Son birkaç yılda Estonya’daki kurumsal hizmet sağlayıcılara yönelik gereklilikler önemli ölçüde değişti. AML/KYC, yaptırım uyumu, UBO’nun tespiti, fonların kaynağı, faaliyet coğrafyası, grup yapısı ve şirketin gerçek faaliyetinin anlaşılması, müşteri kabulünde artık basit formaliteler olmaktan çoktan çıktı.
2026–2027’de bu eğilim daha da belirgin hale geliyor.
Bir kurumsal hizmet sağlayıcı ve Estonya Mali İstihbarat Birimi (FIU/RAB) ile iletişimden sorumlu irtibat kişisi olarak bu gelişmeleri yalnızca daha sıkı bir düzenleme olarak görmüyorum. Piyasa, şekli uyumdan anlamlı risk yönetimine doğru adım adım ilerliyor. Ve meşru işletmeler için bu aslında iyi bir haber.
Karmaşık müşteri, mutlaka kötü müşteri değildir
Uluslararası bir şirket yapısı tek başına bir uyarı işareti değildir. Yabancı bir UBO da öyle. Birden fazla ülke, uzaktan yönetim, uluslararası ödemeler ya da alışılmadık bir iş modeli, müşterinin otomatik olarak reddedilmesi gerektiği anlamına gelmez.
Risk temelli yaklaşım bambaşka bir mantıkla çalışır: riski anlamak, doğrulamak, değerlendirmek ve etkili biçimde yönetilip yönetilemeyeceğine karar vermek.
Estonya FIU’su AML/CFT risk yönetimini birbirine bağlı bir sistem olarak görür: şirketin kendi iş modelini anlamaktan ve risk değerlendirmesinden, risk iştahını belirlemeye, iç prosedürleri uygulamaya, CDD tedbirlerini yürütmeye ve sürekli izlemeye kadar. İç prosedürler, mevzuat metnini tekrarlamak yerine şirketin gerçekte nasıl çalıştığını yansıtmalıdır.
Bu nedenle uyumun, en çok müşteriyi kimin reddettiği yarışına dönüşmesi gerektiğine inanmıyorum.
Risk temelli AML yaklaşımı: müşteri riskini anlamak, doğrulamak, değerlendirmek ve yönetmek
Risk temelli yaklaşım, sıfır risk yaklaşımı değildir
AML/KYC’nin amacı uluslararası ticareti imkânsız kılmak ya da yapısı standart bir şablona uymayan her müşteriyi dışlamak değildir.
Amaç; kiminle çalıştığımızı, şirketin gerçekte ne yaptığını, kime ait olduğunu ve kimin kontrol ettiğini, fonların nereden geldiğini ve beyan edilen faaliyetin gerçeğe uyup uymadığını anlamaktır.
Bazen bu değerlendirme gerçekten de bir iş ilişkisini kurmama ya da sürdürmeme kararıyla sonuçlanmalıdır. Diğer durumlarda yüksek riskler ek belgeler, güçlendirilmiş durum tespiti, daha derin analiz veya sürekli izleme ile yönetilebilir.
Benim için uyumun kalitesi reddedilen müşteri sayısıyla değil, alınan kararların kalitesi ve savunulabilirliğiyle ölçülür.
Bu, pratikte müşteriler için ne anlama geliyor?
Bir kurumsal hizmet sağlayıcı iş modeliniz, karşı taraflarınız, faaliyet gösterdiğiniz ülkeler, fonların kaynağı veya sahiplik yapınız hakkında ek sorular soruyorsa, bu otomatik olarak şüpheli görüldüğünüz anlamına gelmez. Çoğu zaman amaç çok daha basittir: işi eksiksiz anlamak ve bu anlayışı uygun belgelerle destekleyebilmek.
Müşteriler açısından bu, şirket yapısının açık, tutarlı ve açıklanabilir olmasının giderek daha önemli hale geldiği anlamına gelir.
Örneğin bir şirket Estonya’da kurulmuş olabilir, Almanya’daki müşterilere satış yapabilir, Polonya’daki geliştiricilerle çalışabilir, BAE’de yaşayan bir UBO’ya sahip olabilir ve başka birkaç ülkedeki karşı taraflarla ilişkiler sürdürebilir. Bunların hiçbiri mutlaka bir sorun değildir.
Ancak açık bir ekonomik gerekçe olmalıdır:
- şirketin neden Estonya’da kurulduğu;
- nereden yönetildiği;
- müşterilerinin nerede olduğu;
- gelirin nasıl elde edildiği ve muhasebeye nasıl yansıdığı;
- yapının her bir unsurunun hangi işlevi gördüğü.
Bir işletme bu sorulara ne kadar net yanıt verebilirse, yalnızca kurumsal hizmet sağlayıcısıyla değil, bankalar, ödeme kuruluşları ve finansal sistemin diğer aktörleriyle çalışması da o kadar kolaylaşır.
Uluslararası yapı örneği: Estonya OÜ’sü, AB’deki müşteriler ve yurt dışındaki bir UBO
Yaptırım taraması, yaptırım uyumu ile aynı şey değildir
Bir diğer önemli eğilim: Bir müşterinin veya UBO’nun adını yaptırım listelerinde kontrol etmek artık yeterli değildir. Modern yaptırım uyumu çok daha ileri gider.
Koşullara bağlı olarak sahiplik ve kontrolün, bir hizmetin nihai yararlanıcısının, işlemin coğrafyasının, mal veya hizmetlerin amacının, aracıların rolünün ve ilişkinin gerçek ekonomik özünün analiz edilmesi gerekebilir.
Yaptırım riski her zaman yaptırım uygulanan bir kişiyle doğrudan bir ödeme veya doğrudan bir sözleşme gerektirmez. Belirli hizmetlerin sunulması veya başka ekonomik faydalar yoluyla da ortaya çıkabilir.
İşletmeler için pratik sonuç basittir: Bugün yalnızca faturayı kimin aldığını değil, işlemin arkasında gerçekte ne olduğunu da anlamak önemlidir. Bu, tek bir işlemin birden fazla ülkeyi, aracıyı, bankayı ve düzenleyici rejimi kapsayabildiği uluslararası işletmeler için özellikle geçerlidir.
Uyum artık sadece bir belge klasörü değil
Birkaç yıl önce bir AML dosyası çoğunlukla zorunlu belgelerden oluşan bir set olarak görülürdü: pasaport, adres kanıtı, UBO beyanı, anket ve yaptırım taraması sonuçları. Bugün beklentiler çok daha ileridedir.
Risk değerlendirmesi, risk iştahı, iç prosedürler, müşteri risk profilleri, CDD/EDD, sürekli izleme, yaptırım taraması, bildirim, eğitim ve iç kontroller giderek tek bir işleyen uyum sisteminin parçaları olarak çalışmalıdır — özellikle lisanslı finans şirketlerinde.
Harici KYC veya kimlik doğrulama sağlayıcılarının kullanılması bile yükümlü kuruluşun sorumluluğunu bu sağlayıcıya devretmez. Müşterinin risk profilini ve risk seviyesini belirleme sorumluluğu kurumsal hizmet sağlayıcıda kalır.
Bana göre bu, yaşanan en önemli değişikliklerden biridir. Soru artık yalnızca şu değildir:
“Bu belge bizde var mı?”
Giderek artan biçimde asıl soru şudur:
“Bu kararı neden verdik ve bunu gerekçelendirebilir miyiz?”
AML/CFT uyum sistemi: risk değerlendirmesi, CDD/EDD, izleme, yaptırım taraması ve iç kontroller
İyi bir KYC yalnızca sağlayıcıyı değil, müşteriyi de korur
Uyumun çok daha az konuşulan bir yönü daha var. Doğru hazırlanmış bir KYC profili yalnızca kurumsal hizmet sağlayıcı veya düzenleyici için faydalı değildir. İşletmenin kendisi için de faydalıdır.
Bankalar, ödeme kuruluşları ve diğer yükümlü kuruluşlar çoğu zaman birbirine çok benzer sorular sorar:
- UBO kim?
- Fonlar nereden geliyor? (Net finansal tablolar bu soruyu yanıtlamaya yardımcı olur.)
- Şirket nerede faaliyet gösteriyor?
- Neden tam olarak bu şirket yapısı seçildi?
- Başlıca karşı taraflar kimler ve işlem akışı nasıl görünüyor?
Bu konular kurumsal hizmet aşamasında zaten doğru şekilde ele alınmışsa, müşterinin yapısını finansal sistemin diğer aktörlerine tutarlı biçimde açıklaması çok daha kolay olur.
Bu yüzden iyi bir uyumu yalnızca düzenleyici bir yük olarak görmüyorum. Doğru uygulandığında şirketin kurumsal altyapısının bir parçası haline gelir.
2027’de neler değişiyor?
10 Temmuz 2027’den itibaren temel AML/CFT gerekliliklerinin önemli bir kısmı doğrudan AB Kara Para Aklamayla Mücadele Tüzüğü (AMLR) ile düzenlenecek.
AB düzeyinde AMLR, diğerlerinin yanı sıra şunları doğrudan düzenleyecek:
- risk değerlendirmesi ve iç kontroller;
- CDD, SDD ve EDD;
- PEP’lere ilişkin gereklilikler;
- müşterilerin ve gerçek faydalanıcıların tanınması;
- sürekli izleme, bildirim ve kayıt saklama.
Aynı zamanda ulusal düzenlemeler ortadan kalkmayacak. Ulusal FIU’ların çalışmaları, denetim, ulusal sicil kayıtları, idari tedbirler ve sorumluluk kısmen ulusal düzeyde düzenlenmeye devam edecek.
Uyum uzmanları için bu, çerçevenin hem AB genelinde daha uyumlu hale geldiği — tıpkı kripto varlık hizmet sağlayıcılarına yönelik MiCA rejimi gibi — hem de uygulamada daha içerikli olduğu anlamına geliyor.
Nereye gidiyoruz?
Yönü oldukça net görüyorum:
- daha az şekli KYC — gerçek işin daha iyi anlaşılması;
- daha az evrensel kontrol listesi — daha fazla risk temelli analiz;
- “dosya için” hazırlanan daha az belge — alınan kararları açıklama ve savunma becerisinin artması.
Bunun doğru yön olduğuna inanıyorum. Aynı zamanda uyum, kendi riskini azaltmanın en kolay yolunun standart dışı her müşteriyi reddetmek olduğu otomatik bir de-risking’e dönüşmemelidir.
İyi bir uyum, meşru işletmelerin faaliyetini engellememelidir. Karmaşık ama şeffaf ve yasal bir yapıyı, gerçekten kabul edilemez bir riskten ayırt etmeye yardımcı olmalıdır.
Bugün bir kurumsal hizmet sağlayıcının rolü artık yalnızca pasaport, adres kanıtı ve doldurulmuş bir KYC anketi toplamak değildir. Görevimiz, müşterilerimizin işlerini, onlarla neden çalışmaya hazır olduğumuzu güvenle ve kanıtlarla açıklayabilecek kadar iyi anlamak — ve belirli bir riskin artık makul biçimde yönetilemediği anı fark etmektir.
Bu çizgiyi çekebilme becerisi, anlamlı uyumu yalnızca kâğıt üzerinde var olan uyumdan giderek daha fazla ayıracak.
Estonya şirketiniz için uyumlu bir yapı mı gerekiyor?
eBusiness Solutions OÜ lisanslı bir kurumsal hizmet sağlayıcıdır (FIU lisansı FIU000421). Açık ve risk temelli bir müşteri kabul süreciyle yasal adres, irtibat kişisi hizmeti ve Estonya’da şirket kuruluşu sunuyoruz. AML/CFT politikamızı inceleyebilir veya ücretsiz danışmanlık için bize ulaşabilirsiniz.
