FCA Crypto Registration: Başvuru, Süreç ve Pratik İpuçları

Birleşik Krallık'ta kripto borsa veya custodian wallet sağlayıcısı olarak faaliyet göstermek isteyen herhangi bir kuruluş FCA cryptoasset firms register'ına kaydolmak zorundadır. 10 Ocak 2020'de yürürlüğe giren bu kayıt rejimi son derece seçicidir: 2020-2023 arasında alınan başvuruların yaklaşık %85-88'i ya reddedildi ya çekildi. Onay alan firma sayısı tüm dönem boyunca 100'ün altında kaldı. Bu rehber FCA crypto registration başvurusunu 9 adımda ele alıyor — pre-application'dan ongoing reporting'e kadar — ve Türk kripto firmalarının sıkça düştüğü tuzakları somut örneklerle aktarıyor.

Hızlı Özet

• Yasal temel: MLR 2017 (10 Ocak 2020 değişikliği) — cryptoasset exchange provider ve custodian wallet provider tanımları.
• Süreç: pre-application meeting → online başvuru → RFI turları → karar. Tipik süre 12-18 ay, bazı vakalar 24+ ay.
• Maliyet: yasal + danışmanlık + teknik altyapı £200.000-£500.000.
• Başarı oranı: tarihsel olarak %12-15 — çoğu başvuru ya reddedilir ya başvuran tarafından geri çekilir.
• En kritik dosyalar: business plan, financial crime framework, müşteri durum tespiti (CDD) politikası, fit-and-proper formları.

Kayıt Kapsamına Kim Girer?

MLR 2017 Regulation 14A iki kategori tanımlar:

1. Cryptoasset exchange provider — kripto ↔ fiat ve kripto ↔ kripto değişimi yapan; multilateral işlem platformları işleten; ICO/STO operasyonlarını ticari faaliyet olarak yürüten kuruluşlar.
2. Custodian wallet provider — başkası adına kripto özel anahtarlarını veya cüzdan erişimini saklayan/kontrol eden kuruluşlar.

UK'de "by way of business" yapıyorsanız (geçici, hobi değil ticari ölçek) kayıt zorunludur. UK dışından UK'deki müşterilere kripto hizmeti vermek (örn. site UK'den erişilebilir + UK müşteri kabul ediliyor) FCA tarafından "carrying on business in the UK" kapsamında değerlendirilebilir — coğrafi sınır net değildir.

1. Adım: Pre-Application Meeting

FCA, kripto başvuruları için resmi pre-application sürecini şiddetle önerir. Online portal üzerinden randevu talep edilir; toplantı tipik olarak 60 dakikadır.

Toplantıya getirilmesi gerekenler:

• İş modeli özeti (1-2 sayfa)
• Kapsanan kripto aktivitelerinin net listesi
• UK ile bağlantı (tüzel kişilik, müşteri tabanı, ofis)
• Üst yönetim yapısı ve kilit kişilerin kısa CV'leri
• Mevcut compliance altyapısı

Pre-application toplantısının pratik değeri: FCA'dan "bu iş modeli ile başvurmayın" tarzı net erken sinyaller alabilirsiniz. Toplantıdan sonra başvurmama kararı verirseniz çekilme dosyada görünmez; bu, sonraki başvurular için temizdir.

Tipik tuzak: pre-application'a yeterince hazırlıksız gitmek. FCA "burada henüz değiliz" sinyali aldığında not tutar ve resmi başvuru aşamasında bu sinyal devam ederse skeptisizm artar.

2. Adım: Business Plan Hazırlığı

Business plan FCA başvurusunun en önemli tek belgesidir. Genellikle 30-60 sayfa olur. İçerik şu bölümleri kapsamalıdır:

(a) Yönetici Özeti: firma, kurucular, vizyon — bir sayfa.

(b) İş Modeli: kripto aktivitelerinin detayı, müşteri segmentleri (retail / professional / kurumsal), gelir modeli, fiyatlandırma yapısı.

(c) Pazar Analizi: UK kripto piyasası, rakipler, pazardaki konumlama.

(d) Mali Projeksiyonlar: 3-5 yıllık gelir-gider, sermaye yeterliliği, müşteri hacmi, ortalama işlem büyüklüğü.

(e) Operasyonel Mimari: hangi blockchain'leri destekleyeceği, custody yaklaşımı (hot/cold wallet dağılımı), takas/yerleşim ortakları.

(f) Risk Yönetimi: financial crime, operasyonel, siber, market risk için yazılı politika.

(g) Governance: yönetim kurulu, komite yapısı, yetki çizgileri.

FCA, business plan'ın iş modeliyle yapısal olarak tutarlı olmasını bekler — örneğin "DEX aggregator olacağız" diyen bir firma müşteri durum tespiti politikasının başında "tüm müşterilerimiz için tam KYC yapacağız" yazıyorsa çelişki sinyali görür.

3. Adım: Financial Crime Framework

Bu en kritik teknik dokümandır. FCA "financial crime framework" terimini gerçek anlamda kullanır — yani:

• Money laundering risk assessment: ürün, müşteri, coğrafi ve dağıtım kanalı bazında risk değerlendirmesi (NRA, Treasury risk assessment'larıyla uyumlu).
• Sanctions screening politikası: OFSI (UK), OFAC, BM, AB ve diğer ilgili listelerin nasıl taranacağı, eşleşmelerin nasıl yönetileceği. Yaptırım taraması nedir, nasıl yapılır rehberimizde detaylı çerçeveyi bulabilirsiniz.
• PEP politikası: tanım, tarama, EDD yaklaşımı.
• Travel Rule politikası: 1 Eylül 2023 sonrası zorunlu. UK Travel Rule ve JMLSG rehberimizde eşik ve operasyon detayı.
• On-chain risk monitoring: hangi adresleri / cüzdanları izleyeceği, mixer/darknet/sanctions etiketlerine yanıt akışı. Blockchain AML rehberimizde çerçeve var.
• Transaction monitoring: hangi senaryolar (yapısal işlem, hızlı para çevirme, ülke riski) izleniyor ve SAR'a nasıl dönüşüyor.
• MLRO atama ve raporlama hattı: SMF17 olarak MLRO kim, hangi karar yetkisine sahip.

Generik şablon dokümanları FCA hızla tanır ve dosyada negatif not bırakır. Tüm framework iş modeliyle eşleşmiş, somut olmalıdır.

4. Adım: Müşteri Durum Tespiti (CDD) Politikası

CDD politikası MLR 2017 Part 3'e dayanır. İçerik şunları kapsamalı:

• Standart CDD: kimlik tespiti yöntemleri, belge listesi, dijital doğrulama yaklaşımı (NFC, liveness, video verification).
• EDD tetikleyiciler: yüksek riskli ülkeler, PEP, korespondan ilişki, anormal işlem yapısı.
• Simplified CDD: hangi durumlarda uygulanabilir (sınırlı; UK'de pratikte nadir).
• Ongoing monitoring: dönemsel müşteri yenileme döngüsü.
• Beneficial ownership: tüzel müşteriler için %25+ pay sahiplerinin tespiti.
• Reliance: üçüncü taraftan CDD'ye güvenme kuralları.

Dijital onboarding kullanıyorsanız teknik akış net belgelenmelidir — örneğin "ABCD vendor üzerinden NFC çip okuma + Z liveness vendor'u + iç risk skorlama" gibi.

5. Adım: Governance ve Fit-and-Proper

FCA, kurucu/yönetici düzeyinde "fit and proper" testi uygular. Her senior manager için "Approved Persons" form takımı doldurulur (Form A — Application to Perform Controlled Functions):

• Kişisel detaylar, eğitim, mesleki tarihçe
• Önceki düzenleyici geçmiş, soruşturma, ceza varsa açıklama
• İflas, ödenmemiş yargı, suç sicili
• Reference letters (genelde 2 mesleki referans)

FCA özellikle şunları kontrol eder:

• Compliance / AML alanında dokümante deneyim (sadece "10 yıl bankacılık" yetmez, AML/financial crime spesifik deneyim aranır)
• UK regülasyon bilgisi
• Önceki firmalardan ayrılma sebebi

Tipik ret sebebi: Türk fintech UK ofisini "boş başlık" olarak doldurur, gerçek karar İstanbul'da kalır. FCA bu yapıyı tespit edince Senior Manager'ı "fit but not proper" olarak değerlendirebilir — yani teknik olarak kompetent ama UK firmasını yönetme yetkisi olmayan kişi.

6. Adım: Connect Portal Üzerinden Başvuru

FCA cryptoasset firm başvurusu Connect online portal üzerinden yapılır. Başvuru sürecinde:

• Firma detayları, tüzel yapı, ortaklık bilgisi
• Üst yönetim listesi ve fit-and-proper formları
• Business plan (yüklenir)
• Financial crime framework (yüklenir)
• CDD politikası, Travel Rule politikası, sanctions politikası
• Mali tablolar / projeksiyonlar
• IT mimarisi ve siber güvenlik notu

Başvuru ücreti £10.000 (cryptoasset firm için tipik aralık £5K-£25K; karmaşıklığa göre değişir).

Başvuru gönderildikten sonra FCA "case officer" atar; tek temas noktası odur.

7. Adım: RFI (Request for Information) Süreci

FCA başvuruyu inceledikçe Requests for Information (RFI) gönderir. Tipik bir başvuru 3-7 RFI turu görür. Her RFI 10-30 sorudan oluşabilir; yanıt süresi tipik 4-6 hafta.

Yaygın RFI temaları:

• Custody mimarisinin teknik detayı (HSM, multisig, signing key dağılımı)
• Travel Rule operasyon detayı (hangi network, hangi karşı taraflar)
• On-chain risk verisi sağlayıcısının kalitesi
• MLRO'nun karar yetkisi ve raporlama hattı
• Sermaye yeterliliği ve mali kapasite
• UK rezident kilit personelin gerçek rolü

RFI'lara yanıt vermek başvuruda iyi göstergedir — ancak iki-üç turdan sonra hâlâ temel sorular geliyorsa FCA başvuranın hazırlığını sorgular. Tipik tuzak: RFI'leri avukata bırakmak — case officer teknik somutluk arar, hukuksal şablon değil.

8. Adım: Karar ve Olası Çıktılar

FCA üç olası karar verir:

1. Onay (approval): Firma cryptoasset firms register'a eklenir. 28 günlük itiraz süresi sonrasında resmi.
2. Ret (refusal): Yazılı gerekçeli karar; Upper Tribunal'a itiraz hakkı.
3. Geri çekme öncesi sinyali (minded to refuse letter): FCA "muhtemelen reddedeceğiz" yazısı gönderir; başvuran genelde resmi ret yerine geri çekmeyi tercih eder (dosyada daha temiz görünür).

Onay öncesi geri çekme oranı yüksektir — özellikle MLRO uygunluğu veya iş modeli netliği konularında zorlanan başvurular.

9. Adım: Kayıt Sonrası — Ongoing Obligations

Onay aldıktan sonra firmanın yükümlülükleri başlar:

• Yıllık Financial Crime Report (REP-CRIM): detaylı AML metrikleri (SAR sayısı, EDD vakası, sanctions hit vb.).
• Yarıyıl raporlama: gelir, müşteri, işlem hacmi metrikleri.
• Olay raporlama (Principle 11): önemli AML/operasyonel olayları FCA'ya zamanında bildirme.
• Material change bildirimi: iş modeli, ürün, ortak, üst yönetim değişiklikleri.
• SAR raporlama: NCA'ya — herhangi bir şüpheli işlem fark edildiğinde.
• JMLSG Sector 22 uyumu: rehberin güncellenmesi takip edilir.

Tipik Maliyet ve Süre

Orta büyüklükte bir başvuru için tipik kompozisyon:

Hesaba katılması gereken ek kalemler: UK Ltd kuruluşu, ofis (sanal kabul), banka hesabı arayışı (kripto firmalarına banka hesabı açmak UK'de zorlu), sigorta.

Süre: pre-application toplantısından karara kadar 12-18 ay tipiktir. Karmaşık vakalar (yeni iş modeli, sermaye yapısı sorularıyla) 24+ ay sürebilir.

Türk Kripto Firmaları için Sık Düşülen Tuzaklar

1. UK rezident MLRO eksikliği: İstanbul'daki MLRO UK firmasına atanır; FCA bu yapıyı kabul etmez. UK fiziksel varlığı ve karar yetkili UK rezident SMF17 şart.

2. Türkiye operasyonunun UK'ye "ihracat" gibi sunulması: FCA UK müşterilere hizmet veren UK tüzel kişiliği görmek ister. Türkiye operasyonunun UK'ye dağıtım kolu olarak gösterilmesi gateway aşamasında ret sinyali.

3. Travel Rule altyapısının "yapacağız" beyanı: 1 Eylül 2023 sonrası FCA Travel Rule altyapısının canlı çalışıyor olmasını bekler. "Onay alınca kuracağız" beyanı reddedilir.

4. On-chain risk vendor seçimi yapılmamış olması: Generik "blockchain analytics kullanacağız" yetmez; spesifik vendor adı, kapsam ve entegrasyon detayı bekler.

5. Geleneksel finanstan gelen yöneticilerin kripto-spesifik deneyim eksikliği: "20 yıl banka deneyimi" tek başına kripto MLRO için yeterli görülmez.

Sıkça Sorulan Sorular

FCA crypto registration ne kadar sürer?

Tipik bir başvuru pre-application toplantısından nihai karara kadar 12 ile 18 ay arasında sürer. Karmaşık iş modelleri (DeFi, prime brokerage, fiat-on-ramp + offramp + custody) 24 ay veya üzerini bulur. Karar süresi büyük ölçüde başvuru kalitesine ve RFI yanıtlarının hızına bağlıdır. İyi hazırlanmış başvurular daha az RFI alır; karşılık olarak 9-12 aya kadar inebilir.

Türkiye'de zaten KVHS kapsamında düzenlenen bir kripto borsa için FCA başvurusu kolaylaşır mı?

Marjinal bir avantaj sağlar — operasyonel olgunluk, AML/CDD politika dokümantasyonu ve teknik altyapı hazır olduğu için yeniden çalışma azalır. Ancak FCA kendi bağımsız değerlendirmesini yapar; Türkiye'deki KVHS kaydı UK'de "presumed compliance" yaratmaz. UK'ye özgü Travel Rule yorumu, MLR 2017 Part 3 CDD detayları ve SMCR çerçevesi sıfırdan inşa edilmelidir.

FCA reddederse tekrar başvurabilir miyim?

Evet, ancak ret kararı dosyada kalır ve sonraki başvurularda zorlaştırıcı faktör olur. Ret yerine "geri çekme" (withdrawal) tercih edilirse dosyada daha temiz görünür. Yeni başvurudan önce ret/çekilme sebebinin somut olarak çözüldüğünün gösterilmesi gerekir — iş modeli, yönetim kadrosu veya teknik altyapı değişikliği gibi. FCA "aynı başvuru tekrar" durumunu hızlıca tespit eder.

FCA crypto registration ile UK'de MiCA tipi tam regülasyon karşılaştırması nedir?

FCA crypto registration sadece AML/CFT kapsamında bir kayıttır — yani sermaye, governance, tüketici koruması, market manipulation gibi konular kapsam dışıdır. MiCA rehberimizde AB'nin bütüncül kripto regülasyon yaklaşımını detaylı ele aldık. UK Treasury Şubat 2023'te benzer bütüncül bir UK çerçevesi için danışma süreci açtı; FSMA-tabanlı yeni regulated activities yaratacak ancak yürürlüğe giriş süreci hâlâ devam ediyor.

Hangi belgeler FCA başvurusu için yasal olarak zorunlu?

MLR 2017 Schedule 6 Form 1 (cryptoasset firm registration form) ek belgelerle gönderilir: kurucu / kontrol sahibi belgeleri, fit-and-proper formları (her Senior Manager için), business plan, financial crime framework, CDD politikası, sermaye yeterliliği belgesi. FCA Connect portal her form için checklist gösterir; eksik dosyalı başvurular işleme alınmaz. Tipik bir başvuru paketi 200-500 sayfa arasındadır.

Legichain ile

FCA crypto registration başvurusunda RFI yağmurunun büyük kısmı teknik altyapı eksikliklerinden kaynaklanır: "Travel Rule nasıl operasyonel?", "on-chain risk verisi hangi vendor'dan, hangi kapsamda?", "screening fitleri nasıl tüne ediliyor?" gibi sorular. Legichain'in AML taraması API'si UK OFSI dahil küresel yaptırım, PEP ve adverse media listelerini gerçek zamanlı tutar; blockchain AML modülümüz cüzdan etiketleri (mixer, darknet, sanctions, scam) için hazır skorlama sunar; Travel Rule altyapımız JMLSG Sector 22 ile uyumlu mesajlaşma akışını canlı sağlar. FCA case officer'a "vendor X üzerinden çalışan ve audit log'lu sistemimiz şudur" demek, "kuracağız" beyanından çok daha güçlü bir konumdur. Kripto borsalar için çözümler sayfamızda UK pazarına özgü entegrasyon mimarisini görebilirsiniz.

Sonraki adımlar

• Birleşik Krallık finansal regülasyon rehberi — UK regülatör mimarisi ve cluster pillar.
• UK Travel Rule ve JMLSG rehberi — Sector 22 ve operasyonel akış.
• UK MLR 2017 rehberi — yönetmeliğin yükümlü kategorileri.
• Blockchain AML rehberi — on-chain risk değerlendirme çerçevesi.
• MiCA nedir — AB karşılaştırması.