SPL Yatırım Kuruluşları Aracı Kurumlar ve Portföy Yönetim Şirketleri Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ III-42.1 Konu Anlatımı

Uzaktan kimlik tespiti Tebliği, sermaye piyasası kurumlarının müşteri edinme ve sözleşme kurma süreçlerini dijital ortamda yürütebilmesi için hazırlanmış özel bir güvenlik ve usul düzenidir.

Düzenlemenin dayanağı, aracı kurumlar ve portföy yönetim şirketleri ile müşterileri arasındaki ilişkilerin yazılı şekilde kurulabileceği gibi uzaktan iletişim araçlarıyla, mesafeli olarak veya bir bilişim ya da elektronik haberleşme cihazı üzerinden yazılı şeklin yerine geçecek yöntemlerle de kurulabilmesine imkan veren kanuni değişikliktir.

Bu nedenle Tebliğ yalnızca bir görüntülü görüşme rehberi değildir; müşteri kimliğinin doğrulanması, sürecin kayıt altına alınması, dolandırıcılık risklerinin azaltılması ve kimlik tespitinden sonra sözleşme ilişkisinin geçerli biçimde kurulması için bütün bir çerçeve sunar.

Uzaktan kimlik tespitinin özü, personel ile kişinin aynı fiziksel ortamda bulunmadan çevrim içi görüntülü görüşme ve iletişim yoluyla kimlik doğrulaması yapmasıdır.

Ancak yüz yüze işlemin dijital kopyası gibi düşünülmemelidir; Tebliğ, kullanılacak yöntemin yüz yüze kimlik tespitine benzer güvenlikte ve asgari risk taşıyacak şekilde tasarlanmasını ister.

Görüntülü görüşme yönteminde teknolojik, operasyonel ve benzeri riskler dikkate alınarak yeterli güvenlik önlemleri kurulmalıdır.

Aracı kurum ve portföy yönetim şirketleri, hangi belgelerin kullanılacağını, bu belgelerdeki doğrulanabilir özellikleri ve doğrulama ölçütlerini ayrıntılı dokümanlarla belirlemek zorundadır.

Böylece sürecin kişiden kişiye değişen sezgisel bir görüşme olmaktan çıkıp denetlenebilir ve tekrarlanabilir bir kontrol sistemine dönüşmesi hedeflenir.

Tebliğe göre uzaktan kimlik tespiti kritik işlem niteliğindedir.

Bu nitelendirme, işlemin başlatılması, onaylanması ve tamamlanmasının tek başına bilgi teknolojileri veya tek başına personel tarafından yapılmasına izin verilmemesi anlamına gelir.

Süreç kişi tarafından başlatılır, bilgi teknolojileri kontrolleriyle devam eder, personelin onayı ve ek kontrolleriyle tamamlanır.

Personel kontrolünde işlem riskli bulunursa ikinci bir personele onaya gönderilebilir veya süreç sonlandırılır.

Bu iş akışı, sahte başvuru, kimlik avı, belge manipülasyonu veya personel hatası gibi risklerin tek noktada yoğunlaşmasını engeller.

Kurumun sürece başlamadan önce iş akış prosedürü oluşturması, etkinliği test etmesi ve başarılı sonuç alınmadıkça süreci uygulamaması da aynı amaca hizmet eder.

Personel boyutu Tebliğin en önemli güvenlik katmanlarından biridir.

Görüntülü görüşme aşaması bu konuda eğitim almış personel tarafından yürütülür.

Personelin kimlik belgelerinin özelliklerini, belgeler için geçerli doğrulama yöntemlerini, dolandırıcılık veya sahtecilik teşkil edebilecek eylemleri ve mevzuat yükümlülüklerini bilmesi gerekir.

Eğitimler yılda en az bir kez ve her güncelleme sonrasında yenilenir; kişisel verilerin korunması mevzuatı da bu eğitim kapsamındadır.

Personelin çalışma ortamı erişimi sınırlandırılmış ve güvenlik zafiyetlerini önleyecek şekilde düzenlenir.

Kişinin güven duyması için personelin aracı kurum veya portföy yönetim şirketi adına çalıştığını yansıtan uygun ortam ya da yöntemler kullanılır.

Engelli kişilere hizmet sunulabilmesi için gerekli önlemlerin alınması da sürecin erişilebilirlik boyutunu gösterir.

Sürecin başlangıcında kişi, aracı kurum veya portföy yönetim şirketinin uygulaması üzerinden elektronik ortamda başvuru formu doldurur.

Bu bilgiler kullanılarak kişi hakkında risk değerlendirmesi yapılır.

Uzaktan kimlik tespitinde özel nitelikli kişisel veri olarak yalnızca biyometrik veri kullanılabilir ve bunun için açık rıza elektronik ortamda kayıt altına alınır.

Personel atamasında belirli kişinin belirli personele düşeceğinin önceden tahmin edilebilmesi gibi suistimal ihtimallerini azaltacak mekanizmalar kurulmalıdır.

Görüşmede sorulacak asgari sorular önceden belirlenir; soruların sırası veya türü değişkenlik gösterebilir.

Bu değişkenlik, ezberlenmiş cevaplarla veya dışarıdan yönlendirmeyle süreci aşma riskini azaltan pratik bir kontroldür.

Görüntülü görüşme gerçek zamanlı ve kesintisiz yapılır.

Görsel ve işitsel iletişimin bütünlüğü ile gizliliği yeterli düzeyde sağlanmalı, iletişim uçtan uca güvenli olmalıdır.

Görüntü ve ses kalitesi, kimlik tespitinde şüpheye yer bırakmayacak seviyede tutulur.

Kimlik belgesinin beyaz ışık altında incelenebilmesi, belgenin yıpranmamış veya tahrif edilmemiş olduğunun görülebilmesi ve güvenlik öğelerinin kontrol edilebilmesi gerekir.

Ayrıca kişiye yalnızca o kimlik tespiti işlemi için geçerli olan merkezi olarak üretilmiş SMS OTP gönderilir; kişinin bu kodu uygulama arayüzünden çevrim içi geri iletmesiyle cep telefonu numarası doğrulanır.

Bu adım, görüşmedeki kişinin beyan ettiği iletişim kanalının da kontrol edilmesini sağlar.

Kimlik belgesinin doğrulanmasında yakın alan iletişimi önemli bir yöntemdir.

Kimlik belgesindeki yongada yer alan bilgilerin, belgeyi çıkaran yetkili makam tarafından verildiğinin ve değiştirilmediğinin, ayrıca yongadaki anahtarların kopyalanarak oluşturulmadığının kontrol edilmesi kimlik bilgileriyle eşleşmenin sağlandığını gösterir.

Bu doğrulama yapılamıyorsa görüntülü görüşmede fotoğraf ve imza içeren, beyaz ışık altında güvenlik öğeleri görülebilen kimlik belgesinin en az dört görsel güvenlik unsurunun şekil ve içerik bakımından doğrulanması gerekir.

Sadece görsel güvenlik unsurlarına dayalı kimlik tespitinde, sürekli iş ilişkisi kurulmadan önce ilk finansal hareketin müşteri tanıma esaslarının uygulandığı başka bir finansal kuruluş üzerinden yapılması zorunludur.

Bu ek şart, daha zayıf doğrulama yönteminin riskini başka bir finansal kuruluşun daha önce uyguladığı tanıma süreciyle dengelemeye çalışır.

Kişinin doğrulanması belgeyle sınırlı değildir; görüşme sırasında canlılık tespit edici yöntemler kullanılır ve sahte yüz teknolojilerine karşı ilave tedbirler alınır.

Kişinin yüzü, yakın alan iletişimiyle alınabiliyorsa kimlik yongasındaki fotoğrafla, alınamıyorsa kimlik belgesi üzerindeki fotoğrafla biyometrik olarak karşılaştırılır.

Personel, kişinin hareketleri, diyalogları ve verdiği bilgiler üzerinden kimlik avı, sosyal mühendislik veya başka bir tarafın baskısı altında hareket etme ihtimalini de değerlendirir.

Kimlik belgesindeki fotoğraf ve kişisel bilgilerin kişiyle uyuşması, görüşme sırasında verilen bilgilerin inandırıcı ve yeterli olması beklenir.

Sürecin sonunda verilecek hizmet ve faaliyetler belirtilmişse kişiden aracı kurum veya portföy yönetim şirketi müşterisi olacağını kabul ettiğine dair sözlü onay alınır.

Bazı durumlarda sürecin devam ettirilmesi mümkün değildir.

Zayıf ışık, düşük görüntü kalitesi, iletim sorunları veya benzeri nedenlerle görsel doğrulama ya da sözlü iletişim mevzuata uygun yapılamıyorsa görüntülü görüşme aşaması sonlandırılır.

Süreçte başka bir tutarsızlık veya belirsizlik varsa aynı sonuca gidilir.

Sunulan belgelerin geçerliliğinden, dolandırıcılık veya sahtecilik teşebbüsünden şüphe edilmesi de sürecin bitirilmesini gerektirir.

Bu kural sınav mantığında şunu anlatır: uzaktan kimlik tespiti, her başvuruyu mutlaka sonuçlandırma faaliyeti değildir; güven koşulları oluşmadığında işlemden vazgeçilmesi sistemin parçasıdır.

Uzaktan kimlik tespitiyle edinilen kişiler farklı bir risk profilinde izlenir.

İşlemin türü ve tutarına göre ilave güvenlik ve kontrol yöntemleri uygulanabilir.

Kişilere veya üçüncü tarafa yükümlülük doğuran işlemlerde itiraz çıkarsa ispat yükümlülüğü aracı kurum veya portföy yönetim şirketindedir.

Sürecin tamamı, bütün adımları içerecek ve denetlenebilir olacak şekilde kayıt altına alınır; belge saklama hükümleri saklıdır.

Kurul, kurumun mevzuata uyum durumunu, şikayetleri, sahtecilik veya dolandırıcılık teşkil edebilecek eylemleri ve gerekli gördüğü diğer halleri değerlendirerek uzaktan kimlik tespiti kullanımını kısıtlayabilir veya durdurabilir.

Bu nedenle sorumluluk, teknolojiyi sağlayan dış hizmetten bağımsız olarak kurumun üzerinde kalır.