Madde 19 — Yüksek riskli işlemlerin takibi
MADDE 19 – (1) Kuruluş, sahtekârlık ya da dolandırıcılık amaçlı işlemler ile mali suç kapsamında değerlendirilebilecek işlemleri tespit etmek ve önlemek amacıyla işleme taraf müşteriler ile temsilciler, işyerleri ve insansız hizmet noktalarından gerçekleştirilen tüm işlemler için takip mekanizmaları tesis eder. Bu kapsamda şüpheli veya yüksek riskli işlemleri detaylı olarak değerlendirir. Kuruluş, gerçekleşen işlemlere yönelik işleme taraf işyeri ve sunduğu hizmete yönelik etkin bir takip yürütmekle sorumludur. Bu kapsamda kuruluş, işyerine yönelik risk değerlendirme çalışması yapmak, işyerinin sunduğu hizmetin sosyal mühendislik faaliyetlerine konu olmadığı ve belirtilen hizmet ile gerçekte sunulan hizmetin uyumluluğu konusunda bilgi sahibi olmak, hizmetlere ilişkin yoğun müşteri şikâyeti olması durumunda risk değerlendirmesini gözden geçirerek gerekli tedbirleri almaktan sorumludur.
(2) 5549 sayılı Kanuna ilişkin yükümlülükler saklı kalmak üzere kuruluş, olağan dışı, şüpheli ya da yüksek riskli işlemlerin gerçekleştirildiğini tespit etmesi halinde telefon ya da SMS gibi uygun yöntemlerle müşterilerin en kısa sürede uyarılmasını sağlar. Müşteriye kısa sürede ulaşılabilecek bir iletişim bilgisinin kuruluş ile paylaşılmamış olması halinde bu fıkra hükmü uygulanmaz.
(3) Düşük değerli olan ödeme işlemlerinin kısa bir süre içinde sıklıkla gerçekleştirilmesi ya da düşük değerli ödeme aracının kısa bir süre içinde sıklıkla kullanılması yüksek riskli işlem olarak değerlendirilir.
(4) Kuruluş, Kanun kapsamında elektronik kanallar üzerinden sunduğu hizmetlerle ilgili olarak gerçekleşen olağan dışı, sahtekârlık amaçlı veya dolandırıcılık riski bulunan işlemleri tespit etmeye ve bunları önlemeye yönelik işlem takip mekanizmaları kurar. İşlem takip mekanizması kapsamında uygun olan durumlarda asgari olarak aşağıdaki risk unsurları takip edilir:
a) Finansal sonuç doğuran işlemlere yönelik bilinen dolandırıcılık yöntemleri.
b) Gerçekleştirilen her bir ödeme işleminin tutarı ve bu tutarlara göre müşterinin, fiziki ortamlarda gerçekleştirilen tüm işlemlerde, elektronik kanallar üzerinden gerçekleştirilen işlemlerde ise müşterinin onay vermesi durumunda konum bilgisi de kullanılarak normal dışı bir ödeme, fon transferi ya da davranış deseni gösterip göstermediği.
c) Kaybolmuş, çalınmış ya da yetkisiz kişilerce ele geçirilmiş kimlik doğrulama unsurlarının listesi.
ç) Her bir kimlik doğrulama oturumuna yönelik olarak zararlı yazılımların bulaşmış olabileceğini gösteren belirtiler.
d) Mümkün olması durumunda, müşterinin ve müşterinin ödeme yaptığı veya fon transfer ettiği tarafların daha önce sahtekârlık amaçlı veya dolandırıcılık kapsamına giren ödeme işlemleri gerçekleştirip gerçekleştirmediğine ilişkin kayıtlar.
e) (Değişik ibare:RG-7/10/2023-32332) MASAK tarafından yayımlanan rehberlerde yer alan şüpheli işlem tipleri kapsamında uygun görülen senaryolar.
(5) Kuruluş, yüksek riskli işlemleri filtreleyerek değerlendirir ve bu filtrelere takılan müşterileri daha yakından takip eder.
(6) Kuruluş, yürütmekte olduğu risk yönetimi faaliyetleri kapsamında, kuruluş tarafından Kanun çerçevesinde sunulan hizmetlerin, yasa dışı bahis başta olmak üzere yasa dışı faaliyetlerde kullanılıp kullanılmadığının tespiti için sosyal medya ve çevrim içi platformlar dâhil gerekli araştırmaların yapılması ve bu tür işlemlerin önlenmesi için uygun tedbirlerin alınmasını sağlar.
(7) Altıncı fıkra uyarınca alınacak tedbirler kapsamında kuruluş bu işten doğrudan sorumlu olacak yeterli sayıda personeli görevlendirir ve;
a) Görevlendireceği personel tarafından sosyal medya ve çevrim içi platformlar başta olmak üzere yasa dışı bahis ve benzeri yasa dışı faaliyetlerin gerçekleşmesine imkân tanıyan sanal mecralarda kuruluş üzerinden para transferi yapılmasına ilişkin yer alan linkler kullanılarak kuruluş nezdinde hangi kişilerin, hesapların, kartların, işyerlerinin yasa dışı faaliyetlerde kullanıldığının tespit edilmesini,
b) Tespit edilen müşterilere ödeme hizmeti sunulmasının ivedi olarak sonlandırmasını, bu müşterilere para gönderen veya bu müşteriler tarafından para gönderilen kişilerin, hesapların, kartların, işyerlerinin de tespit edilerek yakın takibe alınması ve yasa dışı bahis başta olmak üzere yasa dışı faaliyetlerde kullanıldığına veya rol aldığına ilişkin şüphe oluşması durumunda bu müşterilere de ödeme hizmeti sunulmasının sonlandırılmasını,
c) (a) bendinde yer alan adımların, yasa dışı bahis ve benzeri yasa dışı faaliyetlerin gerçekleşmesine imkân tanıyan sanal mecralarda kuruluş üzerinden para transferi yapılmasına ilişkin diğer kişilerin, hesapların, kartların, işyerlerinin kullanılmadığına ilişkin makul görüş oluşuncaya kadar tekrarlanmasını,
ç) Bu madde uyarınca tespit edilen kişilerin, hesapların, kartların, işyerlerinin ve bunlarla ilgili olarak gerçekleştirilen tüm işlemlerin kayıt altına alması, kayıt altına alınan söz konusu müşterilerin ve bu müşteriler üzerinden gerçekleşen işlemlerin Bankaya ve yasa dışı işlemin mahiyetine bağlı olarak başta (Değişik ibare:RG-7/10/2023-32332) MASAK olmak üzere ilgili kamu otoritelerine raporlanmasını,
d) Kontrolü yapılan ve yasa dışı bahis ve benzeri yasa dışı faaliyetlerin gerçekleşmesine imkân tanıdığı tespit edilen sanal mecraların da kayıt altına alınarak Bankaya ve (Değişik ibare:RG-7/10/2023-32332) MASAK’a bildirilmesini,
sağlar.
(8) Kuruluş tarafından yedinci fıkra uyarınca görevlendirilecek personelin sayısının kuruluşun işlem adet ve tutarları ile faaliyet gösterdiği ödeme hizmeti türleri göz önünde bulundurularak yeterli kontrol mekanizmasının sağlanmasını temin edecek şekilde belirlenmesi gerekmektedir. Banka, kuruluşun işlem adet ve tutarlarını gözeterek kuruluştan yedinci fıkra uyarınca görevlendirilecek personelin bu işe özgü olarak atanmasını istemeye yetkilidir.
(9) Münhasıran Yönetmeliğin 4 üncü maddesinin birinci fıkrasının (g) bendinde yer alan ödeme hizmetlerini sunan kuruluşlar bu maddedeki yükümlülüklerden muaftır.
İşyerleri, temsilciler ve insansız hizmet noktaları