Ödeme ve elektronik para kuruluşlarında bir işlem saniyeler içinde tamamlanır ve insan gözü onu hiç görmeden geçer. Risk analizi bu yüzden kural ve puan üzerine kurulur: hangi müşterinin, hangi işlemin ve hangi üye işyerinin ek kontrole takılacağına önceden yazılmış eşikler karar verir. Eşiklerin isabeti ise müşteri kabulünde verilen ilk risk notuna dayanır.
Riskin toplandığı 3 nokta
- Cüzdan ve hesap sahipleri
- Hızla açılan, kısa sürede çok sayıda kişiden para toplayıp tek bir hesaba aktaran cüzdanlar, aracı hesap (para katırı) örüntüsünün tipik görüntüsüdür. Hesap sahibi çoğu zaman kendi adına değil, bir ağın parçası olarak hareket eder.
- Üye işyerleri
- Ödeme alan işyerinin beyan ettiği faaliyetle gerçekten sattığı şeyin uyuşmaması, işlem aklama olarak bilinen riski doğurur: yasa dışı bir satış, meşru görünen bir işyerinin ödeme altyapısından geçirilir. Faaliyetine göre olağan dışı ortalama sepet tutarı ve gece saatlerinde yoğunlaşan işlemler dikkat çeker.
- Sınır ötesi transferler
- Para transferi hizmetlerinde gönderen ve alıcı bilgisinin eksiksiz taşınması FATF'nin 16. Tavsiyesi'nin konusudur. Alıcının yaptırımlı bir ülkede ya da o ülkeye komşu bir aktarma merkezinde olması ülke eksenini doğrudan yükseltir.
Hesap hareketlerinde 5 işaret
- Yeni açılan cüzdana ilk günlerde çok sayıda farklı göndericiden para gelmesi.
- Gelen paranın neredeyse tamamının aynı gün çekilmesi ya da başka bir hesaba aktarılması.
- Ön ödemeli kartlara sık ve yuvarlak tutarlı yüklemeler.
- Kimlik bilgisinin, cihazın ya da IP adresinin başka hesaplarla paylaşılması.
- Üye işyerinde iade oranının ya da ters ibraz sayısının sektör ortalamasından belirgin biçimde yüksek olması.
Müşteri kabulünde skorun yeri
Uzaktan açılan bir hesapta müşterinin elinizdeki bilgisi genellikle ad, doğum tarihi, kimlik numarası ve uyruktur. Bu dört alan liste taraması için iyi bir başlangıçtır ve Risk Sorgu'nun skoru bu alanların her birinin kayıtla örtüşüp örtüşmediğini ayrı ayrı gösterir. Ödeme kuruluşları için pratik değeri, yüksek hacimli onboarding akışında otomatik karar verilebilecek sonuçları manuel incelemeye düşecek olanlardan ayırmaktır.
- Risk yok: hesap açılır, limitler standarttır.
- Düşük ya da orta: hesap açılır, limitler düşük tutulur ve eşleşen alanlar inceleme kuyruğuna gider.
- Yüksek ya da doğrulanmış yaptırım: hesap açılmaz, kayıt eşleşme adımlarıyla incelenir.
Üye işyeri kabulünde aynı ölçüm şirket unvanına ve yetkililere ayrı ayrı yapılır. Ortaklardan birinin siyasi nüfuz sahibi olması işyerini reddetmenin gerekçesi değildir, ama PEP rehberindeki ek tedbirleri devreye sokar.
Limit ve izleme ile risk dengesi
Ödeme kuruluşlarında risk bazlı yaklaşımın en somut aracı limittir. Yüksek risk sınıfındaki bir müşteriyi reddetmek yerine işlem limitlerini düşürmek ve izleme senaryolarını sıklaştırmak çoğu zaman daha orantılı bir cevaptır. Limitlerin müşterinin risk sınıfıyla birlikte değişmesi, sınıflandırmanın kâğıt üzerinde kalmadığını da gösterir. Dört unsurun nasıl puanlanacağına dair genel çerçeve risk bazlı yaklaşım rehberinde.
Kurgusal bir örnek: üç günde kırk gönderici
Uzaktan açılan bir cüzdan hesabının sahibi on dokuz yaşında bir öğrenci. Hesap açılışında adı, doğum tarihi ve kimlik numarasıyla yapılan ölçüm "Risk yok" bandında çıkıyor ve hesap standart limitlerle açılıyor. Sonraki üç gün içinde hesaba kırk farklı göndericiden küçük tutarlar geliyor ve gelen paranın neredeyse tamamı her akşam tek bir hesaba aktarılıyor.
Bu hesap, yukarıdaki işaretlerin ilk ikisini aynı anda taşıyor. Hesap sahibinin kendisi bir listede değil; büyük olasılıkla başkaları adına para toplayan bir aracı hesap olarak kullanılıyor. Liste taraması bu durumda temiz sonuç vermeye devam eder, çünkü ölçtüğü şey kişinin listelerle örtüşmesidir, hesabın davranışı değildir.
Risk bazlı cevap, hesabın risk sınıfını yükseltmek, limitleri düşürmek ve hareketleri incelemeye almaktır. Paranın aktarıldığı hesabın sahibi de ölçülür; çoğu zaman asıl risk zincirin o ucundadır. İnceleme şüpheyi güçlendirirse bildirim değerlendirilir. Bu ayrım, kabulde verilen notun neden kalıcı olmadığını da gösterir: risk sınıfı, hesabın nasıl kullanıldığına göre yeniden belirlenmelidir.
Sürekli tarama neden şart?
Cüzdan sahiplerinin büyük kısmı bir kez doğrulanır ve yıllarca işlem yapar. Bu sürede yaptırım listelerine yeni adlar eklenir, Resmî Gazete'de yeni dondurma kararları çıkar. Portföyün liste güncellemeleriyle eşzamanlı olarak yeniden taranması, dondurulması gereken bir hesabın işlem yapmaya devam etmesini önler. Döviz ve nakit tarafında benzer akışları döviz bürosu risk analizinde, kripto varlıklarla kesişen ödemeleri kripto varlık risk analizinde anlattık.
Sürekli tarama, inceleme kuyruğunu da besler. Liste güncellemesinden sonra skoru yükselen hesaplar, yeni açılan hesaplarla aynı kuyruğa düşer ve analist hangisinin önce ele alınacağını skora ve eşleşen alanlara bakarak seçer. Doğum tarihi ve kimlik numarası kayıtta bulunan müşterilerde yanlış pozitif oranı belirgin biçimde düşük kalır; bu yüzden hesap açılışında bu iki bilginin eksiksiz alınması, ileride yapılacak her taramanın kalitesini de belirler.
Bu rehber genel bilgi verir ve hukuki görüş yerine geçmez. Yürürlükteki mevzuat için MASAK'ın ve Resmî Gazete'nin güncel yayınlarını esas alın.