Ödeme Operasyonlarında Kayıt Saklama ve Denetim İzi Kontrolleri

Ödeme operasyonlarında kayıt saklama, yalnızca eski işlem dosyalarını arşivlemek değildir. İşlemin hangi kanaldan geldiğini, kim tarafından değiştirildiğini, ne zaman bankaya geçtiğini ve hangi muhasebe kaydıyla eşleştiğini sonradan gösterebilecek bir kontrol düzeni kurmayı gerektirir. Sanal POS hareketleri, banka ekstreleri, ödeme kuruluşu raporları, iade kayıtları ve kullanıcı erişim günlükleri bu düzenin farklı parçalarıdır.

Konu operasyon ekipleri için önemlidir. Çünkü ödeme hizmeti sağlayıcılarına uygulanan TCMB kuralları, tacirlerin ticari belge yükümlülükleri, vergi mevzuatı ve KVKK aynı kayda farklı açılardan yaklaşabilir. Bir kaydın finansal inceleme için gerekli olması, bütün çalışanlar tarafından süresiz biçimde erişilebilir tutulabileceği anlamına gelmez. Doğru yaklaşım; kayıt türünü, hukuki dayanağı, saklama süresini, erişim rolünü ve imha koşulunu birlikte tanımlamaktır.

2026 itibarıyla düzenleyici çerçevede öne çıkan noktalar

6493 sayılı Kanun, ödeme hizmeti sağlayıcılarını bankalar, ödeme kuruluşları, elektronik para kuruluşları ve PTT olarak tanımlar. Kanun ayrıca fonun sahibi olmadan veri işleme, saklama, güvenlik, doğrulama ve teknik altyapı desteği sunan belirli teknik hizmetleri ödeme hizmeti kapsamının dışında değerlendirir. Bu ayrım, işletmelerin kullandıkları yazılım katmanı ile lisanslı finansal hizmet sağlayıcının rolünü karıştırmaması bakımından kritiktir.

25 Aralık 2025 tarihinde yürürlüğe giren son kanun değişikliğiyle, uzaktan kurulan ödeme hizmeti çerçeve sözleşmelerinde müşteri kimliğinin biyometrik yöntemlerle veya elektronik kimlik doğrulama kabiliyetine sahip kimlik belgeleriyle doğrulanmasına ilişkin ifade 6493 sayılı Kanuna eklendi. Operasyonel bir iyi uygulama olarak kimlik doğrulama kayıtlarının sıradan işlem veya mutabakat verilerinden ayrı değerlendirilmesi uygundur. Bu kayıtlar için daha dar erişim, daha güçlü güvenlik ve açık bir işleme amacı belirlenmelidir.

TCMB ayrıca 17 Mart 2026 tarihinde Ödeme Hizmetleri Veri Paylaşım Servisleri’nin 2.0.0 sürümünün kullanıma alındığını duyurdu. Yeni sürümde kart bilgileri ve hareketlerine ilişkin özellikler genişletildi; ileri tarihli ve düzenli ödeme emri başlatma hizmetleri eklendi. Bu gelişme tek başına işletmeler için yeni bir genel saklama süresi yaratmaz. Ancak finans ekiplerinin hesap, kart ve ödeme hareketlerini hangi kaynaktan aldığını ve veri sürümlerini nasıl yönettiğini daha görünür hâle getirmesini gerekli kılar.

On yıllık denetim izi kuralı kimin için geçerli?

TCMB’nin ödeme ve elektronik para kuruluşlarının bilgi sistemlerine ilişkin Tebliği, kuruluşların denetim izi kayıt sistemi oluşturmasını zorunlu tutar. Denetim izleri; finansal veya operasyonel bir işlemin başından sonuna kadar takip edilmesini, bilgi varlıklarına kimin eriştiğinin ve hangi işlemi yaptığının belirlenmesini sağlayan kayıtlardır.

Tebliğe göre bu izler en az on yıl saklanır. Kayıtların ayrıntılı incelemeye uygun, denetime hazır, zaman damgalı, yedekli ve bütünlüğü korunmuş olması gerekir. Asgari içerik; işlem türü, ayırt edici işlem numarası, tutar, tarih, saat, müşteri tanımlayıcısı, işlemi yapan personel ve erişimin gerçekleştiği uygulama veya ağ bilgileri gibi unsurları kapsar. Güvenlik ihlallerine ilişkin deliller için de en az on yıllık muhafaza öngörülür.

Buradaki önemli sınır şudur: Bu yükümlülük doğrudan Tebliğ kapsamındaki ödeme ve elektronik para kuruluşlarına yöneliktir. Her sanal POS kullanan işyerinin bütün teknik günlüklerini otomatik olarak aynı kapsam ve içerikle on yıl tutması gerektiği sonucu çıkarılamaz. İşletme kendi kayıtları için ticaret, vergi, sözleşme, uyuşmazlık ve kişisel veri kurallarını birlikte değerlendirmelidir.

Bununla birlikte işletmeler açısından denetim izi mantığı güçlü bir operasyon standardıdır. Özellikle iade, iptal, manuel eşleştirme ve kayıt düzeltme işlemlerinde “kim, neyi, ne zaman değiştirdi?” sorusunun cevaplanabilmesi gerekir. Tahsil’in yetkilendirme ve merkezi işlem görünümü gibi yazılım katmanları, finans operasyonunun bu kontrolleri tek bir çalışma düzeninde izlemesine yardımcı olabilir. Tahsil bir banka veya ödeme kuruluşu değildir; fon kabul etmez ve finansal saklama hizmeti sunmaz.

Sanal POS ve mutabakat kayıtları nasıl sınıflandırılmalı?

Tek bir “ödeme kaydı” tanımı kullanmak yerine kayıtları işlevine göre ayırmak daha sağlıklıdır. Aşağıdaki tablo, operasyon ekipleri için başlangıç matrisi olarak kullanılabilir:

Vergi Usul Kanununa göre tutulması gereken defterler ile düzenlenen ve alınan belgeler, ilgili oldukları yılı takip eden takvim yılından başlayarak beş yıl muhafaza edilir. Türk Ticaret Kanunu ise ticari defterler ve Kanunda sayılan ticari belgeler için on yıllık saklama süresi öngörür. Bu nedenle bir sanal POS çıktısının veya mutabakat dosyasının muhasebe kaydına dayanak olup olmadığı ayrıca belirlenmelidir. “Sistemde mevcut” olması, kaydın mevzuata uygun, okunabilir ve gerektiğinde ibraz edilebilir olduğu anlamına gelmez.

KVKK bakımından süresiz saklama neden doğru değildir?

KVKK yaklaşımında temel ölçüt, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesidir. İşleme şartlarının tamamı ortadan kalktığında veri silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Veri Sorumluları Siciline kayıt yükümlülüğü bulunan veri sorumlularının kişisel veri saklama ve imha politikası hazırlaması gerekir. Politika; kayıt ortamlarını, saklama ve imha sebeplerini, teknik ve idari tedbirleri, sorumlu birimleri, süre tablosunu ve periyodik imha düzenini kapsamalıdır. Sicile kayıt yükümlülüğü bulunmayan işletmelerin de KVKK kapsamındaki saklama ve imha sorumlulukları devam eder.

Ödeme operasyonlarında bu kuralın somut karşılığı şudur:

• Kart numarasının tamamı yerine mümkünse maskelenmiş değer kullanılmalıdır.
• Mutabakat için gerekli olmayan müşteri bilgileri raporlardan çıkarılmalıdır.
• Finans kullanıcısı ile teknik yönetici aynı erişim yetkilerine sahip olmamalıdır.
• Yasal saklama amacı devam eden veriler günlük operasyon ve pazarlama amacıyla serbestçe kullanılmamalıdır.
• Süresi dolan kayıtlar için sistematik imha veya anonimleştirme süreci işletilmelidir.

Merkezi mutabakat görünümü kurulurken amaç daha fazla veri toplamak değil, gerekli finansal veriyi kontrollü biçimde eşleştirmek olmalıdır.

TCMB, BDDK ve MASAK kuralları operasyonu nasıl etkiler?

Düzenleyici kurumların görev alanları aynı değildir. TCMB, 6493 sayılı Kanun kapsamındaki ödeme ve elektronik para kuruluşlarının düzenleme ve denetiminden sorumludur. BDDK’nın bilgi sistemleri düzenlemeleri ise bankaların bilgi sistemleri ve elektronik bankacılık kontrolleri için ayrı bir çerçeve oluşturur. Bir işletmenin banka ekstresi alması, işletmeyi banka hâline getirmez; ancak bankadan gelen kaydın kaynak bilgisi, bütünlüğü ve erişim yöntemi operasyon tasarımında korunmalıdır.

MASAK yükümlülükleri bakımından da kuruluşun sıfatı önemlidir. İşletmenin doğrudan yükümlü olup olmadığı, sunduğu hizmete ve tabi olduğu mevzuata göre değerlendirilir. Ayrıca banka veya ödeme kuruluşu, kendi kimlik tespiti, işlem izleme ve inceleme süreçleri nedeniyle işyerinden belge isteyebilir. Operasyon ekibi bu talepleri olağan mutabakat taleplerinden ayırmalı; talebin kaynağını, kapsamını, teslim edilen belgeyi ve onaylayan kişiyi kayıt altına almalıdır.

Bu ayrımlar, farklı banka ve ödeme kanallarını tek ekranda görmek isteyen ekipler için önemlidir. Banka hesapları, sanal POS sistemleri ve ödeme kuruluşu hareketleri birlikte izlenebilir; ancak her kaydın sahibi, kaynağı ve hukuki niteliği sistem içinde korunmalıdır.

Operasyon ekipleri için uygulanabilir kontrol listesi

Aşağıdaki kontrol listesi üç aylık dönemlerde gözden geçirilebilir:

1. Kayıt envanteri çıkarın. Banka ekstresi, sanal POS raporu, ödeme kuruluşu dosyası, iade kaydı, kullanıcı günlüğü ve mali belgeyi ayrı sınıflandırın.
2. Her kayda bir sistem sahibi atayın. Kaydın asıl kaynağının banka mı, ödeme kuruluşu mu, ERP mi yoksa iç operasyon sistemi mi olduğunu belirtin.
3. Süreyi dayanakla eşleştirin. “Beş yıl” veya “on yıl” gibi tek bir süreyi bütün verilere uygulamayın. Vergi, ticaret, sözleşme, düzenleyici kuruluş ve KVKK dayanaklarını ayrı gösterin.
4. İşlem referanslarını koruyun. Sanal POS işlem numarası, banka hareket referansı, ödeme kuruluşu transfer numarası ve muhasebe belge numarası arasında bağ kurun.
5. Düzeltmeleri silerek yapmayın. Manuel eşleştirme veya fark kapatma işleminde önceki değer, yeni değer, kullanıcı, tarih ve gerekçe görünür kalmalıdır.
6. Rol bazlı erişim uygulayın. Görüntüleme, eşleştirme, düzeltme, dışa aktarma ve yönetici yetkilerini ayırın.
7. Dışa aktarılan dosyaları yönetin. Excel ve CSV dosyalarının kişisel bilgisayarlarda kontrolsüz biçimde çoğalmasını önleyin.
8. İbraz testi yapın. Seçilen eski bir işlemin provizyondan banka hareketine ve muhasebe belgesine kadar makul sürede bulunabildiğini doğrulayın.
9. İmha sürecini belgeleyin. Süresi dolan verinin kim tarafından, hangi yöntemle ve ne zaman imha edildiğini takip edin.
10. Mevzuat değişikliklerini izleyin. TCMB, BDDK, MASAK, KVKK, GİB ve Resmî Gazete duyuruları için sorumlu ekip ve değerlendirme akışı belirleyin.

Sıkça Sorulan Sorular

Her sanal POS kaydı on yıl saklanmalı mı?

Hayır. TCMB Tebliği’ndeki on yıllık denetim izi yükümlülüğü doğrudan kapsam içindeki ödeme ve elektronik para kuruluşlarına yöneliktir. İşyerleri kendi sanal POS kayıtlarını; ticari belge niteliği, vergi kaydıyla ilişkisi, sözleşme, uyuşmazlık ve KVKK amaçları bakımından sınıflandırmalıdır. Somut süre için hukuk ve mali müşavirlik ekiplerinin değerlendirmesi alınmalıdır.

Banka veya ödeme kuruluşundaki kayıt işletme için yeterli midir?

Her zaman değil. Sağlayıcının kaydı kendi yükümlülükleri kapsamında saklaması, işletmenin muhasebe belgesini, mutabakat sonucunu veya iç onay kaydını ayrıca yönetme sorumluluğunu ortadan kaldırmaz. İşletme en azından kaynak referansını, eşleştirme sonucunu ve mali belge bağlantısını erişilebilir tutmalıdır.

Kişisel veri içeren ödeme kaydı saklama süresi bitmeden silinebilir mi?

Başka bir kanuni veya sözleşmesel saklama sebebi devam ediyorsa veri tamamen silinemeyebilir. Ancak erişim sınırlandırılabilir ve veri yalnızca saklama amacıyla tutulabilir. Sebeplerin tamamı ortadan kalktığında KVKK’ya uygun silme, yok etme veya anonimleştirme süreci uygulanmalıdır.

Tahsil finansal kayıtları saklayan bir kuruluş mudur?

Tahsil; banka hesaplarını, banka sanal POS sistemlerini ve ödeme kuruluşlarını tek operasyon görünümünde birleştiren bir yazılım katmanıdır. Banka, ödeme kuruluşu, elektronik para kuruluşu, kart kabul eden kuruluş veya finansal saklama hizmeti değildir. Temel faydası merkezi kontrol, görünürlük, eşleştirme, mutabakat ve raporlamadır. İşletmenin kanuni saklama ve ibraz sorumluluğu, kendi faaliyetleri ve tabi olduğu mevzuat çerçevesinde devam eder.

Ödeme kayıtlarında uyum, yalnızca dosyaları uzun süre tutmakla sağlanmaz. Kaydın kaynağını korumak, değişiklikleri izlemek, erişimi sınırlandırmak, finansal hareketi belgeyle eşleştirmek ve süresi dolan kişisel veriyi kontrollü biçimde imha etmek gerekir. Sağlam bir kayıt mimarisi, mevzuat incelemelerini kolaylaştırırken günlük mutabakat operasyonunu da daha yönetilebilir hâle getirir.

Kaynaklar

• 6493 Sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun - Türkiye Cumhuriyet Merkez Bankası (2013-06-27)
• Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik - Türkiye Cumhuriyet Merkez Bankası (2021-12-01)
• Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ - Türkiye Cumhuriyet Merkez Bankası (2021-12-01)
• Açık Bankacılık Hizmetlerinin Yeni Özelliklerine İlişkin Basın Duyurusu (2026-13) - Türkiye Cumhuriyet Merkez Bankası (2026-03-17)
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik - Kişisel Verileri Koruma Kurumu (2017-10-28)
• 213 Sayılı Vergi Usul Kanunu - Gelir İdaresi Başkanlığı (1961-01-10)
• 6102 Sayılı Türk Ticaret Kanunu - T.C. Ticaret Bakanlığı (2011-02-14)
• Bilgi Sistemleri ve İş Süreçlerine İlişkin Düzenlemeler - Bankacılık Düzenleme ve Denetleme Kurumu (2020-03-15)