Kripto Varlık Hizmet Sağlayıcı Faaliyet İzni Nasıl Alınır?

Aylar önceki blog yazımızda 02.07.2024 tarihinde yayımlanan Kanun sonrasında yayımlanacak alt düzenleme konusundaki bilgilerimizi bir blog yazımızda paylaşmıştık.  https://www.finahukuk.com/kripto-lisansi/  Şimdi her şey daha netleşti. SPK kripto para borsaları için faaliyet izni nasıl alınacağını anlatan tebliğ’leri hazırladı. Tebliğler yakın zamanda kamuoyu ile paylaşılacaktır, ancak beklenen alt düzenleme uyarınca Kripto Varlık Hizmet Sağlayıcı lisansının nasıl alınacağını netleştirmek istedik.

Öncelikle kripto varlık hizmet sağlayıcı olmak isteyen bir girişim, kuruluş izni almak zorunda. Geçici listede yer alan firmalar bu izne sahip sayılıyor. Bu firmalar 6 ay içinde, yine kuruluş izni alacak diğer firmalar izinden itibaren 6 ay içinde aşağıdaki şartları sağlayarak SPK’ya faaliyet izni başvurusunda bulunacak.

A. Başvuru Sürecinde Yapılacak Temel İşler

Faaliyet izni almak için başvuru sırasında yerine getirilmesi gereken çalışmalar şu şekilde sıralanabilir:

1. İş Planı: Şirketin vizyonunu, hedeflerini ve operasyonel detaylarını içeren kapsamlı bir plan hazırlanmalıdır.
2. Başvuru Formu: SPK tarafından talep edilen standart form doldurulmalıdır.
3. Yönetim Kurulu ve Kilit Personel Belgelerinin Tedariki: Yönetici kadrosunun uygunluğu için gerekli belgeler hazırlanmalıdır.
4. Sermaye Artırımı: İlgili mevzuatın sermaye yeterliliği koşullarına uyum sağlanması gerekebilecektir.
5. MKK Entegrasyonu: Merkezi Kayıt Kuruluşu ile entegrasyon sağlanmalıdır.
6. Bilgi Sistemleri Denetimi: Sistem altyapısının SPK standartlarına uygunluğu bir denetimden geçmelidir.
7. Sızma Testi: Güvenlik açıklarının belirlenmesi için sızma testi yapılmalıdır.
8. Web Sitesi Uyumlaştırma: Web sitesi SPK tebliğine  uygun hale getirilmelidir.
9. Reklam Politikası Oluşturma: Reklam ve tanıtım faaliyetleri için şirketin iç politikasının oluşturulması önerilmektedir.
10. Birliğe Üye Olma: İzne müteakip ilgili sektörel birliğe üyelik süreci tamamlanmalıdır.
11. Dış Hizmet Sözleşmeleri: Dış hizmet alımlarına ilişkin sözleşmeler mevzuata uyumlu hale getirilmelidir.
12. İş Akışlarının Hazırlanması: Şirketin operasyonel süreçleri detaylandırılmalıdır.

B. Hazırlanacak Genel Politika ve Prosedürler

SPK, şirketlerden kapsamlı bir politika ve prosedür çerçevesi oluşturmasını beklemektedir. Hazırlanması gereken bazı temel politikalar şunlardır:

1. İç Kontrol ve Uyum Politikası
2. Yüksek riskli işlemler prosedürü
3. Akıllı Kontrat Doğrulama ve Gözetim prosedürü
4. İç Denetim Politikası
5. Risk Yönetimi Politikası
6. Emir İletimi ve Gerçekleştirme Politikası
7. Fiyat Gözetim Sistemi Prosedürü
8. Platform Sisteminde Oluşan Özel Haller ve Müşteri Bildirimi Politikası
9. Kripto Varlıkların Listelenmesi ve Listeden Çıkarılması Prosedürü
10. Müşteri Kripto Varlıklarının Saklanması Prosedürü
11. Para ve Kripto Transfer Emirleri Yönetim Prosedürü
12. Cüzdan Erişim, Yönetim ve Güvenlik Prosedürü
13. Çıkar Çatışması Prosedürü
14. İlk Satış ve Dağıtım Aracılık Politikası
15. Şikayet yönetimi politikası
16. Suç Gelirlerinin Aklanmasının Önlenmesi Politikası ve Müşteri Tanınması Prosedürü
17. Dış Hizmet Alım Politikası
18. Dış Hizmet Risk Değerlendirme Prosedürü
19. Dış Hizmet Performans Değerlendirme Prosedürü
20. Muhasebe Politikası
21. Belgelerin Saklanması Politikası

C. Genel Sözleşmeler ve Diğer Politikalar

Şirketin kurumsal altyapısını destekleyecek sözleşme ve belgeler de hazırlanmalıdır:

1. Çerçeve Sözleşme
2. Organizasyon Yapısı Tesisi ve Kurumsal Yönetim Politikası
3. Görev Tanımları ile Yetki ve Sorumlulukların Hazırlanması
4. Genel ve Özel Risk Bildirim Formu
5. İşlem Sonuç Formu Şablonu
6. Hesap Ekstresi Şablonu
7. Çerez Politikası
8. KVKK -Gizlilik Politikası
9. İnsan Kaynakları Politikası

D. Bilgi Güvenliği Politikaları ve Standartları

Kripto varlık hizmet sağlayıcıları için bilgi güvenliği kritik bir öneme sahiptir. SPK, bilgi güvenliğine yönelik politika, prosedür ve standartların hazırlanmasını talep etmektedir:

Politikalar

1. Bilgi Güvenliği ve Risk Yönetimi Politikası
2. Erişim ve Kimlik Yönetimi Politikası
3. İş Sürekliliği ve Felaket Kurtarma Politikası
4. Değişiklik ve Yama Yönetimi Politikası
5. Veri Yönetimi ve Gizliliği Politikası
6. BT Varlık Yönetimi Politikası
7. Fiziksel Güvenlik ve Çevresel Kontroller Politikası
8. Hizmet Erişilebilirliği ve Kapasite Yönetimi Politikası
9. Sistem ve Uygulama Geliştirme ile Kalite Güvence Politikası
10. Bulut Güvenliği Politikası

Standartlar

1. Kablosuz Ağ Güvenliği Standardı
2. Uygulama Güvenliği Standardı
3. Kimlik Doğrulama Token Standardı
4. Veritabanı Yönetimi Standardı
5. Şifreleme Standardı
6. Açık API Güvenliği Standardı

Prosedürler

1. Güvenli Yazılım Geliştirme Prosedürü
2. Yedekten Geri Dönüş Prosedürü
3. Kullanıcı Yetkilendirme ve Kimlik Doğrulama Prosedürü
4. Değişiklik Yönetimi Prosedürü
5. Erişim Haklarının Gözden Geçirilmesi Prosedürü
6. Test ve Onay Prosedürü
7. Kritik Uygulamalarda Ek Kimlik Doğrulama Prosedürü
8. Güvenlik İhlali Bildirim Prosedürü

Planlar

1. Yedekleme Planı
2. Güvenlik İhlali Müdahale Planı