31 Mayıs 2016 Salı

En sağlam ödeme platformu Paypal neden Türkiyede lisans alamamış olabilir?

Dün Paypal'in Türkiyedeki operasyonlarını 6 Haziran 2016 sonrasında durduracağını açıklamasının akabinde sosyal medya kullanıcıları ve bir şekilde yolu alıcı ya da satıcı olarak elektronik ticaretten geçen herkesi ilgilendiren bu olay internet üzerinde geniş yankı buldu.

Bir kesim Dünyanın en sağlam ödeme platformu olarak nitelendirilen Paypal'in Türkiye Bankacılık sektörü otorite kuruluşu BDDK tarafından lisanslanmamasını eleştirirken, bir kesim ise Paypal'in faaliyet gösteremediği ülkeler listesini paylaşarak geneliyle demokrasinin uygulanışı konusunda problemli olan Kuzey Kore, İran gibi ülkelerin yer aldığı bu listede Türkiye'nin de yer almasının olumsuz yönlerini ön plana çıkarmaya çalıştı. Elektronik ticaretin bu derece hayatımızın neredeyse her alanına girdiği bir çağda acaba BDDK ne olmuş olabilir de Dünyada güvenirliğini kanıtlamış olan bir global şirket lisans alma başarını gösterememiş olabilir sorusunu biraz irdelemek istiyorum bu yazı ile.

Öncelikle başlangıçta belirtmekte fayda vardır ki amacım bu yazı ile herhangi bir kurumu savunmak ya da eleştirmek asla değildir. Sadece yapılan yorumlara yönelik perspektifi uygulamalara yönelik genişletmek ve bu şekilde daha doğru yargılaya varılabilmesine vesile olmaktır. Türkiyedeki faaliyetlerin durdurulması ile ilgili bu gelişme göstermektedir ki; global ölçekte faaliyet gösteren çok uluslu bir şirket olmak, tüketiciler tarafından en sağlam (tahmin ediyorum bu tabirle güvenilirliği vurgulamak istiyorlar) ya da milyonlarca kullanıcıya sahip olmak başlı başına BDDK tarafından lisanslanmak ve Türkiye'de ödeme hizmeti kuruluşu olarak faaliyet göstermek için gerekli olan lisansa sahip olmak adına yeterli olmuyormuş.

Aslında konuyu başlangıcından ele almak, biraz yasal altyapı açısından değerlendirmek oldukça önemli. Bu yasal gerekliliklerin uygulanabilir olması ise ayrı bir konu. Bankacılık, aracı kurumlar ve ödeme kuruluşları faaliyetlerini düzenlemek ve denetlemek ile yükümlü kurum BDDK 27 Haziran 2013 tarihli ÖDEME VE MENKUL KIYMET MUTABAKAT SİSTEMLERİ, ÖDEME HİZMETLERİ VE ELEKTRONİK PARA KURULUŞLARI HAKKINDA KANUN isimli kanun ile ödeme ve menkul kıymet mutabakat sistemlerine, ödeme hizmetlerine, ödeme kuruluşlarına ve elektronik para kuruluşlarına ilişkin usul ve esasları düzenlemektedir. Bu kanun ile ilgili sektörde yer alacak firmaların kuruluş yapılarından tutun, kurumsal yönetim yapılarına, faaliyetlerini yürütmelerine yönelik genel kabul görmüş şeffaflık, denetlenebilirlik gibi yapılara sahip olmalarına kadar hükümler bu kanun ile tanımlanmıştır. Ek olarak ödeme hizmeti, ödeme hizmeti kuruluşu, elektronik para, elektronik para kuruluşu gibi kavramların BDDK açısından tanımlarını açıkça yapmıştır. Bu kanunun önemli başlıklarından birisi belirlenmiş olan yükümlülükleri yerine getirmek ve BDDK'nın belirlemiş olduğu gereksinimleri ön görülen süreye kadar tamamlamak ve faaliyete devam edebilmek için faaliyet lisansı almak olarak tanımlanmıştır. Bunlara ek olarak kanun içerisinde denetim hükümleri, fonların korunması ve teminat hükümleri, kurumlar arası işbirliği hükümleri, kuruluş pay sahipliği hükümleri ele alınmış; lisanssız faaliyet göstermek ya da bildirim hükümlerine uymamak gibi durumların cezai yaptırımları da kanunda yerini almıştır. Yeri gelmiş iken bilgi olarak paylaşayım lisanssız olarak faaliyet göstermenin cezası bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezası olarak belirlenmiştir. 

Kanunun akabinde amacı Türkiye’de faaliyet gösteren ödeme kuruluşları ve elektronik para kuruluşlarının yetkilendirilmesi ve faaliyetleri ile ödeme hizmetleri ve elektronik para ihracına ilişkin usul ve esasların düzenlenmesi olan yönetmelik 27 Haziran 2014 tarihinde yayınlanmıştır. Bu yönetmelik ile faaliyet izni elde edebilmek için yerine getirilmesi gereken yükümlülükler ifade edilmiş ve bu yükümlülüklerin sektörde faaliyet gösteren aktörler tarafından yerine getirilmesi akabinde lisans alınması için BDDK'ya başvurulması gerekliliği vurgulanmıştır. Bu lisans başvurusu için kuruluşlar hem süreçlerinde hem kurumsal yapılarında düzenlemeler yapmak, yazılım ve donanım altyapılarına yönelik denetlenebilir bir yapı oluşturmak, belirli standartlarda kaliteli hizmet verebilmek adına BDDK tarafından yönetmelik ile belirlenen süreçleri tanımlamak ve işletmekle mükellef kılınmışlardır. Kurumsal yapıyı değerlendirmek gerekirse BDDK kuruluşlardan bir iç kontrol ve denetim mekanizmasını kurmasını, Yönetim Kurulu üyelerini Bankacılık Kanununda tanımlanan Banka Kurucuları gereksinimlerine sahip adaylar arasından seçmelerini, Bilgi Güvenliği anlamında hem sorumlu profesyonele sahip olmalarını, hem süreçlerini tanımlayıp, işletebilir hale gelmelerini istemektedir. Süreçler ile ilgili olarak ise sisteme gönderici tarafından eklenen ve alıcı tarafından alınmayan paraları ya da ihraç edilen ve henüz hizmete dönüşmeyen elektronik paraların Kuruma bildirilmiş banka hesaplarında bloke edilmesi ve düzenli raporlamasını içeren bir dizi sürecin olması örnek verilebilir. Hatta ve hatta Ödeme Kuruluşları ve Elektronik Para Kuruluşlarının Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ isimli tebliğ ile denetimi çok önemli bir noktaya gelen bilgi sistemlerinin nasıl yönetileceğini tariflenmiştir. Bu tebliğ aynı zamanda Bilgi Teknolojileri denetim kapsamı hakkında da genel bir fikir vermektedir. Bu tebliğden yola çıkarak basit bir yorumla şunları söyleyebilirim; kuruluşlardan sistemlerini yurt içerisinde konumlandırmaları, faaliyetlerine yönelik iz kayıtlarını yurt içerisinde tutmaları ve gerekmesi dahilinde kurum talep ederse denetime açmaları (dolayısıyla Türkiyede global aktörlerin acentesi gibi çalışan şirketler ya kendi yapılarını kurma ya da global sistem sahibi ile denetime yönelik yapının tasarlanabilirliğini müzakere etme durumunda kalmışlardır), bilgi sistemlerine yönelik riskleri belirlemeleri ve düzenli takip gerçekleştirmeleri, bilgi güvenliği süreçlerini tanımlamaları, işletecekleri yapıları kurmaları ve düzenli raporlamaları, güvenlik olaylarına yönelik yönetim süreçlerini tanımlamaları, veri gizliliği, güvenliği ve yetkilendirme mekanizmalarına yönelik süreçleri tanımlamaları ve işletmeleri, bağımsız denetim ve BDDK tarafından gerçekleştirilecek denetimlere yönelik denetim izlerini oluşturmaları ve saklamaları, kimlik doğrulama mekanizmalarını belirlenen spesifikasyonlara göre oluşturmaları, bilgi sistemlerine yönelik olarak süreklilik planları hazırlamaları, planları güncel tutmaları, periyodik olarak planlara yönelik tatbikatlar gerçekleştirmeleri, bilgi sistemlerine yönelik dış hizmet alımlarını belirli standartlara göre yapmaları, bizzat kontrolü kendilerinde olacak şekilde yönetmeleri, hizmet sunumu esnasında belirli aşamalarda kullanıcıları bilgilendirmeleri (dolayısıyla buna uygun altyapı kurmaları), elbette kullanıcı bilgilerinin gizliliğini sağlamaları, üye kuruluş, şube gibi yapıları izleyebilecek ve denetleyebilecek yapılar kurmaları, iç denetim unsurları ile denetlemeleri, bilgi sistemleri yapılarını iki yılda bir bağımsız denetim kuruluşlarına denetletmeleri, tahsis edilen iç kontrollere yönelik güvence vermek adına yönetim beyanı faaliyetleri yürütmeleri beklenmektedir.

Görüleceği gibi şeffaf, yüksek standartlarda hizmet sunulması, gerekli güvenliğin ve gizliliğin sağlanmasına yönelik adımlar atılması, denetlenebilir bir yapı kurulması, iç denetim yapılarının işletilmesi ve iç denetim fonksiyonu ile yönetimin desteklenmesi, üst düzey yönetim yapılarının bankacılık kanunu 6. maddede yer alan banka kurucularında aranan şartlara sahip kişiler tarafından oluşturulması, şeffaf ve ulaşılabilir bir şekilde pay sahipliği yapısına sahip olunması gibi özelliklere sahip bir yapı kurulması planlanmıştır.

Bu genel bilgilendirme sonrasında insanların aklında acaba belirlenen bunca yasal gereksinim ile acaba global aktörlerin ülkemizde faaliyet göstermesi zorlaştırılıyor mu sorusu gelebilir. Aslında burada sektör direkt para ile ilişkili mahiyette olması sebebiyle sosyal medya araçları sunan girişimlerle bir tutulmaması gerektiğini ve yapıyı güçlendirebilecek bu gereksinimlerin önemli olabileceğini vurgulamak isterim. Zaten hali hazırda yasal otorite sektörde faaliyet gösteren aktörlerden gelen geri dönüşleri değerlendirmekte ve uygulanabilirliğinin tekrar değerlendirilmesi talep edilen hükümlere yönelik düzenlemeler yapmaktadır ve ilgili sektöre yönelik de yapmıştır.

Denilebilir ki; global çapta yüzlerce kişi tarafından kullanılan Paypal tüm bu gereksinimleri yerine getirebilecek yetkinliğe ve yeterliliğe sahip değil midir yani, ya da Türkiye bu aktörleri bu kadar gereksinim ile Türkiye piyasasında faaliyet getiremeyecek noktaya mı getirmektedir? 

Yukarıda da sıraladığım gibi bu lisansa sahip olmak için ciddi bir yapıya, ciddi altyapı yatırımına, otorite kuruluş ve bağımsız denetim şirketleri ile (denetime yönelik gerekliliklerden dolayı) ilişki geliştirilmesine kısacası ciddi bir şekilde çalışmaya ve yatırım yapmaya gerek olduğu çok açık. Niyetim asla Paypal gereken bu yatırımı yapmamıştır demek ya da lisans alamaması sebebiyle eleştirmek gibi bir şey değildir. Daha ziyade sektörün ciddi bir şekilde otorite kuruluş tarafından yapılandırıldığı, denetim mekanizmasının (özellikle bilgi teknolojileri yönetişim ve denetimine gösterilen önem benim gibi Bilgi Teknolojileri Denetçileri için oldukça güzel haber- ki bu konuda lisans sahibi denetçinin Türkiye'de 400'ü geçemeyecek olması gerçeği daha net fikir verebilir.) ve kurumsal yönetime yönelik yapıların kuruluşlarda ciddi şekilde kurulmasına yönelik adımların atıldığı, periyodik raporlamalar ile faaliyetlerin de yakinen izleneceğini vurgulamaya çalışıyorum.

Özetle, aslında gerçekten de bu alanda ilgili lisans sahibi olmak kolay olmamakla birlikte hem maddi, hem insan kaynağı açısından ciddi bir yatırım gerektiriyor.

Linkedin üzerinden gördüğüm ise Paypal'ın Türkiye'de yapılanmaya gittiği, bilgi güvenliği ve bilgi teknolojileri denetimine yönelik sektörde istihdam gerçekleştirdiği yönünde. Anladığım kadarı ile BDDK tarafından tanımlanan süre içerisinde lisans almaya yönelik faaliyetlerin tamamını gerçekleştiremediği ve bu sebebiyetle de BDDK'nın faaliyetlerini durdurması ya da askıya alması yönünde talimatta bulunduğu. Bu sürecin diğer bir değerlendirilmesi gereken yönü ise Paypal tarafından gerçekleştirilen bunca yatırımın ve istihdam edilen profesyonelin akıbetinin ne olacağı. 

Paylaşılması gereken bir diğer husus ise 31.05.2016 tarihi itibari ile 14 ödeme kuruluşunun, 6 elektronik para kuruluşunun bahsi geçen lisansı aldığıdır. Tahmin ediyorum ki Paypal'in çekilmesi ile oluşan bu boşluk lisans sahibi firmalar tarafından doldurulacaktır. (Kriz gibi görünen durum aslında birileri için fırsat barındırıyor olabilir.)

Gelecek vadede hem tüketici, hem de elektronik ticaret alanında faaliyet gösteren anlamında ticari paydaşların bu gelişmeden etkileneceği kesin olmakla birlikte ne gibi gelişmelerin olacağını ise hep birlikte göreceğiz.