Ödeme kuruluşlarında üye iş yeri riski ve KYB
MASAK'ın ödeme ve elektronik para kuruluşları için yayımladığı rehber, sektöre özgü 76 şüpheli işlem tipi sayıyor. Bunların 22'si son kullanıcıyla değil, kuruluşun kabul ettiği üye iş yeriyle ilgili: iş yerinin internet sitesi, fiyatları, sermayesi, itiraz oranı ve açık kaynaklardaki şikâyetleri. Bu, bir ödeme kuruluşunda KYB'nin neden kabul anındaki bir evrak kontrolü olmadığını gösteriyor. Üye iş yeri kabul edildikten sonra da izlenmesi gereken bir taraf. TruvaLI iş yeri kabulünü, iş yeri davranışını ve son kullanıcı işlemlerini aynı risk yapısında tutar.
Ödeme kuruluşlarında aklama riskinin merkezinde bireysel müşteri değil üye iş yeri vardır: kuruluş, kabul ettiği iş yerinin faaliyetinden ve o faaliyetin gerçekliğinden sorumludur. Kuruluşlar 5549 sayılı Kanun kapsamında yükümlüdür; faaliyet düzenleyicisi TCMB'dir.
Ödeme kuruluşunun asıl müşterisi kim?
Ödeme ve elektronik para kuruluşları, 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamında yükümlü. MASAK bu grup için ortak bir şüpheli işlem bildirim rehberi yayımlıyor ve bildirimlerin MASAK.Online üzerinden elektronik ortamda yapılmasını bekliyor.
Rehberin sektöre özgü bölümündeki 76 tipin 22'si doğrudan üye iş yerine ait. Bu oran tesadüf değil: bir ödeme kuruluşu son kullanıcıyı çoğu zaman iş yeri üzerinden görür, dolayısıyla aklama riski de büyük ölçüde kabul ettiği iş yerinden geçer.
Rehber hangi göstergeleri sayıyor?
| Grup | Tip sayısı | Neye bakıyor |
|---|---|---|
| Müşteri profili | 16 | Beyan, belge ve beyandan kaçınma |
| Ödeme ve elektronik para kuruluşları | 76 | Üye iş yeri, ödeme hesabı, yükleme ve çekim |
| Terör örgütleri ve riskli ülkeler | 23 | Taraf ve coğrafya |
| Kâr amacı gütmeyen kuruluşlar | 10 | Yönetici ve mali yetkili hareketleri |
| Kitle imha silahlarının finansmanı | 17 | Yaptırım rejimi |
Rehber üye iş yerini nereden okuyor?
Tiplerin bir bölümü iş yerinin beyanına değil, dışarıdan görünüşüne bakıyor.
| Tip | Ne diyor | Hangi veri gerekiyor |
|---|---|---|
| T-006-2.28 | İş yerinin sitesinde satılan ürün veya hizmetin içeriğine dair makul bir kullanıcı gözüyle bilgi elde edilememesi | Site içeriğinin taranması |
| T-006-2.30 | Fiyatların piyasa değerinden belirgin biçimde sapması | Site fiyatı ve piyasa karşılaştırması |
| T-006-2.31 | Yeni açılmış ve altyapısı oturmamış bir siteye rağmen hızla yüksek tutarlı transferin başlaması | Alan adı yaşı ve hacim eğrisi |
| T-006-2.35 | İş yeri hakkında açık kaynaklarda çok sayıda ihbar ve şikâyet bulunması | Olumsuz medya ve açık kaynak taraması |
| T-006-2.36 | İş yeri hakkında adli veya idari makamlardan çok sayıda bilgi talebi gelmesi | Kurum içi talep kaydı |
| T-006-2.40 | Sitede satışa sunulan mal ve hizmet tutarları ile işlem tutarlarının uyumsuz olması | Site içeriği ve işlem verisi |
Bu altısının hiçbiri iş yerinin dosyasındaki evrakla karşılanmaz. Rehber, iş yerinin ne iddia ettiğinden bağımsız olarak sitesinin, fiyatlarının ve hakkındaki kamuya açık kaydın okunmasını bekliyor.
İşlem hacmi ticari gerçeklikle orantılı mı?
T-006-2.32 üye iş yerinin sermayesinin ve mal veya hizmet alış bilgilerinin tahsilat tutarıyla orantısız olmasını, T-006-2.29 satışlarının ticari faaliyet alanı dışında olduğundan şüphe duyulmasını, T-006-2.41 ise işlemlerin bulunduğu sektöre oranla olağandışı adet ve hacimde olmasını sayıyor.
Üçü birlikte okunduğunda ölçülen şey şu: iş yerinin ne iddia ettiği değil, iddiasının hacmiyle tutarlı olup olmadığı. Bu karşılaştırma için sektör bazında referans bir dağılımın tutuluyor olması gerekir.
Kabulden sonrası
T-006-2.34 üye iş yerinde gerçekleşen harcamalara olağan dışı sayıda itiraz gelmesini, T-006-2.37 işlemlerin büyük oranda düz tutarlardan (50, 100, 200 gibi) oluşmasını, T-006-2.33 ise iş yerinin hesabında biriken bakiyeyi dahili transferle üçüncü kişilere aktarmasını veya alacağın temliki sözleşmesiyle temlik etmesini sayıyor.
T-006-2.38 ve T-006-2.39 talep edilen bilgi ve belgelerin zamanında ve yeterli iletilmemesini, iletilenlerin sunulan hizmetle ilgisiz olmasını ve faturalarda fatura numaraları ile işlem sayılarının tutarsız olmasını kapsıyor.
Bunların hiçbiri kabul anında görülemez. Hepsi iş yeri kabul edildikten sonra üretilen veriden okunur. KYB kabulle başlar, izlemeyle sürer.
Bildirim formu ne istiyor?
Parasal değer içermeyen şüpheli hususlar formun şüpheli işlem bölümüne değil açıklama bölümüne yazılır. Yani bir vaka, parasal olmayan olayları da taşıyabilmelidir.
Bir bildirim tek bir işleme dayanabileceği gibi belli bir tarih aralığındaki birden fazla işleme de dayanabilir; çoklu işlem hâlinde toplam tutar ve tarih aralığı birlikte raporlanır. Şüpheli işlemler farklı kanallarda veya türlerde yoğunlaşıyorsa form bölümü her küme için tekrarlanabilir.
Şüphe kategorisi nasıl seçiliyor?
Bildirim yapılırken şüphe, MASAK'ın referans tablosundaki kategorilerden birine yerleştiriliyor ve her kategori ilgili yasal düzenlemeyle eşleştirilmiş durumda. Liste tefecilik ve POS tefeciliğinden vergi kaçakçılığına, dolandırıcılıktan hileli iflasa kadar uzanıyor.
Bu, vaka yönetiminin kendi serbest etiketleriyle değil bu taksonomiyle çalışması gerektiği anlamına geliyor. Kategori seçimi bildirimin bir parçası.
Erteleme talepli bildirimde eşik nedir?
5549 sayılı Kanun'un "İşlemlerin ertelenmesi" başlıklı 19/A maddesine dayanan yönetmelik, bildirime istinaden işlemin ertelenmesini düzenliyor. Rehber bunun için açık bir eşik koyuyor: işleme konu mal varlığının aklama veya terörizmin finansmanı suçuyla ilişkili olduğuna dair salt şüpheden öte, şüpheyi destekleyen belge veya ciddi emare bulunması ve gerekçeleriyle birlikte gönderilmesi.
Bu eşik doğrudan bir sistem gereksinimi üretiyor: kanıtın vakaya iliştirilmiş, gerekçenin yazılı ve kararın kim tarafından verildiğinin kayıtlı olması gerekir.
Veri nerede duruyor?
Ödeme ve elektronik para kuruluşları hem TCMB hem BDDK tarafında düzenleme ve denetime tabi. Bu, izleme yazılımının nerede çalıştığını ve müşteri verisinin nereye çıktığını teknik bir tercih olmaktan çıkarır.
TruvaLI kurum içi kurulumu destekler: yazılım kuruluşun kendi altyapısında çalışır, müşteri ve iş yeri verisi kuruluşun bilgi sistemlerinde kalır, anahtarlar ve denetim izi kuruluşun kontrolündedir.
TruvaLI bunu nasıl karşılıyor?
Üye iş yeri kabulü
KYB akışında ortaklık yapısı çözülerek gerçek faydalanıcıya inilir, yetkili kişiler ve şirket kaydı yaptırım, PEP ve kurum içi listelere karşı taranır. Kabul kararı ve gerekçesi kayda geçer.
İş yerinin dışarıdan görünüşü
T-006-2.28, T-006-2.35 ve T-006-2.40 dosya kontrolüyle karşılanmaz. TruvaLI bir site adresi verildiğinde siteyi uçtan uca tarayıp içeriğini çıkarabilir, iş yeri hakkındaki olumsuz medyayı ve açık kaynak kayıtlarını risk türüne göre sınıflandırır. Aynı yapı kurum içi iş yeri listelerinin oluşturulmasında da kullanılır.
İş yeri davranışının izlenmesi
İtiraz oranı, düz tutar yoğunluğu, sektör ortalamasına göre hacim ve bakiye hareketleri kural motoruna girer. İç içe mantık ve serbest toplama pencereleri sayesinde "son 30 günde itiraz oranı sektör ortalamasının şu katına çıkarsa" gibi kurallar tek bir kuralda kurulur, kural canlıya alınmadan simülasyonda geçmiş trafikte denenir.
Ortak IP, cihaz, iletişim bilgisi ve bakiye aktarımı üzerinden iş yerleri arasındaki ilişki ağı çıkarılır; T-006-2.33 gibi üçüncü kişiye aktarım tipleri tekil işlem kontrolüne bırakılmaz.
Vaka, kanıt ve kategori
Uyarı sahibi, süresi ve kanıtı olan bir vakaya dönüşür. Vaka parasal olmayan olayları da taşır, bir tarih aralığındaki işlemleri toplam olarak verebilir ve kanala göre ayrı kümeler üretebilir. Şüphe kategorisi MASAK'ın taksonomisinden seçilir.
Kanıt ve karar gerekçesi değiştirilemez denetim izine yazılır, ikinci çift göz onayı maker/checker ile yürür, erteleme talepli bildirimin gerektirdiği belge ve gerekçe vakaya iliştirilir. Bildirim taslağı aynı vaka verisinden hazırlanır ve imza kuruluşta kalır.
Elektronik para tarafındaki karşılık elektronik para kuruluşları sayfasındadır. İlgili akışlar: üye iş yeri kabulü, sürekli izleme, ödeme taraması, ters ibraz ve ödeme dolandırıcılığı ve düzenleyici raporlama. Çerçeve MASAK yükümlülükleri sayfasında.
Kaynak
MASAK, "Ödeme Kuruluşları ile Elektronik Para Kuruluşları Şüpheli İşlem Bildirim Rehberi", MSK-RHB-ŞİB-006, sürüm 2.0.
Bu sayfa mevzuat yorumu değildir, rehberde sayılan göstergeleri ve usulleri aktarır. Kurallar, eşikler ve aksiyonlar kuruluşun kendi risk politikasına ve yükümlülüklerine göre yapılandırılır.
Sık sorulan sorular
- Ödeme kuruluşunda KYB kabul anında biten bir kontrol mü?
- Değil. Rehberdeki üye iş yeri tiplerinin çoğu iş yeri kabul edildikten sonra üretilen veriden okunuyor: itiraz oranı, düz tutar yoğunluğu, sektör ortalamasına göre hacim, bakiyenin üçüncü kişilere aktarılması. KYB kabulle başlar, izlemeyle sürer.
- Üye iş yerinin internet sitesi otomatik olarak incelenebilir mi?
- Evet. Bir site adresi verildiğinde site uçtan uca taranıp içeriği çıkarılabilir ve iş yeri hakkındaki olumsuz medya ile açık kaynak kayıtları risk türüne göre sınıflandırılabilir. Rehberin T-006-2.28, T-006-2.35 ve T-006-2.40 tipleri bunu gerektiriyor.
- İş yeri verisi kuruluşun dışına çıkar mı?
- Kurum içi kurulumda çıkmaz. Yazılım kuruluşun kendi altyapısında çalışır, veri kuruluşun bilgi sistemlerinde kalır, anahtarlar ve denetim izi kuruluşun kontrolündedir.
- Rehberdeki tiplerin hepsini kural olarak yazmak zorunda mıyız?
- Rehber bunun tersini söylüyor: yükümlüler kendilerini sayılan tiplerle sınırlandırmamalı, şüphe doğuran bir işlem hiçbirine uymasa dahi bildirimde bulunmalıdır. Tipler asgari ortak zemin, tavan değil.
- Ödeme kuruluşlarının düzenleyicisi kim?
- Faaliyet düzenleyicisi TCMB'dir. Aklama yükümlülükleri bakımından muhatap MASAK'tır.
- Neden asıl müşteri üye iş yeri sayılıyor?
- Kuruluş, kabul ettiği iş yerinin faaliyetinden ve o faaliyetin gerçekliğinden sorumludur; risk büyük ölçüde iş yerinin ne sattığında toplanır.
- Beyan edilen faaliyetle satılan ürün ayrışırsa ne olur?
- Bu, sektörün bilinen sorunlarındandır ve izlemenin ilk baktığı şeylerden biridir: hacim, ürün kategorisi ve ters ibraz oranındaki sapma risk sınıfını değiştirir.
- Üye iş yeri kabulü sonrası ne izleniyor?
- İşlem hacminin beyandan sapması, ters ibraz oranının yükselmesi, ürün kategorisinin değişmesi ve ortaklık yapısındaki değişiklikler.