elektronik para kuruluşlarında yatırımcı fiilen;

faaliyet iznini taşıyan şirketi, düzenleyici geçmişi, müşteri fonu sistemini, bilgi sistemlerini, MASAK uyum yapısını, kişisel veri altyapısını, ticari entegrasyonları ve geçmiş dönem risklerini

birlikte devralmaktadır.

Bu nedenle fintech M&A işlemlerinde klasik hukuk due diligence’ı tek başına yeterli değildir.

Özellikle TCMB düzenlemeleri bakımından pay devrinin %10, %20, %33 ve %50 eşiklerine ulaşması veya bunları aşması, kontrol değişikliği ya da belirli imtiyazların devri düzenleyici izin sürecini doğrudan gündeme getirmektedir.

Üstelik TCMB alıcıdan yalnızca kimlik ve şirket belgelerini değil, yatırımın fon kaynağını ve kontrol edinimi söz konusuysa üç yıllık strateji ile finansal projeksiyonları da talep edebilmektedir.

Satın alma öncesinde ayrıca hedef şirketin güncel özkaynak yeterliliği kontrol edilmelidir. 30 Haziran 2026 itibarıyla belirli ödeme kuruluşları için 20 milyon TL, diğer ödeme kuruluşları için 40 milyon TL ve elektronik para kuruluşları için 105 milyon TL seviyesinde uygulanan asgari özkaynak rejimi, satın alma bedelinin dışında ek sermaye ihtiyacı yaratabilir.

Bu nedenle sağlıklı bir fintech satın alma süreci genel olarak;

iş modelinin hukuki sınıflandırılması → TCMB faaliyet izninin doğrulanması → pay devri ve rekabet izinlerinin belirlenmesi → kapsamlı hukuki ve teknik due diligence → düzenleyici risklerin fiyatlamaya yansıtılması → gerekli izinlerin alınması → kapanış → satın alma sonrası uyum ve remediation

şeklinde yürütülmelidir.

Fintech şirketlerinde satın alma kararından önce cevaplanması gereken temel soru yalnızca “Bu şirket ne kadar gelir elde ediyor?” değildir.

Daha kritik soru şudur:

“Bu şirket mevcut iş modelini, lisansını ve müşteri portföyünü önümüzdeki yıllarda hukuken ve teknik olarak sürdürebilecek durumda mı?”

Doğru hukuki inceleme, yatırımcıya yalnızca şirketin bugün neye sahip olduğunu değil, satın alma sonrasında hangi yükümlülükleri ve hangi görünmeyen riskleri de devralacağını gösterir.