Türkiye’de AML ve MASAK Uyum Çözümleri

Kurumun kendi risk iştahına uygun yazılı politikaların oluşturulması. Politika, uyum programının anayasasıdır: hangi müşterinin hangi risk sınıfına gireceği, hangi işlemin hangi onaydan geçeceği ve hangi durumda ilişkinin sonlandırılacağı burada tanımlanır.

Bu direk teknoloji değil, yönetim kararı gerektirir. Ancak kâğıt üzerinde kalan bir politika denetimde işe yaramaz; politikanın sistemdeki kural ve eşiklere birebir yansımış olması gerekir. Datactive AML & KYC’de senaryo ve eşik tanımları, politikada yazılanı sistemde uygulanabilir hale getirir.

Müşteri, hizmet, ülke ve kanal bazlı risklerin sınıflandırılması. Risk temelli yaklaşımın özü, her müşteriye aynı kontrolü uygulamak yerine riske orantılı kontrol uygulamaktır. Düşük riskli müşteride basitleştirilmiş, yüksek riskli müşteride sıkılaştırılmış tedbir uygulanır.

Pratikte bu, müşteri risk skorlamasının kurulmasını gerektirir. Skorun statik olmaması önemlidir: müşterinin işlem davranışı, ortaklık yapısındaki değişiklik veya yeni bir olumsuz medya kaydı skoru güncellemelidir.

Datactive AML & KYC müşteri risk skorlamasını, DataSentinel ise ortaklık yapısı kaynaklı riskin skora yansımasını sağlar.

Yönetim kuruluna veya üst yönetime bağlı, yetkili bir uyum görevlisinin görevlendirilmesi. Uyum görevlisi olabilmek için MASAK Uyum Görevlisi Yetkilendirme Sınavı’ndan en az 65 puan alarak lisans sahibi olmak gerekir.

Uyum görevlisinin bağımsızlığı yapısal bir gerekliliktir: ticari hedeflerden etkilenmeyecek bir raporlama hattına sahip olmalıdır. Teknoloji burada yetki ayrımını destekler — şüpheli işlem kararının kimler tarafından verilebileceği ve kimin değiştiremeyeceği sistem seviyesinde tanımlanmalıdır.

Yüz yüze veya uzaktan kimlik tespiti, PEP kontrolleri ve müşteri verisinin sürekli güncellenmesi. Tüzel kişi müşterilerde yükümlülük daha derindir: ortaklık yapısının çözülmesi ve gerçek faydalanıcının (UBO) tespiti gerekir.

Burada üç ayrı kontrol birlikte çalışmalıdır: kimlik doğrulama, yaptırım ve PEP taraması, ortaklık yapısı analizi. Üçünün ayrı sistemlerde durması, inceleme süresini uzatan en yaygın sebeptir.

Datactive Sanctions & PEP Screening yaptırım, PEP ve olumsuz medya taramasını; DataSentinel ise ortaklık zincirinin çözülmesini ve UBO tespitini karşılar.

Müşterinin risk profiliyle uyumsuz işlemlerin sürekli izlenmesi ve şüphe oluştuğunda MASAK’a bildirim yapılması. Bildirimler MASAK Online sistemi üzerinden, şüphenin oluştuğu tarihten itibaren en geç 10 iş günü içinde yapılır.

Sürenin hesabında sık yapılan bir hata var: dahili bildirimde geçen süre de bu 10 iş gününe dahildir. Sayaç, uyum görevlisinin dosyayı eline aldığı gün değil, personelde şüphenin oluştuğu gün başlar.

Ayrıca Resmî Gazete’de yayımlanan mal varlığı dondurma kararlarının takibi ayrı bir izleme gerektirir; bu kararlar yayımlandıkları anda hüküm doğurur ve global yaptırım listelerine yansımayabilir.

Datactive AML & KYC işlem izleme, alarm ve vaka yönetimini; Datactive Sanctions & PEP Screening ise Resmî Gazete kararlarının anlık tespitini karşılar.

Personele düzenli eğitim verilmesi ve uyum programının iç denetimle test edilmesi. Denetimde yalnızca yapılan bildirimler değil, üretilip kapatılan alarmların gerekçeleri de incelenir.

Bu yüzden denetim izi (audit trail) teknik bir detay değil, programın altıncı direğini ayakta tutan şeydir. Her tarama, alarm, inceleme ve kararın kim tarafından, ne zaman, hangi gerekçeyle yapıldığı geriye dönük olarak gösterilebilmelidir.

"Alarm çıktı, inceledik, bildirmedik" demek yeterli değildir; kararın gerekçesinin kayıtlı olması gerekir.