MASAK Yüksek Riskli Müşteride Hangi İlave Tedbirler Alınır? Uyum Yönetmeliği m.13 | 2026
Yüksek riskli müşteride ilave tedbirlerin hukuki dayanağı nedir?
Uyum Programı Yönetmeliği m.13, risk yönetimi kapsamında yüksek riskli olarak belirlenen gruplara uygulanacak ilave tedbirleri düzenler. Hüküm, m.11 ve m.12’deki risk yönetimi sisteminin operasyonel sonucudur. Kuruluş önce müşteri, hizmet ve ülke risklerini tanımlar ve sınıflandırır; sonuç yüksek riski gösterdiğinde m.13 kapsamındaki artırılmış tedbirleri uygular.
İlave tedbirler, temel müşterinin tanınması yükümlülüklerinin yerine geçmez. Kimlik tespiti, gerçek faydalanıcının belirlenmesi, iş ilişkisinin amacı, müşteri bilgilerinin güncel tutulması ve sürekli izleme gibi Tedbirler Yönetmeliğinden doğan yükümlülükler aynen devam eder; m.13 bunların üzerine daha yoğun kontrol katmanı ekler.
Güncel mevzuat MASAK Yükümlülere İlişkin Mevzuat ve MASAK Yükümlülükler sayfalarından kontrol edilmelidir. Yüksek riskin nasıl sınıflandırılacağı MASAK Müşteri, Hizmet ve Ülke Riski rehberimizde açıklanmıştır.
Yüksek riskli müşteri ne demektir?
Yüksek riskli müşteri, suç işlemiş veya şüpheli işlem yaptığı kesinleşmiş kişi anlamına gelmez. Bu sınıf, kuruluşun risk metodolojisine göre aklama veya terörün finansmanı riski daha yüksek görülen müşteri, hizmet, ülke veya işlem kombinasyonunu ifade eder. Yüksek risk sonucu kontrol yoğunluğunu artırır.
Riskin kaynağı müşteri profilinden, karmaşık ortaklık yapısından, gerçek faydalanıcının tespit güçlüğünden, fon kaynağından, yüksek riskli ülke bağlantısından, yüz yüze olmayan kanaldan, olağandışı işlem davranışından veya yüksek riskli ürün kullanımından doğabilir. Her kuruluş kendi faaliyet yapısına uygun kriterleri yazılı risk metodolojisinde belirlemelidir.
Yüksek risk sınıfı keyfî olmamalıdır. Hangi kriterin risk seviyesini yükselttiği, kullanılan veri, model sonucu ve manuel müdahale varsa bunun gerekçesi kaydedilmelidir. Böylece m.13 tedbirlerinin neden uygulandığı denetlenebilir hâle gelir.
1. Müşteri hakkında ek bilgi alınması ve bilgilerin daha sık güncellenmesi
m.13 kapsamında ilk artırılmış tedbir, müşteri hakkında ilave bilgi alınması ve müşteri bilgilerinin daha sık güncellenmesidir. Temel müşteri dosyasında bulunması gereken kimlik ve faaliyet bilgilerine ek olarak müşterinin gelir yapısı, ticari faaliyetinin ayrıntıları, bağlantılı şirketleri, işlem amacı veya riskin kaynağına göre gerekli diğer bilgiler istenebilir.
Ek bilgi istemenin kapsamı riskle orantılı olmalıdır. Yüksek riskin nedeni karmaşık ortaklık yapısıysa şirket zinciri ve gerçek faydalanıcı hakkında ek belge gerekir; yüksek riskin nedeni işlem hacminin finansal profille uyumsuzluğuysa gelir, ciro veya fon kaynağına ilişkin bilgi öne çıkar.
Güncelleme sıklığı da standart müşteriden daha yüksek olmalıdır. Kuruluş kurum politikasında yüksek riskli müşteri bilgilerinin hangi periyot veya olay tetikleyicileriyle yenileneceğini belirlemelidir. Ortaklık değişikliği, adres veya faaliyet değişikliği, işlem hacminde ani artış gibi olaylar periyodik tarihi beklemeden güncelleme başlatmalıdır.
2. İş ilişkisinin mahiyeti hakkında ilave bilgi alınması
Yüksek riskli müşteriyle kurulacak veya sürdürülecek ilişkinin ekonomik amacı ve niteliği açık olmalıdır. Müşteri neden bu kuruluşu seçmiştir, hangi ürünleri ne amaçla kullanacaktır, beklenen işlem sıklığı ve tutarı nedir, hangi ülkelerle işlem yapacaktır ve bu işlemler ticari faaliyetiyle nasıl bağlantılıdır? m.13 bu tür ilave bilgilerin alınmasına imkân verir.
İlişkinin amacı yalnızca genel ifadeyle kaydedilmemelidir. “Ticari işlemler” veya “yatırım” gibi soyut tanım, riskli müşteri için yeterli olmayabilir. Müşterinin somut faaliyet modeli ve beklenen para hareketi bilinirse sonraki işlemlerin profile uygunluğu daha sağlıklı izlenebilir.
Başlangıçta alınan bu bilgi izleme sisteminde referans olarak kullanılmalıdır. Müşteri beyan ettiği kullanım modelinden belirgin şekilde saparsa dosya yeniden değerlendirilir ve gerekirse yeni bilgi istenir.
3. Malvarlığı ve işleme konu fonların kaynağı hakkında bilgi alınması
m.13, yüksek riskli durumda müşteriye ait malvarlığının ve işleme konu fonların kaynağı hakkında mümkün olduğu ölçüde bilgi edinilmesini öngörür. Buradaki amaç, müşterinin ekonomik kapasitesi ile gerçekleştirdiği işlemin uyumlu olup olmadığını değerlendirmektir.
Fon kaynağı; maaş, ticari gelir, şirket kârı, taşınmaz satışı, miras, yatırım geliri, kredi veya başka hukuki kaynak olabilir. Yüksek riskin niteliğine göre banka kaydı, satış sözleşmesi, finansal tablo, vergi belgesi veya benzeri doğrulanabilir belge istenebilir. Her müşteriden aynı belge setinin istenmesi risk temelli yaklaşım değildir.
Malvarlığı kaynağı ile belirli işlemin fon kaynağı farklı kavramlardır. Müşterinin genel servetini nasıl oluşturduğu ayrı; belirli transferde kullanılan paranın nereden geldiği ayrıdır. Yüksek riskli vakada gerekliyse her iki boyut da incelenmelidir.
4. İşlemin amacı hakkında bilgi alınması
Yüksek riskli işlemde paranın neden gönderildiği, hangi hukuki veya ekonomik ilişkiye dayandığı ve taraflar arasındaki bağlantı açıklanmalıdır. İşlem açıklaması ile müşteri profili ve fon hareketi arasında uyum bulunmalıdır.
Örneğin yüksek tutarlı uluslararası transferde ticari sözleşme, fatura veya yatırım belgesi işlem amacını destekleyebilir. Bireysel müşteride aile desteği, taşınmaz alımı veya yatırım amacı gibi açıklamalar riskin niteliğine göre doğrulanabilir belgelerle desteklenebilir.
İşlem amacı açıklanamıyor, verilen bilgiler çelişkili veya ekonomik gerekçe makul görünmüyorsa konu şüpheli işlem değerlendirmesine taşınmalıdır. Bu aşamada m.13 tedbiri ile 5549 sayılı Kanun m.4 kapsamındaki ŞİB yükümlülüğü birbirinden ayrılmalıdır.
5. İş ilişkisi veya işlemin üst seviyedeki görevlinin onayına bağlanması
m.13, yüksek riskli durumda iş ilişkisine girilmesi, mevcut iş ilişkisinin sürdürülmesi veya belirli işlemin gerçekleştirilmesinin üst seviyedeki görevlinin onayına bağlanmasını öngörür. Kuruluş, “üst seviye”nin hangi unvan veya karar organı olduğunu kendi organizasyonuna göre kurum prosedüründe açıkça belirlemelidir.
Onay biçimsel olmamalıdır. Kararı veren görevli riskin kaynağını, alınan ek bilgileri, uygulanacak kontrolleri ve kalan risk seviyesini görmelidir. Onay kaydında tarih, karar veren kişi ve gerekçe bulunmalıdır.
Yüksek riskli müşteriyle ilişki sürdürme kararı da dönemsel olarak tekrar değerlendirilebilir. Risk seviyesi artmış veya başlangıçtaki tedbirler yetersiz kalmışsa yeni üst düzey onay ve ek kontrol gerekebilir.
6. Kontrollerin sayı ve sıklığının artırılması
Yüksek riskli müşterinin işlemleri standart müşteriyle aynı yoğunlukta izlenmemelidir. m.13, uygulanan kontrollerin sayı ve sıklığının artırılmasını ve yüksek riskli işlemlerin daha yakından izlenmesini öngörür. Bu tedbir otomatik işlem izleme senaryolarına ve manuel dosya gözden geçirmelerine yansıtılmalıdır.
Artırılmış izleme; daha düşük alarm eşiği, daha sık müşteri dosyası gözden geçirme, belirli ülke veya ürün işlemlerine ek kontrol, büyük veya olağandışı işlemlerin uyum birimine yönlendirilmesi ve risk profilinden sapmaların daha hızlı incelenmesi şeklinde uygulanabilir.
Kontrol yoğunluğunun neden artırıldığı ve hangi tarihe kadar uygulanacağı kaydedilmelidir. Risk azalırsa sınıf değişikliği gerekçeli şekilde yapılabilir; ancak ticari baskı nedeniyle kontrol azaltılamaz.
7. Sürekli iş ilişkisinde ilk finansal hareketin başka bir finansal kuruluştan gelmesi ne anlama gelir?
m.13 kapsamındaki tedbirlerden biri, sürekli iş ilişkisi kurulurken ilk finansal hareketin müşterinin tanınması esaslarını uygulayan başka bir finansal kuruluş aracılığıyla yapılmasının istenmesidir. Bu tedbir, yüksek riskli ilişkinin başlangıcında ilave doğrulama katmanı sağlar.
Bu kuralın uygulanacağı durum kurum risk politikasında belirlenmelidir. Başka finansal kuruluşun müşterinin tanınması tedbirlerini uyguluyor olması önemlidir; herhangi bir üçüncü kişi hesabından gelen transfer bu tedbirin amacını karşılamaz.
İlk hareket tedbiri diğer ilave tedbirlerin alternatifi değildir. Yüksek riskin niteliğine göre ek bilgi, fon kaynağı, üst düzey onay ve sık izleme birlikte uygulanabilir.
İlave tedbirlerin uygulandığı nasıl belgelenmelidir?
Her yüksek riskli dosyada riskin kaynağı, uygulanan m.13 tedbiri, alınan bilgi ve belgeler, üst düzey onay, izleme sıklığı ve yeniden değerlendirme tarihi kaydedilmelidir. Yalnızca sistemde “yüksek risk” etiketi bulunması m.13 tedbirlerinin uygulandığını kanıtlamaz.
Dokümantasyon müşteri dosyası, merkezi uyum sistemi veya kontrollü elektronik kayıt ortamında tutulabilir. Belgelere erişim görevle sınırlı olmalı ve değişiklik geçmişi izlenebilmelidir.
İç denetim yüksek riskli müşteri örneklemini ayrıca test etmelidir. Risk sınıfına karşılık gelen ek belgelerin, onayın ve izleme faaliyetlerinin fiilen uygulanıp uygulanmadığı incelenmelidir.
Yüksek riskli müşteri mutlaka reddedilir mi?
Hayır. Yüksek risk sınıfı tek başına otomatik ret sonucu doğurmaz. Mevzuatın açıkça yasakladığı işlem veya kişi durumları saklıdır. Yüksek riskli müşteride m.13 kapsamındaki artırılmış tedbirler uygulanır ve kalan risk kuruluşun yazılı risk politikası çerçevesinde değerlendirilir.
Bununla birlikte müşteri kimliği, gerçek faydalanıcı veya iş ilişkisinin amacı yeterli şekilde tespit edilemiyorsa Tedbirler Yönetmeliğinin işlem yapmama ve ilişkiyi sona erdirme hükümleri gündeme gelir. Bu durum, risk seviyesi yüksek olduğu için değil, zorunlu müşteri tanıma yükümlülüğü yerine getirilemediği için doğar.
Kimlik tespitinin yapılamaması hâlindeki sonuçlar MASAK Kimlik Tespiti Yapılamazsa İşlem Reddedilir mi? rehberimizde açıklanmıştır.
Yüksek riskli müşteri süreci nasıl kurulmalıdır?
Birinci adım risk modelinin müşteriyi neden yüksek riskli sınıfa aldığını belirlemektir. İkinci adım risk türüne uygun m.13 tedbirlerinin seçilmesidir. Üçüncü adım ek bilgi ve belgelerin toplanması, dördüncü adım iş ilişkisinin mahiyetinin ve işlem amacının açıklığa kavuşturulmasıdır.
Beşinci adım malvarlığı veya fon kaynağı incelemesidir. Altıncı adım gerekiyorsa üst düzey onayın alınmasıdır. Yedinci adım izleme senaryolarının ve dosya güncelleme sıklığının artırılmasıdır. Sekizinci adım sürekli iş ilişkisi başlangıcında ilk finansal hareket tedbirinin uygulanması gereken durumların kontrolüdür.
Dokuzuncu adım bütün kararların kayıt altına alınması; onuncu adım riskin belirlenen tarihte yeniden değerlendirilmesidir. Şüphe oluşursa uyum görevlisinin şüpheli işlem değerlendirme süreci ayrıca işletilir. ŞİB süresi için MASAK Şüpheli İşlem Bildirimi Kaç Günde Yapılır? rehberimiz incelenebilir.
Sık sorulan sorular
1. Yüksek riskli müşteride ek bilgi almak zorunlu mudur?
m.13 kapsamında riskin niteliğine göre müşteri hakkında ek bilgi alınması ve bilgilerin daha sık güncellenmesi uygulanacak artırılmış tedbirlerdendir.
2. Fon kaynağı her yüksek riskli işlemde araştırılır mı?
m.13 müşterinin malvarlığı ve işleme konu fonların kaynağı hakkında mümkün olduğu ölçüde bilgi edinilmesini artırılmış tedbir olarak düzenler; kapsam riskle orantılı belirlenir.
3. Yüksek riskli müşteride üst düzey onay gerekir mi?
m.13 iş ilişkisine girilmesi, sürdürülmesi veya işlemin gerçekleştirilmesinin üst düzey onaya bağlanmasını artırılmış tedbirler arasında sayar.
4. Yüksek riskli müşteri otomatik reddedilir mi?
Hayır. Mevzuatın açık yasakları saklıdır; yüksek risk ilave tedbir ve daha yoğun kontrol gerektirir.
5. Müşteri bilgileri daha sık güncellenmeli midir?
Evet. Yüksek riskte müşteri bilgilerinin standart risk seviyesine göre daha sık güncellenmesi m.13 tedbirlerindendir.
6. Kontrol sıklığı artırılmalı mıdır?
Evet. Yüksek riskli müşteri ve işlemlerde kontrol sayısı ve sıklığı artırılmalı, ilişki daha yakından izlenmelidir.
7. İlk finansal hareket başka bir bankadan veya finansal kuruluştan istenebilir mi?
Evet. Sürekli iş ilişkisi kurulurken ilk finansal hareketin müşterinin tanınması esaslarını uygulayan başka bir finansal kuruluştan yapılması m.13 tedbirleri arasında yer alır.
8. İlave tedbirler denetlenebilir şekilde kaydedilmeli midir?
Evet. Riskin kaynağı, uygulanan tedbirler, alınan belgeler, onaylar ve yeniden değerlendirme tarihi kayıt altına alınmalıdır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
