Yeni Kripto Varlık Düzenlemesi – 2: Kripto Varlık Hizmet Sağlayıcıları Faaliyet Esasları (Yazı Serisi – 2)
Geçtiğimiz gün yeni kripto varlık ikincil düzenlemeleri kapsamında kripto varlık hizmet sağlayıcıların kuruluş ve faaliyete başlamalarına ilişkin şartlarına değinmiştik. Bu yazımızda ise KVHS’lerin faaliyet süresince zorunlu oldukları düzenlemeleri ele alacağız.
Kripto Varlık Hizmet Sağlayıcıları Faaliyet İzni Nasıl Alınır?
Tebliğ m.17’de KVHS’lerin faaliyet izni süreci düzenlenmiştir. Buna göre Kuruluş için Kurul’dan izin alınması ardından 6 ay içerisinde faaliyet izni için başvurulmuş olması gerekmektedir. Faaliyet izni başvurusu yapmayanlar veya başvuru reddedilenler de kripto varlık hizmeti vermeye ilişkin ticaret ünvanlarındaki ibareyi değiştirecek ve faaliyet konularını da şirketlerinden silecekler.
Faaliyet izni verilenlere ise Kurulca yetki belgesi verilir. Yetki belgesi alınmadan faaliyete başlanamaz.
Kripto Varlık Hizmet Sağlayıcı Personel Türleri Nelerdir?
Tebliğ, kripto varlık hizmet sağlayıcılarının personel yapısını ve görevlerini düzenleyen bir dizi tanım sunmaktadır.
- İç Denetçi: Kurul mevzuatına ve iç kontrol prosedürlerine uygunluk sağlamak için denetim faaliyetlerini yürütmekten sorumludur.
- İç Kontrol Personeli: Süreçlerin, kontrollerin ve mevzuata uyumun etkinliğini izleyip inceleyerek hata ve eksiklikleri raporlayan, iç denetim dışında görevli personeldir.
- Risk Yönetimi Personeli: Tüm operasyonel, finansal ve stratejik riskleri tanımlayıp yönetmekle yükümlüdür; risk azaltma stratejileri geliştirir ve bunları üst yönetime raporlar.
- Operasyon Personeli: Müşteri emirlerini alıp, hesap bilgilerini yönetir ve pazarlama faaliyetlerini yürütür; aynı zamanda platform ile saklama kuruluşu arasındaki mutabakatı sağlar.
- Bilgi Güvenliği Sorumlusu: Kesin olarak tam zamanlı çalıştırılan personeldir ve bilgi güvenliği ile ilgili görevleri yürütür.
- Bilgi Teknolojileri Operasyon Personeli: Sistem yönetimi, yazılım geliştirme ve veri tabanı yönetimi gibi görevlerde bulunur; ayrıca kriptolojiyle ilgili görevleri de yerine getirir.
- Yatırım Danışmanı: Müşterilere kripto varlıklar hakkında yatırım tavsiyeleri verir.
- Ayrıca, başka unvanlarla çalıştırılan personel de bu düzenlemelere tabidir; ilgili görevleri üstlenmeleri zorunludur.
- Kripto varlık saklama hizmeti veren bankalarda çalışan personel için de benzer hükümler geçerlidir, ancak kendi unvanlarını kullanmaları mümkündür.
Kripto Varlık Hizmet Sağlayıcıları Yükümlülükleri
Kripto varlık hizmet sağlayıcılarının yükümlülüklerini düzenleyen Tebliğ, kullanıcıların haklarının korunması ve platformların sorumluluklarının sınırlarını belirlemeyi amaçlar. Bu çerçevede, riski bilgilendirme formu sunmaktan çerçeve sözleşmeler yapmaya, müşteri bilgilerini doğrulamaya kadar farklı yükümlülükler detaylandırılmıştır.
Risklerin Bildirilmesi Yükümlülüğü
Madde 21 uyarınca platformlar, müşterileriyle imzalayacakları çerçeve sözleşmelerle birlikte, kripto varlıklarla ilgili genel riskleri açıklamakla yükümlüdür. Ayrıca, müşteriden bu riskleri okuduklarına ve anladıklarına dair yazılı ya da elektronik bir onay alınması şarttır. Platformların ayrıca işlemlere dair ücret, komisyon, müşteri varlıklarının saklandığı yer gibi bilgileri şeffaf bir şekilde müşteriye sunmaları gerekmektedir. Bu bilgilerin genel ifadeler yerine somut ve sayısal örneklerle açıklanması esastır.
Çerçeve Sözleşme İmzalama Zorunluluğu
Madde 22‘ye göre platformlar, müşterileriyle işlem yapmaya başlamadan önce çerçeve sözleşme imzalamalıdır. Bu sözleşmeler yazılı olarak veya elektronik iletişim araçları üzerinden gerçekleştirilebilir. Elektronik ortamda yapılan sözleşmelerde müşteriye bir nüshanın verilmesi veya erişim sağlanması zorunludur. Yazılı yapılmış sözleşmelerdeyse, en az bir nüsha müşteriye sunulmalıdır. Platformlar, elektronik ortamda değişiklik yapmadan önce müşterilerden onay almak zorundadırlar.
Sözleşmede; emirlerin uygulanmasından nakit işlemlere, kripto varlık saklama yerlerine kadar birçok detay bulunmalıdır. Ayrıca, sermaye piyasası mevzuatına aykırı herhangi bir hükme veya platformların sorumluluğunu sınırlayan hükümler bulunamaz. Hak sahipliği değişimlerinde sözleşmenin yenilenmesi gerekliliği de belirtilmiştir.
Müşteri Numarası ve Hesapları
Madde 23, platformların her müşteri için ayrı bir müşteri numarası tahsis etmek zorunda olduğunu belirtir. Bu numaralar, sözleşmenin sona ermesinden itibaren 10 yıl başka bir müşteriye verilemez. Platformlar, müşteri işlemleri başlamadan önce MKK’dan sicil numarası almak ve bu numarayı eşleştirmekle yükümlüdür.
İnternet Siteleri ve KAP Duyuruları
Madde 24 kapsamında platformlar, internet sitelerinde ve KAP üzerinden yetkili oldukları hizmetlerle ilgili bilgileri şeffaf bir şekilde sunmalıdır. İnternet sitelerinde listelenen kripto varlıklar, ücret politikası, risk bildirimleri gibi bilgilere yer verilmelidir. Ayrıca müşterilerin acil durum iletişim bilgilerine ve beklenmedik olaylarla ilgili alınan tedbirlere dair açıklamalara da ulaşabilmesi gerekmektedir.
Saklama kuruluşlarının sitelerinde de anlaşmalı oldukları platformların ve sakladıkları varlıkların listesi bulunmalıdır. Tüm bu bilgilerin güncelliği platformların sorumluluğundadır.
Müşteri Tanımı ve Tanımlama İlkesi
Madde 25, müşteriyi platformlardan hizmet alan tüm bireyler ve tüzel kişiler olarak tanımlar. Suç gelirlerinin önlenmesi ilkesi çerçevesinde kimlik doğrulama işlemleri yapılmalıdır. Kimlik bilgileri İçişleri Bakanlığı veritabanı aracılığıyla kontrol edilir. Ayrıca müşterek hesaplarda her hak sahibi için ayrı kimlik doğrulama işlemleri yapılmalıdır.
Tüm bu düzenlemelerle birlikte, üçüncü kişilerin müşteri adına işlem yapabilmesi için noter onaylı bir vekâletnameye sahip olmaları gerekir. Yönetmelikler, suç gelirlerinin aklanmasının ve terörün finansmanının önlenmesine yönelik tedbirlerin uygulanmasını da zorunlu kılar.
Bu düzenlemeler, müşterilerin haklarının korunması ve kripto varlık hizmet sağlayıcılarının sorumluluklarının netleştirilmesi amacıyla oluşturulmuş kapsamlı bir çerçeve sunmaktadır. Platformların şeffaflığı ve müşteri güvenliği bu bağlamda büyük önem taşımaktadır.
Reklam, Tanıtım ve Duyuru Esasları
- Kripto varlık hizmet sağlayıcıları, hizmetlerine yönelik reklam, duyuru ve tanıtımlarda farklı iletişim kanallarını kullanabilir. Ancak bu iletiler objektif olmalı, yanıltıcı bilgi içermemeli ve müşteri tecrübe eksikliklerini istismar etmemelidir.
- Yalan, yanlış veya yanıltıcı bilgi sunmaları yasaktır.
- Herhangi bir reklamda mevzuatın izin vermediği durumlar dışında, mutlak getiri veya zarara karşı garanti verilemez.
- Reklamlarda sağlayıcının mali durumu veya hizmet performansı hakkında yalnızca resmi veriler belirtilmelidir ve bu veriler dayandıkları kaynaklarla desteklenmelidir.
- Reklam, tanıtım ve duyurular aşağıdaki içeriklerden arındırılmalıdır:
- Kullanıcıların her zaman kazanç elde edeceği veya zarar etmeyeceği yönündeki ifadeler.
- Belirli meslek gruplarına veya sosyoekonomik kesimlere yönelik gelir artışı vaatleri.
- İşlemlerin risksiz, güvenli ya da kamu kurumlarınca güvence altına alındığı izlenimi.
- Yatırımın bilgi gerektirmediği veya kolay öğrenildiği ifadeleri.
- İstatistik ya da verilere dayanmayan ve yanıltıcı rekabet yaratacak ifadeler.
- Hassasiyetlere yönelik istismar edici ifadeler.
- Reklamlarda ödül, promosyon veya benzer kampanyalar düzenlenemez:
- Yüksek maddi değere sahip ödüller sunarak yatırımcıları teşvik edici kampanyalar.
- Bir kripto varlığın yatırım yapılmasını teşvik eden getiri vaatleri.
- Sigortalar veya benzeri konular, tanıtım malzemelerinde reklam edilemez.
- Müşteri bilgileri, yasa dışı şekilde başkaları ile paylaşılmamalıdır.
Dışarıdan Hizmet Alımına Dair Temel Esaslar
- Kripto varlık hizmet sağlayıcıları, hizmetlerini yürütürken belirli koşullara bağlı olarak başka hizmet sağlayıcı kuruluşlardan destek alabilir.
- Ancak şu alanlarda dışarıdan hizmet alınamaz:
- Yönetim kurulunun yürütmesi gereken esas faaliyetler.
- Mevzuat gereği yetkilendirme veya izin gerektiren hizmetler.
- Muhasebe ve finansal raporların hazırlanması.
- İç denetim, kontrol ve risk yönetimi alanları.
- Danışmanlık, eğitim, temizlik, güvenlik ve diğer destek hizmetleri dışarıdan alınabilir ancak bunlar faaliyet sunumuna doğrudan dahil olamaz.
- Dışarıdan alınan hizmetler için yazılı bir sözleşme yapılması gereklidir:
- Risklerin yönetimi ve hizmetin kesintisiz bir şekilde sağlanması için acil durum planları düzenlenmelidir.
- Dış hizmet sağlayıcıları alınan hizmetler boyunca müşteri ve şirket bilgilerinin gizliliğini korumak zorundadır.
- Bu tür hizmet alımları, sağlayıcının yasal yükümlülüklerini ortadan kaldırmaz ve müşteri ile doğrudan ilişkilerden doğan sorumluluk tamamen hizmet sağlayıcıya aittir.
- Bilgi sistemlerinde dış hizmet alımında, yönetim, erişim ve denetim gibi sorumluluklar hizmet sağlayıcıda kalmalıdır.
- Dış hizmet sağlayıcılarının yurt dışında faaliyet göstermesi durumunda:
- İlgili ülke düzenlemeleri, Kurumun ihtiyacı olan bilgiye erişimi engellememelidir.
- Planlı bir kesinti durumunda alternatif hizmet çözümleri hazır bulundurulmalıdır.
- Tüm hizmet alımları, sağlayıcının denetimini ve yasal uygunluklarını engellemeyecek şekilde düzenlenmelidir.
İç Denetim, İç Kontrol ve Risk Yönetimi
İç Denetim ve Faaliyetleri
Kripto varlık hizmet sağlayıcılarının etkin, yeterli ve uyumlu bir iç denetim birimi kurması zorunludur. Bu birim, bilgi sistemleri başta olmak üzere tüm iç kontrol ve risk yönetimi süreçlerini değerlendirir. Denetim sürecinin bağımsız olarak gerçekleştirilmesi ve üst yönetime raporlama yapılması esastır. Ayrıca, iç denetim tüm faaliyetleri kapsar ve gereken durumlarda soruşturma açabilir, belgeleri inceleyebilir veya işten uzaklaştırma önerisinde bulunabilir. İç denetim birimi doğrudan yönetim kuruluna bağlıdır ve iç denetçiler, tarafsızlıklarını koruyarak her türlü belgeye erişim yetkisine sahiptir. Bilgi sistemlerine ilişkin faaliyetlerde VII-128.10 sayılı Tebliğ esasları uygulanır.
İç Kontrol Faaliyetleri
İç kontrol, tüm işlemler ve hesap kayıtlarının yasalara, strateji ve politikalara uygun yürütülmesini hedefler. Etkin bir iç kontrol mekanizması, personelin yazılı prosedürlere uymasını sağlamayı ve yasa dışı faaliyetleri önlemeyi amaçlar. Her düzeyden personelin katılımı teşvik edilir ve iç kontrol birimi, doğrudan belirlenen bir yönetim kurulu üyesine bağlı olarak çalışır. Kontrol personeli yalnızca bu görevle ilgilenir ve diğer birimlere raporlama yetkisine sahiptir.
Risk Yönetimi
Risk yönetimi, hizmet sağlayıcıların karşılaşabileceği riskleri tanımlamayı, ölçmeyi ve önlem almayı içerir. Özellikle bilgi sistemlerine yönelik güvenlik açıkları, sistemsel zayıflıklar ve siber saldırılar gibi unsurlar dikkate alınır. Risk yönetim birimi, gerektiğinde iç kontrol birimiyle koordinasyon içinde çalışarak risklerin etkilerini raporlar ve yönetim kuruluna sunar.
İş Akış Prosedürleri
Hizmet sağlayıcılar aşağıdaki hususlarda detaylı yazılı prosedürler oluşturmalıdır:
- Müşteri hesap işlemleri ve tanıma süreçleri,
- Para transfer işlemleri,
- İşlemlerin kaydı ve muhasebe aktarımı,
- Bilgi güvenliği ve sistem riskleri,
- Hatalı işlemler için düzeltme mekanizmaları,
- Çalışanların görev ve sorumluluklarını içeren politika tanımları.
Kurtarma Planları
Hizmet sağlayıcılar olası kayıplara karşı kurtarma planları oluşturmalı ve bu planları yılda en az bir kez gözden geçirmelidir. Planlar; tehdit altındaki sistemleri izole etmeyi, zayıf noktaları tespit etmeyi ve kapasitenin yeniden sağlanmasını içerir. Kurtarma planlarının iş akış prosedürlerine uygunluğu değerlendirilerek düzenli raporlama yapılır.
Bağımsız Denetim Faaliyetleri
Kripto varlık hizmet sağlayıcıları, yılda en az bir kez bağımsız denetim yaptırmak zorundadır. Denetim, iç kontrol sisteminin işleyişini ve mevzuata uygunluğunu kapsar. Rezerv kanıt denetimleri ise yılın belirli dönemlerinde yapılır. Kurul, gerektiğinde ek denetim talep edebilir ve raporların iletilmesi için usul ve esasları belirleme yetkisine sahiptir.
Faaliyetlerin Kendi İsteği ile Durdurulması ve Faaliyet İzinlerinden Feragat
Faaliyetlerin Kendi İsteği ile Geçici Olarak Durdurulması
MADDE 50 –
- Kripto varlık hizmet sağlayıcılar, faaliyetlerini geçici olarak durdurma talebiyle Kurul’a başvurabilirler. Bu başvurular olumlu karşılanırsa, iki yılı aşmayacak bir süreyle faaliyetlerini durdurabilirler. Faaliyet tekrar durdurulmak istendiğinde toplam süre iki yılı geçmemelidir. Beş yıl içinde aynı gerekçeyle faaliyet durdurulmak istendiğinde önceki durdurma süreleri de hesaba katılır.
- Bu tür başvurularda, Madde 51’in hükümlerine de uyulması gereklidir.
- Verilen sürenin sonunda yeniden faaliyete geçmek için Kurul’a başvuruda bulunulmazsa, hizmet sağlayıcının faaliyet izinleri iptal edilir.
Faaliyet İzinlerinden Tamamen Feragat Edilmesi
MADDE 51 –
- Kripto varlık hizmet sağlayıcılar faaliyet izinlerinden tamamen feragat etmek istediklerinde, Kurul bu talepler doğrultusunda faaliyet izinlerini iptal eder.
- Faaliyet izinlerinden feragat başvurusu için şu adımlar uygulanır:
- İşlem yapılacak tarihle ilgili bilgilendirme, şirketin web sitesinde, KAP’ta ve ülke genelinde yayımlanan yüksek tirajlı gazetelerde ilan edilir. Bu ilanlarda müşteriler varlıklarını istedikleri cüzdanlara aktarabilecekleri bildirimi almalıdır.
- Tüm müşterilerle mutabakat sağlanması ve işlemler sonunda müşteri varlıklarının saklama kuruluşuna transfer edilmesi gereklidir.
- Müşteri bakiyeleri banka hesaplarına iade edilir. İade belgeleri müşterilere elektronik ortamda gönderilir.
- Alacaklılara ulaşılmayan durumlarda müşteri varlıklarının değeri saklama kuruluşunda bloke edilir.
- Şirkette en az %10 hisseye sahip ortaklar, tüm borçların orantılı biçimde karşılanacağına dair taahhüt sunmalıdır.
- Saklama kuruluşlarının faaliyet izninden feragatinde yukarıdaki adımlar benzer şekilde uygulanır. Platformdaki müşteri varlıkları başka bir yetkili saklama kuruluşuna aktarılır ve müşteriler mağdur edilmez.
- Faaliyet izinlerinin iptali bildirildikten sonra şirket üç ay içerisinde faaliyet konusunu değiştirmeli veya tüzel kişilik statüsünü sona erdirmelidir.
- İhtilaf konusu varlıkların mahkeme kararına göre serbest bırakılması esastır.
- Saklama kuruluşunun değişmesi gerektiği durumlarda Kurul bu konuda yetkilidir.
Kripto Varlık Hizmet Sağlayıcılar Hakkında Tedbirler
Faaliyet İzinlerinin Sınırlandırılması, Geçici Durdurulması veya İptali
MADDE 52 –
- Kripto varlık hizmet sağlayıcıların işlevlerini ihlal teorisi çerçevesinde belirlenen talepler karşılanmadığında Kurul şu adımlar doğrultusunda süreç yürütür:
- İzin alındıktan sonra bir yıl boyunca herhangi bir işlem yapılmaması durumunda,
- Yanıltıcı bilgiler ile izin alınmışsa,
- Kanun ve düzenlemelere uygunluğu sağlamayan durumlarda ve verilen süre zarfında bu eksiklikler tamamlanmazsa,
- Diğer mali yetersizlik durumlarının oluşması halinde izin sınırlama, iptalini devreye koyabilir.
- Faaliyet izinleri geçici süreyle durdurulmuş hizmet sağlayıcılar için iki yıllık bir erteleme süresi tanımlanır. Bu sürenin sonunda faaliyet izinleri yenilenmezse tüm yetkiler iptal edilir.
- İki farklı dönemde yine durdurma girişimi yaşanırsa üçüncü deneme ile iptal kesinleşir.
Hukuka Aykırı Faaliyetlere Yönelik Tedbirler
MADDE 53 –
- Kurul, tespit edilen hukuksuz faaliyetlere müdahale içerikli yöntemlerle şu adımları uygular:
- Mevzuata uygunluk kapsamında gerekli aksiyonları alır.
- Yönetici ve çalışanlara yönelik lisans iptali süreçleri uygulayabilir.
- Suç duyurusu yapılarak, birey haklarının geçici süresiz yapısı hukuki incelemeden sonuçlanana kadar etkilenebilir.
Mali Durum Bozulması Halinde Alınacak Tedbirler
MADDE 54 –
- Hizmet sağlayıcıların mali yükümlülüklerini yerine getiremediği durumlarda:
- Sermaye artırımı talep edilir,
- Faaliyetler kısıtlanabilir, geçici süreyle durdurulabilir veya tamamen iptal edilebilir.
- Yönetim kurulu revizyon süreci sıkı denetimle yenilenerek uygun yapılanma hedeflenir.
- Bankalar gibi durumlara yönelik düzenlemeler, yine BDDK gözetiminde devreye alınır. Bu durum, yasal tasarrufların sağlayıcı bankalar adına kullanımını içerir.
Kripto Varlık Hizmet Sağlayıcıların Yapamayacağı Faaliyetler:
- Sınai ve Ticari Faaliyetler: İzin verilen hizmetler haricinde hiçbir endüstriyel veya zirai faaliyet gerçekleştiremezler.
- Mali Taahhütler ve Evrak Çıkartma: Mevzuatın izin vermediği durumlarda mali yükümlülük içeren belgeler düzenleyemezler.
- Gayrimenkul: Ticari amaçlı gayrimenkul alım satımı yapamazlar.
- Mevduat veya Katılım Fonları: Mevduat veya katılım fonu toplama ya da buna benzer faaliyetlerde bulunamazlar.
- Getiri Garantisi: Kripto varlıklarda garanti edilmiş kazanç vaat edemezler.
- Müşteri Varlıkları: Müşteriye ait kripto varlıkları veya nakitleri kendileri veya üçüncü şahıslar lehine kullanamazlar.
- Fiktif Hesaplar ve Yanıltıcı İşlemler: Sahte hesap açma veya kayıt dışı işlemler yasaktır.
- Müşteriden Yetki Alımı: Müşteri adına geniş yetkiler içeren vekâletname veya benzer düzenlemelerle işlem yapılamaz.
- Müşteri Haklarının Zedelenmesi: Müşterilere zarar veren, dürüstlük kurallarına aykırı işlemler yapılamaz.
- Aşırı Alım-Satım Teşviki: Gereksiz işlem yapmaya teşvik edemez veya müşterilerin talimatı olmaksızın işlem gerçekleştiremezler.
- Bağış Sınırlaması: Bir mali yılda özkaynaklarının binde beşinden fazla bağış yapamazlar.
- Döviz Alım Satımı: Döviz ticareti veya transferi yapamazlar ve bu izlenimi yaratacak işaretler kullanamazlar.
Sonuç
Kripto Varlık Hizmet Sağlayıcıların da son dönemlerde kullanıcılar tarafından oldukça yüksek ilgi görmesi ve yüksek hacimli transferler, Devletlerin KVHS’leri bankalara benzer şekilde ayrıntılı düzenlemesini gerektirmiştir. Bu noktada KVHS’ler de bankalar gibi, elektronik para kuruluşları gibi birçok iç denetim, risk, bilgi sistemleri denetimlerine tabi olacaktır. Bu noktada kripto para piyasasının daha güvenli şekilde ilerlemesi için çok yerine bir düzenleme olarak bu ikincil düzenlemeler karşımıza çıkmaktadır.
Bu yazımızda KVHS’lerin faaliyetine ilişkin esaslarına yer verdik. Yazımızın 3. serisinde ise KVHS’lerin bilgi sistemleri zorunluluklarına yer vereceğiz.
Bir önceki yazımız “Kripto Varlık Hizmet Sağlayıcı Kuruluş ve Faaliyet Şartları”na bağlantıdan ulaşabilirsiniz.
Av. Ali ERŞİN’in Edux Academy’deki “Kripto Varlık Hukuku” eğitimine bağlantıdan kaydolabilirsiniz.
Yazarın tüm Blog yazılarına bağlantıdan ulaşabilirsiniz.
Yazarın yeni çıkan “Metaverse Dünyasında Fikri Hakların Korunması” isimli kitap bağlantısına bağlantıdan ulaşabilirsiniz.
Yazar: Av. Ali ERŞİN (LL.M.)
Hukuk ve Bilişim Dergisi Genel Koor.
Mail: av.ersinali@gmail.com
Ankara Barosu’na kayıtlı avukattır. Selçuk Üniversitesi Hukuk Fakültesi’nden 2019 yılında mezun olmuştur. Hukuk ve teknoloji alanlarında çalışmalar yürütmekte olup, Hukuk ve Bilişim Dergisi ile Blog’un genel koordinatörlük ve editörlük görevlerini yürütmektedir. Anadolu Üniversitesi S.B.E. Özel Hukuk Anabilim Dalından “Metaverse Dünyasında Fikri Hakların Korunması” konulu yüksek lisans tezi ile mezun olmuştur.