SPL Yatırım Kuruluşları Aracı Kurumlar ve Portföy Yönetim Şirketleri Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ III-42.1 Konu Anlatımı

Uzaktan Kimlik Tespiti Tebliği III-42.1, sermaye piyasası kurumlarında müşteri edinimini fiziki şube temasına bağlı olmaktan çıkaran fakat bunu kontrolsüz bir dijital kolaylık olarak bırakmayan düzenlemedir.

Kaynak, 6362 sayılı Kanunun 42 nci maddesindeki değişiklikle aracı kurumlar ve portföy yönetim şirketleri ile müşterileri arasındaki ilişkilerin yazılı şekilde, uzaktan iletişim araçlarıyla mesafeli olarak veya Kurulun yazılı şeklin yerine geçebileceğini belirlediği elektronik yöntemlerle kurulabileceğini açıklar.

Bu çerçevede Tebliğ iki ana alanı düzenler: müşterinin uzaktan kimlik tespiti ve kimlik tespitinden sonra elektronik ortamda sözleşme ilişkisinin kurulması.

Uzaktan kimlik tespiti, personel ile kişinin fiziksel olarak aynı yerde bulunmasına gerek olmadan çevrim içi görüntülü görüşme ve iletişim yoluyla yapılır.

Bu tanım basit görünse de Tebliğin mantığında çok sıkı bir eşdeğerlik hedefi vardır: uygulanacak yöntem yüz yüze kimlik tespitine benzer ve asgari risk içerecek şekilde tasarlanmalıdır.

Görüntülü görüşme, teknolojik ve operasyonel riskler barındırdığı için yeterli güvenlik önlemleriyle desteklenir.

Aracı kurum ve portföy yönetim şirketi, kullanılacak kimlik belgeleri, bu belgelerdeki doğrulanabilir özellikler ve doğrulama kriterleri hakkında detaylı dokümanlar oluşturmak zorundadır.

Böylece personelin kararı kişisel izlenime değil, önceden tanımlanmış belge ve süreç bilgisine dayanır.

Süreç kritik işlem olarak kabul edilir.

Bu nedenle bilgi teknolojileri veya personel tarafından tek başına başlatılıp onaylanıp tamamlanacak şekilde tasarlanamaz.

İşlem kişi tarafından başlatılır, bilgi teknolojileri kontrolleriyle devam eder ve personelin onayı ile ek kontrolleri sonucunda tamamlanır.

Personel işlemi riskli bulursa ikinci bir personele onaya gönderebilir veya süreci sonlandırabilir.

Bu kurgu, uzaktan müşteri ediniminde görevler ayrılığına benzer bir güvenlik sağlar.

Kurum uzaktan kimlik tespitine başlamadan önce iş akış prosedürü oluşturur, sürecin etkinliğini test eder ve başarılı sonuç alınmadan uygulamaya geçmez.

Prosedür yılda en az iki kez gözden geçirilir; güvenlik ihlali, mevzuat değişikliği, sahtecilik şüphesi veya yönteme ilişkin zayıflık ortaya çıkarsa ayrıca güncellenir.

Görüntülü görüşmeyi yapacak personel özel önem taşır.

Personelin kimlik belgelerinin özelliklerini, doğrulama yöntemlerini, sahtecilik ve dolandırıcılık risklerini, mevzuat yükümlülüklerini bilmesi gerekir.

Eğitim yılda en az bir kez ve süreçteki her güncellemeden sonra verilir; kişisel verilerin korunması da bu eğitimin parçasıdır.

Personel yalnız belge kontrol eden kişi değildir; müşterinin aracı kurum veya portföy yönetim şirketi müşterisi olma isteğini kendi iradesiyle talep edip etmediğini de değerlendirebilmelidir.

Çalışma ortamı da güvenlik unsurudur: erişimi sınırlandırılmış ayrı alanlarda çalışılması, güvenlik zafiyeti ve suistimal riskini azaltır.

Kurum ayrıca engelli kişilere hizmet verebilmek için gerekli önlemleri almakla yükümlüdür.

Görüntülü görüşme başlamadan önce kişi başvurusunu kurum uygulaması üzerinden elektronik form ile yapar.

Bu form yalnız ad ve kimlik bilgisi toplamak için değildir; risk değerlendirmesinin başlangıcıdır.

MASAK Genel Tebliği kapsamında hesap açılışı için istenen bilgiler yanında iş ilişkisinin amacı, talep edilen ürünler, malvarlığı ve fon kaynağı, ortalama gelir, açılacak hesabın aylık tahmini işlem hacmi ve işlem sayısı gibi bilgiler alınır.

Risk değerlendirmesi sonucunda gerekiyorsa görüntülü görüşme başlatılmadan süreç sonlandırılır.

Uzaktan kimlik tespiti için özel nitelikli kişisel verilerden yalnız biyometrik veri kullanılabilir ve bunun için açık rıza elektronik ortamda kayıt altına alınır.

Personel atamalarında belirli kişinin belirli personele önceden tahmin edilebilir biçimde atanması engellenerek suistimal ihtimali azaltılır.

Görüntülü görüşmenin kendisi gerçek zamanlı, kesintisiz, görsel ve işitsel bütünlüğü korunmuş biçimde yürütülür.

İletişimin gizliliği ve güvenliği yeterli seviyede olmalıdır.

Görüntü ve ses kalitesi kimlik tespitinde kısıt yaratmayacak düzeyde değilse süreç güvenilir sayılmaz.

Personelin soracağı asgari sorular önceden belirlenir; soru sırası veya türü değişkenlik gösterebilir.

Kişiye yalnız bu kimlik tespitinde geçerli, merkezi olarak üretilen SMS OTP gönderilir ve kişinin bunu çevrim içi uygulama arayüzünden geri göndermesi sağlanır.

OTP başarıyla doğrulanırsa cep telefonu numarası doğrulanmış olur.

Sürekli iş ilişkisi kurulurken müşteri ve hizmet riski, karmaşık ve olağandışı işlemler, makul hukuki veya ekonomik amacı görünmeyen hareketler ve teknolojik riskler dikkate alınır; risk temelli sıkılaştırılmış tedbirler uygulanır.

Kimlik belgesinin doğrulanmasında öncelikli güvenli yöntem yakın alan iletişimidir.

Kimlik belgesinin yongası üzerindeki bilgiler doğrulandığında, belgenin yetkili makam tarafından verildiği ve temassız yongadaki bilgilerin değiştirilmediği kontrol edilmiş olur; ayrıca yongadaki anahtarların kopyalanarak oluşturulmadığı da değerlendirilir.

NFC doğrulaması yapılamazsa, beyaz ışık altında ayırt edilebilen güvenlik ögelerine, fotoğraf ve imzaya sahip kimlik belgesinin en az dört görsel güvenlik unsuru şekil ve içerik bakımından doğrulanır.

Bu durumda sürekli iş ilişkisi kurulmadan önce ilk finansal hareketin, müşterinin tanınmasına ilişkin esasların uygulandığı başka bir finansal kuruluş üzerinden yapılması gerekir.

Kişiden kimlik belgesini kameraya farklı açılarla göstermesi, belirli bölümlere parmağını koyması ve personel talimatlarına uyması istenebilir.

Kimliği tespit edilecek kişinin gerçekten belge sahibi olup olmadığının anlaşılması ayrı bir kontroldür.

Görüşmede canlılık tespit yöntemleri kullanılır ve sahte yüz teknolojisi riskine karşı ilave tedbirler alınır.

Kişinin yüzü, NFC ile alınabiliyorsa yongadaki fotoğrafla, alınamıyorsa kimlik belgesi üzerindeki fotoğrafla biyometrik olarak karşılaştırılır.

Personel, kişinin hareketlerini, cevaplarını ve gözlemlerini kullanarak kimlik avı, sosyal mühendislik veya üçüncü kişinin zorlaması altında hareket etme ihtimalini değerlendirir.

Kimlik belgesindeki fotoğraf ve kişisel bilgiler kişiyle uyuşmalı; görüşme sırasında verilen bilgiler ve beyan edilen niyet inandırıcı olmalıdır.

Süreç sonunda sunulacak hizmet ve faaliyetler belirtilir ve kişinin müşteri olmayı kabul ettiğine ilişkin sözlü onay alınır.

Bazı durumlarda sürecin bitirilmesi zorunludur.

Zayıf ışık, düşük görüntü kalitesi, iletim sorunu, sözlü iletişim kurulamaması, tutarsızlık veya belirsizlik varsa görüntülü görüşme sonlandırılır.

Sunulan belgelerin geçerliliği konusunda ya da sahtecilik ve dolandırıcılık girişiminden şüphe edilirse de kimlik tespiti tamamlanmaz.

Tamamlanan süreç ise tüm adımları kapsayacak ve denetlenebilir olacak biçimde kayıt altına alınır ve saklanır.

Kullanılan çözümlerin kişiyi yanlış tespit riskini en aza indirecek şekilde uygulanması kurumun sorumluluğundadır.

Uzaktan kimliği tespit edilen kişiler farklı risk profilinde izlenir; işlem türü ve tutarına bağlı olarak ilave güvenlik ve kontrol yöntemleri uygulanabilir.

İtiraz halinde ispat yükü aracı kurum veya portföy yönetim şirketindedir.

Kimlik tespitinden sonra sözleşme ilişkisi kurulurken de elektronik kolaylık hukuki şekil şartına bağlanır.