Temel Bulgular ve Yükümlülükler
Suç Gelirlerinin Aklanması ve Terörün Finansmanıyla Mücadelede Sıkılaştırılmış Tedbirler Rehberi: Temel Bulgular ve Yükümlülükler
Yönetici Özeti
Bu brifing belgesi, suç gelirlerinin aklanması, terörün ve kitle imha silahlarının yayılmasının finansmanıyla mücadele kapsamında yükümlüler tarafından uygulanması gereken "sıkılaştırılmış tedbirler" üzerine odaklanmaktadır. Teknolojik gelişmeler, dijitalleşmenin hızlanması ve Kripto Varlık Hizmet Sağlayıcıları (KVHS) gibi yeni finansal aktörlerin sisteme dahil olması, mevcut riskleri artırmış ve bu tedbirlerin güncellenmesini zorunlu kılmıştır.
Rehberin temel amacı, "müşterinin tanınması" ilkesi çerçevesinde, standart prosedürlerin ötesine geçerek ilave önlemlerin ne zaman ve nasıl uygulanacağını açıklamaktır. Sıkılaştırılmış tedbirler, risk temelli bir yaklaşımla, özellikle yüksek riskli olarak tanımlanan müşteri, işlem ve durumlarda devreye girer. Bu durumlar arasında; karmaşık ve olağandışı işlemler, teknolojik riskler barındıran yeni ürünler, riskli ülkelerle ilişkiler, kamusal nüfuz sahibi kişiler (PEP) ile olan işlemler ve KVHS ile kurulan ilişkiler yer almaktadır.
Uygulanması gereken temel sıkılaştırılmış tedbirler şunları içerir: müşteri ve gerçek faydalanıcı hakkında ilave bilgi edinme ve bilgileri sık sık güncelleme, fon ve malvarlığı kaynağını araştırma, işlemlerin amacını detaylı sorgulama, iş ilişkisinin tesisi veya sürdürülmesi için üst düzey yönetici onayı alma ve müşteri işlemlerini artırılmış bir gözetim altında tutma.
Belge, özellikle KVHS ve ödeme kuruluşları için getirilen özel yükümlülüklere dikkat çekmektedir. KVHS ile bankalar arasındaki ilişkilerde fon kaynağının tespiti ve işlemlerin sıkı gözetimi zorunlu kılınırken, KVHS'lerin kendi müşterileri için de fon kaynağı tespiti, işlem amacı sorgulaması ve sürekli gözetim gibi tedbirleri uygulaması gerekmektedir. Uzaktan kimlik tespiti süreçleri ve kripto varlık transferleri için de gecikme süreleri, işlem limitleri ve bilgi paylaşımı gibi özel kurallar getirilmiştir.
1. Giriş ve Genel Çerçeve
Teknolojinin ilerlemesi ve dijitalleşme, finansal sistemde yeni fırsatlar yaratırken aynı zamanda suç gelirlerinin aklanması, terörizmin ve kitle imha silahlarının yayılmasının finansmanı (AML/CFT) gibi riskleri de artırmıştır. Bu bağlamda, ulusal ve uluslararası otoriteler, finansal sistemin suçlular tarafından kullanılmasını engellemek amacıyla mevcut tedbirleri sıkılaştırma yoluna gitmiştir.
25 Aralık 2024 tarihli Cumhurbaşkanı Kararı ile Kripto Varlık Hizmet Sağlayıcıları (KVHS) "finansal kuruluş" tanımına dahil edilmiştir. Bu değişiklik, bu kuruluşların da AML/CFT yükümlülükleri kapsamına alınmasını ve sıkılaştırılmış tedbirlere tabi olmasını zorunlu kılmıştır.
1.1. Temel Kavramlar ve Yükümlülükler
Aklama Suçu: Yasa dışı yollardan elde edilen kazançların, kaynağını gizleyerek veya niteliğini değiştirerek yasal bir görüntüyle ekonomik sisteme entegre edilmesidir.
Terörizmin Finansmanı: Yasal veya yasa dışı yollardan elde edilen fonların terör örgütlerine veya faaliyetlerine aktarılmasıdır.
Yükümlülükler: 5549 sayılı Kanun uyarınca finansal kuruluşlar ve diğer meslek grupları için getirilen zorunluluklardır. Bunlar arasında; müşterinin tanınması, şüpheli işlem bildirimi, eğitim, iç denetim, kontrol ve risk yönetimi sistemleri kurma gibi temel görevler bulunmaktadır.
Bu yükümlülüklerin temelini, müşterinin kimliği ve faaliyetleri hakkında yeterli bilgiye sahip olmayı gerektiren "müşterinin tanınması ilkesi" oluşturur.
2. Müşterinin Tanınması Yükümlülüğü ve Sıkılaştırılmış Tedbirler
Yükümlüler, 5549 sayılı Kanun gereği, nezdlerinde işlem yapılmadan önce müşterinin ve namına hareket edilen kişinin kimliğini tespit etmekle yükümlüdür. Ancak bazı durumlar, standart kimlik tespitinin ötesinde, ilave ve daha derinlemesine önlemlerin alınmasını gerektirir. Bu ilave önlemler "sıkılaştırılmış tedbirler" olarak adlandırılır.
Yükümlüler, aşağıdaki durumlarda tespit edilen riskle orantılı olarak bu tedbirlerin bir veya birden fazlasını uygulamak zorundadır:
Özel dikkat gerektiren işlemler (Tedbirler Yönetmeliği Madde 18)
Teknolojik riskler (Tedbirler Yönetmeliği Madde 20)
Riskli ülkelerle ilişkiler (Tedbirler Yönetmeliği Madde 25)
Risk temelli yaklaşımla tespit edilen diğer yüksek riskli durumlar
2.1. Uygulanacak Genel Sıkılaştırılmış Tedbirler
Tespit edilen yüksek risk durumlarında uygulanması gereken temel tedbirler şunlardır:
Müşteri ve gerçek faydalanıcının kimlik bilgilerini daha sık güncellemek de dahil olmak üzere, müşteri hakkında ilave bilgi edinmek.
İş ilişkisinin mahiyeti hakkında ilave bilgi edinmek.
İşleme konu malvarlığının ve müşteriye ait fonların kaynağı hakkında mümkün olduğunca bilgi edinmek.
İşlemin amacı hakkında bilgi edinmek.
İş ilişkisine girilmesini veya mevcut bir ilişkinin sürdürülmesini üst seviyedeki bir görevlinin onayına bağlamak.
Uygulanan kontrollerin sayı ve sıklığını artırarak iş ilişkisini sıkı gözetim altında tutmak.
Sürekli iş ilişkisi kurulurken ilk finansal hareketin, müşterinin tanınması esaslarının uygulandığı başka bir finansal kuruluştan yapılmasını zorunlu tutmak.
3. Sıkılaştırılmış Tedbirlerin Uygulanacağı Özel Durumlar
Rehber, sıkılaştırılmış tedbirlerin uygulanmasını gerektiren spesifik durumları detaylandırmaktadır.
3.1. Özel Dikkat Gerektiren ve Yüksek Riskli İşlemler
Karmaşık ve Olağandışı İşlemler: Görünürde makul bir hukuki veya ekonomik amacı olmayan, karmaşık yapıdaki veya olağandışı büyüklükteki işlemlere özel dikkat gösterilmelidir.
Kamusal Nüfuz Sahibi Kişiler (PEP): Müşterinin veya gerçek faydalanıcının PEP olup olmadığını belirlemek için makul tedbirler alınmalıdır. PEP'lerle olan iş ilişkileri; üst düzey yönetici onayına bağlanmalı, fon kaynakları araştırılmalı ve ilişki sıkı gözetim altında tutulmalıdır.
3.2. Teknolojik Riskler
Yüz yüze temas olmadan (internet şubesi, ATM, kripto varlık platformları vb.) gerçekleştirilen işlemlere özel dikkat gösterilmelidir. Bu kanalların aklama ve terörün finansmanı amacıyla kullanılmasını önlemek için tutar ve işlem sayısı limiti gibi etkili tedbirler geliştirilmelidir.
3.3. Riskli Ülkelerle İlişkiler
Aklama ve terörün finansmanı konusunda yeterli düzenlemelere sahip olmayan, işbirliği yapmayan veya uluslararası kuruluşlarca riskli kabul edilen ülkelerle (serbest bölgeler ve off-shore merkezleri dahil) kurulan iş ilişkileri ve gerçekleştirilen işlemler sıkı bir şekilde izlenmelidir.
3.4. Risk Değerlendirmesi ve Yüksek Risk Kategorileri
Yükümlüler, risk temelli bir yaklaşımla müşteri, hizmet ve ülke bazında risk değerlendirmesi yapmalıdır. Yüksek riskli olarak değerlendirilen durumlarda sıkılaştırılmış tedbirler uygulanmalıdır.
Müşteri Riski: Müşterinin mesleği (yoğun nakit kullanımı, yüksek değerli mal ticareti), kripto varlık işlemleri veya uluslararası fon transferlerine yatkınlığı gibi faktörlerden kaynaklanan risktir.
Hizmet Riski: Yüz yüze yapılmayan işlemler ve kripto varlık hizmetleri gibi yeni teknolojiler kullanılarak sunulan ürünlerin suistimal edilme riskidir.
Ülke Riski: AML/CFT düzenlemeleri zayıf veya işbirliğinden kaçınan ülkelerle yapılan işlemlerden kaynaklanan risktir.
Örnek Yüksek Risk Durumları:
Bilgi ve belge vermekten kaçınan veya yanıltıcı bilgi veren müşteriler.
Müşteri profiliyle (gelir, iş, faaliyet alanı) orantılı olmayan işlemler.
Görünürde makul bir amacı olmayan karmaşık işlemler (örn: çok sayıda kişiden aynı alıcıya fon transferi).
Kimlik tespiti sınırını aşmamak için yapılan bağlantılı işlemler.
Riskli sektörlerde (döviz büroları, kuyumcular, emlakçılar, KVHS) faaliyet gösteren müşteriler.
Kâr amacı gütmeyen kuruluşların (özellikle dernekler) işlemleri.
Riskli ülkelerde yerleşik yabancı uyruklu müşterilerin işlemleri.
4. Kripto Varlık Hizmet Sağlayıcıları (KVHS) ve Diğer Finansal Kuruluşlara Yönelik Özel Tedbirler
4.1. Finansal Kuruluşların KVHS ile İlişkileri
Bankalar gibi finansal kuruluşlar, KVHS'lerle iş ilişkisi kurarken asgari olarak aşağıdaki tedbirleri almak zorundadır:
KVHS'ye ait fonların kaynağı hakkında bilgi edinmek.
İşlemin amacını öğrenmek.
İş ilişkisini sıkı gözetim altında tutmak.
İşlem tutarları ve sayısına yönelik sınırlar belirlemek.
İş ilişkisi kurma kararını üst düzey bir görevlinin onayına bağlamak.
4.2. KVHS'lerin Müşterileriyle İlişkileri
KVHS'ler, tüm müşterileriyle iş ilişkisi kurarken asgari olarak şu tedbirleri uygulamalıdır:
İşleme konu malvarlığının ve müşteriye ait fonların kaynağını araştırmak.
İşlemin amacını öğrenmek.
İş ilişkisini sıkı gözetim altında tutmak ve ilave kontrol gerektiren işlem türlerini belirlemek.
Risk yönetimi politikası kapsamında tutar ve işlem sayısı limiti belirlemek.
Yüksek riskli olarak belirledikleri müşteriler için ise üst düzey yönetici onayı ve ilk finansal hareketin başka bir finansal kuruluştan yapılması gibi ilave tedbirler de uygulanmalıdır.
4.3. Kripto Varlık Transferlerine İlişkin Sıkılaştırılmış Tedbirler
Bekleme Süreleri: Kayıtlı olmayan bir cüzdana veya yurt dışında yerleşik ve bilgi paylaşımı yükümlülüğü olmayan bir sağlayıcıya yapılan kripto varlık çekim işlemleri, transfer edilecek varlığın alım, takas veya yatırma işleminden en az 48 saat sonra gerçekleştirilmelidir. Bu süre, ilk çekim işlemi için en az 72 saattir.
Limitler: Stabil kripto varlıkların çekim işlemlerinde günlük 3.000 ABD Doları ve aylık 50.000 ABD Doları karşılığı tutarında limit uygulanmalıdır. Seyahat kuralının uygulandığı transferlerde bu limitler 2 katına çıkarılabilir.
İstisnalar: Likidite sağlayıcılığı, piyasa yapıcılığı gibi amaçlarla yapıldığı teyit edilen transferler, yönetim kurulu onayı ile bu süre ve limitlerden muaf tutulabilir.
İşlem Açıklaması: Tüm kripto varlık transferlerinde müşteriden en az 20 karakter uzunluğunda bir işlem açıklaması alınmalıdır.
4.4. Ödeme ve Elektronik Para Kuruluşları
Bu kuruluşların üye işyerleri ile terminal aracılığıyla kurdukları iş ilişkileri de sıkılaştırılmış tedbirler kapsamındadır. Yüksek riskli işlemlerde öngörülen tüm tedbirlerin (ilave bilgi toplama, fon kaynağı tespiti, üst düzey yönetici onayı, sıkı gözetim vb.) uygulanması zorunludur.
5. Müşterinin Tanınmasında Sıkılaştırılmış Tedbirlerin Uygulanması
5.1. Gerçek ve Tüzel Kişi Müşteriler İçin Bilgi Toplama
Sıkılaştırılmış tedbirler kapsamında, müşterilerden standart kimlik bilgilerinin ötesinde detaylı bilgi talep edilmelidir.
Gerçek Kişiler
- Meslek, sigorta kolu, çalıştığı kurum, aylık gelir.
- Serbest meslek sahibi ise; iştigal kolu, sektördeki deneyimi, yurtdışı bağlantısı, şirket ortaklığı durumu.
- Fonların ve malvarlığının kaynağı (birikim, maaş, kira, miras vb.).
- İşlemlerin amacı, beklenen işlem hacmi ve adedi.
- Yurt dışı para transferi yapılıp yapılmayacağı ve ilgili ülkeler.
Tüzel Kişiler (Şirket, Dernek, Vakıf vb.)
- Faaliyet konusu, faaliyet gösterdiği sektörler, kuruluş tarihi.
- Dernek/vakıflar için kuruluş amacı ve faaliyet alanı.
- Fonların ve malvarlığının kaynağı (ticari faaliyet, bağış, aidat vb.).
- İşlemlerin amacı, beklenen işlem hacmi ve karşı taraflar.
- Yurt dışı para transferi yapılıp yapılmayacağı ve ilgili ülkeler.
Bu bilgilerin uygun belgelerle teyit edilmesi ve belgelerin gerçekliğinden şüphe duyulması halinde ilgili kurumlardan doğrulama yapılması esastır.
5.2. Gerçek Faydalanıcının (UBO) Tanınması
Yükümlüler, bir müşteri adına işlem yapan nihai gerçek kişiyi (gerçek faydalanıcı) tespit etmek için gerekli tedbirleri almalıdır.
Tüzel kişilerde, şirketin yüzde yirmi beşi aşan hissesine sahip gerçek ve tüzel kişi ortakların kimliği tespit edilmelidir.
Tüzel kişiliği nihai olarak kontrolünde bulunduran gerçek kişi veya kişilerin ortaya çıkarılması için gerekli tüm adımlar atılmalıdır.
Müşteriden, başkası hesabına hareket edip etmediğine dair yazılı beyan alınmalıdır.
5.3. Müşteri Durumunun ve İşlemlerin Sürekli İzlenmesi
Müşteri işlemleri, beyan edilen profil (meslek, mali durum, fon kaynakları) ile uyumlu olup olmadığı açısından sürekli olarak izlenmelidir. Müşteri bilgileri periyodik olarak güncellenmeli ve ulusal/uluslararası yaptırım listeleri (OFAC, AB, BMGK vb.) ile açık kaynaklar üzerinden kontrol edilmelidir.
5.4. Uzaktan Kimlik Tespiti Süreçleri
Uzaktan kimlik tespiti, yüksek riskler barındırdığı için sıkılaştırılmış tedbirler gerektirir:
Risk Değerlendirmesi: Başvuru sırasında müşterinin gelir bilgisi, fon kaynağı, beklenen işlem hacmi gibi bilgiler alınarak bir risk değerlendirmesi yapılır.
İlk Finansal Hareket: Kimlik belgesinin NFC ile doğrulanamadığı durumlarda, ilk finansal hareketin müşterinin tanındığı başka bir finansal kuruluştaki hesabından yapılması zorunludur.
KVHS için Özel Kurallar:
Gizlilik tabanlı kripto varlıkların (privacy coins) alım-satımına aracılık eden KVHS'ler uzaktan kimlik tespiti yapamazlar.
KVHS'lerde para yatırma ve çekme işlemleri, müşterinin kimlik bilgileriyle uyumlu bir banka hesabı veya kredi kartı aracılığıyla yapılmalıdır.