UK E-Money Institutions FCA Authorization: Yol Haritası

Birleşik Krallık'ta e-para faaliyeti yürütmek için Electronic Money Regulations 2011 (EMRs) kapsamında FCA authorization alınması zorunludur. UK iki tip EMI rejimi tanır: small EMI (aylık ortalama outstanding e-money €5 milyon altında, sadeleştirilmiş rejim) ve authorized EMI (tam yetkilendirme, £350.000 başlangıç sermayesi + ongoing kapital şartı). Bu rehber authorized EMI başvurusunu 9 adımda ele alıyor — pre-application'dan post-approval operasyonel kuruluşa kadar — ve Türk fintech'lerin UK pazarına e-para sağlayıcısı olarak girmesi için pratik bir referans sunuyor. Tipik süre 9-15 ay, toplam maliyet £150.000-£400.000 civarında.

Hızlı Özet

• Yasal temel: Electronic Money Regulations 2011 (EMRs), SI 2011/99.
• Düzenleyici: FCA — Authorisations Division.
• İki rejim: Small EMI (outstanding e-money <€5M, sadeleştirilmiş) ve Authorized EMI (tam yetkilendirme).
• Sermaye şartı: Small EMI sembolik / yok; Authorized EMI £350.000 başlangıç + ongoing kapital (sürekli yükümlülüklerin %2'si).
• Safeguarding: müşteri fonları ayrıştırılmalı — segregation hesabı veya sigorta/teminat.
• Tipik süre: 9-15 ay; karmaşık başvurular 18+ ay.
• Maliyet: £150.000-£400.000 + £350K regulatory capital.
• Post-Brexit: passporting yok; UK yetkilendirmesi sadece UK için geçerli.

Small EMI vs Authorized EMI Hangisi?

Karar matrisi:

Pratik öneri: ürün-pazar uyumu test aşamasındaki bir start-up için small EMI mantıklı başlangıç; ölçek hedefi ile büyüyen yatırımcı destekli bir firma için authorized EMI yatırımı en başta yapılır.

Bu rehber authorized EMI sürecine odaklanır.

1. Adım: Pre-Application Süreç

FCA, EMI başvuruları için resmi pre-application süreci tanımlar. Authorisations Division ile randevu talebi e-posta üzerinden yapılır.

Pre-application toplantısına getirilmesi gerekenler:

• İş modeli özeti (3-5 sayfa)
• Önerilen UK ürünleri ve müşteri segmentleri
• Üst yönetim yapısı (organigram + kilit kişi CV'leri)
• Mali kapasiteyi gösteren belgeler (mevcut investor commitment, fonlama yapısı)
• IT mimarisi yüksek-düzey diyagramı
• Safeguarding yaklaşımının kavramsal taslağı

Pre-application'ın faydası: FCA'dan iş modelinin authorized EMI mi yoksa payment institution mı yoksa başka kategori altında değerlendirilmesi gerektiği konusunda erken sinyal almak. Karar değişirse başvuru hazırlanmadan netleşmiş olur.

Pre-application toplantısı zorunlu değil ama atlanması durumunda RFI yağmuru ile karşılaşma olasılığı yüksektir.

2. Adım: Regulatory Business Plan

Regulatory business plan FCA EMI başvurusunun temel belgesidir. Tipik 50-100 sayfa olur ve şu bölümleri kapsar:

(a) Executive Summary: firma, kurucular, vizyon, planlama özeti.

(b) İş Modeli: e-para ürünlerinin detayı, müşteri segmentleri (B2C / B2B / kurumsal), gelir modeli, fiyatlandırma yapısı, ortaklar (BIN sponsoru, programme manager, processor).

(c) Pazar Analizi: UK e-para pazarı, rakipler, pazardaki konumlama.

(d) Mali Projeksiyonlar: 3-5 yıllık gelir-gider, sermaye yeterliliği, müşteri tabanı, ortalama transaction büyüklüğü, churn ve büyüme varsayımları.

(e) Operasyonel Mimari: müşteri onboarding akışı, KYC süreci, kart issuance (varsa), transaction processing, settlement.

(f) Risk Yönetimi: financial crime, operasyonel, siber, kredi (varsa), market risk için yazılı politika.

(g) Governance: yönetim kurulu, komite yapısı, yetki çizgileri, SMCR atamaları.

(h) Wind-down Planı: firma operasyonu durdurmak zorunda kalırsa müşteri fonlarının ve verilerin nasıl yönetileceği — FCA 2023 sonrası bu konuya yoğunlaşıyor.

İş modelinin teknik gerçekçiliği FCA tarafından sıkı test edilir. Generic "fintech için banking-as-a-service sunacağız" beyanı yetmez; somut ürün, somut müşteri segmenti, somut entegrasyon gerek.

3. Adım: Financial Crime Framework ve AML Politikaları

EMI olarak MLR 2017'ye tabi olunur — bu, banka düzeyinde AML/CFT yükümlülüğü demek. Financial crime framework içermesi gerekenler:

• Money laundering risk assessment: ürün, müşteri, coğrafi ve dağıtım kanalı bazında.
• CDD politikası: dijital onboarding (NFC, liveness, video), beneficial ownership, ongoing monitoring.
• EDD politikası: PEP, yüksek riskli ülke, anormal işlem tetikleyicileri.
• Sanctions screening politikası: OFSI dahil küresel listeler.
• Transaction monitoring senaryoları: yapısal işlem, hızlı para çevirme, ülke riski.
• SAR raporlama: NCA hattı, MLRO atama (SMF17), tipping off yasağı.

UK MLR 2017 rehberimizde yönetmeliğin detayını bulabilirsiniz. EMI başvurusunda AML politikalarının "operasyonel canlılık" sergilemesi beklenir — yani yalnızca dokümante değil, IT sistemleriyle entegre çalışıyor olmalı.

4. Adım: Safeguarding Planı — Kritik Belge

EMRs Regulation 20-22 müşteri fonlarının safeguarding zorunluluğunu tanımlar. Authorized EMI iki yöntemden birini seçer:

Yöntem 1 — Segregation account: müşteri fonları firma kendi parasından ayrı bir hesapta tutulur. Bu hesap müşteri fonları için ayrıştırılmış, firma'nın iflas masasına dahil olmaz.

Yöntem 2 — İnsurance veya teminat: müşteri fonları için sigorta poliçesi veya banka teminatı. Pratikte daha az kullanılır çünkü pahalı.

Safeguarding planı şunları içermeli:

• Hangi yöntemin kullanılacağı (genelde segregation account)
• Hangi banka veya banking partner ile çalışılacağı
• Müşteri fonlarının segregation hesabına ne sıklıkta transfer edileceği (D+0, D+1)
• Reconsiliation süreci — günlük müşteri fon bakiyesi vs segregation hesap bakiyesi karşılaştırma
• Wind-down senaryosunda müşteri fonlarının iadesi prosedürü

FCA'nın 2022 sonrası odağı: safeguarding ihlalleri için enforcement aksiyonları belirgin biçimde arttı. Pre-Wirecard döneminde nispeten teferruatlı incelenmeyen bu alan artık başvuru aşamasında derinlemesine sorgulanıyor.

5. Adım: IT Sistemleri ve Cyber Security

FCA EMI başvurusunda IT mimarisinin detaylı belgelenmesini bekler:

• Yüksek-düzey sistem mimarisi: core ledger, onboarding, KYC, transaction monitoring, reporting, dış entegrasyonlar.
• Vendor envanteri: kullanılan üçüncü taraf sağlayıcılar (BIN sponsoru, processor, KYC vendor, AML screening vendor, Travel Rule (kripto da yapıyorsa)).
• Outsourcing kontrol: kritik outsourcing'ler için yazılı sözleşme, SLA, audit hakkı, exit planı.
• Siber güvenlik politikası: data protection, incident response, BCP/DR.
• GDPR uyumu: müşteri verisinin korunması, müşteri haklarının uygulanması.
• Penetration testing: yıllık veya major değişiklik sonrası.

FCA özellikle operational resilience (PS21/3 sonrası) çerçevesiyle ilgileniyor — yani "önemli iş hizmetleri"nin (Important Business Services) bozulma toleransının (Impact Tolerance) belgelenmiş olması.

6. Adım: SMCR — Senior Managers and Certification Regime

UK'de tüm authorized EMI'ler SMCR kapsamında. Üç katmanlı yapı:

(1) Senior Manager Regime (SMR): belirli üst yönetim rolleri Senior Management Function (SMF) olarak tanımlanır. EMI için tipik atamalar:

• SMF1 — Chief Executive
• SMF3 — Executive Director
• SMF16 — Compliance Oversight
• SMF17 — Money Laundering Reporting Officer (MLRO)
• SMF24 — Chief Operations function (operasyonun karmaşıklığına göre)
• SMF27 — Partner (LLP yapısı için)

Her SMF için Statement of Responsibilities yazılır — kişinin sorumluluk kapsamı belgelendirilir, kişisel hesap verilebilirlik kurulur.

(2) Certification Regime: müşteri etkileyebilecek, önemli risk doğurabilecek pozisyonlardaki kişiler yıllık olarak fit-and-proper sertifikalanır.

(3) Conduct Rules: tüm çalışanlara uygulanan davranış kuralları.

Türk fintech için kritik nokta: SMF1 (CEO) ve SMF17 (MLRO) UK rezident olmalı ve gerçek karar yetkisine sahip olmalı. FCA "boş başlık" yapılarını hızla tespit eder ve gateway aşamasında reddeder.

7. Adım: Connect Portal Başvurusu

FCA EMI başvurusu Connect online portal üzerinden yapılır. Tipik bir başvuru dosyası:

• Firma detayları, tüzel yapı, ortaklık bilgisi
• Üst yönetim listesi ve SMF Form A'ları
• Regulatory business plan (yüklenir)
• Financial crime framework, AML politikaları
• Safeguarding planı
• IT/cyber security politikası
• Sermaye yeterliliği belgesi (£350K + ek tampon önerilir)
• 3 yıllık mali projeksiyon
• Wind-down planı

Başvuru ücreti: authorized EMI için tipik £5.000-£15.000 (firma karmaşıklığına göre).

Başvuru yapıldığında FCA Authorisations Division'dan case officer atanır.

8. Adım: FCA Değerlendirme ve RFI Süreci

FCA EMI değerlendirmesi 9-15 ay sürer ve 3-7 RFI turu içerir. Tipik RFI temaları:

• Safeguarding bankası seçimi ve sözleşme detayları
• Mali projeksiyonların gerçekçiliği (özellikle gelir tarafı)
• UK rezident SMF'lerin gerçek karar yetkisi
• AML/financial crime framework'un operasyonel detayı
• IT vendor'larının kalitesi ve outsourcing kontrolü
• Wind-down planının uygulanabilirliği
• Customer journey ve operational risk
• Müşteri ödeme akışlarının test sonuçları

RFI'lara hızlı ve detaylı yanıt vermek değerlendirme süresini önemli ölçüde kısaltır. İki-üç turdan sonra temel sorular hâlâ geliyor ise FCA başvuranın hazırlığını sorgular.

9. Adım: Onay, Operasyonel Kuruluş ve Ongoing Yükümlülükler

FCA üç olası karar verir:

1. Authorized — firma EMI register'a eklenir. 28 günlük itiraz süresi sonrasında resmi.
2. Refused — yazılı gerekçeli karar; Upper Tribunal'a itiraz hakkı.
3. Minded to refuse — geri çekme imkanı verir.

Onay sonrası ongoing yükümlülükler:

• FIN049 (kapital yeterliliği) ve FIN071 (transaction volume) - üç ayda bir
• REP-CRIM (financial crime) - yıllık
• Annual safeguarding audit — bağımsız denetçi raporu
• Material change notification: iş modeli, ürün, ortak, SMF değişiklikleri
• Operational resilience raporlaması
• Principle 11 notifications: önemli olayların FCA'ya bildirimi
• SAR raporlama: NCA'ya
• Yıllık SMCR review: SMF Statement of Responsibilities ve fitness yenileme

Tipik Maliyet ve Süre

Süre: pre-application'dan onaya kadar 9-15 ay tipiktir. Karmaşık vakalar 18-24 ay sürebilir.

Başvuru başarı oranı: FCA gateway sürecinde başvuranların yaklaşık %30'u geri çekilir veya reddedilir. Çoğu ret/geri çekme safeguarding planı, IT mimarisi gerçekçiliği veya UK rezident SMF eksikliğinden kaynaklanır.

Türk Fintech için Sık Düşülen Tuzaklar

1. Passporting Yanılgısı: Brexit öncesi UK lisansı AB'ye, AB lisansı UK'ye passport ile geçerliydi. Bu hak 31 Aralık 2020'de sona erdi. UK pazarı için UK lisansı, AB pazarı için ayrı bir AB lisansı şart. AB pazarı hedefiniz varsa eş zamanlı Litvanya, İrlanda veya Malta'da AB EMI yetkilendirmesi düşünün — EMD2 rehberimizde AB tarafının detayını bulabilirsiniz.

2. UK Rezident SMF Eksikliği: "İstanbul'dan UK CEO atayalım" yaklaşımı reddedilir. SMF1 ve SMF17 UK rezident, gerçek karar yetkisine sahip olmalı. UK'de yıllık £200K+ üst yönetim maliyeti budget'a alınmalı.

3. Safeguarding Bankası Bulma Zorluğu: UK'de fintech'lere safeguarding hesabı veren banka sayısı sınırlı (ClearBank, Currencycloud, BCB Group gibi specialty bankalar). Mainstream bankalar (Barclays, HSBC) genelde fintech start-up'larına kapalı. Bu süreç başvurudan önce bankaya yaklaşmayı gerektirir; "onay alınca bulacağız" yaklaşımı RFI yağmuruna neden olur.

4. £350K Regulatory Capital'in Üzerinde Tampon Tutmama: FCA başlangıç sermayesini £350K olarak şart koşar ama operasyonel kapital yeterliliği için ek tampon (genelde ek £150-300K) görmek ister. Tam £350K'lık başvuru "thin margin" sinyali verir.

5. Wind-down Planının Yüzeysel Olması: 2022 sonrası FCA wind-down planlarına detaylı bakıyor — özellikle müşteri fonlarının iadesi senaryosu için adım adım prosedür ve mali kapasiteyi görmek istiyor.

Sıkça Sorulan Sorular

UK EMI yetkilendirmesi ile AB EMD2 yetkilendirmesi arasındaki farklar nelerdir?

Temel yapı benzer — her ikisi de safeguarding, capital, governance, AML üzerine kurulu. Ancak Brexit sonrası UK MLR 2017 ve EMRs'ı bağımsız geliştiriyor; AMLD5/6 ve gelecek AMLR UK'de geçerli değil. UK SMCR daha agresif individual accountability uygular; AB karşılığı (örn. Senior Management Function) daha az detaylı. Passporting AB içinde geçerli, UK için geçerli değil. AB regulator (BaFin, Bank of Lithuania, MFSA vb.) ile FCA'nın denetim tarzı da farklı — FCA genelde daha sıkı RFI ve enforcement.

Small EMI olarak başlayıp sonra authorized EMI'ye geçebilir miyim?

Evet — yaygın bir yol. Small EMI olarak başlayıp ürün-pazar uyumu test edilir, sonra outstanding e-money €5M sınırına yaklaşırken authorized EMI'ye geçiş başvurusu yapılır. Geçiş başvurusu yeni bir authorized EMI başvurusu kadar uzun sürer (9-15 ay), ancak operasyonel deneyim ve müşteri tabanı dosyada güçlü kanıt olur. Geçiş döneminde outstanding e-money €5M'i geçmemesi gerekir; FCA bu sınırı sıkı izler.

UK EMI yetkilendirmesi için UK rezident bir tüzel kişilik şart mı?

Evet — UK'de FCA yetkilendirmesi UK Ltd veya UK LLP gibi UK tüzel kişiliği gerektirir. Yurtdışı şirketinin UK branch'i kabul edilebilir ancak ek karmaşıklık doğurur; çoğu fintech UK Ltd kurmayı tercih eder. UK Ltd'nin Companies House'a kayıt ücreti sembolik (£12); kurulum genelde 1-2 hafta sürer.

EMI ile payment institution (PI) arasındaki fark nedir?

EMI e-money çıkarır — yani müşteri parasını alıp dijital değer olarak (kart, hesap, wallet bakiyesi) tutar. PI payment services sunar — ödeme initiation, hesap bilgi servisi, money remittance gibi servisler. UK'de bir firma her ikisi olabilir (EMI + PI hizmetleri sunabilir) veya sadece PI olabilir. PI yetkilendirmesi genelde daha kısa sürer (6-9 ay) ve daha az sermaye gerektirir (£20K-£125K, hizmet tipine göre). Eğer e-money çıkarmıyorsanız (yalnızca para transferi yapıyorsanız) PI yetkilendirmesi yeterli.

Brexit sonrası AB'den UK'ye operasyon taşıma için TPR alternatifi var mı?

TPR (Temporary Permissions Regime) Brexit dönemi geçici yetkilendirme rejimiydi. AB pasaportuyla UK'de zaten faaliyet gösteren firmalar için tasarlandı. Brexit'ten yıllar sonra TPR aşamalı olarak kapatıldı — 2023-2024 itibariyle yeni TPR girişi yok, ve TPR altındaki firmaların ya FCA full yetkilendirmesi alması ya UK'den çekilmesi gerekti. Yeni başvuranlar için TPR alternatif değil; standart FCA EMI başvurusu tek yol.

Legichain ile

UK EMI yetkilendirme sürecinde AML/financial crime framework belgelenmesi tipik olarak başvurunun en yoğun iş kalemlerinden. Legichain altyapısı UK MLR 2017 + JMLSG çerçevesine uygun olarak: OFSI dahil sanctions tarama, UK PEP veri katmanı, beneficial ownership için Companies House PSC entegrasyonu, transaction monitoring senaryo motoru ve NCA SAR otomatik formatlama sunar. AML taraması API'mizin match-grouping katmanı authorized EMI ölçeğinde false positive yükünü %80+ azaltır. Dijital KYC modülümüz NFC + liveness + video verification UK regülasyonuna uygun. E-para kuruluşları için çözümler sayfamızda authorized EMI mimarisini detaylı bulabilirsiniz; pre-built integration FCA başvurusunda "vendor X üzerinden çalışan canlı sistem" diyebilmenizi sağlar — "kuracağız" beyanından çok daha güçlü pozisyon.

Sonraki adımlar

• Birleşik Krallık finansal regülasyon rehberi — UK regülatör mimarisi.
• UK MLR 2017 rehberi — AML yükümlülükleri.
• FCA crypto registration rehberi — kripto kayıt karşılaştırma.
• EMD2 e-para direktifi rehberi — AB karşılığı.
• UK Travel Rule ve JMLSG rehberi — kripto da yapıyorsanız.