KYC ve KYB Farkı: Fintech'lerin Lansmandan Önce Bilmesi Gerekenler

Bu yazı, ürün henüz sahaya çıkmadan onboarding kararlarını veren kurucular, ürün liderleri ve operasyon ekipleri için — yani bu kararların değiştirilmesinin hâlâ ucuz olduğu an için — yazıldı. İki sürecin gerçekte ne gerektirdiğini, KYB'nin neden zor tarafta durduğunu, birçok fintech'i ilk yılında onboarding'i sıfırdan yazmaya zorlayan sıralama hatasını ve tek satır kod yazılmadan önce netleştirilmesi gereken beş kararı ele alıyor.

İkisi tam olarak neyi tespit ediyor?

KYC (Know Your Customer / Müşterini Tanı), bir gerçek kişinin iddia ettiği kişi olduğunu, yaptırım listelerinde veya olumsuz medyada yer almadığını ve beklenen işlem profilinin verdiği bilgilerle tutarlı olduğunu ortaya koyar. Mekaniği artık oturmuş durumda: resmî kimlik belgesi, belgeyle eşleşen canlılık/selfie kontrolü, adres veya vergi kimlik doğrulaması ve yaptırım–PEP–izleme listesi taraması.

KYB (Know Your Business / İşletmeni Tanı) aynı soruları bir tüzel kişi için sorar: şirket gerçekten var mı, sicilde faal ve iyi durumda mı, gerçekte hangi işten para kazanıyor ve — operasyonel yükün büyük kısmını taşıyan kısım — nihai olarak hangi gerçek kişiler şirketi sahipleniyor ya da kontrol ediyor. Bu kişiler gerçek faydalanıcılardır ve tespit edildikten sonra her birinin KYC'ye çok benzeyen bir süreçten geçmesi gerekir. Çoğu ürün planının atladığı yapısal nokta tam olarak burası: KYB, KYC'nin alternatifi değildir. KYB'nin içinde sayısı önceden bilinmeyen bir KYC yığını vardır ve kaç tane olduğunu ortaklık yapısını çözene kadar bilemezsiniz.

ABD'de tüzel kişi müşterilerin gerçek faydalanıcılarının tespiti FinCEN'in Customer Due Diligence (CDD) nihai kuralına dayanır ve %25 pay eşiği ile bir kontrol sahibi kişi ölçütünü kullanır. AB'nin kara para aklamayla mücadele direktifleri de yerel farklarla benzer bir yerde durur; Türkiye'de MASAK mevzuatı ve gerçek faydalanıcı bildirim düzenlemeleri yine %25 eşiğini referans alır. Asıl mesele eşiğin kendisi değil — eşiğin veri modeliniz hakkında ima ettiği şey.

KYB neden zor taraf?

Ortaklık bir alan değil, bir ağaçtır. Diyelim bir ülkede kayıtlı bir dış ticaret şirketi başvurdu. Şirketin %60'ı başka bir ülkedeki holdinge ait. O holdingin de %45'i üçüncü bir ülkedeki yatırım aracına, kalanı eşiğin altında iki gerçek kişiye ait. İlk katmanda duramazsınız; yüzdeleri çarparak, efektif payı eşiğinizi aşan gerçek kişilere ulaşana kadar aşağı inmeniz gerekir. Üç katman sıradan, beş katman nadir değil. Zincirde bir tröst, bir vekil ortaklık ya da hamiline yazılı pay yapısı belirdiği anda otomatik hat biter ve karar bir insana kalır.

Sicil kalitesi ülkeden ülkeye uçurum kadar farklı. Bazı ülkeler yapılandırılmış, güncel ve ücretsiz şirket verisini API ile veriyor. Bazıları taranmış PDF yayımlıyor, sorgu başına ücret alıyor, yılda bir güncelliyor ya da ortaklık bilgisini hiç tutmuyor — yalnızca yöneticileri. "Global KYB kapsamı" iddia eden her sağlayıcı aslında şunu söylüyor: bir grup pazarda iyi veri, geri kalanında elle belge toplama. Sözleşmeden önce bu iki listenin hangisinin hangisi olduğunu sorun; çünkü hangi müşteriyi dakikalar içinde, hangisini iki haftada onboard edeceğinizi bu liste belirliyor.

Belge seti standart değil. Kuruluş belgesi, faaliyet belgesi, imza sirküleri, güncel sicil gazetesi örneği, ortaklık şeması — hepsinin adı, formatı ve geçerlilik süresi her ülkede farklı, birkaçında "resmî" nüsha yalnızca posta ile geliyor. Onboarding arayüzünüzün, daha önce hiç görmediği bir belge türünü başvuruyu çıkmaza sokmadan karşılaması gerekiyor.

Döngüde her zaman bir insan var. Güçlü otomasyonla bile kurumsal başvuruların kayda değer bir kısmı manuel incelemeye düşer. Bu sistemin arızası değil, sistemin kendisidir. Önemli olan bunun tasarlanmış olması — bir kuyruk, bir inceleyen, kararın neyi kayda geçireceğine dair yazılı bir standart ve satış ekibinin müşteriye söyleyebileceği bir süre taahhüdü — yoksa manuel incelemenin o an en boş görünen kişiye düşen plansız bir kesinti olması.

Yeniden yazıma yol açan sıralama hatası

Yaygın örüntü şu: ilk müşteriler bireysel olduğu ve KYC daha çözülebilir taraf olduğu için önce bireysel onboarding yayına alınır. Sonra ilk kurumsal müşteriler gelir ve veri modelinde "ortakları olan ve o ortakları da doğrulanması gereken bir tüzel kişi" diye bir kavram olmadığı ortaya çıkar. Bir şirket adına hareket eden kişiyi temsil edecek bir yapı yoktur. Doğrulama durumu, zaman damgalı kanıt yerine kullanıcı satırında bir boolean olarak tutulmuştur. Ortaklık değiştiğinde hiçbir şey yeniden çalışmaz, çünkü ortaklığı modelleyen bir şey yoktur. Sonuç, genellikle muhabir bankanın zaman baskısı altında yapılan bir onboarding yeniden yazımıdır.

Yalnızca bireysel ürünle çıkıyorsanız lansmandan önce KYB inşa etmeniz gerekmiyor. Gereken şey, KYB geldiğinde size direnmeyecek bir veri modeli. Kurumsal akış bir yıl uzakta olsa bile ilk günden doğru kurulması gereken dört şey var:

• Hem kişiyi hem tüzel kişiyi temsil edebilen bir taraf (party) modeli — tipi olan tek bir soyutlama; önce bir kullanıcı tablosu, sonra yanına iliştirilmiş bir şirketler tablosu değil.
• Taraflar arası ilişkilerin birinci sınıf kenarlar olarak tutulması — her birinde tip (ortak, yönetici, yetkili imza) ve gerektiğinde yüzde bilgisiyle. Ortaklık zincirleri graf sorgusudur; yabancı anahtarların üzerine sonradan giydirmek işkencedir.
• Doğrulamanın zaman damgalı kanıt olayları olarak saklanması — ne kontrol edildi, hangi sağlayıcıyla, hangi kaynağa karşı, hangi sonuçla ve ne zaman. Denetçiler ve muhabir bankalar mevcut durumu değil, izi ister.
• Yeniden doğrulama tetikleyicisi. KYC de KYB de tek seferlik kapı değil, süreklilik yükümlülüğüdür. Modeliniz "bu kanıt sona eriyor" veya "bu tarafın durumu değişti" ifadesini kuramıyorsa periyodik gözden geçirme bir Excel işine dönüşür.

Kod yazılmadan önce netleşmesi gereken beş karar

Bunlar mühendislik değil, politika ve ürün kararlarıdır — bu işin bir sağlayıcı karşılaştırma tablosunda değil, strateji masasında durmasının sebebi de budur. Her biri bugün ucuz, lansmandan sonra pahalıdır.

1. Hangi müşteriyi kabul etmeyeceğiniz. Önce risk iştahı: onboard etmeyeceğiniz ülkelerin, sektörlerin ve ortaklık yapılarının yazılı listesi — ticari baskı gelmeden önce mutabık kalınmış hâli. Bu adımı atlayan ekipler kararı vaka bazında, bir satış toplantısında, hâlihazırda pipeline'daki bir müşteri hakkında verir. Mümkün olan en kötü an ve en kötü oda.

2. Doğrulamanın yolculuğun neresinde durduğu. Her şeyi baştan doğrulamak en güvenli, terk oranı açısından da en maliyetli seçenek. Kademeli doğrulama — sınırlı hesap açıp belirli bir tutar veya faaliyet eşiğinde derinleştirmek — genelde çok daha iyi sonuç verir; ama yalnızca ürününüzün gerçekten düşük riskli bir başlangıç durumu varsa ve düzenleyici ya da muhabir banka bu kademelendirmeyi kabul ediyorsa. Bu ortak bir ürün–uyum kararıdır ve kaç başvuruyu kaybedeceğiniz üzerindeki en büyük kaldıraçtır.

3. Gerçekte kaç manuel inceleme kaldırabileceğiniz. Hesabı ekip mevcudundan geriye doğru yapın. Bir inceleyenin günde gerçekçi olarak kaç dosya kapattığı ve başvuruların ne kadarının otomasyondan düşeceği, gerçek onboarding kapasitenizi verir — ve cevap çoğu zaman "işe alım yap" değil, "lansman pazarını daralt" olur.

4. Veri yerleşimi ve saklama. Kimlik belgeleri ve biyometrik şablonlar tutacağınız en hassas veriler arasında; aynı anda hem aklama mevzuatının asgari saklama sürelerine hem de kişisel veri mevzuatının silme haklarına tabi ve nerede saklanacakları çoğu zaman ülke bazında kısıtlı. Bunu sağlayıcı seçtikten sonra düşünmek, kısıtı sözleşme aşamasında keşfetmek demektir.

5. Satın al, inşa et ya da orkestre et. Belge adli incelemesini veya yaptırım taramasını kendi içinde geliştirmesi gereken şirket sayısı çok az. Geriye kalanı hafife alan şirket sayısı ise çok fazla: vaka yönetimi, karar politikası, denetim izi, bir sağlayıcı çöktüğünde veya o pazarda verisi olmadığında devreye girecek yedek yol. Coğrafyaya göre yönlendirme yapıp entegrasyonu baştan yazmadan sağlayıcı değiştirmenize izin veren bir orkestrasyon katmanı genelde doğru şekildir — ama karmaşıklığına ancak ilk dört soruyu yanıtladıysanız değer.

Bunun yolculuğun başına maliyeti

Eklediğiniz her doğrulama adımı başvuruların bir kısmını eler ve kaybettikleriniz rastgele dağılmaz. Kararlı bir kötü niyetli aktör on dört alanlı formu doldurur, üç belge yükler. Akşam saatinde, telefondan, iki iş arasında bunu yapmaya çalışan meşru bir küçük işletme sahibi çoğu zaman yapmaz. Sürtünme, durdurmaya çalıştığınız kişilerden çok kazanmak istediğiniz kişileri eler — ikinci maddedeki konumlandırma kararının sağlayıcı seçiminden neden daha önemli olduğunun sebebi tam olarak budur.

Pratik cevap ölçümlemedir. Çoğu onboarding akışı yalnızca iki uçtan ölçülür: başlayan başvuru, onaylanan hesap. Bu size bir sorun olduğunu söyler, nerede olduğunu söylemez. Her aşamanın ayrı ayrı ölçülmesi — form başladı, belge yüklendi, otomatik kontrol döndü, manuel incelemeye girdi, karar verildi — bir terk oranını düzeltilebilir bir rakama dönüştüren şeydir.

Bu disiplin sektörler arasında taşınabilir. İstanbul'daki özel bir üniversite ile yürüttüğümüz çalışmada nitelendirme yolculuğu kabaca 1,2 milyon tıklamadan yaklaşık 5.000 başvuruya, oradan da yaklaşık 2.000 kampüs ziyaretine daraldı — her adımın aday açısından gerçek bir taahhüt maliyeti taşıdığı çok aşamalı bir daralma. Değerli olan toplam rakamlar değildi; her aşamanın kendi başına ölçülmüş olması, yani tek bir harmanlanmış oran yerine "insanları hangi adım kaybediyor?" sorusuna cevap verilebilmesiydi. Bir doğrulama yolculuğu tam olarak bu şekle sahiptir, üstelik her düşüşün bedeli daha ağırdır. Bu ölçümlemeyi en baştan tasarıma gömmek, fintech strateji, ürün ve iş modeli danışmanlığımızın parçası ve sonradan eklemekten çok daha kolay.

Lansman öncesi hazırlık kontrolü

Ürün yayına girmeden önce cevaplanabilmesi gereken altı soru. Sağ sütun, gerçekten hazır bir cevabın nasıl duyduğunu gösteriyor — buradaki muğlak cevaplar, ilk uyum incelemesinin zor geçeceğinin en güvenilir habercisidir.

Sık sorulan sorular

Kurumsal müşterilerimizin hepsi küçük yerel şirketse yine de KYB gerekiyor mu?

Genellikle evet, ama iş çok daha hafif. Tek ortaklı yerel bir şirkette de tüzel kişinin doğrulanması ve ortağın tespit edilmesi gerekir — fakat takip edilecek bir ortaklık zinciri yoktur, sicil düzgün entegre olabileceğiniz bir sicildir ve vakaların çoğu otomatik kapanır. Hata, yurt dışı ana ortağı olan ilk müşteri başvurduğunda da aynı şeyin geçerli olacağını varsayıp bu vakayı hiç ifade edemeyen bir akış kurmaktır.

Tek bir sağlayıcı hem KYC hem KYB'yi global olarak karşılayabilir mi?

Tek bir sağlayıcı ikisini de bir grup pazarda karşılayabilir. Bu kategoride "global", neredeyse her zaman bazı ülkelerde mükemmel sicil kapsamı, bazılarında zayıf veri ve ötesinde elle belge toplama demektir. Kapsam listesini ülke ve veri tipi bazında isteyin; özellikle ortaklık verisinin mi yoksa yalnızca şirketin var olup olmadığının mı döndüğünü sorun — bunlar aynı etiket altında satılan çok farklı ürünler.

Doğrulama, işletme işlem yapmaya başlamadan önce mi sonra mı olmalı?

Tüzel kişinin doğrulanması ve hesabı açan kişinin taranması, herhangi bir işlemden önce tamamlanmalı. Gerçek faydalanıcıların tam çözümlemesi, düzenleyici ya da muhabir banka önceden mutabık kalırsa faaliyet veya tutar eşiklerine göre kademelendirilebilir. Bunu sırf rakamları iyileştirdiği için tek taraflı kararlaştırmak, bir fintech'in ilk incelemesinden kalmasının en yaygın yollarından biri.

Kripto ve Web3 ürünlerinde durum farklı mı?

Yükümlülükler büyük ölçüde aynı, birkaç noktada daha ağır: işlem izleme ve karşı taraf riski konusunda ek beklentiler var. Esas fark şu: bir cüzdan adresi bir kimlik değildir; doğrulanmış taraf ile zincir üstü faaliyet arasındaki eşleme, varsayım değil tasarımın açık bir parçası olmak zorunda. Uyumu token lansmanından sonra eklenecek bir iş sanan ekipler, sonradan giydirmenin ilk inşadan pahalıya mal olduğunu görüyor.

Özet

KYC ve KYB aynı sürecin iki bedeni değil. KYC bir kişiyi doğrular; KYB bir tüzel kişiyi doğrular ve ardından size kalitesi ülkeden ülkeye uçurum kadar değişen veriyle doğrulamanız gereken, sayısı önceden belli olmayan bir kişi listesi verir. Bu işi iyi yürüten ekipler nadiren en iyi sağlayıcıyla çalışanlar oluyor; risk iştahını, doğrulamanın yolculuktaki yerini, inceleme kapasitesini ve veri modelini kod yazılmadan önce kararlaştıran ve sağlayıcı seçimini bu kararların altında bir uygulama detayı olarak gören ekipler oluyor. Lansmana yaklaşıyorsanız ve onboarding akışınızın yukarıdaki altı soru karşısında nerede durduğundan emin değilseniz, akışın yapılandırılmış bir incelemesi bunu üç hafta kala değil şimdi öğrenmenin ucuz yolu.