Suç gelirlerinin aklanması ve terörün finansmanının önlenmesi amacıyla finansal kuruluşların uyguladığı müşteri kimlik tespiti süreçlerinde köklü bir güncelleme yapıldı. "Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik" Resmi Gazete'de yayımlanarak yürürlüğe girdi. Düzenleme; bankalar, finansman ve faktoring şirketleri, sermaye piyasası aracı kurumları, portföy yönetim şirketleri ile elektronik para ve ödeme kuruluşları dahil geniş bir finansal kuruluş grubunu doğrudan ilgilendiriyor.
Kimlik Tespiti Eşiği İkiye Katlandı: 185 Bin TL'den 370 Bin TL'ye
Yeni düzenlemenin en çok öne çıkan değişikliği, genel kimlik tespiti yükümlülüğünü tetikleyen parasal sınırda yaşandı. Daha önce 185 bin lira olarak uygulanan bu eşik, yönetmelikle birlikte 370 bin liraya yükseltildi. Başka bir deyişle, söz konusu eşik tam anlamıyla iki katına çıkarılmış oldu.
Buna göre bir işlem tutarının ya da birbiriyle bağlantılı birden fazla işlemin toplamının 370 bin lira ve üzerinde olması durumunda, yükümlü kuruluşların müşterinin kimliğini tespit etmesi ve bu bilgilerin doğruluğunu teyit etmesi zorunlu hale gelecek. Sınırın altında kalan işlemler ise bu genel kimlik tespiti yükümlülüğünün kapsamı dışında kalacak.
Elektronik Transferlerde Yeni Sınır: 30 Bin TL
Yönetmelik yalnızca genel kimlik tespiti eşiğini değil, elektronik transferlere özgü parasal sınırı da güncelledi. Elektronik transferler, dijital kimlik tespiti usulleri ve basitleştirilmiş tedbirler kapsamındaki işlemlerde kimlik tespiti ve bilgilerin teyidi için aranan parasal sınır 15 bin liradan 30 bin liraya yükseltildi.
Böylece yönetmelikte iki farklı eşik belirginleşti: Genel işlemlerde 370 bin TL sınırı uygulanırken, elektronik transferler ile düzenlemede sayılan bazı özel işlem türlerinde 30 bin TL sınırı geçerliliğini koruyacak. Finansal kuruluşların hangi işlemde hangi eşiği uygulayacağını doğru biçimde belirlemesi büyük önem taşıyor.
Gerçek Faydalanıcının Tespiti Zorunluluğu Sürüyor
Yönetmelik, kimlik tespitini yalnızca işlemi bizzat gerçekleştiren kişiyle sınırlı tutmuyor. Yükümlü kuruluşlar, müşterileri adına ya da hesabına hareket eden kişilerin kimliklerini de tespit etmekle yükümlü. Bunun yanı sıra işlemin arkasındaki gerçek faydalanıcının ortaya çıkarılması için gerekli tedbirlerin alınması zorunluluğu yeni düzenlemede de varlığını sürdürüyor.
Bu hükümler; bankalar, finansman ve faktoring şirketleri, sermaye piyasası aracı kurumları, portföy yönetim şirketleri, elektronik para kuruluşları ve ödeme kuruluşları dahil yönetmelik kapsamındaki tüm yükümlü kuruluşları bağlıyor. Söz konusu çerçeve, finansal sistemin yalnızca işlem tutarına değil, işlemin gerçek sahibine ve arkasındaki kişilere de odaklanmasını zorunlu kılıyor.
SMS OTP ile Doğrulamaya Güvenlik Kriterleri Getirildi
Düzenlemenin dikkat çeken bir diğer başlığı ise bankacılık ve finansal hizmetlerde yaygın biçimde kullanılan SMS ile tek kullanımlık doğrulama kodlarını, yani SMS OTP sistemini kapsıyor. Yönetmeliğe göre finansal kuruluşlar, internet veya mobil hizmet kanalları üzerinden gerçekleştirilen işlemlerde ya da müşterinin daha önce doğrulanmış cep telefonu numarasına gönderilen tek kullanımlık kodla kimlik doğrulaması yapılması halinde imza örneği almak zorunda olmayacak.
Ancak bu esneklikten yararlanabilmek için doğrulama sistemlerinin belirli güvenlik şartlarını karşılaması gerekiyor. Kullanılacak doğrulama yönteminin öncelikle işlemin niteliğine ve risk düzeyine uygun olması şartı aranıyor. Aynı zamanda sistemin, işlemi gerçekleştiren kişinin daha önce kimliği tespit edilmiş müşteri olduğuna dair yeterli güvence sağlaması da zorunlu tutuluyor.
Yetkisiz İşlemlere Karşı Güvenlik Önlemi Şartı
Yeni düzenleme, finansal kuruluşlara yetkisiz işlem riskine karşı da somut bir sorumluluk yüklüyor. Kuruluşların, yetkisiz kişilerin müşteri adına işlem gerçekleştirmesi ihtimaline karşı uygun güvenlik önlemlerini devreye alması gerekiyor. Yönetmeliğe eklenen hükümde bu durum açıkça ifade edildi: SMS OTP yoluyla doğrulama yapılabilmesi için doğrulamanın hem işlemin risk düzeyine uygun olması hem de yetkisiz işlemlere karşı gerekli güvenlik tedbirlerini içermesi şartı aranıyor.
Tüm bu değişiklikler bir arada değerlendirildiğinde, yeni düzenlemenin finansal kuruluşların müşteri tanıma ve doğrulama süreçlerinde uyguladığı parasal eşikleri güncellerken dijital doğrulama yöntemlerine ilişkin güvenlik kriterlerini de daha açık bir çerçeveye oturttuğu görülüyor. Artık kuruluşların yalnızca işlem tutarını değil; müşterinin kimliğini, gerçek faydalanıcıyı, işlemin risk düzeyini ve kullanılan doğrulama yönteminin güvenliğini birlikte ele alması gerekecek.
Sıkça Sorulan Sorular
Kimlik tespiti zorunluluğu için yeni parasal sınır nedir?
Yeni yönetmelikle birlikte genel kimlik tespiti yükümlülüğünü doğuran parasal sınır 185 bin liradan 370 bin liraya yükseltildi. İşlem tutarının veya birbiriyle bağlantılı birden fazla işlemin toplamının 370 bin lira ve üzerinde olması durumunda yükümlü kuruluşların kimlik tespiti yapması zorunlu hale geliyor.
Elektronik transferlerde uygulanan kimlik tespiti sınırı ne oldu?
Elektronik transferler, dijital kimlik tespiti usulleri ve basitleştirilmiş tedbirler kapsamında uygulanan parasal sınır 15 bin liradan 30 bin liraya yükseltildi. Bu eşik, genel kimlik tespiti sınırından bağımsız olarak söz konusu işlem türleri için geçerliliğini koruyacak.
Hangi kuruluşlar bu yönetmelik kapsamında yer alıyor?
Yönetmelik; bankalar, finansman ve faktoring şirketleri, sermaye piyasası aracı kurumları, portföy yönetim şirketleri, elektronik para kuruluşları ve ödeme kuruluşlarını kapsıyor. Bu kuruluşların tamamı yönetmelikte belirlenen kimlik tespiti ve doğrulama yükümlülüklerine uymak zorunda.
Gerçek faydalanıcının tespiti neden önemli ve bu yükümlülük devam ediyor mu?
Evet, gerçek faydalanıcının tespit edilmesi yükümlülüğü yeni düzenlemede de sürdürülüyor. Yükümlü kuruluşlar yalnızca işlemi bizzat yapan kişinin değil, müşteri adına veya hesabına hareket eden kişilerin kimliklerini de tespit etmek ve işlemin arkasındaki gerçek faydalanıcıyı ortaya çıkarmak için gerekli tedbirleri almak zorunda.
SMS OTP ile kimlik doğrulamasında hangi şartlar aranıyor?
Finansal kuruluşların internet veya mobil kanallar üzerinden SMS OTP yoluyla kimlik doğrulaması yapabilmesi için doğrulama sisteminin işlemin niteliğine ve risk düzeyine uygun olması, işlemi gerçekleştiren kişinin daha önce kimliği tespit edilmiş müşteri olduğuna yeterli güvence sağlaması ve yetkisiz kişilerin müşteri adına işlem yapması riskine karşı uygun güvenlik önlemlerini içermesi gerekiyor.
