Türkiye Fintech Teknoloji Yönetişimi Görünümü — Pilot 2026

Bu çalışma fintech şirketlerinin kalitesini değil, kamusal teknoloji yönetişimi kanıtını ölçer

Pilot çalışma, Türkiye Cumhuriyet Merkez Bankasının güncel elektronik para kuruluşları listesinde yer alan altı markanın kamuya açık kurumsal, güvenlik, veri koruma, geliştirici ve sözleşme yüzeylerini ortak bir ölçüt setiyle inceler. Örneklem; görünürlük çeşitliliği ve kamuya açık doküman bulunabilirliği gözetilerek amaçlı seçilmiştir. Türkiye ödeme ve elektronik para pazarını temsil ettiği iddia edilmez.

Marka ile lisanslı tüzel kişi aynı adla görünmeyebilir

Fintech sitelerinde kullanıcıya gösterilen marka adı ile TCMB kayıtlarındaki tüzel kişi unvanı her zaman birebir değildir. Bu nedenle veri tablosunda iki alan ayrı tutulmuştur. Param, TURK Elektronik Para A.Ş.; iyzico ise İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. kaydıyla değerlendirilmiştir. Bu ayrım, kullanıcıların marka, sözleşme, KVKK metni ve düzenleyici kayıt arasında doğru ilişki kurabilmesi için önemlidir.

On ölçüt, üç kanıt seviyesi

Her ölçüt 0, 5 veya 10 puanla kodlanmıştır. 10 puan, belirgin ve ayrıntılı resmî yüzeyi; 5 puan, kısmi, dağınık veya dolaylı açıklamayı; 0 puan ise pilot kanıt setinde doğrulanamayan durumu ifade eder. Kamuya açık kanıt bulunmaması kurum içinde kontrol bulunmadığını kanıtlamaz.

Toplam puan, CSV’deki on ölçütün aritmetik toplamıdır. Editoryal genel puan, marka algısı, pazar payı veya ücret bilgisi toplamı değiştirmez. Bütün satırlarda erişim tarihi, yöntem sürümü, üç resmî kanıt URL’si ve açık sınırlılık notu bulunur.

Pilot bulgular: güçlü güvenlik söylemi, eşit olmayan yönetişim görünürlüğü

• Bilgi güvenliği ve KVKK en görünür iki alandır. Altı örneklemin tamamında güvenlik veya kişisel veri açıklaması bulunurken, ayrıntı ve merkezî erişim seviyesi değişmektedir.
• Geliştirici dokümantasyonu ayrıştırıcıdır. Moka United, PayTR, Papara ve iyzico kamuya açık entegrasyon yüzeyleri sunarken; Param ve Sipay için pilot kanıt setinde eşdeğer portal doğrulanmamıştır.
• İş sürekliliği çoğunlukla genel politika cümlesi seviyesindedir. Kamuya açık durum geçmişi, plan testi veya olay sonrası raporu örneklemde belirgin değildir.
• Üçüncü taraf şeffaflığı sözleşmelerde dağınık kalabilir. Temsilci, grup şirketi, iş ortağı, dış hizmet sağlayıcı ve veri aktarılan taraflar tek kanonik envanterde sunulmadığında alıcı incelemesi zorlaşır.
• AI ve otomasyon görünürlüğü zayıftır. Ürünlerde otomasyon veya risk motoru kullanılması muhtemel olsa da kamuya açık yönetişim ilkesi, veri kullanım sınırı ve insan kontrolü kanıtı sınırlıdır.
• Regülatör listesinde yer almak teknoloji yönetişimi puanı değildir. Lisans kaydı yalnız örneklem kimliğini doğrular; güvenlik, veri, API ve yönetişim ölçütleri sağlayıcının kendi kamusal kanıtlarından kodlanır.

Kurumsal alıcı bu görünümü nasıl kullanmalı?

1. Marka ile sözleşme tarafının tüzel kişi unvanını eşleştirin.
2. Sunulacak hizmetin TCMB izin kapsamını doğrudan resmî kayıttan kontrol edin.
3. PCI DSS, ISO veya benzeri iddiaların sertifika kapsamını, tarihini ve ilgili ürünü ayrıca doğrulayın.
4. API kimlik doğrulaması, anahtar yönetimi, webhook güvenliği, loglama ve hata geri alma senaryolarını teknik test ortamında inceleyin.
5. KVKK metnindeki veri kategorileri, amaçlar, saklama, aktarım ve ilgili kişi kanallarını sözleşme ile karşılaştırın.
6. Olay bildirimi, iş sürekliliği, veri ihracı, hesap kapatma ve güvenli çıkış koşullarını teklif aşamasında kanıta bağlayın.
7. AI veya otomatik risk kararı kullanılıyorsa veri kaynağı, insan incelemesi, itiraz ve kayıt mekanizmasını ayrı karar kapısı yapın.

Resmî kamusal kanıt kayıtları

Aşağıdaki bağlantılar pilot kodlamada kullanılan sağlayıcıya ait resmî yüzeylerdir. Düzenleyici örneklem kontrolü ayrıca TCMB’nin elektronik para kuruluşları listesi üzerinden yapılmıştır. İndirilebilir CSV’de bütün ölçütler ayrı sütunlarda yer alır.

Sınırlılıklar ve sonraki araştırma sürümü

1. Altı kuruluşluk amaçlı örneklem sektörün tamamını veya pazar payını temsil etmez.
2. Kanıtlar kamusal web yüzeyleriyle sınırlıdır; müşteri paneli, gizli denetim raporu, iç politika, olay kaydı ve teknik test yapılmamıştır.
3. URL’ler zamanla değişebilir. Sonraki sürümde arşiv kopyası, içerik hash’i ve değişiklik günlüğü eklenmelidir.
4. Tek araştırmacılı pilot kodlama kullanılmıştır. Geniş sürümde iki bağımsız kodlayıcı ve uyuşmazlık çözümü uygulanmalıdır.
5. Kuruluşların izin kapsamı zaman içinde değişebilir; canlı karar öncesinde TCMB listesi yeniden kontrol edilmelidir.
6. Geniş sürüm; daha fazla kuruluş, hizmet türü, mobil uygulama şeffaflığı, açık durum sayfaları ve sözleşme değişiklik bildirimi ölçütlerini kapsamalıdır.