Açık finans düzenlemeleri açıklandı: Küresel pazarlarda açık finans düzenlemelerinde gezinme

Açık finans, insanların ve işletmelerin finansal verilerine bağlanma şeklini yeniden şekillendirerek daha kişiselleştirilmiş finansal hizmetler almalarını sağlıyor ve bu dönüşüm, hızla gelişen bir düzenleyici ortamda yaşanıyor. Avrupa Birliği'nin Ödeme Hizmetleri Direktifi 2'den Brezilya'nın kapsamlı açık finans çerçevesine kadar, düzenlemeler yargı yetkisine göre farklılık gösterir ancak amaç aynıdır: Tüketicilere, kendi finansal verilerinin kontrolünü güvenli ve emniyetli bir şekilde vererek daha kişiselleştirilmiş finansal hizmetlere erişmelerini sağlamak. İster çok pazarlı riskleri yöneten bir uyum görevlisi, ister bir sonraki hamlesini planlayan bir fintech kurucusu olun, bu düzenlemeleri anlamak sadece bir görevi yerine getirmek değil, aynı zamanda rekabet avantajıdır.

Peki, açık finans tam olarak nedir ve açık bankacılıktan farkı nedir? Açık bankacılık, ödeme hesabı verilerine — işlem geçmişi ve bakiyeler gibi — odaklanır ve bankaların bu bilgileri yetkili üçüncü taraflarla paylaşmasını gerektirir. Açık bankacılık, bütçeleme uygulamaları, hesap doğrulama ve hesaptan hesaba ödemeler gibi kullanım durumlarını mümkün kılar.

Açık finans, veri paylaşım ilkelerini çok daha geniş bir alana yayar: yatırımlar, sigorta, emekli aylıkları, ipotekler, krediler, varlık yönetimi ve daha fazlası. Amaç, insanlara (ve işletmelere) sadece bankacılık faaliyetlerini değil, **finansal yaşamlarının eksiksiz bir resmini** sunmaktır. Açık finans, kullanıcılara finansal faaliyetleri genelinde daha akıllı tavsiyeler, daha iyi ürünler ve daha kişiselleştirilmiş deneyimler sunar.

Ayrım önemlidir. Birden çok finansal alanda ürün geliştiriyorsanız, bu durum lisans stratejinizden teknik mimarinize kadar her şeyi şekillendirir. Her pazarın bu spektrumda nerede konumlandığını anlamak, doğru adımı atmak için çok önemlidir. 

Hadi başlayalım.

Avrupa Birliği'nin PSD2 yönergesi, açık bankacılık için oyunun kurallarını değiştirdi. Bu durum, bankaların lisanslı üçüncü taraf sağlayıcılara güvenli uygulama programlama arayüzleri (API'ler) aracılığıyla müşteri ödeme hesabı verilerine erişim sağlamasını gerektiriyor; bu da Avrupa Ekonomik Alanı genelinde daha yenilikçi ve kişiselleştirilmiş finansal hizmetlere kapı aralıyor.

PSD2, iki düzenlenmiş sağlayıcı kategorisi tanıttı:

Hesap Bilgileri Hizmet Sağlayıcıları (HBH): Tüketicilerin banka hesap verilerini üçüncü taraflarla güvenli bir şekilde paylaşmalarına olanak tanır – bu da birden çok hesaptaki verilerin tek bir yerde toplanmasına, içgörüler elde edilmesine ve finansal yönetim araçlarına erişilmesine imkan verir.

Ödeme Başlatma Hizmeti Sağlayıcıları (PISP'ler): Üçüncü tarafların, müşterinin açık rızasıyla, kendi adına doğrudan müşterinin banka hesabından ödeme başlatmak üzere finans kuruluşlarına ödeme talimatları göndermesine olanak tanır. Böylece geleneksel kart sistemlerine veya manuel banka transferlerine olan ihtiyacı ortadan kaldırır.

Bunun arkasındaki temel mekanizma XS2A — Hesaba Erişim'dir. XS2A kapsamında, bankalar, açık onay vermiş tüketiciler adına düzenlenmiş üçüncü taraf sağlayıcıların hesap bilgilerini almasına ve ödemeleri başlatmasına olanak tanıyan özel API'ler sağlamalıdır. Bu temel bir değişimdi: PSD2'den önce bankalar, müşteri finansal verilerine tüm erişimi kontrol ediyordu. Artık müşteri, finansal verilerine ve ödemelerine kimlerin "bağlanabileceği" konusunda söz sahibidir.

Güvenlik, açık finansın temelinde yer almaktadır. SCA, elektronik ödemelerin üç kimlik doğrulama faktöründen en az ikisini kullanmasını gerektirir:

• Müşterinin bildiği bir şey (parola veya PIN)
• Müşterinin elinde bulundurduğu bir şey (mobil cihaz veya kart)
• Müşterinin olduğu bir şey (biyometrik doğrulama)

Bankalar ve ödeme hizmeti sağlayıcıları, çevrimiçi işlemler ve banka hesaplarına erişim için SCA'yı uygulamalıdır; düşük değerli ödemeler, güvenilen alıcılar ve banka hesaplarına sürekli erişim için belirli istisnalar bulunmaktadır. SCA ve güvenli iletişime ilişkin Düzenleyici Teknik Standartlar (RTS), banka API'lerinin müşteriye yönelik arayüzlerinin kullanılabilirliği ve performansıyla aynı olmasını ve tüm iletişimin şifreli olmasını da zorunlu kılmaktadır. SCA açık finansın güvenliği için kritik öneme sahiptir, çünkü:

• Dijital ödemelerde dolandırıcılığı azaltır.
• Tüketicileri yetkisiz işlemlere karşı korur.
• Açık bankacılık ve API tabanlı ekosistemlere güven inşa eder

Uyumluluğun pratikte nasıl göründüğünü görmek ister misiniz? Mastercard'ın PSD2 uyumluluk yaklaşımını uygulama standartları için bir ölçüt olarak keşfedin.

Avrupa'nın açık bankacılık kural kitabı büyük bir yükseltme için hazırlanıyor. 2023'te önerilen ve geçici anlaşmaya varılan Ödeme Hizmetleri Yönetmeliği (PSR) ve Üçüncü Ödeme Hizmetleri Direktifi (PSD3), mevcut PSD2 çerçevesinin yerini almayı hedefliyor.

Değişikliğin sebebi ne? PSD2 kapsamında geçen birkaç yılın ardından, görünüm çok farklı. Dolandırıcılık taktikleri gelişti, açık bankacılık benimsenmesi düzensiz oldu ve ülkeden ülkeye tutarsız uygulanan kurallar, sınır ötesi inovasyonu olması gerekenden daha zor hale getirdi. PSR ve PSD3, AB'nin açık bankacılık ve ödeme çerçevesini güçlendirmek ve düzene sokmak için tasarlanmıştır. Öncelikler açık:

• Kimlik taklidi dolandırıcılıkları için genişletilmiş sorumluluk da dahil olmak üzere daha güçlü dolandırıcılık korumaları
• Veri paylaşımını daha güvenilir kılan, uygulanabilir API standartlarıyla daha iyi açık bankacılık.
• Hem tüketiciler hem de işyerleri için ücretler konusunda daha fazla şeffaflık

PSD3, PSR ve Avrupa'da açık bankacılık düzenlemeleri hakkında daha fazla bilgi edinmek ister misiniz? Web seminerimizi isteğe bağlı izleyin.

AB'nin açık finans tartışmasının merkezinde, 2023 yılında sunulan bir yasa teklifi olan önerilen Finansal Verilere Erişim düzenlemesi (FiDA) yer alıyor. Kabul edilirse, FiDA, geleneksel açık bankacılık kapsamındaki ödeme hesaplarının çok ötesine geçen finansal verilere güvenli, izin tabanlı erişim için bir çerçeve oluşturacaktır. Ancak bu aşamada, teklifin ne zaman, nasıl ve hangi biçimde kabul edileceği konusunda hala belirsizlik bulunmaktadır. 

Teklifin ardındaki prensip oldukça basit: müşteriler – ister bireyler ister işletmeler olsunlar – kendi finansal verilerini kontrol ederler. FiDA, finans kuruluşlarının bu verileri yetkili üçüncü taraflarla standart ve güvenli bir şekilde paylaşmasını gerektirirken, onlara verilere kimin, hangi amaçla ve ne kadar süreyle erişebileceğine karar verme hakkı tanıyacaktır. 

Benimsenirse, FiDA, Avrupa'da veri paylaşımının kapsamını önemli ölçüde genişletebilir; krediler, tasarruflar, yatırımlar, sigorta, emekli maaşları ve hatta kripto varlıklar gibi verileri kapsayarak, daha akıllı ve kişiselleştirilmiş hizmetleri destekleyebilecek çok daha eksiksiz bir finansal tablo oluşturabilir. 

Yürürlüğe girmesi halinde FiDA, fintech'lerin, bankaların ve yeni oyuncuların eşit şekilde yenilik yapabileceği daha açık ve rekabetçi bir ekosistem oluşturmaya yardımcı olabilir. Ancak şimdilik, yerleşik veya yaklaşan bir çerçeve olmaktan ziyade AB'nin açık finans için yasama teklifi olarak anlaşılmaktadır.

Hiçbir iki pazar aynı değildir. Her yargı alanı, veri paylaşım zorunluluklarına, lisanslama gerekliliklerine ve teknik standartlara kendi yaklaşımını benimser. Başlıca düzenleyici çerçeveler şu şekilde karşılaştırılıyor:

Avrupa Birliği: AB'nin PSD2'si şablonu belirler. Bankalar, lisanslı AISP'lere ve PISP'lere API'ler sağlamalı, Güçlü Müşteri Kimlik Doğrulaması uygulamalı ve kendi dijital kanallarıyla karşılaştırılabilir hizmet düzeylerini sürdürmelidir. Çerçeve olgunlaştıkça, Avrupa'daki açık bankacılık düzenlemesiyle yeni iş fırsatları ortaya çıkmaya devam ediyor.

Birleşik Krallık: Brexit sonrası Birleşik Krallık, kendi yasal düzenleme modelini geliştirirken Open Banking Limited (OBL) standartlarını sürdürmektedir. Rekabet ve Piyasalar Kurumu (CMA), başlangıçta Birleşik Krallık'taki en büyük dokuz bankaya açık bankacılık API'lerini benimseme zorunluluğu getirmiş, Üçüncü Taraf Sağlayıcıların yetkilendirilmesinden ve sürekli denetiminden ise FCA sorumlu olmuştur.

Avustralya: Avustralya'nın Tüketici Veri Hakkı, çok sektörlü bir yaklaşım benimsiyor. Şu anda bankacılık ve enerji sektörlerinde faaliyet gösteriyor ve akredite veri alıcıları için sıkı güvenlik ve gizlilik gereksinimleriyle telekomünikasyon gibi sektörlere yayılması amaçlanıyor.

Brezilya: Brezilya, dünyanın en kapsamlı açık finans çerçevelerinden birini oluşturdu. Merkez bankası, denetlenen kurumlardan katılım zorunluluğu getirmiş ve ödeme hesapları, kredi, sigorta, yatırımlar ve döviz bozdurma işlemlerini kapsayan ayrıntılı teknik standartlar belirlemiştir.

Amerika Birleşik Devletleri: ABD şu anda birleşik bir federal yetkiye sahip değil. Bölüm 1033 kuralının uygulanması bir ABD federal mahkemesi tarafından durduruldu ve CFPB şu anda çerçeveyi yeniden değerlendiriyor. Günümüzde veri paylaşımı büyük ölçüde ikili anlaşmalara ve ekran kazımaya dayanmakta olup, bu da eyalet sınırları ötesinde faaliyet gösteren kuruluşlar için karmaşıklık yaratmaktadır.

Latin Amerika: Gelişmekte olan pazarlara açılan kuruluşlar için, Latin Amerika'da açık bankacılık büyüyen fintech ekosistemleriyle birlikte düzenleyici çerçeveler geliştikçe ek hususlar sunmaktadır.

Müşteri finansal verilerine erişmeden önce, üçüncü taraf sağlayıcıların çoğu yargı bölgesinde yasal yetkilendirme alması gerekmektedir. Lisanslama süreci bölgeye ve hizmet türüne göre değişir. 

AB'de, AISPLer ve PISPLer kendi ülkelerinin ulusal yetkili makamına kayıt olur. AISPP'leri ve PISPP'leri anlamak, işletme modelinize hangi lisansın uygulanacağını belirlemek için çok önemlidir. AISPP'ler, ödeme başlatmaya kıyasla salt okunur erişimin daha düşük risk profilini yansıtacak şekilde, PISPP'lerden daha hafif sermaye gereksinimleriyle karşı karşıyadır. 

API uyumluluk standartları, hem finansal kuruluşların hem de üçüncü taraf sağlayıcıların uygulaması gereken teknik özellikleri tanımlar. Ana standartlar şunları içerir:

• Avrupa genelinde yaygın olarak benimsenen Berlin Group'un NextGenPSD2 çerçevesi
• Birleşik Krallık'ın Açık Bankacılık Uygulama Kurumu API standartları
• OAuth 2.0 ve OpenID Connect yetkilendirme ve kimlik doğrulama için
• FAPI (Finansal Sınıf API) gelişmiş koruma için güvenlik profilleri
• TPP tanımlaması için Nitelikli sertifikalar (eIDAS)
• Hız sınırlama ve izleme özelliklerine sahip API ağ geçitleri
• Test ve sertifikasyon için geliştirici sanal ortamları

Mastercard Open Finance sözlüğü, API uyumluluğuyla ilgili teknik terimlerin ve standartların ayrıntılı tanımlarını sağlar.

PSD2'nin XS2A gereklilikleri kapsamında bankaların, hesap bilgileri ve ödeme başlatma için belirli uç noktaları açığa çıkarması gerekir. Her biri, veri döndürmeden önce uygun kimlik doğrulama ve onay doğrulamasını uygulamalıdır.

Her açık finans düzenlemesinin temelinde basit bir ilke vardır: insanlar kendi finansal verilerini kontrol etmelidir. Yönetmelikler, herhangi bir veri paylaşımı gerçekleşmeden önce tüketicilerin açık, bilinçli onay vermesini zorunlu kılar ve tüketiciler bu onayı istedikleri zaman geri çekme hakkını saklı tutarlar. 

PSD2 kapsamında, tüketiciler erişim izni verirken Güçlü Müşteri Kimlik Doğrulaması (SCA) kullanarak doğrudan bankalarıyla kimlik doğrulaması yaparlar. Banka, üçüncü taraf sağlayıcıya bir erişim belirteci verir, bu belirteç yeniden kimlik doğrulama gerekmeden önce genellikle 90 gün geçerlidir. 

Onayı doğru almak çok önemlidir. Kuruluşlar şunları yapmalı:

• Verilere erişmeden önce açık müşteri onayı alın.
• İzin kapsamı ve süresinin kayıtlarını tutun
• Tüketicilerin onayı görüntülemesi ve geri çekmesi için mekanizmalar sağlayın
• Müşteri eylemi gerektirmeden onay süresinin dolmasını dikkate alın.

• Özel, standartlaştırılmış API'ler – Üçüncü taraf sağlayıcıların müşteri onayıyla hesap verilerine erişmesine ve ödeme başlatmasına olanak tanıyan güvenli arayüzler
• Güçlü Müşteri Kimlik Doğrulaması – Veri erişimini ve ödemeleri güvenli hale getirmek için bildiğiniz, sahip olduğunuz veya olduğunuz bir şey olan çok faktörlü kimlik doğrulaması
• Onay yönetimi altyapısı – Veri paylaşımı için müşteri onayını toplama, depolama, yönetme ve geri çekme sistemleri
• Kimlik, yetkilendirme ve güvenlik protokolleri – OAuth 2.0, OpenID Connect ve FAPI gibi çerçeveler, güvenli, jeton tabanlı erişim kontrolünü mümkün kılar
• Lisanslama ve kayıt sistemleri – AISP'ler ve PISP'ler gibi üçüncü tarafların finansal verilere erişimi için düzenleyici yetkilendirme süreçleri
• Veri yönetimi ve gizlilik kontrolleri – Uyumlu veri kullanımını, gizliliğin korunmasını ve düzenlemelere bağlılığı sağlayan politikalar ve sistemler
• Toplayıcı ve satıcı altyapı katmanı – Kurumlar arasında bağlantı, veri normalleştirme ve API düzenlemesini sağlayan aracı platformlar

Birden fazla yargı alanında faaliyet gösteriyorsanız — veya planlıyorsanız — operasyonları verimli tutarken bölgesel farklılıkları karşılayacak kadar esnek bir uyumluluk çerçevesine ihtiyacınız var. 

Her piyasada hangi açık finans düzenlemelerinin geçerli olduğunu belirleyin. Lisanslama gerekliliklerini anlayın. API uygulamasını yöneten teknik standartları belgeleyin. Bu çalışma, gerekliliklerin nerede örtüştüğünü ve nerede yargı alanına özgü uyarlamalara ihtiyacınız olacağını ortaya koyuyor. 

Tek bir onay yönetimi platformu, tutarlı kullanıcı deneyimleri ve denetim yetenekleri sunarken yargı bölgesine özgü kuralları uygulayabilir. Bu yaklaşım, birden fazla düzenleyici kuruluş arasında yaptırım eylemlerini tetikleyebilecek ihlallerin riskini azaltır. 

Teknik seçimlerin sınır ötesi uyumluluk maliyetleri üzerinde doğrudan etkisi vardır. NextGenPSD2 veya FAPI güvenlik profilleri gibi yaygın olarak tanınan standartları benimseyen kuruluşlar, minimum özelleştirme ile birden fazla yargı bölgesindeki gereksinimleri karşılayabilir. Tescilli uygulamalar, yeni pazarlara girerken önemli yeniden çalışmalara neden olabilir. 

Ortam gelişiyor. PSD3 ve PSR, Avrupa'nın açık bankacılık çerçevesinde ilerliyor. FiDA, açık finans için yasal bir teklif olmaya devam ediyor ve kabulü belirsizliğini koruyor. Amerika Birleşik Devletleri'nde 1033. Bölüm kuralının geleceği belirsizliğini koruyor. Asya ve Latin Amerika'da çerçeveler olgunlaşıyor. Uyum ekiplerinin bu gelişmeleri takip etmek ve mevcut operasyonlar ile ürün yol haritaları üzerindeki etkilerini değerlendirmek için özel kaynaklara ihtiyacı var. 

Uygulama yaklaşımları piyasaya göre değişiklik gösterir. Bu farklılıkları anlamak, kuruluşların uyum yatırımlarına en önemli olan yerlerde öncelik vermelerine yardımcı olur. 

Her şeyi sıfırdan inşa etmek zorunda değilsiniz. Açık finans ekosistemindeki köklü oyuncularla ortaklık kurmak, pazara girişi hızlandırabilir ve uyum riskini azaltabilir; böylece düzenleyici ilişkilere ve kanıtlanmış altyapıya büyük bir çaba gerektirmeden erişim sağlayabilirsiniz.

Mastercard, farklı yargı bölgelerinde açık finans uyumluluğu konusunda yol gösteren kuruluşlara küresel düzenleyici uzmanlığını ve kanıtlanmış altyapısını sunar. PSD2 uyumlu çözümlerin uygulanmasında derin deneyimimiz ve dünya genelindeki düzenleyici kurumlarla güçlü ilişkilerimiz sayesinde, uyumlu açık finans ürünleri geliştiren finansal kuruluşlar ve fintech'ler için güvenilir bir iş ortağı olarak hizmet veriyoruz. 

Mastercard Açık Finans platformu, finansal kurumlara API bağlantısı, onay yönetimi yetenekleri ve birden fazla pazardaki yasal standartlarla uyumlu güvenlik kontrolleri dahil olmak üzere, kesintisiz müşteri deneyimleri sunarken yasal gereklilikleri karşılamak için ihtiyaç duyduğunuz teknik altyapıyı sağlar. 

Mastercard, karmaşık, çok yargı alanlı riskleri yöneten uyum görevlileri için ortamı basitleştirir. Sınırları aşan ürünler geliştiren fintech kurucuları için, piyasaya çıkış süresini hızlandıracak altyapı ve ortaklıklar sağlıyoruz — uyumluluktan ödün vermeden. 

Mastercard'ın açık finans uyum stratejinizi nasıl destekleyebileceğini ve gelişen düzenleyici ortamda yeni fırsatların kilidini açmanıza nasıl yardımcı olabileceğini keşfedin.