Ödeme ve elektronik para kuruluşlarında faaliyet izninin sürdürülebilirliği, yalnızca lisans koşullarının karşılanmasına değil, teknoloji ve kontrol sistemlerinin büyüyen işlem hacmine ayak uydurmasına bağlı. KPMG Türkiye Şirket Ortağı ve Fintech & Dijital Finans Lideri Sinem Cantürk, hızlı büyüyen fintechlerde geçici çözümlerin kalıcılaşmasıyla oluşan “kontrol borcuna” dikkat çekiyor.
Ödeme ve elektronik para kuruluşlarında büyümenin sürdürülebilirliği, işlem hacmi ve müşteri sayısındaki artışın ötesinde, bu büyümeyi destekleyen teknoloji altyapısı, iç kontrol mekanizmaları ve risk yönetimi kapasitesiyle de ölçülüyor. Türkiye’de son dönemde gündeme gelen faaliyet izni iptalleri, kuruluşların lisans aldıktan sonra yükümlülüklerini nasıl sürdürdüğü sorusunu öne çıkarıyor.
Bu tartışmanın arka planında, sektöre yönelik düzenleyici kararların son dönemde artması bulunuyor. Türkiye Cumhuriyet Merkez Bankası’nın (TCMB) verilerine göre 2024 yılında bir ödeme veya elektronik para kuruluşunun faaliyet izni iptal edilirken, 2025’te bu sayı yediye yükseldi. Aynı yıl 14 kuruluşun faaliyetleri geçici olarak durduruldu, 72 kuruluşa toplam 373,2 milyon TL idari para cezası uygulandı. İptaller 2026’da da devam etti. TCMB’nin yayımladığı kararlar, yılın ilk dokuz ayında 14 faaliyet izni iptali kararı daha alındığını gösteriyor. Böylece 2025 başından Eylül 2026 sonuna kadar alınan iptal kararlarının toplamı 21’e ulaştı. Bununla birlikte, kararların tümü aynı gerekçeye dayanmıyor; mevzuata aykırılıkların yanı sıra kuruluşların kendi talepleri veya faaliyete başlamamaları da iptal nedenleri arasında bulunuyor. Ayrıca bazı kararlar daha sonra kaldırılabiliyor.
İptal kararlarının nedenleri farklılaşsa da ortaya çıkan tablo, ödeme ve elektronik para kuruluşlarında faaliyet izninin korunması için hangi kurumsal ve teknolojik yapıların sürekli çalışması gerektiği sorusuna önem kazandırıyor. Özellikle hızlı büyüyen kuruluşlarda kontrol mekanizmalarının işlem hacmindeki artışa ne ölçüde ayak uydurabildiği, bu değerlendirmenin önemli bir parçasını oluşturuyor.
Satırarası’nın sorularını yanıtlayan KPMG Türkiye Şirket Ortağı ve Fintech & Dijital Finans Lideri Sinem Cantürk, faaliyet izninin sürdürülebilirliği açısından üç alanın kritik olduğunu belirtiyor. Bunlar yönetim kurulu gözetiminde bağımsız ve yetkin iç sistemlerin işletilmesi; bilgi güvenliği, iş sürekliliği ve operasyonel dayanıklılığın sağlanması; müşteri tanıma, işlem izleme ve dolandırıcılıkla mücadele süreçlerinin etkin biçimde yürütülmesi. Cantürk’e göre bu yapıların yalnızca tanımlanmış olması yeterli değil. Etkinliklerinin düzenli raporlar, test sonuçları, işlem kayıtları ve zamanında tamamlanan düzeltici aksiyonlarla kanıtlanması gerekiyor.
Büyüme hızı kontrol kapasitesini aştığında
Hızlı büyüyen fintechlerde ürün çeşitliliği ve işlem hacmi artarken kontrol ve operasyon süreçleri aynı hızda ölçeklenemeyebiliyor. Cantürk bu durumun yarattığı birikimi “kontrol borcu” olarak tanımlıyor. Geçici olarak geliştirilen manuel çözümler kalıcılaşırken istisnalar ve yeniden işleme faaliyetleri artıyor, süreçler belirli çalışanlara bağımlı hale geliyor.
Büyüyen operasyonları yönetmek için personel sayısını artırmak da her aşamada yeterli olmuyor. Cantürk, “Hata ve istisnalar işlem hacminden daha hızlı artıyor, sonuçlar kişiden kişiye değişiyor ve yeni çalışanlar ağırlıklı olarak mevcut karmaşıklığı yönetiyorsa yalnızca personel artışı yeterli olmuyor” diyor.
Bu aşamada süreç sahipliğinin netleştirilmesi, ortak veri kaynağı oluşturulması, görevler ayrılığının sağlanması, otomatik mutabakat mekanizmalarının kurulması ve değişiklik yönetiminin izlenebilir hale getirilmesi gerekiyor. Cantürk, bu unsurlar temelinde operasyonların uçtan uca yeniden tasarlanması gerektiğini belirtiyor.
İlk uyarılar teknoloji ve operasyon süreçlerinden gelebiliyor
Bir kuruluşun mevzuata uyumlu görünmesi, iç sistemlerinde kırılganlık oluşmadığı anlamına gelmiyor. Cantürk’e göre sorunların ilk işaretleri kritik kararların ertelenmesinde, olumsuz göstergelerin yönetim raporlarına yansımamasında ve risk değerlendirmesi tamamlanmadan alınan kararlarda görülüyor. Tekrarlayan veya zamanında kapatılmayan denetim bulguları, olağan hale gelen istisnalar, kalıcı operasyonel zararlar ve özkaynak erimesi de erken uyarı göstergeleri arasında.
Teknoloji tarafında ise tekrarlayan sistem olayları, geciken güvenlik yamaları, kontrolsüz değişiklikler ve düzenli olarak gözden geçirilmeyen ayrıcalıklı erişim yetkileri öne çıkıyor. Bu göstergelerin birlikte ve süreklilik içinde görülmesi, kontrol kapasitesinin faaliyetlerin büyüklüğü ve karmaşıklığının gerisinde kaldığına işaret ediyor.
Denetimde kontrolün varlığı değil, çalıştığına ilişkin kanıt önemli
Cantürk, etkin kontrolü işlem üzerinde iz bırakan, istisna üreten ve bu istisnayı sonuca bağlayan mekanizma olarak tanımlıyor. Denetimlerde işlemlerin başlangıçtan sonuca kadar aynı referans üzerinden izlenebilmesi, görevler ayrılığının uygulanması, mutabakat farklarının kök nedenleriyle birlikte giderilmesi ve kayıtların bütünlüğünün korunması önem taşıyor.
İş sürekliliği ve siber güvenlik tarafında yedeklerden geri dönüşün test edilmesi ve tespit edilen güvenlik bulgularının düzeltildikten sonra yeniden değerlendirilmesi gerekiyor. Kontrolün dönem boyunca tutarlı, kapsayıcı ve kanıtlanabilir biçimde işletilmesi; manuel kontrollerin de bağımsız olarak yürütülmesi gerekiyor.
Dış hizmet kullanımı sorumluluğu ortadan kaldırmıyor
Ödeme kuruluşlarının operasyonları bankalar, kart ağları, teknoloji sağlayıcıları ve bulut altyapısı şirketlerine bağlı olabiliyor. Ancak kritik bir fonksiyonun dışarıdan alınması, lisans sahibinin sorumluluğunu ortadan kaldırmıyor. Cantürk, “Hizmet dışarıdan alınabilmekte, ancak sorumluluk devredilememektedir” diyor.
Kuruluşların hizmet almadan önce sağlayıcıların teknik ve mali yeterliliğini, güvenlik yapısını, alt yüklenicilerini, yoğunlaşma riskini ve çıkış planlarını değerlendirmesi gerekiyor. Sözleşmelerde ölçülebilir hizmet seviyeleri, olay bildirimleri, veri güvenliği, iş sürekliliği, denetim hakkı ve sona erme koşulları açıkça düzenlenmeli. Sağlayıcı raporları kuruluşun kendi kayıtlarıyla doğrulanmalı ve kritik sonuçlar yönetime aktarılmalı.
Yönetim kurulunun izlemesi gereken göstergeler değişiyor
Kontrol zayıflıklarını düzenleyici müdahale aşamasından önce tespit etmek için yönetim kurullarının yalnızca finansal büyümeyi izlemesi yeterli değil. Cantürk’e göre aylık değerlendirmede işlem hacmi ve aktif müşteri sayısının yanında başarısız işlem oranı, müşteri şikâyetleri, mutabakat farkları, açık ve gecikmiş denetim bulguları, kesintiler, siber açıklar, dolandırıcılık kayıpları, mali dayanıklılık, insan kaynağı kapasitesi ve dış hizmet sağlayıcı performansı bulunmalı.
Göstergeler zaman içindeki eğilimleri ve risk eşiklerine uzaklıklarıyla değerlendirilmeli. Riskli alanlarda kök neden, sorumlu yönetici, hedef tarih ve geçici önlem tanımlanmalı.
Teknoloji yatırımlarında ölçeklenebilirlik ve otomasyon öne çıkıyor
Cantürk’e göre son dönemdeki faaliyet izni iptallerinin sektör açısından temel dersi, lisansın tek seferlik kazanım değil, sürekli korunması gereken kurumsal kapasite olması. Hızlı büyüme kontrol, teknoloji, risk yönetimi ve mali dayanıklılıkla dengelenmediğinde kırılganlık artıyor.
Cantürk, önümüzdeki dönemde ödeme ve elektronik para kuruluşlarının bütçelerinde asgari uyumun ötesinde ölçeklenebilir sistemlere, otomasyona, siber güvenliğe, bağımsız iç sistem fonksiyonlarına, nitelikli insan kaynağına ve güçlü sermaye ile likidite yapısına daha fazla ağırlık verilmesini bekliyor.
Bu değerlendirmeler, teknoloji yatırımlarının yalnızca yeni ürünler geliştirmek ve işlem kapasitesini artırmakla sınırlı olmadığını gösteriyor. Büyümeyi destekleyen kontrol altyapısının da aynı ölçüde geliştirilmesi gerekiyor.
