MASAK Uyum ve Finansal İncelemeler

Yükümlü Statüsünün ve Faaliyet Kapsamının Belirlenmesi

Şirketin ana sözleşmesi, faaliyet izinleri, ürünleri, müşteri türleri, fon ve veri akışı, aracılık rolü, şube ve temsil yapısı incelenerek 5549 sayılı Kanun ile Tedbirler Yönetmeliği bakımından yükümlü olup olmadığı belirlenir. Birden fazla hizmet sunan kuruluşta her faaliyet ayrı sınıflandırılır. Yükümlü statüsü varsa müşterinin tanınması, bildirim, muhafaza, eğitim, izleme, uyum programı veya uyum görevlisi hükümlerinden hangilerinin uygulanacağı yazılı matrise dönüştürülür. Faaliyet değişikliği, birleşme, yeni ürün veya lisans genişlemesi sonrasında statü yeniden incelenir. Çıktı, yönetim kararına ve denetime elverişli gerekçeli hukuk notudur.

MASAK Uyum Boşluk Analizi ve Düzeltici Eylem Planı

Mevcut politika, müşteri kabulü, kimlik tespiti, gerçek faydalanıcı, risk derecelendirmesi, işlem izleme, dâhilî bildirim, ŞİB, eğitim, iç denetim, muhafaza ve bilgi talebi süreçleri mevzuat ile fiilî uygulama yönünden incelenir. Yalnız metnin varlığı değil; kontrolün sahibi, veri kaynağı, sıklığı, alarmdan karara geçişi ve yönetim raporlaması test edilir. Bulgular hukukî önem, tekrar ihtimali ve giderim önceliğine göre sınıflandırılır. Her bulgu için sorumlu birim, hedef tarih, gerekli sistem veya belge değişikliği ve doğrulama yöntemi belirlenir. Düzeltme tamamlandığında takip testi yapılır.

Uyum Programının Kurulması ve Güncellenmesi

Uyum Programı Yönetmeliği kapsamındaki yükümlüler için kurum politikası ve prosedürleri, risk yönetimi, izleme ve kontrol, uyum görevlisi ve uyum birimi, eğitim ve iç denetim birlikte yapılandırılır. Kuruluşun büyüklüğü, işlem hacmi, ürün, kanal, müşteri ve ülke riski esas alınır. Hukuk, operasyon, bilgi teknolojileri, insan kaynakları, iç denetim ve yönetim kurulu görevleri eşleştirilir. Program en az iki yılda bir gözden geçirilir; önemli mevzuat, ürün veya risk değişikliği varsa bu takvim beklenmez. Güncel sürüm, yürürlük tarihi ve yönetim onayı korunur.

Kurum Politikası ve Prosedürlerinin Hazırlanması

Kurum politikası; risk yönetimi, müşterinin tanınması, şüpheli işlem bildirimi, muhafaza ve ibraz, bilgi ve belge verme, uyum görevlisinin görevleri, eğitim ve iç denetim esaslarını kurumun gerçek işleyişine bağlar. Ayrıntılı prosedürler; müşteri kabulü, kimlik doğrulama, gerçek faydalanıcı, kamusal nüfuz sahibi kişi, yaptırım listesi, alarm inceleme, bildirim ve kayıt adımlarını kullanıcı rolüyle açıklar. Politika ile sistem ekranı, sözleşme, iş akışı ve personel yetkisi arasında çelişki bırakılmaz. İstisna yetkisi, eskalasyon, sürüm, onay ve dağıtım kayıtları belirlenir.

Yönetim Kurulu Sorumluluğu ve Uyum Yönetişimi

Yönetim kurulunun gözetim, kaynak sağlama, politika onayı, risk iştahı, uyum görevlisinin bağımsızlığı ve düzenli raporlama görevleri karar takvimine bağlanır. Uyum görevlisinin tüm ilgili birimlerden zamanında bilgi alabilmesi ve bildirim kararını bağımsız iradeyle verebilmesi için organizasyon ve erişim yetkisi kurulur. Üst yönetim veya yüksek gelirli iş kolu, alarm kapatma ya da müşteri kabul kararına gerekçesiz müdahale edemez. Yönetim raporları yalnız bildirim sayısını değil; geciken alarmları, veri kalitesini, yüksek riskli müşterileri, eğitim kapsamını, iç denetim bulgularını ve düzeltici eylemleri gösterir.

Uyum Görevlisi Lisans, Sicil ve Atama Süreçleri

25 Aralık 2024 tarihli Yönetmelik değişikliği ve 9 Eylül 2025 tarihli 30 Sıra No.lu MASAK Genel Tebliği çerçevesinde lisans, yetkilendirme sınavı, sicil, yenileme eğitimi ve atama koşulları kuruluşun yükümlülük türüne göre incelenir. Lisans sahibi olmak ile belirli kuruluşta uyum görevlisi olarak atanabilme koşulları birbirinden ayrılır. Görev süresi, yardımcı ataması, münhasırlık, bildirim, vekâlet, ayrılma ve yeni atama takvimi yönetilir. Kişinin nitelikleri kadar kurum içindeki bağımsızlığı, bilgiye erişimi, yeterli ekip ve bütçesi de yazılı güvenceye bağlanır.

Atama incelemesinde Yönetmeliğin 22 Ağustos 2025 değişikliklerini içeren güncel metni ile 30 sıra numaralı Tebliğ (yeni sekmede açılır) birlikte kullanılır. Lisans, görev verilecek kuruluştaki deneyim, bağımsızlık ve diğer atama koşullarının yerine geçmez.

Uyum Birimi, Görevler Ayrılığı ve Kaynak Planlaması

Uyum biriminin organizasyon içindeki yeri, personel sayısı, görev tanımı, erişim seviyesi, vardiya veya hizmet saati ihtiyacı ve yedekleme düzeni risk profiline göre belirlenir. Müşteri edinimi, satış, operasyon, fraud, siber güvenlik, hukuk, iç kontrol ve iç denetim işlevleri arasındaki sınırlar çizilir. Aynı kişinin alarm üretme, kapatma, bildirim kararı, örneklem ve iç denetim görevlerini kontrolsüz biçimde birleştirmesi önlenir. Dış hizmet kullanılsa dahi yükümlünün kanunî sorumluluğunun devam ettiği sözleşmeye ve gözetim planına yansıtılır.

Kurumsal Risk Değerlendirmesi ve Risk Temelli Yaklaşım

Müşteri, ürün, hizmet, kanal, ülke, işlem, teknoloji ve dağıtım ağı riskleri tanımlanır; doğal risk, kontrol etkinliği ve kalan risk ayrı değerlendirilir. Modelin veri kaynağı, ağırlığı, puan aralığı, yüksek risk eşiği, manuel değişiklik yetkisi ve doğrulama periyodu yazılır. Risk derecelendirmesi müşterinin yalnız uyruk veya sektörüne dayandırılmaz; işlem amacı, fon kaynağı, sahiplik, davranış ve faaliyet profili birlikte ele alınır. Risk temelli yaklaşım, düşük riskte tüm yükümlülüklerin kaldırılması anlamına gelmez. Model ayrımcı sonuç, veri kalitesi ve yanlış negatif riski bakımından test edilir.

2025 Ulusal Risk Değerlendirmesi ve 2026–2030 Strateji Uyumu

MASAK tarafından 2025 yılında güncellenen Ulusal Risk Değerlendirmesi ile 2026–2030 Ulusal Strateji Belgesindeki sektör, suç, teknoloji, sınır ötesi akış ve müsadere öncelikleri kuruluşun risk değerlendirmesine aktarılır. Ulusal riskin varlığı her müşteriyi otomatik yüksek riskli yapmaz; kuruluşun gerçek maruziyeti ve kontrolleri ayrıca incelenir. Yeni tipoloji, ürün veya ülke değişikliği için olay bazlı değerlendirme yapılır. Yönetim kuruluna ulusal önceliklerin kuruma etkisini açıklayan bir uyarlama notu sunulur; politika, senaryo, eğitim ve iç denetim kapsamı gerektiğinde yenilenir.

Ulusal strateji ve risk değerlendirmesi, kuruluşun kendi maruziyetini anlaması için çerçevedir. Her strateji hedefi kendiliğinden özel kişi bakımından yeni bir kanunî yükümlülük oluşturmaz; uygulanacak tedbirin mevzuat dayanağı ayrıca belirlenir.

Müşteri Kabul Politikası ve Yasaklı İş İlişkileri

Kabul edilemeyen müşteri ve işlem türleri; kanun, lisans, yaptırım kararları ve kurumun gerekçeli risk iştahına göre tanımlanır. İsimsiz veya hayalî isimle hesap, kimliği doğrulanamayan müşteri, gerçek faydalanıcısı açıklanamayan yapı, iş amacı kurulamayan ilişki ve yasaklı kişi bağlantısı için işlem reddi veya ilişkiyi sonlandırma akışı hazırlanır. Ticari baskı, satış hedefi veya üst yönetim talebi zorunlu kontrolü ortadan kaldırmaz. Ret ve fesih iletişimi, ŞİB yapıldığını açığa çıkarmayacak; tüketici, sözleşme, ayrımcılık ve veri haklarını gereksiz biçimde ihlal etmeyecek şekilde düzenlenir.

Gerçek Kişilerde Kimlik Tespiti ve Doğrulama

Sürekli iş ilişkisi, belirli işlem türleri veya mevzuattaki eşikler kapsamında gerçek kişinin kimlik bilgileri işlemden önce alınır ve geçerli kaynakla doğrulanır. Türk vatandaşı, yabancı, küçük, vesayet altındaki kişi, vekil veya temsilci senaryoları ayrı prosedürlere bağlanır. Belgenin türü, geçerlilik tarihi, fotoğraf ve kimlik bilgileriyle kişinin eşleşmesi, adres ve iletişim teyidi uygulanabilir düzenlemeye göre kaydedilir. Kimlik belgesi kopyası alınması ile kimliğin doğrulanması aynı işlem sayılmaz; gereksiz veri alanları toplanmaz. Güncel parasal eşikler sabit web metnine yazılmayıp işlem tarihinde doğrulanır.

Tüzel Kişiler, Temsil Yetkisi ve Hukukî Oluşumlar

Şirket, dernek, vakıf, ortaklık, yabancı tüzel kişi ve tüzel kişiliği olmayan oluşumlarda sicil, unvan, faaliyet, adres, vergi bilgisi, temsilciler ve yetki belgeleri doğrulanır. Yalnız ticaret sicil gazetesine dayanılmaz; güncel kayıt, imza yetkisi, faaliyet amacı ve iş ilişkisinin niteliği birlikte incelenir. Yabancı belgede düzenleyen makam, apostil veya tasdik, tercüme ve güncellik koşulları değerlendirilir. Karmaşık sahiplik yapısının meşru ticari nedeni anlaşılır hâle getirilir. Temsilcinin kimliği ve tüzel kişiyi bağlayan yetkisi işlemden önce kontrol edilir.

Gerçek Faydalanıcının Tespiti ve Doğrulanması

Gerçek faydalanıcı, yalnız sicilde görünen ortak veya beyan formundaki isim değildir; tüzel kişi veya hukukî düzenleme üzerinde nihai sahiplik ya da kontrolü bulunan gerçek kişi aranır. Doğrudan ve dolaylı ortaklık, oy hakkı, imtiyaz, sözleşmesel kontrol, yönetici atama yetkisi ve başka kontrol yolları incelenir. Katmanlı, yabancı veya vekâleten tutulan yapılarda kaynak belgeler istenir. Beyan ile sicil, MERSİS, pay defteri, finansal kayıt ve güvenilir dış kaynak arasındaki tutarsızlık gerekçelendirilmeden kapatılmaz. Tespit yöntemi ve doğrulama düzeyi müşteri riskine göre belgelenir.

Başkası Hesabına Hareket ve Yetkilendirilmiş Kişi Kontrolü

İşlemi kendi adına fakat başkası hesabına yapan kişinin bu durumu yazılı olarak bildirmesi gereken hâller, müşteri arayüzü ve operasyon sürecine yerleştirilir. Vekil, aracı, emanet hesap, toplu ödeme, pazaryeri, tahsilat, şirket çalışanı ve aile üyesi işlemleri gerçek amaç ve yararlanıcı yönünden incelenir. “Hesap benim, para başkasının” açıklaması tek başına yeterli kabul edilmez. Yetki belgesi, fonun kaynağı, ekonomik amaç, işlem talimatı ve nihai alıcı doğrulanır. Başkası hesabına işlemin beyan edilmemesinin hukukî sonuçları müşteriye açık ve ölçülü biçimde bildirilir.

Müşteri Bilgilerinin Güncellenmesi ve Devamlı İnceleme

Müşterinin kimlik, adres, faaliyet, temsil, ortaklık, gerçek faydalanıcı, risk ve işlem amacı bilgileri yalnız ilişki başlangıcında alınmaz. Risk düzeyi ve tetikleyici olaylara göre periyodik güncelleme yapılır. Pay devri, yönetici değişikliği, faaliyet veya ülke değişimi, olağan dışı işlem, belgenin süresinin dolması ve yaptırım eşleşmesi güncelleme başlatabilir. Müşterinin işlemleri bilinen faaliyet, gelir, fon kaynağı ve beklenen davranışla birlikte izlenir. Güncelleme yapılamadığında ilişkinin sınırlandırılması veya sonlandırılması ile ŞİB değerlendirmesi birbirinden ayrı ve gerekçeli yürütülür.

Kamusal Nüfuz Sahibi Kişiler ve Yakın Bağlantılar

Kamusal nüfuz sahibi kişinin (PEP), eşinin, birinci derece akrabalarının ve Tebliğ kapsamındaki yakınlarının tespiti; müşteri kabulü, gerçek faydalanıcı ve devamlı izleme süreçlerine bağlanır. Yabancı bir ülke tarafından seçilen veya atanan PEP’lerle ilişkide üst düzey onay, malvarlığı ve fon kaynağını tespit ve sıkı izleme tedbirleri uygulanır. Türkiye’deki veya uluslararası kuruluşlardaki PEP’ler için bu ek tedbirlerin uygulanmasında iş ilişkisi veya işlemin yüksek riskli sayılması koşulu gözetilir. PEP olmak tek başına suç veya müşteri kabul yasağı değildir.

Görev veya nitelik sona erdiğinde belirtilen tedbirler en az bir yıl sürdürülür; işlemler veya iş ilişkisi risk taşıyorsa sürenin uzatılması değerlendirilir. Takvim, risk ve karar gerekçesi birlikte kaydedilir. Sıra No.21 m.4 (yeni sekmede açılır).

Riskli Ülkeler, Hedefli Finansal Yaptırımlar ve Liste Taraması

FATF yüksek risk ve artırılmış izleme açıklamaları, Birleşmiş Milletler listeleri, Türkiye’de yayımlanan malvarlığı dondurma kararları, 6415 ve 7262 sayılı kanunlar ile sözleşmesel yabancı yaptırım koşulları birbirinden ayrılır. Müşteri, gerçek faydalanıcı, temsilci, gönderen, alıcı ve işlem bağlantıları uygun sıklıkta taranır. İsim benzerliği, kimlik bilgileriyle doğrulanmadan kesin eşleşme sayılmaz. Eşleşme, olası eşleşme, yanlış eşleşme, işlem bekletme, bildirim, malvarlığı dondurma ve itiraz adımları yazılı akışa bağlanır. Yabancı liste Türk hukukunda otomatik aynı sonuç doğurmaz.

BMGK listeleme bildirimi bakımından 23 Eylül 2026 tarihli 34 sıra numaralı Tebliğ (yeni sekmede açılır) uyarınca bildirim ve işlem erteleme süreci ayrıca kurulur. İsim benzerliği ile gerçek eşleşme ayrılır; sıradan bir alarmın bütün malvarlığını kendiliğinden dondurduğu varsayılmaz.

Sıkılaştırılmış Tedbirlerin Tasarımı ve Uygulanması

Yüksek riskli müşteri, ürün, kanal, ülke veya işlemde müşteri ve gerçek faydalanıcı hakkında ek bilgi, iş ilişkisinin amacı, malvarlığı ve fon kaynağı, üst düzey onay, işlem sıklığı ve artırılmış izleme gibi tedbirler riskle orantılı uygulanır. MASAK’ın 30 Eylül 2025 tarihli güncel rehberindeki teknolojik riskler, riskli ülkeler, kripto varlık hizmet sağlayıcıları, ödeme ve elektronik para kuruluşları ile terminal hizmetlerine ilişkin hususlar ilgili sektöre uyarlanır. Her yüksek riskli müşteri için aynı belge listesi istenmez; tedbirin nedeni, kapsamı, sonucu ve yeniden değerlendirme tarihi kaydedilir.

Basitleştirilmiş Tedbirler ve Uygulama Sınırları

Basitleştirilmiş tedbir, yalnız mevzuatın izin verdiği müşteri ve işlem türlerinde, düşük risk değerlendirmesiyle ve belirlenen sınırlar içinde uygulanır. Kimlik tespitini, yaptırım taramasını veya şüpheli işlem bildirimini tümüyle kaldıran genel muafiyet gibi kullanılamaz. Müşterinin niteliği veya işlem davranışı değişirse basitleştirilmiş yöntem gözden geçirilir. Düşük riskli kategoriye giriş ve çıkış koşulları sistemde izlenebilir olmalıdır. Şüphe oluştuğunda basitleştirilmiş tedbir sürdürülmez; müşterinin tanınması ve ŞİB süreci güncel olgularla yeniden ele alınır.

7 Ocak 2026 tarihli 31 ve 23 Eylül 2026 tarihli 33 sıra numaralı değişiklikler nedeniyle önceki politika ve ürün limitleri yeniden kontrol edilir. Şüpheli veya yüksek riskli işlemlerde ve müşterinin yabancı PEP olduğu durumda basitleştirilmiş tedbir uygulanmaz. Belirli tutarların yükseltilmesi, tüm ürünlerde genel muafiyet veya ŞİB eşiği yaratmaz.

Uzaktan Kimlik Tespiti ve Dijital Müşteri Edinimi

MASAK Genel Tebliği Sıra No.19, sektörel düzenlemeler ve 2025–2026 değişiklikleri çerçevesinde uzaktan kimlik tespitinin hangi yükümlü ve müşteri gruplarında uygulanabileceği belirlenir. Belge doğrulama, canlılık, biyometrik veya görüntülü süreç, cihaz ve oturum güvenliği, kişinin belgeyle eşleşmesi, işlem kaydı ve sözleşme kurulması birlikte incelenir. Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan tespiti için güncel tebliğ koşulları ayrıca uygulanır. Sonuç vermeyen deneme, sahte belge, kimlik hırsızlığı ve erişilebilirlik senaryoları yazılıdır. Uzaktan yöntem, müşteri risk incelemesini ortadan kaldırmaz.

Sıra No.19 m.4/C kapsamındaki yabancı gerçek kişi sürecinde, 32 sıra numaralı değişiklik uyarınca uygun çipli pasaport, görüntülü görüşme ve çip/görsel bilgi eşleşmesi aranır; eşleşme sağlanmazsa hesap açılmaz. Adres teyidi en geç üç ayda tamamlanır; teyit öncesinde para transferi veya nakit çekimi yapılamaz. Bu müşteriler yüksek riskli izlenir; riskli ülke vatandaşları için uzaktan kimlik tespiti uygulanmaz. Kuruluşun kendi düzenleyici mevzuatındaki yetki ve diğer koşullar da kontrol edilir.

Üçüncü Tarafa Güven ve Muhabirlik İlişkileri

Finansal kuruluşun başka bir finansal kuruluşun müşteri tanıma tedbirlerine güvenebileceği durumlarda karşı tarafın düzenlemeye tabi olması, bilgi ve belgelere gecikmeden erişim, sorumluluğun kimde kaldığı ve grup içi paylaşım koşulları incelenir. Üçüncü tarafa güven ile dış hizmet alımı birbirinden ayrılır. Sınır ötesi muhabirlik ilişkisinde karşı kurumun faaliyeti, gözetimi, uyum kontrolleri, itibarı, yaptırım geçmişi ve geçişli hesap riski değerlendirilir. Paravan banka ilişkisi kurulmaz. Yönetim onayı, sözleşme, periyodik inceleme ve ilişkiyi sonlandırma ölçütleri belirlenir.

Elektronik Transferler, Mesaj Bilgileri ve Seyahat Kuralı

Elektronik transferde gönderen ve alıcı bilgilerinin mesajla birlikte taşınması, eksik veya tutarsız bilgi, aracı kuruluş, yurt dışı transfer, toplu işlem ve iade senaryoları düzenlenir. Ödeme ve elektronik para kuruluşları ile kripto varlık hizmet sağlayıcılarında sektöre özgü seyahat kuralı, süre, limit ve barındırılmayan cüzdan tedbirleri güncel mevzuata göre uygulanır. Eksik bilgi içeren transferin reddi, bekletilmesi, ek bilgi istenmesi veya ŞİB değerlendirmesi risk bazında ayrılır. Mesaj verisi ile muhasebe ve müşteri kaydı arasında düzenli mutabakat yapılır.

İşlem İzleme Senaryoları ve Alarm Yönetişimi

İşlem izleme sistemi; müşteri profili, tutar, sıklık, hız, ülke, kanal, karşı taraf, cihaz, terminal, kripto adresi, ortaklık ve davranış değişikliği gibi göstergeleri sektör riskine göre kullanır. Senaryonun veri kaynağı, eşik, puan, tekrar dönemi, kapsadığı ürün ve alarm sahibinin yetkisi belgelenir. Sabit tutar kuralları tek başına yeterli görülmez. Yanlış pozitif, geciken alarm, veri eksikliği, manuel kapatma ve model değişikliği izlenir. Alarmın kapatılması, “suç yoktur” kararı değildir; inceleme sonucunun gerekçeli kaydıdır. Önemli senaryolar bağımsız testten geçirilir.

Dâhilî Şüpheli İşlem Bildirimi ve Eskalasyon

Çalışanın veya operasyon biriminin şüpheyi uyum görevlisine güvenli kanaldan iletebilmesi için dâhilî bildirim formu, acil durum seçeneği, gerekli asgari bilgiler ve gizlilik kuralları hazırlanır. Çalışandan suçun hukukî adını koyması beklenmez; işlem, taraf, tarih, gösterge ve dayanak kaydı yeterlidir. Bildirim satış yöneticisinin onayına bağlanmaz. Uyum görevlisi ek bilgi isteyebilir, başka işlemleri inceleyebilir ve bildirim ya da bildirmeme kararını gerekçelendirir. İhbarcı ve müşteri verilerine erişim sınırlandırılır. Dâhilî bildirim kaydı da muhafaza ve ibraz düzenine dâhil edilir.

Şüpheli İşlem Bildirimi Kararı ve Bildirim Kalitesi

5549 sayılı Kanun m.4 ve 13 Sıra No.lu Tebliğ uyarınca bilgi, şüphe veya şüpheyi gerektiren husus değerlendirilir. ŞİB için kesin suç kanıtı veya asgari işlem tutarı aranmaz. Müşteri profili, işlem akışı, fon veya malvarlığı kaynağı, gerçek faydalanıcı, ilgili hesaplar, bağlantılı kişiler ve şüphe göstergeleri anlaşılır kronolojiyle yazılır. 2025’te güncellenen sektörel rehberin form, kategori, kod ve açıklama kontrolleri kullanılır. Kopya açıklama veya yalnız alarm kodu yeterli değildir. Şüphe oluştuğu tarihten itibaren süre izlenir; gecikmesinde sakınca bulunan hâl ayrı acil akışa bağlanır.

MASAK Online 2.0 Kayıt ve Bildirim Süreçleri

MASAK Online kaydı, yetkili kullanıcı, çok faktörlü erişim, rol, kurum bilgisi, bildirim, ek, taslak, gönderim teyidi ve teknik kesinti süreçleri yönetilir. 2025’te güncellenen sektörel rehberler ile XML veya toplu bildirim gereksinimleri kuruluşun sistemine uyarlanır. Form alanları kaynak sistemlerden doğrulanmadan otomatik doldurulmaz. Gönderim öncesi hukukî ve operasyonel kalite kontrolü, sonrasında teyit ve kayıt numarası muhafazası yapılır. Kullanıcı değişikliği veya işten ayrılmada erişim derhâl güncellenir. Teknik hata, sürenin takibini ortadan kaldırmaz; alternatif iletişim ve kayıt yöntemi önceden belirlenir.

Bildirim Gizliliği ve Müşteriye İfşa Yasağı

Yükümlü, MASAK’a ŞİB yapıldığını kanunda belirtilen istisnalar dışında işleme taraf olanlar dâhil hiç kimseye açıklayamaz. Uyum görevlisi, yönetim, operasyon, hukuk, denetim ve dış hizmet sağlayıcının hangi bilgiye erişeceği görev temelinde sınırlandırılır. Müşterinin işlem gecikmesi veya ek belge sorusuna verilecek açıklama ŞİB’i açığa çıkarmamalı; gerçeğe aykırı bir ifade de içermemelidir. Bildirim ekran görüntüsü, e-posta konu satırı ve toplantı tutanağı genel erişimde tutulmaz. Gizlilik ihlalinin adlî sonucu ve kurum içi disiplin süreci eğitimde açıkça anlatılır.

ŞİB yapıldığı veya yapılacağı bilgisi ile uyum görevlisine yapılan dâhilî bildirimler özel gizlilik kurallarına tabidir. Avukat görevlendirilmesi, gizlilik sözleşmesi veya şifreli aktarım kanalı tek başına kanunî açıklama yasağını kaldırmaz. Paylaşım yetkisi her belge ve alıcı bakımından ayrıca incelenir.

İşlemin Ertelenmesi, Reddedilmesi ve İş İlişkisinin Sonlandırılması

Şüpheli işlem bildirimi, kimlik tespiti yapılamaması nedeniyle ret, iş ilişkisinin sona erdirilmesi, 5549 m.19/A uyarınca işlemin ertelenmesi ve malvarlığının dondurulması ayrı hukukî dayanaklarla ele alınır. Olağan ŞİB işlemi kendiliğinden durdurmaz. Erteleme talepli bildirimde, mevzuattaki belge veya ciddi emare koşulu ve yetkili karar süreci değerlendirilir; işlem hakkında karar tebliğine kadar işlem gerçekleştirilmez. Bu yoldaki süre bildirim tarihinden itibaren yedi iş gününü geçemez. Başkanlıkça tespit edilip erteleme kararı tebliğ edilen malvarlığında ise başlangıç tebliğ tarihidir. Ayrı dondurma veya adlî tedbir varsa sürenin bitmesi bunları kaldırmaz. Karar, kapsam, tebliğ ve zaman kaydı izlenir.

Muhafaza, İbraz ve Sekiz Yıllık Kayıt Yönetimi

5549 sayılı Kanun m.8 uyarınca belgeler düzenleme, defter ve kayıtlar son kayıt, kimlik tespiti kayıtları ise son işlem tarihinden itibaren sekiz yıl saklanır; hesaplarda başlangıç hesabın kapanma tarihine göre belirlenir. ŞİB, dâhilî bildirim, ekler ve bildirmeme gerekçeleri de kapsamdadır. Her veri sınıfı için başlangıç, süre, saklama ortamı, erişim, bütünlük, yedek ve imha kuralı yazılır. Sektörel daha uzun süreler varsa uygulanır. KVKK’daki amaçla sınırlılık ve silme düzeni, kanunî saklama yükümlülüğüyle birlikte yönetilir. Kayıt okunabilir ve zamanında ibraz edilebilir kalmalıdır.

MASAK Bilgi ve Belge Taleplerine Yanıt

Talebin yetkili makamı, kapsamı, süresi, veri alanı, dönem, format ve teslim yöntemi incelenir. Hukuk, uyum, bilgi teknolojileri ve veri sahibi birimler tek doğrulanmış yanıt seti hazırlar. Eksik, çelişkili veya okunamaz kayıt gönderilmez; kaynağı bilinmeyen tablo doğrulanmadan resmî cevap hâline getirilmez. Savunma hakkına ilişkin hükümler ve avukatlık meslek sırrının kanunî sınırları somut taleple değerlendirilir. Talep edilen bilgi gizlenmez veya değiştirilmez. Teslim listesi, onay, gönderim teyidi ve sonradan yapılan açıklama kayıt altına alınır. Süre yetişmiyorsa usulüne uygun ek süre veya açıklama değerlendirilir.

Devamlı Bilgi Verme ve Elektronik Tebligat Yönetimi

Taraf olunan veya aracılık edilen işlemlerden mevzuatla belirlenenlerin devamlı bilgi verme kapsamı; işlem türü, eşik, dönem, veri biçimi ve istisnalar yönünden incelenir. Parasal tutarlar web sayfasında sabitlenmez; işlem tarihinde yürürlükteki düzenlemeden doğrulanır. MASAK elektronik tebligat hesabı ve bildirim kanalı yetkili personelce günlük izlenir. Tebliğ anı, cevap süresi, ek, gönderim ve erişim bilgileri kaydedilir. Kullanıcı değişikliği, iletişim bilgisi ve yetki güncellemesi gecikmeden yapılır. Elektronik tebligat ile ŞİB gönderim kanalı ve kurum içi e-posta birbirine karıştırılmaz.

MASAK’ın 5549 m.9/A kapsamındaki elektronik tebligatı, muhatabın elektronik adresine ulaştığı tarihte tebliğ edilmiş sayılır. Genel UETS düzenindeki beş günlük kural bu özel rejime kendiliğinden uygulanmaz. Tebligat hesabı, yedek sorumlu ve süre kaydı buna göre düzenlenir.

MASAK Eğitimi ve Görev Bazlı Farkındalık Programı

Eğitim; suç gelirlerinin aklanması, terörizmin ve yayılmanın finansmanı kavramları; risk alanları; kurum politikası; müşterinin tanınması; ŞİB; gizlilik; muhafaza; bilgi verme ve yaptırımları kapsar. Yönetim kurulu, uyum, müşteri edinimi, şube, satış, operasyon, çağrı merkezi, bilgi teknolojileri, iç denetim ve dış hizmet ekiplerine görev bazlı senaryolar hazırlanır. Katılım, süre, yöntem, içerik ve değerlendirme sonucu kaydedilir; mevzuattaki bildirim takvimi izlenir. Yalnız çevrim içi sunumu açmış görünmek yeterli sayılmaz. Yanlış karar eğilimleri ve gerçek kurum bulguları kişisel veri içermeyen örneklerle eğitime yansıtılır.

İç Denetim, Örneklem ve Yönetim Raporlaması

İç denetim, uyum programının bütününü ve işlemlerin mevzuat ile kurum politikasına uygunluğunu risk temelli örneklemle inceler. Müşteri dosyası, gerçek faydalanıcı, PEP, yüksek risk onayı, alarm, ŞİB, muhafaza, eğitim, dış hizmet ve veri kalitesi test edilir. İncelenen birim, dönem, örneklem yöntemi, bulgu, kök neden, risk, sorumlu ve düzeltme tarihi raporlanır. Uyum görevlisinin kendi kararlarını denetlediği görünümden kaçınılır. Yönetim kurulu kritik bulguyu gecikmeden alır. İç denetim raporu sırf biçimsel mevzuat cümlelerinden değil, yeniden uygulanabilir test ve kayıt dayanağından oluşur.

Finansal Grup Uyum Programı ve Grup İçi Bilgi Paylaşımı

Merkezi Türkiye’de veya yurt dışında bulunan ana kuruluşa bağlı Türkiye’de yerleşik finansal kuruluşlar bakımından finansal grup tanımı, grup uyum görevlisi, politika, risk, izleme, eğitim ve iç denetim yapısı değerlendirilir. Müşterinin tanınması, hesap ve işlemlere ilişkin bilgilerin grup seviyesinde uyum amacıyla güvenli paylaşımı; 5549 sayılı Kanun, Uyum Yönetmeliği, KVKK ve yabancı ülke kısıtlarıyla birlikte kurulur. Erişim amacı, veri alanı, alıcı, saklama ve güvenlik yazılıdır. Grup merkeziyle paylaşım, tüm verinin sınırsız aktarımı anlamına gelmez. Yerel ŞİB yetkisi ve gizliliği korunur.

Grup içi müşteri tanıma veya uyum amaçlı bilgi paylaşımı, ŞİB yapıldığı bilgisinin paylaşılmasına izin vermez. Bu bilgi grup bünyesindeki kuruluşlar arasında da paylaşılamaz; yurt dışı merkez ve bağlı birimler için ayrıca gizlilik yasağı gözetilir.

Finansal Olmayan Belirli İş ve Mesleklerde Uyum

Taşınmaz ve kıymetli maden veya mücevher ticareti ve aracılığı, noterlik, belirli serbest avukatlık faaliyetleri, serbest muhasebe ve mali müşavirlik ile bağımsız denetim gibi finansal olmayan belirli iş ve mesleklerde yükümlülüğün kapsamı faaliyet bazında belirlenir. Müşteri tanıma, gerçek faydalanıcı, riskli ülke, teknolojik risk, sıkılaştırılmış tedbir, ŞİB, gizlilik, muhafaza, eğitim, risk belirleme, izleme ve kontrol süreçleri kurumun ölçeğine göre kurulur. 2025’te güncellenen sektörel ŞİB rehberleri ve 2025 Ulusal Risk Değerlendirmesi iş akışına uyarlanır.

Elektronik ticaret aracı hizmet sağlayıcılarının yükümlü kapsamı ile orta, büyük ve çok büyük ölçekli olanlar yönünden uyum görevlisi rejimi ayrıca değerlendirilir. Ölçek, fiilî faaliyet ve ilgili tanım belgelenir; her internet sitesi aynı grupta kabul edilmez.

Avukatlar, Mali Müşavirler ve Denetçiler İçin Kapsam Sınırları

Serbest avukatlar bakımından 5549 m.2/d’de sınırlı sayılan taşınmaz alım satımı, sınırlı aynî hak, şirket, vakıf ve dernek kuruluşu veya yönetimi, devir ve tasfiye ile banka, menkul kıymet ve hesap yönetimi bağlantılı finansal işlem işleri, fiilî göreve göre incelenir. Güncel hükümde 1136 sayılı Avukatlık Kanunu m.35’in birinci ve üçüncü fıkraları kapsamındaki işler ile alternatif uyuşmazlık çözümü nedeniyle edinilen bilgiler istisna olarak düzenlenmiştir. Savunma hakkı, hukukî dinlenilme hakkı ve avukatın meslek sırrına ilişkin m.36 da saklıdır. Her dava veya danışmanlık işi otomatik olarak ŞİB alanına girmez.

Mali müşavir ve bağımsız denetçiler için kendi faaliyet tanımı, görev kapsamı, bilgi kaynağı ve sır düzeni ayrıca belirlenir. Meslek grupları arasında istisnalar aynen aktarılmaz. Bilgi talebinin dayanağı ve belgeye erişim yetkisi dosyaya göre incelenir.

Banka, Sermaye Piyasası, Sigorta ve Finansman Kuruluşlarında Uyum

Bankalar, aracı kurumlar, portföy yönetim şirketleri, sigorta ve emeklilik şirketleri, finansman, faktoring ve finansal kiralama kuruluşları için sektör kanunu, denetleyici kurum düzeni ve MASAK yükümlülükleri birlikte değerlendirilir. Müşteri ve gerçek faydalanıcı, muhabirlik, elektronik transfer, yüksek risk, yatırım işlemi, kredi, tazminat, fon kaynağı, aracı ve dağıtım kanalı riskleri ayrılır. BDDK, SPK, SEDDK ve MASAK’a verilecek kayıtların veri kaynağı tutarlı tutulur. Bir kurumun sektör denetimi, 5549 sayılı Kanun sorumluluğunu ortadan kaldırmaz. Düzenleyici bulgular ortak düzeltme takviminde izlenir.

Tasarruf finansman şirketleri de ilgili yükümlü tanımı ve uyum görevlisi hükümleri açısından ayrı kontrol edilir. Bankacılık, sigorta veya sermaye piyasası faaliyetiyle aynı yükümlülük tablosu varsayılmaz.

Ödeme, Elektronik Para ve Kripto Varlık Uyum Süreçleri

Ödeme ve elektronik para kuruluşlarında uzaktan müşteri edinimi, üye işyeri, terminal, hesap, cüzdan, transfer, temsilci, sahtecilik ve fon akışı; kripto varlık hizmet sağlayıcılarda müşteri kabulü, cüzdan, transfer, zincir üstü risk, seyahat kuralı, barındırılmayan cüzdan ve saklama ilişkisi incelenir. MASAK’ın 30 Eylül 2025 tarihli kripto rehberi ile sıkılaştırılmış tedbirler rehberi, SPK ve TCMB düzenlemeleriyle birlikte uygulanır. Zincir analizi sonucu kesin suç hükmü değildir; risk göstergesi diğer müşteri ve işlem verileriyle değerlendirilir. ŞİB, işlem kısıtı ve sektör bildirimi birbirinden ayrılır.

Taşınmaz, Kıymetli Maden, Yetkili Müessese, Oyun ve Spor Sektörleri

Taşınmaz ticaretinde alıcı, satıcı, temsilci, gerçek faydalanıcı, satış bedeli, ödeme zinciri ve üçüncü kişi hesabı; kıymetli maden ve mücevherde ürün, teslim, nakit, ülke ve tedarikçi; yetkili müessesede döviz işlemi; talih ve bahis oyunlarında hesap, bayi ve kazanç; spor kulüplerinde bağış, transfer ve ilişkili taraf akışları sektör rehberine göre incelenir. Ticari teamül gerekçesi kimlik veya ŞİB yükümlülüğünü kaldırmaz. Tapu, fatura, banka, kasa, stok ve sözleşme kayıtları arasında tutarlılık aranır. Risk göstergesi tek başına suç kabulü sayılmaz.

Yükümlülük Denetimi, İdarî Para Cezaları ve İtirazlar

MASAK veya yetkili denetim elemanı incelemesinde kapsam, örneklem, tutanak, bilgi talebi, bulgu ve savunma takvimi izlenir. Müşterinin tanınması, ŞİB, devamlı bilgi, uyum programı, bilgi–belge, muhafaza ve bildirim gizliliği ihlallerinin yaptırım türleri ayrılır. Parasal tutarlar yeniden değerleme ve işlem değerine bağlı olabileceğinden olay tarihinde resmî kaynaktan hesaplanır. İhlal tarihi, süre, tekrar, sorumlu gerçek kişi, tüzel kişi, işlem ve düzeltici eylem somutlaştırılır. İdarî başvuru ve iptal davası koşulları tebliğ tarihinden itibaren değerlendirilir; ceza soruşturması varsa savunmalar koordine edilir.

5549 m.13 kapsamındaki idarî para cezalarında güncel m.13/7 uyarınca idarî yargı yolu dikkate alınır. İhlal tarihi, geçiş hukuku, karar türü, tebliğ ve başvuru süresi dosyada ayrıca incelenir. Gizlilik, bilgi verme veya muhafaza yükümlülüğü ihlallerinin m.14 kapsamında adlî sonuç doğurabilmesi nedeniyle bütün ihlaller idarî para cezası olarak sınıflandırılmaz.

TCK m.282, Finansal İnceleme ve Malvarlığı Tedbirleri

TCK m.282 bakımından öncül suç, malvarlığı değerinin suçtan kaynaklanması, failin bilgisi, yurt dışına çıkarma veya gayrimeşru kaynağı gizleme ya da meşru görünüm verme amacıyla işlemlere tabi tutma unsurları ayrı incelenir. Her olağan dışı para hareketi aklama suçu değildir; ekonomik kaynak, işlem amacı, hesaplar arası akış, ticari belge ve kişinin rolü değerlendirilir. MASAK analiz veya değerlendirme raporu, banka kayıtları, vergi, şirket, kripto ve gümrük verileri usul ve içerik yönünden incelenir. CMK m.128, 5549 m.17, işlemin ertelenmesi, müsadere ve üçüncü kişi hakları ayrı başlıklarda ele alınır.

TCK m.282/1 bakımından öncül suçtan elde edilen değer ve maddede belirtilen yurt dışına çıkarma veya kaynağı gizleme/meşru görünüm sağlama amacıyla işleme tabi tutma fiilleri ayrı incelenir. Birinci fıkraya iştirak etmeksizin suç niteliğini bilerek değeri satın alma, kabul etme, bulundurma veya kullanma m.282/2’de ayrıca düzenlenir. İşlem tutarı veya olağan dışılık tek başına bu unsurların tümünü kanıtlamaz.

Terörizmin ve Yayılmanın Finansmanı, Uluslararası Koordinasyon ve Yargılama

6415 sayılı Kanun, terörizmin finansmanı ve malvarlığının dondurulması yönünden; 7262 sayılı Kanun ise kitle imha silahlarının yayılmasının finansmanına ilişkin BMGK yaptırımlarının uygulanması yönünden ayrı incelenir. Terörizmin finansmanında fonun mutlaka suçtan elde edilmiş olması veya fiilen bir terör eyleminde kullanılması şartı aranmaz; somut fiil, bilgi ve amaç unsurları değerlendirilir. Dondurma kararı, liste eşleşmesi, kararın kapsamı, üçüncü kişi hakkı ve uygulanacak başvuru yolu belirlenir. 34 sıra numaralı Tebliğ kapsamındaki bildirim ve erteleme akışı, dondurma kararının uygulanmasından ayrılır.

Yabancı yaptırım rejimleri, Türkiye’de doğrudan uygulanan kararlarla aynı kabul edilmez. Sınır ötesi dosyada yerel hukukçu, mali uzman ve teknik inceleme ekibinin görevi, belge paylaşım yetkisi, güvenli aktarım, ortak takvim, ücret ve raporlama sınırı önceden kararlaştırılır.