MASAK Sürekli İzleme: 7 Soruda Denetime Hazırlık

Suç gelirlerinin aklanması ve terörün finansmanı ile mücadelede uyum, açılışta bir kez yapılan kimlik tespitiyle bitmez. Mevzuat, müşterinin durumunun ve işlemlerinin iş ilişkisi süresince devamlı olarak izlenmesini ister; MASAK sürekli izleme yaklaşımının özü budur. Kuyumcu, sarraf ve döviz büroları 5549 sayılı Kanun kapsamında yükümlüdür ve bu yükümlülük riskin işlem anında görülmesini, kayıtların her an erişilebilir olmasını ve denetime hazırlığın kesintisiz sürdürülmesini gerektirir. Bu yazıda sürekli izlemenin mevzuattaki dayanaklarını, günlük işleyişe nasıl çevrileceğini ve izlemeyi yapan sistemin sağlığının şeffaf biçimde izlenmesinin yükümlüye ne kazandırdığını ele alıyoruz.

Özet

• Tedbirler Yönetmeliği'nin 19. maddesi, sürekli iş ilişkisi kapsamındaki işlemlerin müşterinin mesleği, ticari faaliyeti, mali durumu, risk profili ve fon kaynaklarıyla uyumlu olup olmadığının devamlı olarak izlenmesini ister.
• Uyum Programı Yönetmeliği'nin 14. maddesine göre izleme ve kontrolün amacı, faaliyetlerin mevzuata ve kurum politikalarına uygun yürütülüp yürütülmediğinin sürekli olarak izlenmesi ve kontrol edilmesidir (uyum programı yükümlülüğü mevzuatta sayılan yükümlü gruplarına göre değişir).
• Kimlik tespiti eşiği 370.000 TL'dir¹ (eşik dahil); sürekli iş ilişkisi tesisinde tutara bakılmaz. Eşik, işlem anında kontrol edilmelidir.
• Şüpheli işlem bildiriminde tutar sınırı yoktur; bildirim, şüphenin oluşmasından itibaren en geç 10 iş günü içinde, gecikmesinde sakınca bulunan hallerde derhal yapılır.
• Belge ve kayıtlar 8 yıl süreyle muhafaza edilir ve istendiğinde ibraz edilir; ibraz yükümlülüğü denetim anında derhal karşılanabilmelidir.
• Sürekli izleme yalnızca müşteriyi değil, izlemeyi yapan sistemin kendisini de kapsar: bir kesinti anında fark edilmeli ve önlem alınmalıdır.

1. Sürekli izleme nedir, mevzuat neden devamlılık ister?

Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Yönetmeliği'nin 19. maddesi "müşterinin durumunun ve işlemlerin izlenmesi" başlığını taşır. Buna göre yükümlüler, sürekli iş ilişkisi kapsamında müşterileri tarafından gerçekleştirilen işlemlerin; müşterinin mesleği, ticari faaliyetleri, iş geçmişi, mali durumu, risk profili ve fon kaynaklarına dair bilgilerle uyumlu olup olmadığını iş ilişkisi süresince devamlı olarak izlemek ve müşteriye ilişkin bilgi, belge ve kayıtları güncel tutmak zorundadır.

Bunun pratik anlamı şudur: her müşteri için bir davranış profili oluşur ve izleme, bu profilden sapmaları görmeye yarar. Yıllardır ayda bir küçük gramaj altın alan bir müşterinin bir anda profil dışı, yüksek tutarlı ve nakit ağırlıklı işlemler yapmaya başlaması, tek başına suç kanıtı değildir; ancak izleme yapılmıyorsa bu sapma hiç görülmez. Müşterini tanı ilkesinin iş ilişkisi boyunca devamlı biçimde uygulanması (ongoing due diligence), FATF'in 10 numaralı tavsiyesinde de yer alan uluslararası bir standarttır.

2. Uyum programında izleme ve kontrol: MASAK sürekli izleme çerçevesi

Öncelikle kapsam notu: uyum programı oluşturma ve uyum görevlisi atama yükümlülüğü, mevzuatta sayılan yükümlü gruplarına göre değişir; işletmenizin hangi kapsamda olduğunu MASAK'ın güncel düzenlemelerinden teyit etmeniz gerekir. 16 Eylül 2008 tarihli ve 26999 sayılı Resmî Gazete'de yayımlanan Uyum Programı Hakkında Yönetmelik, izleme ve kontrolü uyum programının temel unsurlarından biri olarak düzenler. Yönetmeliğin 14. maddesine göre izleme ve kontrolün amacı; yükümlünün risklerden korunması ile faaliyetlerin Kanuna, ilgili yönetmelik ve tebliğlere ve kurum politika ve prosedürlerine uygun olarak yürütülüp yürütülmediğinin sürekli olarak izlenmesi ve kontrol edilmesidir.

Kapsam dışında kalsanız bile ilke aynıdır: risk temelli yaklaşımla izlemek, kontrol etmek ve sonuçları kayıt altına almak, her yükümlü için hem koruyucu hem de denetimde en güçlü savunmadır. Uyum görevlisi atama zorunluluğunun hangi yükümlü gruplarında doğduğunu ve bu işi fiilen yürüten kişinin günlük akışını MASAK uyum görevlisi yazımızda ele aldık.

3. Riskin işlem anında görülmesi

Sürekli izlemenin en kritik anı, işlemin gerçekleştiği andır. Eşik kontrolü sonradan yapılamaz: işlem tutarı veya birbiriyle bağlantılı işlemlerin toplamı 370.000 TL'ye ulaştığında (eşik dahil) kimlik tespiti işlem sırasında yapılmalıdır; sürekli iş ilişkisi tesisinde ise tutara bakılmaksızın kimlik tespiti zorunludur. Eşiğin nasıl uygulanacağına dair ayrıntılar için kimlik tespiti rehberimize bakabilirsiniz. Eşik de sabit bir rakam değildir, en son 7 Ekim 2026'da güncellendi; izleme düzeninizi kurarken eşiğin yürürlükteki değerini esas alın.

Şüpheli işlem bildiriminde ise tutar sınırı yoktur. Şüphe, işlemin müşteri profiliyle uyumsuzluğundan doğar ve tam da bu nedenle ancak sürekli izleme yapan bir yükümlü tarafından zamanında fark edilebilir. Bildirim, şüphenin oluşmasından itibaren en geç 10 iş günü içinde, gecikmesinde sakınca bulunan hallerde derhal MASAK'a yapılır. İşlem anında görülmeyen risk, çoğu zaman süresi içinde bildirilemeyen risk demektir.

4. Kayıtların anlık erişilebilirliği ve denetime hazırlık

5549 sayılı Kanun'un 7. maddesi, yükümlülerin denetime yetkili olanlarca istenecek her türlü bilgi, belge ve kayıtları vermek zorunda olduğunu düzenler. 8. madde ise yükümlülüklere ve işlemlere ilişkin her türlü ortamdaki belgelerin düzenleme tarihinden, defter ve kayıtların son kayıt tarihinden, kimlik tespitine ilişkin belgelerin son işlem tarihinden itibaren 8 yıl süreyle muhafazasını ve istenmesi halinde ibrazını ister.

Denetime hazırlık açısından belirleyici olan, kaydın var olması değil, bulunabilir olmasıdır. Sekiz yıllık bir arşivde belirli bir müşterinin belirli bir tarihteki işlemine, kimlik tespit belgesine ve varsa bildirim kaydına dakikalar içinde ulaşabiliyorsanız denetime hazırsınız demektir. Dağınık klasörler, farklı defterler ve kişilere bağlı hafıza ile yürüyen bir arşiv, kayıt mevcut olsa bile ibraz yükümlülüğünü fiilen riske sokar. Sürekli izleme yaklaşımının kayıt ayağı budur: her işlem, gerçekleştiği anda denetimde ibraz edilebilecek biçimde kaydedilmelidir. Kimlik belgelerini mesajlaşma gruplarında dolaştırmak bu düzeni hem ibraz hem KVKK yönünden bozar; nedenlerini WhatsApp ile kimlik paylaşımı yazımızda ayrıntılandırdık.

5. Sistemin sağlığını izlemek: kesintiyi anında fark etmek, anında önlem almak

İzleme zinciri, en zayıf halkası kadar güçlüdür. Banka hesap hareketlerini, işlem kayıtlarını ve eşik kontrollerini bir yazılım üzerinden izleyen bir yükümlü için o yazılımın veya banka bağlantılarının kesintiye uğraması, izlemede kör nokta demektir: kesinti fark edilmezse, o aralıkta gerçekleşen işlemler profil kontrolünden ve eşik takibinden geçmeden akar.

Mevzuatta sistem sağlığının izlenmesine dair açık bir hüküm bulunmamakla birlikte, Uyum Programı Yönetmeliği'nin 14. maddesindeki sürekli izleme ve kontrol mantığının doğal uzantısı, izlemeyi yapan aracın da her an çalışır durumda olduğunun görülebilmesidir. EksenGOLD bu ilkeyi kendi işleyişine de uygular: entegre olduğu tüm yapıların, banka bağlantıları dahil, sağlık durumu 7/24 anlık izlenir; bir entegrasyonda sorun oluştuğunda bu durum, banka entegrasyonlarının anlık sağlığının ve son 30 günlük çalışma süresinin herkese açık yayımlandığı sistem durumu sayfasında anında görünür ve kullanıcılar mobil uygulama bildirimi ve bilgilendirme mesajlarıyla anında haberdar edilir. Böylece işletme kesintiyi tahmin etmez, oluştuğu anda öğrenir ve beklemeden önlem alabilir: geçici olarak manuel kayda geçer, kesinti aralığındaki işlemleri sonradan eksiksiz tamamlar ve gerekirse durumu tarihiyle belgeleyerek denetimde açıklayabilir. Fark edilmeyen kesinti ise ancak denetimde, yani en pahalı anda ortaya çıkar.

6. Sürekli izleme öz değerlendirme listesi

Aşağıdaki soruların tamamına "evet" diyebiliyorsanız devamlılık ilkesini uyguluyorsunuz demektir:

1. Her sürekli müşterim için işlem geçmişine dayalı bir profil var mı ve profil dışı işlemler fark ediliyor mu?
2. 370.000 TL eşiği (bağlantılı işlemler dahil) işlem anında mı kontrol ediliyor, gün sonunda mı?
3. Şüphe oluştuğunda değerlendirme ve bildirim için tanımlı bir iç sürecim var mı; 10 iş günü süresini takip edebiliyor muyum?
4. Herhangi bir işlemin belgesine ve kimlik tespit kaydına dakikalar içinde ulaşabiliyor muyum?
5. Kayıtlarım 8 yıl geriye dönük, ibraz edilebilir biçimde saklanıyor mu?
6. Kullandığım sistemde veya banka bağlantısında kesinti olduğunda bunu anında öğreniyor muyum, yoksa tesadüfen mi fark ediyorum?
7. Kesinti anında devreye alacağım bir manuel kayıt ve sonradan tamamlama adımım var mı?

Sürekli izleme, mevzuatın yükümlüden istediği bir külfet gibi görünse de aslında işletmeyi hem yaptırım riskinden hem de suçlular tarafından araç olarak kullanılmaktan koruyan bir sigortadır; EksenGOLD kuyumcu programının MASAK uyum modülü bu devamlılığı işlem anında çalışan kontrollerle sağlar ve denetim gününü sürpriz olmaktan çıkarır.

Kaynaklar

• 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun - https://www.mevzuat.gov.tr/MevzuatMetin/1.5.5549.pdf
• Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Yönetmeliği - https://www.mevzuat.gov.tr/MevzuatMetin/21.5.200713012.pdf
• Uyum Programı Hakkında Yönetmelik (MASAK) - https://masak.hmb.gov.tr/suc-gelirlerinin-aklanmasinin-ve-terorun-finansmaninin-onlenmesine-iliskin-yukumluluklere-uyum-programi-hakkinda-yonetmelik/
• MASAK - Yükümlülükler - https://masak.hmb.gov.tr/yukumlulukler
• FATF Recommendations - https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html