SPL Yatırım Kuruluşları Aracı Kurumlar ve Portföy Yönetim Şirketleri Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ III-42.1 Konu Anlatımı

III-42.1 sayılı Uzaktan Kimlik Tespiti Tebliği, sermaye piyasası kurumlarında müşteri ediniminin fiziksel temas olmadan güvenli biçimde yapılmasına ilişkin kuralları belirler.

Dayanak, Sermaye Piyasası Kanunu'nda yapılan değişiklikle yatırım kuruluşları ve portföy yönetim şirketleri ile müşterileri arasındaki ilişkinin yazılı, uzaktan iletişim araçlarıyla mesafeli veya Kurulun yazılı şeklin yerine geçebileceğini belirlediği elektronik yöntemlerle kurulabilmesine imkan tanınmasıdır.

Tebliğ bu imkanı sınırsız bir dijital kolaylık olarak değil, kimlik doğrulama, bilgi güvenliği, kayıt, personel kontrolü ve ispat yükümlülüğüyle çevrili bir süreç olarak düzenler.

Uzaktan kimlik tespiti, personel ile kişinin fiziksel olarak aynı ortamda bulunmasına gerek olmadan çevrim içi görüntülü görüşmesi ve iletişim kurmasıyla yapılır.

Uygulanan yöntem, yüz yüze kimlik tespitine benzer ve asgari risk içerecek şekilde tasarlanmalıdır.

Görüntülü görüşmede ortaya çıkabilecek teknolojik, operasyonel ve benzeri riskler dikkate alınarak yeterli güvenlik önlemleri alınır.

Kimlik tespitinde kullanılacak belgeler, bu belgelerdeki doğrulanabilir özellikler ve doğrulama sırasında uygulanacak kriterler için detaylı dokümanlar hazırlanır.

Bu zorunluluk, sürecin kişisel takdire bırakılmamasını ve her müşteri için aynı güvenlik mantığıyla işletilmesini sağlar.

Süreç kritik işlem olarak kabul edilir.

Bu nedenle uzaktan kimlik tespiti işlemi, yalnız bilgi teknolojileri veya yalnız personel tarafından başlatılıp onaylanıp tamamlanabilecek şekilde tasarlanamaz.

Süreç kişi tarafından başlatılır, bilgi teknolojileri tarafından uygulanan kontrollerle devam eder ve personelin onayı ile ek kontrollerinden sonra tamamlanır.

Personel işlemi riskli bulursa işlem ikinci bir personelin onayına gönderilir veya sonlandırılır.

Aracı kurum veya portföy yönetim şirketi, uzaktan kimlik tespitini uygulamadan önce iş akış prosedürü oluşturur, prosedürün etkinliğini test eder ve sonuçları yazılı hale getirir.

Testler başarılı değilse süreç uygulanmaz; gerekli güncellemeler yapılır.

Uzaktan kimlik tespiti prosedürünün yaşayan bir kontrol alanı olduğu unutulmamalıdır.

Prosedür yılda en az iki defa gözden geçirilir.

Güvenlik ihlali tespit edilmesi veya gerçekleşmesi, mevzuat değişikliği, muhtemel dolandırıcılık veya sahtecilik eylemlerinden haberdar olunması ve kullanılan yöntemde zayıflık ortaya çıkması gibi hallerde süreç ayrıca değerlendirilir.

Gözden geçirme yapılırken teknolojik gelişmeler ve uygulamada kazanılan deneyimler dikkate alınır.

Bu yaklaşım, dijital kimlik tespitinin statik bir form süreci değil, yeni sahtecilik ve teknoloji risklerine göre güncellenmesi gereken bir güvenlik alanı olduğunu gösterir.

Görüntülü görüşme aşamasını yürütecek personel özel önem taşır.

Bu aşama yalnız bu konuda eğitim almış personel tarafından gerçekleştirilir.

Personelin kimlik belgelerinin özelliklerini, geçerli doğrulama yöntemlerini, dolandırıcılık veya sahtecilik teşkil edebilecek eylemleri ve mevzuat yükümlülüklerini öğrenmesi sağlanır.

Personel yılda en az bir kez ve her güncelleme sonrasında, kişisel verilerin korunması mevzuatı dahil olmak üzere eğitim alır.

Ayrıca kişinin müşteri olma veya hizmetlerden yararlanma isteğini kendi iradesiyle talep edip etmediğini değerlendirebilecek şekilde eğitilmesi gerekir.

Çalışma ortamı da erişimi sınırlandırılmış, güvenlik zafiyetlerini ve suistimalleri önleyici tedbirlerin alındığı ayrı alanlar olmalıdır.

Görüntülü görüşme başlamadan önce başvuru elektronik form üzerinden alınır ve bu verilerle kişi hakkında risk değerlendirmesi yapılır.

Formda, müşteri tanıma mevzuatı kapsamında hesap açılışı için istenen bilgilerin yanında iş ilişkisinin amacı ve mahiyeti, talep edilen ürünler, işleme konu malvarlığı ve fonların kaynağı, ortalama gelir, açılacak hesabın aylık tahmini işlem hacmi ve işlem sayısı gibi bilgiler bulunur.

Risk değerlendirmesi sonucunda gerekli görülürse görüntülü görüşme başlamadan süreç sonlandırılabilir.

Uzaktan kimlik tespiti amacıyla özel nitelikli kişisel verilerden yalnız biyometrik veri kullanılabilir ve buna ilişkin açık rıza elektronik ortamda kayıt altına alınır.

Personel atama ve görüşme akışı suistimali azaltacak biçimde düzenlenir.

Belirli bir kişinin belirli bir personele atanması gibi önceden tahmin edilebilir durumların kötüye kullanılmasını önleyecek mekanizmalar kurulur.

Görüşmede personelin soracağı asgari sorular belirlenir; soruların sırası veya türü değişken olabilir.

Görüntülü görüşme gerçek zamanlı ve kesintisiz yapılır.

Görsel ve işitsel iletişimin bütünlüğü ve gizliliği yeterli seviyede olmalı, görüşme uçtan uca güvenli iletişimle gerçekleştirilmelidir.

Görüntü ve ses kalitesi, kimlik tespitini kısıtlamayacak ve şüpheye yer bırakmayacak düzeyde olmalıdır.

Kimlik belgesinin beyaz ışık altında incelenebilmesi, yıpranma veya tahrifat kontrolü yapılabilmesi gerekir.

Telefon doğrulaması sürecin ayrı bir güvenlik unsurudur.

Uzaktan kimlik tespiti sırasında kişiye yalnız bu işlem için geçerli, merkezi olarak üretilen SMS OTP iletilir.

Kişi bu kodu çevrim içi olarak uygulama arayüzü üzerinden geri gönderir; kodun başarılı şekilde onaylanmasıyla cep telefonu numarası doğrulanır.

Sürekli iş ilişkisi tesisinde müşteri ve hizmet riski ile suç gelirlerinin aklanması ve terörün finansmanının önlenmesine ilişkin tedbirler dikkate alınır.

Karmaşık, olağandışı büyüklükte veya görünürde makul hukuki ve ekonomik amacı bulunmayan işlemlere özel dikkat gösterilir.

Bu iş ilişkisi risk temelli yaklaşımla izlenir ve gerekiyorsa sıkılaştırılmış tedbirler uygulanır.

Kimlik belgesi kontrolünde beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögelerine, fotoğrafa ve imzaya sahip kimlik belgesi kullanılır.

Yakın alan iletişimiyle kimlik belgesinin yongasındaki bilgilerin doğrulanması, belgenin yetkili makamca verildiğinin, yonga bilgilerinin değiştirilmediğinin ve anahtarların kopyalanmadığının kontrol edilmesine dayanır.

Yakın alan iletişimiyle doğrulama yapılamazsa, kimlik belgesinin görsel güvenlik unsurlarından en az dördü şekil ve içerik bakımından doğrulanır.

Sadece görsel güvenlik unsurlarıyla kimlik tespiti yapılırsa, sürekli iş ilişkisi kurulmadan önce ilk finansal hareketin müşterinin tanınmasına ilişkin esasların uygulandığı başka bir finansal kuruluş üzerinden yapılması zorunludur.

Görüntülü görüşmede kişi, kimlik belgesini kameranın önünde yatay veya dikey eğmek ve personelin talimatına göre ilave hareketler yapmak zorunda kalabilir.

Sistem, güvenlikle ilgili kısımları değişken ve rastgele belirleyerek kişinin parmağını belirli alanlara koymasını isteyebilir.

Personel, kişinin ve kimlik belgesinin ön ve arka yüzünün fotoğraf veya ekran görüntülerini oluşturur.

Kimlik belgesinin yazı tipi, düzeni, karakter sayısı, büyüklüğü, aralığı, tipografisi, geçerlilik süresi, MRZ bilgileri, tahrifat izleri ve Kimlik Paylaşımı Sistemi veya erişilebilir diğer bilgilerle uyumu kontrol edilir.

Görüşme sırasında kişiye kimlik belgesindeki seri numarası okutularak doğrulama yapılır.

Kişinin doğrulanması yalnız belgeye bakmakla tamamlanmaz.

Görüntülü görüşmede canlılık tespiti yöntemleri kullanılır ve sahte yüz teknolojisine ilişkin riskleri önlemek için ilave tedbirler alınır.

Kişinin yüzü, yakın alan iletişimiyle alınabiliyorsa yongadaki fotoğrafla, alınamıyorsa belge üzerindeki fotoğrafla biyometrik olarak karşılaştırılır.

Personel, diyalog ve gözlemleriyle kimlik avı, sosyal mühendislik, baskı altında hareket etme veya başka dolandırıcılık yöntemlerini değerlendirir.

Kimlik belgesindeki fotoğraf ve kişisel bilgilerin kişiyle uyuştuğundan, kişinin verdiği bilgiler ve müşteri olma niyetinin inandırıcı olduğundan emin olur.

Sürecin sonunda kişiye verilecek hizmetler belirtilir ve müşteri olmayı kabul ettiğine ilişkin sözlü onay alınır.

Bazı durumlarda süreç tamamlanmaz.

Zayıf ışık, düşük görüntü kalitesi, iletim sorunları veya kişiyle sözlü iletişim kurmayı engelleyen hallerde görüntülü görüşme sonlandırılır.

Süreçte tutarsızlık veya belirsizlik bulunması, sunulan belgelerin geçerliliğinden şüphe edilmesi ya da dolandırıcılık veya sahtecilik teşebbüsü şüphesi de sonlandırma nedenidir.

Uzaktan kimlik tespiti sürecinin tamamı, tüm adımları içerecek ve denetlenebilir olacak şekilde kayıt altına alınır ve saklanır.

Bilgi ve belge saklama gereklilikleri, belge kayıt düzenindeki hükümler saklı kalmak üzere uygulanır.

Yanlış kimlik tespiti riskini en aza indirecek çözümleri kullanmak kurumun sorumluluğundadır; uzaktan edinilen müşteriler farklı risk profilinde izlenir ve itiraz halinde ispat yükü aracı kurum veya portföy yönetim şirketindedir.