Açık Bankacılık Nedir? Türkiye'de Nasıl Çalışır, Şirketlere Ne Sağlar?

En yalın tanımıyla açık bankacılık, bankaların ellerindeki müşteri verilerini ve bazı bankacılık işlevlerini, müşterinin onayı olması şartıyla standart arayüzler üzerinden dış uygulamalara açmasıdır. Model iki temel hizmet üzerine kurulur: hesap bilgisi hizmeti (bakiye ve hesap hareketlerinin okunması) ve ödeme emri başlatma hizmeti (müşteri adına ödeme talimatı verilmesi).

Kavram küresel ölçekte, Avrupa Birliği'nde 2018'de uygulamaya giren PSD2 (İkinci Ödeme Hizmetleri Direktifi) ile yaygınlaştı. PSD2, bankaları müşteri onayı bulunan üçüncü taraf sağlayıcılara hesap erişimi açmakla yükümlü kıldı. Benzer yaklaşımlar Birleşik Krallık'ta Open Banking standardıyla, dünyanın pek çok ülkesinde de yerel düzenlemelerle karşılık buldu. Türkiye de bu dalgayı kendi mevzuatına uyarlayan ülkeler arasında yer aldı.

Türkiye'de açık bankacılığın yasal zemini iki ana düzenlemeye dayanır. Birincisi, 6493 sayılı Kanun'da 2019'da yapılan değişiklikle "ödeme emri başlatma" ve "hesap bilgisi" hizmetlerinin düzenlemeye tabi birer ödeme hizmeti olarak tanımlanması ve alanın Türkiye Cumhuriyet Merkez Bankası (TCMB) gözetimine verilmesidir. İkincisi, BDDK'nın 2020'de yayımladığı Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'te "açık bankacılık servisleri"nin bir elektronik bankacılık kanalı olarak tanımlanmasıdır.

Bu çerçevede TCMB, hesap bilgisi ve ödeme başlatma hizmetleri için teknik API standartlarını belirledi; standart altyapı, Bankalararası Kart Merkezi (BKM) tarafından işletilen GEÇİT üzerinden çalışır.

Öte yandan Türkiye'de kurumsal tarafın uzun süredir kullandığı bir yol daha vardır: bankaların kurumsal müşterilerine sözleşme karşılığı açtığı web servisleri. Şirket, bankasıyla bir servis tanım formu imzalar; banka da hesap hareketi ve bakiye sorgusu gibi işlemler için şirkete özel erişim tanımlar. Ziraat, İş Bankası, Garanti BBVA, Akbank gibi büyük bankaların yanı sıra katılım bankaları da bu tür servisler sunar. Banka API entegrasyonu pratikte çoğu zaman bu iki kanalın — düzenlenmiş açık bankacılık API'leri ile bankaya özel web servislerinin — birlikte kullanılması anlamına gelir.

Şirketler için açık bankacılığın en somut karşılığı zaman ve görünürlüktür. Birden fazla bankayla çalışan bir finans ekibi, her sabah ayrı ayrı internet şubelerine girip bakiye kontrolü yapmak yerine tüm hesapları tek ekranda, canlı olarak izleyebilir. Çok şirketli ve çok dövizli yapılarda bu, konsolide nakit pozisyonunun her an güncel olması demektir.

İkinci büyük fayda mutabakattır. Hesap hareketleri otomatik aktığında, banka kayıtlarıyla muhasebe kayıtlarının karşılaştırılması manuel ekstre indirme-yükleme döngüsünden kurtulur; ekip üyeleri hareketlerin üzerine not düşerek mutabakatı birlikte yürütebilir.

Üçüncüsü, muhasebe ve ERP entegrasyonudur. Banka verisi API ile aktığı için Odoo gibi ERP sistemlerine aktarım veya muhasebe yazılımı kayıtlarıyla karşılaştırma otomatikleşir. Nakit akışı raporları elle veri girişine değil, bankadan gelen güncel veriye dayanır.

Açık bankacılıkta güvenlik tasarımın merkezindedir ve birkaç katmandan oluşur. İlk ilke salt okunur erişimdir: hesap bilgisi hizmeti yalnızca bakiye ve hareket okur; para transferi yetkisi içermez. Şirketler için açık bankacılık senaryolarının büyük bölümünde bu okuma yetkisi yeterlidir ve risk yüzeyini baştan daraltır.

İkinci katman IP yetkilendirmesidir: bankalar, web servislerine yalnızca şirketin bildirdiği sabit IP adreslerinden erişime izin verir; başka bir yerden gelen istekler daha banka tarafında reddedilir.

Üçüncü katman kimlik bilgilerinin korunmasıdır. Servis kullanıcı adı ve şifreleri şifreli olarak saklanmalı, hiçbir yerde düz metin olarak tutulmamalıdır. Bunun üzerine kurumsal katman gelir: rol bazlı erişim kontrolü (RBAC) ile her çalışanın yalnızca yetkili olduğu hesapları görmesi, iki faktörlü doğrulama (2FA) ve tüm işlemlerin denetim kaydına yazılması. Türkiye'de açık bankacılık pratiğinde BDDK ve TCMB düzenlemeleri de kimlik doğrulama ve veri güvenliği için asgari standartlar getirir.