MASAK Uyum Programı Hangi 7 Unsurdan Oluşur? Uyum Yönetmeliği m.5 | 2026

Uyum Programı Yönetmeliği m.5 neden temel maddedir?

5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun’un 5. maddesi, yükümlülerin eğitim, iç denetim, kontrol ve risk yönetim sistemleri kurmasına ve gerekli yetkiyle donatılmış görevli tayin etmesine ilişkin esasların düzenlenmesine imkân verir. Bu kanuni yetkinin kurumsal karşılığı Uyum Programı Yönetmeliğidir. Yönetmeliğin 5. maddesi, bir uyum programının hangi bileşenlerden meydana geleceğini tek maddede toplar.

m.5’in önemi, “uyum programı” kavramını yalnızca bir politika dokümanından ayırmasıdır. Yönetmeliğe göre program; politika, risk, izleme, insan kaynağı, eğitim, denetim ve grup tedbirlerini birlikte içerir. Bu unsurlardan yalnızca birinin bulunması tam program anlamına gelmez. Örneğin kurum politikasının yazılı olması ancak işlem izleme sisteminin bulunmaması; uyum görevlisinin atanması ancak yıllık eğitim yapılmaması veya iç denetimin hiç uygulanmaması programın mevzuata uygun ve etkin olduğu sonucunu doğurmaz.

Güncel düzenlemeler için MASAK yükümlülere ilişkin mevzuat ve MASAK yükümlülükler sayfaları esas alınabilir. Hangi kuruluşların m.5’teki tam programı kurması gerektiği ise MASAK Uyum Programı Kimler İçin Zorunlu? rehberimizde açıklanmıştır.

1. Kurum politika ve prosedürlerinin oluşturulması

İlk unsur, kurum politika ve prosedürlerinin yazılı olarak oluşturulmasıdır. Yönetmeliğin 7–10. maddeleri bu unsurun içeriğini ayrıntılandırır. Kurum politikası en az risk yönetimi, izleme ve kontrol, eğitim ve iç denetim politikalarını kapsar. Finansal gruplarda bunlara grup içi bilgi paylaşım politikası ve prosedürleri de eklenir.

Politika, kuruluşun aklama ve terörün finansmanı riskine yaklaşımını belirleyen üst düzey çerçevedir. Prosedür ise bu çerçevenin günlük operasyonda kim tarafından, hangi yetkiyle, hangi kayıtla ve hangi kontrol noktası üzerinden uygulanacağını gösterir. Bir müşteri yüksek riskli sınıfa alındığında hangi birimin ek belge isteyeceği, üst düzey onayı kimin vereceği, risk sınıfının hangi sürede gözden geçirileceği ve işlemlerin ne sıklıkla izleneceği prosedürlerde somutlaştırılmalıdır.

Politika ve prosedürlerin yazılı olması, denetlenebilirlik açısından zorunludur. Sözlü iş akışı, kişiye bağlı uygulama veya yalnızca yazılım ekranındaki otomatik kural, kurum prosedürünün yerini tutmaz. Sürecin hukuki dayanağı, sorumlusu, kontrol noktası ve kayıt şekli belirli olmalıdır.

2. Risk yönetimi faaliyetlerinin yürütülmesi

İkinci unsur risk yönetimidir. Uyum Programı Yönetmeliği m.11 ve m.12 uyarınca kuruluş müşteri riski, hizmet riski ve ülke riskini tanımlayan, derecelendiren, sınıflandıran, izleyen ve azaltan yöntemler geliştirmelidir. Risk temelli yaklaşımın amacı bütün müşterilere ve işlemlere aynı yoğunlukta kontrol uygulamak değil; kaynakları daha yüksek riskli alanlarda artırmaktır.

Müşteri riski; müşterinin işi, mesleği, ortaklık yapısı, gerçek faydalanıcısı, işlem amacı, gelir ve fon kaynağı, kullanılan kanal ve davranış örüntüsü gibi unsurlarla belirlenir. Hizmet riski; ürünün anonimlik, hız, sınır ötesi transfer, nakit kullanımı veya üçüncü kişiye aktarım gibi özelliklerini dikkate alır. Ülke riski ise işlemin veya müşterinin bağlantılı olduğu ülkenin AML/CFT sistemi, yaptırım durumu, şeffaflığı ve benzeri ölçütlerle değerlendirilir.

Risk sınıflandırması tek seferlik müşteri kabul işlemi değildir. Müşteri davranışı, iş hacmi, ortaklık yapısı veya ülke bağlantısı değiştikçe risk skoru güncellenmelidir. Kuruluş ayrıca risk izleme ve değerlendirme sonuçlarını belirli aralıklarla yönetim kuruluna raporlamalıdır.

3. İzleme ve kontrol faaliyetlerinin yürütülmesi

Üçüncü unsur, risk yönetiminde belirlenen risklerin günlük işlemlerde izlenmesini sağlayan kontrol sistemidir. Uyum Programı Yönetmeliği m.14 ve m.15, izleme ve kontrolün kuruluşun büyüklüğü, işlem hacmi ve faaliyetlerinin niteliğiyle uyumlu olmasını ister. İzleme yalnızca şüpheli işlem bildirimi öncesindeki inceleme değildir; müşterinin iş ilişkisi boyunca devam eden kontrol düzenidir.

Yüksek riskli müşteri ve işlemler, riskli ülkelerle bağlantılı işlemler, karmaşık ve olağandışı işlemler, belirli tutar üzerindeki işlemler, bağlantılı işlemler, müşterinin mali profiliyle uyumsuz hareketler, yüz yüze olmayan kanallar ve yeni teknolojiler izleme-kontrol sisteminin temel alanları arasındadır. İşlem hacmi yüksek kuruluşlarda manuel kontrolün tek başına yeterli olması beklenemez; otomatik senaryolar, alarm üretimi ve alarm kapatma kayıtları gerekir.

İzleme sistemi risk politikasıyla bağlantılı olmalıdır. Politika bir müşteri grubunu yüksek riskli sayarken izleme sisteminde bu gruba özgü daha yoğun kontrol bulunmaması programın iç tutarlılığını bozar. Aynı şekilde yazılımın ürettiği uyarıların hangi süre içinde, kim tarafından, hangi kriterle sonuçlandırılacağı prosedürde gösterilmelidir.

4. Uyum görevlisi atanması ve uyum birimi oluşturulması

Dördüncü unsur, uyum fonksiyonunun kurumsal yapılanmasıdır. Uyum Programı Yönetmeliği m.16 ve devamında uyum görevlisinin atanması, yardımcısı, nitelikleri, uyum birimi ve görevleri düzenlenir. Tam uyum programı kapsamındaki yükümlüler faaliyet izninin alınmasından sonra mevzuatta belirtilen süre içinde uyum görevlisi ve yardımcısını atamak zorundadır.

Uyum görevlisi, mevzuata uyum, MASAK ile iletişim, politika ve prosedürlerin oluşturulması, risk yönetimi, izleme-kontrol, eğitim, şüpheli işlem değerlendirmesi ve gerekli raporlamaların koordinasyonunda merkezi role sahiptir. Buna rağmen programın nihai sorumluluğu uyum görevlisinde değil, Yönetmeliğin 6. maddesi gereğince yönetim kurulundadır.

Uyum biriminin personel ve kaynakları kuruluşun büyüklüğü ve riskleriyle orantılı olmalıdır. Yüksek işlem hacmine sahip bir kuruluşta uyum görevlisinin tek başına bütün müşteri kabulü, işlem alarmı, eğitim, mevzuat takibi ve raporlama işlerini yürütmesi programın etkinliğini zayıflatır. Yönetim kurulu yeterli insan kaynağı, veri erişimi ve teknik altyapıyı sağlamakla yükümlüdür.

5. Eğitim faaliyetlerinin yürütülmesi

Beşinci unsur eğitimdir. Uyum Programı Yönetmeliği m.21–25, eğitim politikasını, yıllık programı, asgari eğitim konularını ve sonuçların bildirimini düzenler. Eğitim, yalnızca yeni işe başlayan personele bir sunum yapılması değildir. Kuruluşun risk yapısına, mevzuat değişikliklerine ve çalışanların görevlerine uygun, periyodik ve ölçülebilir bir eğitim sistemi kurulmalıdır.

Eğitim içeriğinde suç gelirlerinin aklanması ve terörün finansmanı kavramları, aşamalar ve yöntemler, mevzuat, risk alanları, kurum politikası, müşterinin tanınması, şüpheli işlem bildirimi, muhafaza ve ibraz, bilgi-belge verme ve yaptırımlar bulunmalıdır. Eğitim sonucu ve katılım istatistikleri mevzuatta belirlenen şekilde kaydedilmeli ve takip eden yılın Mart ayı sonuna kadar MASAK’a bildirilmelidir.

Eğitim planının risk temelli olması gerekir. Uyum birimi çalışanı, gişe veya müşteri temsilcisi, üst yönetici, bilgi teknolojileri personeli ve iç denetçinin aynı içerikte eğitim alması yeterli değildir. Her rolün karşılaşacağı riskler ve karar noktaları farklıdır.

6. İç denetim faaliyetlerinin yürütülmesi

Altıncı unsur iç denetimdir. Uyum Programı Yönetmeliği m.26–28, uyum programının etkinlik ve yeterliliği konusunda yönetim kuruluna güvence sağlamak amacıyla yıllık ve risk temelli iç denetim yapılmasını düzenler. İç denetim, programın diğer unsurlarından bağımsız test fonksiyonudur.

Denetim; politika ve prosedürlerin yeterliliğini, risk yönetimini, izleme-kontrol sistemini, eğitimleri ve fiilî işlemlerin kurallara uygunluğunu test etmelidir. Denetim örneklemi kuruluşun işlem hacmi ve niteliğini temsil edecek şekilde belirlenir. Tespit edilen eksiklik, hata ve kötüye kullanımlar ile bunların önlenmesine yönelik öneriler yönetim kuruluna raporlanır.

İç denetimi yapan kişinin programdaki günlük kontrol faaliyetlerinden bağımsız olması gerekir. Kendi kurduğu veya yürüttüğü kontrol mekanizmasını denetleyen personel, bağımsız güvence işlevini zedeler. Denetim sonuçlarına ilişkin istatistikler takip eden yılın Mart ayı sonuna kadar MASAK’a gönderilir.

7. Finansal grup seviyesinde gerekli tedbirlerin alınması

Yedinci unsur finansal grup tedbirleridir. Finansal grup bulunan yapılarda grup seviyesinde program, risk yönetimi, izleme-kontrol, eğitim ve bilgi paylaşımı için ortak standartlar oluşturulur. Uyum Programı Yönetmeliği m.20/A finansal grup uyum görevlisinin görevlerini; m.20/B ise grup içi müşteri, hesap ve işlem bilgilerinin uyum amacıyla paylaşımını düzenler.

Grup programı her bağlı finansal kuruluşun kendi program yükümlülüğünü ortadan kaldırmaz. Bu ayrım Finansal Grup Ayrı MASAK Uyum Programı Kurmak Zorunda mı? yazımızda ayrıntılı olarak incelenmiştir. Grup seviyesindeki temel amaç, aynı müşteri veya gerçek faydalanıcıya ilişkin riskin şirketler arasında parçalanmasını önlemektir.

Yedi unsur neden birlikte çalışmak zorundadır?

Uyum programının gücü, unsurların birbiriyle bağlantısından gelir. Risk yönetimi yüksek riskli müşteri grubunu belirler; kurum politikası bu gruba uygulanacak tedbirleri tanımlar; izleme sistemi işlemleri takip eder; uyum birimi alarmları değerlendirir; eğitim çalışanların risk göstergelerini tanımasını sağlar; iç denetim bütün bu süreçlerin gerçekten çalışıp çalışmadığını test eder; yönetim kurulu ise kaynak tahsisi ve gözetimi yürütür.

Bu zincirin herhangi bir halkası çalışmıyorsa diğer unsurların etkisi azalır. Örneğin güçlü bir otomatik izleme sistemi bulunmasına rağmen risk modeli güncel değilse yanlış müşteriler izlenir. Eğitim güçlü ancak prosedürler belirsizse çalışan hangi durumda kime bildirim yapacağını bilemez. İç denetim var ancak bulgular yönetim kurulu tarafından kapatılmıyorsa hata devam eder.

Bu nedenle uyum programı yılda bir güncellenen klasör değil, kuruluşun müşteri ve işlem sistemlerine entegre edilmiş yönetim sistemi olarak ele alınmalıdır. Mevzuat değişikliği, yeni ürün, yeni ülke, şirket birleşmesi veya müşteri profilindeki ciddi değişiklik programın ilgili bütün unsurlarında karşılık bulmalıdır.

Uyum programı hangi sırayla kurulmalıdır?

Birinci adım m.4 kapsamında yükümlülüğün tespitidir. İkinci adım yönetim kurulu sahipliğinin ve uyum görevlisi yapılanmasının kurulmasıdır. Üçüncü adım kurum çapındaki müşteri, ürün, hizmet, kanal ve ülke risklerinin envanteridir. Dördüncü adım yazılı politika ve prosedürlerin hazırlanmasıdır.

Beşinci adım, risk modelinin müşteri kabul ve işlem sistemlerine uygulanması; altıncı adım izleme-kontrol senaryolarının kurulmasıdır. Yedinci adım çalışanların görev bazlı eğitimi; sekizinci adım yıllık iç denetim planıdır. Dokuzuncu adım, kurul ve MASAK raporlamalarının takvimlendirilmesidir. Onuncu adım ise mevzuat ve risk değişikliklerini izleyen sürekli güncelleme mekanizmasıdır.

Temel müşteri yükümlülükleri açısından MASAK Kimlik Tespiti, Gerçek Faydalanıcı ve Şüpheli İşlem Bildirimi rehberleri programın operasyonel tarafıyla birlikte değerlendirilmelidir.

Sık sorulan sorular

1. MASAK uyum programı kaç unsurdan oluşur?

Uyum Programı Yönetmeliği m.5 yedi temel unsur sayar: politika/prosedür, risk yönetimi, izleme-kontrol, uyum görevlisi/birimi, eğitim, iç denetim ve finansal grup tedbirleri.

2. Sadece kurum politikası hazırlamak yeterli midir?

Hayır. Politika m.5’teki yedi unsurdan yalnızca biridir; programın diğer bütün unsurlarının da fiilen işletilmesi gerekir.

3. Uyum görevlisi atanması programın tamamlandığı anlamına gelir mi?

Hayır. Uyum görevlisi programın kurumsal unsurudur; risk yönetimi, izleme, eğitim, denetim ve diğer bileşenler ayrıca zorunludur.

4. Eğitim uyum programının zorunlu unsuru mudur?

Evet. Eğitim m.5’te açıkça sayılır ve ayrıntıları Yönetmeliğin 21–25. maddelerinde düzenlenir.

5. İç denetim her yıl yapılmalı mıdır?

Uyum Programı Yönetmeliği m.26 uyarınca iç denetim faaliyetleri yıllık ve risk temelli şekilde yürütülür.

6. Finansal grubu olmayan kuruluş için yedinci unsur uygulanır mı?

Finansal grup seviyesindeki tedbirler finansal grup yapısının bulunduğu hâllerde uygulanır; diğer m.5 unsurları tam uyum programı kapsamındaki yükümlüler için devam eder.

7. Yönetim kurulu programdan sorumlu mudur?

Evet. Uyum Programı Yönetmeliği m.6’ya göre programın yeterli ve etkin şekilde yürütülmesinden yönetim kurulu nihai olarak sorumludur.

8. Yedi unsur ayrı dosyalar şeklinde tutulabilir mi?

Dokümantasyon ayrı olabilir; ancak unsurların birbirine bağlı ve tutarlı şekilde çalışması gerekir. Risk sınıfı izleme, eğitim, denetim ve üst yönetim kararlarına yansıtılmalıdır.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →