KYC doğrulaması nedir? Anlamı, süreci ve gereklilikleri
KYC doğrulaması nedir? KYC süreci kimlik kontrolünden sürekli izlemeye nasıl işler, FATF ve Güneydoğu Asya düzenleyici kurumları ne ister?
Know Your Customer (KYC) doğrulaması, düzenlemeye tabi bir kuruluşun müşterinin iddia ettiği kişi olduğunu teyit etmek ve o müşterinin taşıdığı riski anlamak için yürüttüğü kontroller bütünüdür. Kimlik verilerinin toplanmasını, güvenilir ve bağımsız kaynaklarla doğrulanmasını ve güncel tutulmasını kapsar. Financial Action Task Force (FATF) standartları asgari çerçeveyi çizer, ayrıntılı kuralları ise her ülke kendisi belirler.
Bu makale, bir müşterinin KYC’yi belirli bir uygulamada nasıl tamamladığını değil, kuruluşun yükümlülüğünü anlatır. Örnekler Filipinler, Malezya ve Singapur üzerinde yoğunlaşır; Endonezya, Vietnam ve Tayland tablolarda yer alır. Kurallar ulusaldır ve hiçbir ülkenin yaklaşımı bölgesel norm olarak okunmamalıdır.
KYC ne anlama gelir?
KYC, Know Your Customer ifadesinin kısaltmasıdır. Müşterilerin kimliğini tespit etme ve taşıdıkları riski anlama yükümlülüğüdür ve aklama ile mücadele (AML) çerçevesinin bir parçasıdır. FATF’ın söz konusu tedbirler için kullandığı terim ise müşteri durum tespitidir (CDD). “KYC doğrulaması” çoğu zaman kimlik tespiti ve doğrulaması bölümü için, yaygın kullanımda ise kontrolün tamamı için kullanılır; bu makale terimi kontrolün tamamı anlamında kullanır.
FATF standartları, müşterilerin kimliğinin güvenilir ve bağımsız kaynaklardan gelen belge, veri veya bilgilerle tespit edilmesini ve doğrulanmasını öngörür; ülkeler de bunu ulusal aklama ve terörizmin finansmanı ile mücadele (AML/CFT) kurallarına dönüştürür. Bir kuruluşu bağlayan, FATF standardının kendisi değil, bu ulusal kurallardır.
KYC’nin dört temel unsuru (FATF 10 numaralı Tavsiye)
FATF 10 numaralı Tavsiye dört CDD tedbiri belirler:
- Müşterinin kimliğini tespit etmek ve kimliğini güvenilir ve bağımsız kaynaklardan gelen belge, veri veya bilgilerle doğrulamak.
- Gerçek faydalanıcıyı, yani müşteriyi nihai olarak elinde bulunduran veya kontrol eden gerçek kişiyi tespit etmek ve bu kişinin kimliğini doğrulamak için makul tedbirler almak.
- İş ilişkisinin amacını ve amaçlanan niteliğini anlamak ve uygun olduğu ölçüde bu konuda bilgi edinmek.
- Gerektiğinde fon kaynağı da dâhil olmak üzere, ilişki boyunca sürekli izleme yürütmek ve işlemleri incelemek.
FATF standartları bu tedbirleri iş ilişkisi kurulurken, belirli arızi işlemlerde, aklama veya terörizmin finansmanından şüphelenildiğinde ve daha önce alınan kimlik verilerinde kuşku doğduğunda öngörür. Bazı rehberler KYC’yi üç bileşen olarak anlatır; FATF standardı ise dört tedbir belirler.
KYC doğrulama süreci nasıl işler
Aşağıdaki adımlar FATF’ın dört tedbirini izler ve bunlara taramayı, risk değerlendirmesini ve kararı ekler. Sıra ve ayrıntı düzeyi kuruluşa ve ülkeye göre değişir.
- Kimlik verilerinin toplanması. Kuruluş müşterinin kimlik verilerini toplar. Kuralların saydığı unsurlar ülkeye göre değişir; aşağıdaki veri tablosu bunu gösterir.
- Kimliğin doğrulanması. Veriler, yüz yüze veya uzaktan, güvenilir ve bağımsız belge, veri veya bilgilerle karşılaştırılır. Örneğin Singapur’da Monetary Authority of Singapore (MAS), Myinfo’yu güvenilir ve bağımsız bir kaynak sayar; Filipinler’de ise Bangko Sentral ng Pilipinas (BSP), Philippine Identification System’i (PhilSys) aynı şekilde değerlendirir. FATF standartları doğrulamanın ilişki kurulmadan önce veya kurulurken yapılmasını öngörür; riskler etkin biçimde yönetiliyorsa ve olağan iş akışını kesmemek esassa, ülkeler doğrulamanın makul olan en kısa sürede sonradan tamamlanmasına izin verebilir.
- Gerçek faydalanıcının tespiti. Kuruluş, ilgili olduğu durumlarda müşterinin arkasındaki gerçek kişiyi tespit eder ve bu kişinin kimliğini doğrulamak için makul tedbirler alır. FATF standartları tüzel kişilerde gerçek faydalanıcılığı da kapsar (24 numaralı Tavsiye).
- Amacın anlaşılması. Kuruluş, müşterinin ilişkiyi neden istediğini ve ilişkinin ne olmasının amaçlandığını belirler. Malezya ve Endonezya kuralları, edinilecek bilgiler arasında amacı da sayar.
- Tarama. Yaptırım taraması ile siyasi nüfuz sahibi kişi (PEP) taraması ulusal kurallar uyarınca genellikle CDD’nin bir parçasıdır; FATF standartları PEP’leri 12 numaralı Tavsiye’de ele alır.
- Riskin değerlendirilmesi. Değerlendirme kontrollerin ne kadar derin olacağını belirler: basitleştirilmiş, standart veya sıkılaştırılmış tedbirler. Bir sonraki bölümde ele alınmaktadır.
- Kararın verilmesi. Kuruluş müşteriyi edinir, durumu üst birime taşır veya reddeder. CDD tamamlanamıyorsa FATF standartları, kuruluşun hesabı açmaması veya ilişkiyi başlatmaması, mevcut bir ilişkiyi ise sonlandırması ve şüpheli işlem bildirimi (STR) vermeyi değerlendirmesi gerektiğini belirtir.
- İzleme ve güncelleme. Sürekli izleme, işlemlerin incelenmesini ve özellikle daha yüksek riskli müşteriler için verilerin gözden geçirmelerle güncel tutulmasını kapsar. FATF standartları ayrıca mevcut müşteriler için önemlilik ve risk esasına göre CDD uygulanmasını öngörür.
Risk temelli KYC: basitleştirilmiş, standart ve sıkılaştırılmış tedbirler
FATF standartları CDD’nin kapsamının risk temelli yaklaşımı izlemesini öngörür; böylece kontrollerin derinliği müşterinin riskine göre değişir. FATF’ın yorumlayıcı notundaki örnekler yol göstericidir, zorunlu unsur değildir.
| Düzey | Ne zaman uygulanır | Olağan tedbirler (FATF örnekleri) | Ulusal örnekler |
|---|---|---|---|
| Basitleştirilmiş | Risk daha düşüktür ve yeterince analiz edilmiştir; şüphe ya da belirli bir yüksek risk senaryosu varsa uygulanmaz | Örnekler arasında kimliğin ilişki başladıktan sonra doğrulanması, verilerin daha seyrek güncellenmesi ve izlemenin azaltılması yer alır | Bank Negara Malaysia (BNM) politika belgesi, riskler düşük değerlendirildiğinde basitleştirilmiş CDD’ye izin verir; daha yüksek risk veya şüphe varsa izin vermez. Endonezya’nın Otoritas Jasa Keuangan (OJK) kurumuna ait OJK Regulation No. 8 of 2023 ise yeterli risk analizinden sonra izin verir |
| Standart | Ne daha düşük ne de daha yüksek risk unsurları farklı bir derinliğe işaret eder | Yukarıda anlatılan dört CDD tedbiri | BNM politika belgesi, gerçek kişilerde standart CDD için edinilecek verileri sayar (veri tablosuna bakın) |
| Sıkılaştırılmış | Risk daha yüksektir | Örnekler arasında müşteri ve ilişki hakkında daha fazla bilgi, fon veya servet kaynağı ile işlemlerin gerekçeleri hakkında bilgi, üst yönetim onayı, izlemenin sıkılaştırılması ve verilerin daha sık güncellenmesi yer alır | OJK, sıkılaştırılmış tedbirleri (EDD), PEP’ler dâhil yüksek riskli müşteriler için daha derinlemesine CDD olarak tanımlar |
Yüz yüze olmayan ilişkiler, FATF örneklerinde yalnızca uygun risk azaltıcı tedbirler uygulanmamışsa potansiyel bir yüksek risk unsuru olarak geçer. Dolayısıyla uzaktan KYC kendiliğinden yüksek riskli değildir.
KYC için hangi belgeler ve veriler gerekir?
Belirli unsurlar ulusal kurallardan ve kuruluşun risk değerlendirmesinden gelir. Tablo, gerçek kişi müşteriler için sayılan verileri gösterir; kurallar bilgileri farklı biçimde gruplar, dolayısıyla listeler birebir karşılaştırılabilir değildir. Örneğin MAS Notice 626 ilişkinin amacını ayrı bir paragrafta düzenler, Malezya ve Endonezya listeleri ise bunu içerir; bu nedenle unsur sayısı bir ülkenin ne kadar bilgi istediğini göstermez. Tayland kuralının içeriği burada anlatılmamaktadır.
| Ülke (kural) | Kuralın gerçek kişi müşterilerin kimlik tespiti için saydığı bilgiler |
|---|---|
| Singapur (MAS Notice 626, bankalar için) | Takma adlar dâhil tam ad; benzersiz kimlik numarası; ikamet adresi; doğum tarihi; uyruk |
| Malezya (BNM politika belgesi) | Tam ad; National Registration Identity Card (NRIC), pasaport veya başka bir resmî belge numarası; ikamet ve posta adresi; doğum tarihi; uyruk; meslek türü; işveren veya faaliyet konusu; iletişim numarası; işlemin amacı |
| Endonezya (OJK Regulation No. 8 of 2023) | Takma ad dâhil tam ad; kimlik belgesi numarası; adres; doğum yeri ve tarihi; uyruk; meslek; iş yeri adresi ve telefonu; cinsiyet; medeni hâl; annenin kızlık soyadı; ayrıca gerçek faydalanıcı, fon kaynağı, gelir veya net servet ve ilişkinin amacı |
| Vietnam (AML kanunu) | Tam ad; doğum tarihi; uyruk; meslek veya görev; telefon numarası; kimlik, vatandaşlık kimliği, kişisel kimlik veya pasaport numarası (yabancı yerleşikler için düzenlenme tarihi ve yeriyle birlikte); ikamet |
| Filipinler (BSP kuralları) | Asgari bilgiler arasında ad ve/veya PhilSys numarası; burada tam bir liste verilmemiştir |
Şirketlerde süreç gerçek faydalanıcıları da kapsar; işletmelerin doğrulanması ise Know Your Business (KYB) konusudur.
Güneydoğu Asya’da KYC gereklilikleri: ülke özeti
Tablo her ülkedeki başlıca düzenlemeyi adlandırır. Hangi kuralların var olduğunu anlatır, her birinin ne gerektirdiğini değil.
| Ülke | Düzenleyici kurum / mali istihbarat birimi (burada adı geçenler) | Başlıca kural (yürürlükteki metin) | Kapsam ve sınırlar |
|---|---|---|---|
| Filipinler | Bangko Sentral ng Pilipinas (BSP); mali istihbarat birimi olan Anti-Money Laundering Council (AMLC) | Anti-Money Laundering Act of 2001 (Republic Act No. 9160), değişiklikleriyle birlikte; en son Republic Act No. 11521 (2021) ile değiştirilmiştir; BSP müşteri durum tespiti kuralları ise Circular No. 1170 (2023) ile değiştirilmiştir | BSP kuralları BSP gözetimindeki kuruluşlara uygulanır; burada tam bir veri listesi verilmemiştir |
| Malezya | Bank Negara Malaysia (BNM) | BNM’nin finansal kuruluşlar için aklama ile mücadeleye, terörizmin ve kitle imha silahlarının yayılmasının finansmanı ile mücadeleye ve hedefli finansal yaptırımlara ilişkin politika belgesi (BNM/RH/PD 030-14); 6 Şubat 2024’ten bu yana yürürlükte olup 1 Ocak 2020’de yürürlüğe giren metnin yerini almıştır | Kapsamındaki finansal kuruluşlara uygulanır; veri unsurları standart CDD kapsamındaki gerçek kişi müşteriler içindir |
| Singapur | MAS; mali istihbarat birimi olan Suspicious Transaction Reporting Office (STRO) | Bankalar için MAS Notice 626 (son revizyon 30 Haziran 2025); diğer finansal kuruluşlar için paralel bildirimler vardır | Notice 626 bankalara uygulanır; diğer bildirim numaraları burada anlatılmamaktadır |
| Endonezya | Otoritas Jasa Keuangan (OJK); mali istihbarat birimi olan PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan) | Finansal hizmetler sektöründe aklama ile mücadeleye ve terörizmin ve kitle imha silahlarının yayılmasının finansmanı ile mücadeleye ilişkin OJK Regulation No. 8 of 2023 | Başlığın resmî olmayan İngilizce çevirisi |
| Vietnam | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15; 1 Aralık 2026’dan itibaren geçerli olmak üzere değiştirilmiştir | Resmî olmayan İngilizce başlık; değişikliğin içeriği incelenmemiştir |
| Tayland | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999), değişiklikleriyle birlikte; Ministerial Regulation on Customer Due Diligence B.E. 2563 (2020) | Yalnızca düzenleme adları; içerik ve yürürlük tarihleri burada anlatılmamaktadır |
30 Ekim 2026’da kontrol edildi. Kurallar değişir; bu nedenle yürürlükteki metni her düzenleyici kurumdan teyit edin. FATF standartlarına Haziran 2026’da değiştirilmiş hâliyle atıf yapılmıştır; 26–30 Ekim 2026 tarihli FATF genel kurul toplantısının sonuçları bu sayfa kontrol edildiğinde henüz yayımlanmamıştı. Vietnam kanunu, bir hukuk veri tabanında yer alan İngilizce çeviriden hareketle anlatılmıştır. Endonezya, Vietnam ve Tayland başlıkları resmî olmayan İngilizce karşılıklardır.
Filipinler. PhilSys, Philippine Identification System Act (Republic Act No. 11055) ile kurulmuştur. BSP kuralları, Circular No. 1170 (2023) ile değiştirilmiş hâliyle, bir kişinin PhilSys kayıtlarını kimliğin resmî ve yeterli kanıtı olarak kabul eder.
Malezya. BNM politika belgesi, kuruluşların kimliği ilişki kurulmadan önce veya kurulurken doğrulamasını zorunlu kılar.
Singapur. MAS Notice 626, bankaların kimliği güvenilir ve bağımsız kaynaklardan gelen veri, belge veya bilgilerle doğrulamasını zorunlu kılar.
Bu makale yalnızca bilgilendirme amaçlıdır ve hukuki ya da düzenleyici danışmanlık niteliği taşımaz.
Yüz yüze KYC ve eKYC
Elektronik KYC (eKYC) aynı kontrolleri çevrim içi veya mobil kanallar üzerinden yürütür ve CDD standardı kanala göre değişmez. Singapur’da MAS Notice 626, bankaların yüz yüze olmayan CDD’sinin en az yüz yüze CDD kadar sağlam olmasını zorunlu kılar. Uzaktan kontrollerde genellikle belge doğrulama, biyometrik eşleştirme ve canlılık tespiti kullanılır; Malezya’nın e-KYC politika belgesi bunları kuruluşların kullanabileceği tedbirler arasında sayar. FATF’ın 2020 tarihli Guidance on Digital ID belgesi, düzenlemeye tabi kuruluşların dijital kimliğin CDD için uygun olup olmadığına karar vermesine yardımcı olur.
Sık yapılan KYC hataları ve riskleri
- KYC’yi tek seferlik bir işlem saymak. FATF standartları, özellikle daha yüksek riskli müşteriler için CDD verilerinin gözden geçirmelerle güncel tutulmasını öngörür.
- Her müşteriye aynı kontrolleri uygulamak. Risk temelli yaklaşım, riskin daha düşük olduğu yerde basitleştirilmiş, daha yüksek olduğu yerde sıkılaştırılmış tedbirler öngörür.
- Gerçek faydalanıcıları gözden kaçırmak. Gerçek faydalanıcının tespiti, FATF’ın dört tedbirinden biridir; isteğe bağlı bir ek değildir.
- Uzaktan edinilen müşterileri varsayılan olarak yüksek riskli saymak veya grupların tamamıyla ilişkiyi kesmek. FATF, standartlarının, müşteri sınıflarının tamamıyla ilişkiyi kesmek anlamına gelen de-risking uygulamasını öngörmediğini, risk temelli bir yaklaşım gerektirdiğini belirtmiştir.
- Doğrulanmış bir kimliği meşru kullanımın kanıtı saymak. Singapur’un FATF’a bildirdiği bir olayda 147 kişi ulusal dijital kimliğini suç örgütlerine teslim etti; örgütler bu kimlikleri sekiz bankada uzaktan 276 hesap açmak için kullandı.
- Uzaktan kontrollere yönelik saldırıları gözden kaçırmak. European Union Agency for Cybersecurity (ENISA) 2022’de fotoğraf, video tekrarı, üç boyutlu maske ve deepfake saldırılarını uzaktan kimlik ispatına yönelik başlıca yüz sunum saldırıları olarak belirledi ve kamerayı baypas eden video enjeksiyonunun bir sunum saldırısı olmadığını kaydetti. MAS rehberi, internet üzerinden yapılan başvuruların, çok sayıda sahte başvuru yapmanın kolaylığı da dâhil olmak üzere daha büyük riskler taşıyabileceğini belirtir.
KYC doğrulaması, kayıt sırasında yapılan tek bir kontrol değildir. Risk temelli müşteri durum tespitidir: FATF’ın dört tedbiri, müşterinin riskiyle orantılı biçimde uygulanır, ilişki boyunca güncel tutulur ve her ülkenin kurallarıyla biçimlenir.
Toplanan veriler ve düzenlemeler ülkeye göre değişir; bu nedenle bir pazarda geçerli olan, bir başkasında varsayılamaz. Yazılımın bu adımlara nasıl oturduğunu inceleyen ekipler KYC doğrulama yazılımı hakkında daha fazlasını okuyabilir.
Burada anlatılan kuralların birkaçı yenidir veya ileri bir tarihten itibaren geçerli olmak üzere değiştirilmiştir; bu nedenle dayanak alınmadan önce yürürlükteki metinler her düzenleyici kurumdan teyit edilmelidir.
Sık sorulan sorular
