Kurumsal Hazine Yönetimi Kriptoya Giriyor: Politika ve Risk Çerçevesi
Kurumsal hazineler 2025’e girerken kripto varlıkları yalnızca “deneysel” bir enstrüman olarak değil, nakit yönetimi, tahsilat, ödeme optimizasyonu, bilanço çeşitlendirmesi ve stratejik yatırım başlıklarında değerlendirilen bütünleşik bir sınıf olarak ele alıyor. Bu eğilim; kur dalgalanmalarına karşı korunma, 7/24 transfer altyapısı, zincir üstü şeffaflık, tokenize Hazine bonoları (RWA) ve stablecoin tabanlı çalışma sermayesi çözümleri tarafından hızlanıyor. Peki bir şirket, kriptoya girerken politika ve risk çerçevesini nasıl kurmalı? Bu rehber, kriptomagic.com okuyucuları için uçtan uca, uygulanabilir bir yol haritası sunuyor.
1) Neden Şimdi? Kurumsal Talebi Artıran İtici Güçler
- Ödeme ve tahsilatta verimlilik: Stablecoin tabanlı sınır ötesi transferler dakika bazında sonuçlanabiliyor; işlem ücretleri düşüyor ve kesintisiz saat avantajı sağlanıyor.
- Çalışma sermayesi optimizasyonu: Kripto-fiat rampaları ve tokenize Hazine enstrümanlarıyla (RWA) kısa vadeli park etme/bozma esnekliği artıyor.
- Zincir üstü şeffaflık: Cüzdan hareketleri, mahsuba ve iç denetim süreçlerine veri sağlıyor.
- Stratejik opsiyonlar: Bilanço çeşitlendirmesi (BTC/ETH), müşteri sadakati (on-chain puan/ödül), tedarikçi ödemeleri ve yeni iş modelleri.
2) Politika Çerçevesinin Temelleri: Amaç, Kapsam, Roller
Kurumsal politika, anlaşılır ve denetlenebilir olmalı:
- Amaç ve kapsam: Hangi amaçlarla kripto tutulur? (likidite, ödeme, yatırım, stratejik ortaklıklar) Hangi ağlar ve varlık türleri kapsama dahil?
- Yönetişim ve roller: Hazine, Uyum (AML/KYT), Hukuk, BT Güvenliği, Risk, İç Denetim, Muhasebe rollerinin görev tanımları; “dört göz” prensibi; onay hiyerarşisi; acil durum yetkileri.
- Limitler ve raporlama: Varlık bazlı ve karşı taraf bazlı limitler; günlük/haftalık raporlama; yönetim kurulu görünürlüğü.
- Gözden geçirme sıklığı: Politika ve prosedürlerin en az yıllık ve olay bazlı güncellenmesi.
3) Risk Taksonomisi: Hangi Risk, Hangi Kontrol?
- Piyasa riski: Fiyat oynaklığı, basis ve fonlama maliyeti riski. Araçlar: VaR, stres testleri, delta-nötr/parsiyel hedge, senaryo analizleri.
- Likidite riski: Dar piyasalarda spread genişlemesi, borsa derinliği ve emir büyüklüğü etkisi. Kontroller: Emir boyutu limitleri, çoklu likidite sağlayıcısı, kademeli icra.
- Karşı taraf riski: Borsa, broker ve saklama kurumlarının temerrüt/operasyonel riski. Kontroller: Müşteri varlıklarının ayrıştırılması (segregation), teminat yönetimi, rezerv kanıtı metodolojileri, finansal durum izleme.
- Operasyonel risk: Süreç hataları, yanlış adres, hatalı ağ seçimi, iç suistimal. Kontroller: Allowlist, küçük deneme transferi, çok imza/MPC, işlem limitleri, görev ayrımı.
- Teknoloji ve siber risk: Anahtar sızıntısı, akıllı sözleşme kusurları, köprü/oracle arızaları. Kontroller: Donanımsal güvenlik modülleri (HSM), denetlenmiş protokol ve köprü kullanımı, sözleşme risk puanlaması.
- Regülasyon ve vergi riski: Ülkeye göre farklılaşan AML/KYT, raporlama, vergilendirme kuralları. Kontroller: Uyum rejimi, tedarikçi due diligence, hukuki görüş süreçleri.
- İtibar riski: Uygunsuz karşı tarafa ödeme, sansiyon listeleri. Kontroller: Zincir üstü tarama, kara liste/allowlist, tedarikçi etik politikası.
4) Varlık Sepeti Tasarımı: Ne, Ne Kadar, Ne İçin?
Politika; izinli varlıklar listesi, yasaklı varlıklar, tavan paylar ve kullanım amacı ile netleşmelidir:
- Likidite havuzu: İşletme sermayesi, maaş/tedarikçi ödemeleri için birincil stablecoin sepeti (ör. birden fazla ihraççı ve zincirde çeşitlendirme).
- Stratejik çekirdek: BTC ve/veya ETH gibi büyük varlıklar için sınırlı, yönetim onaylı istif payı; volatiliteye karşı risk limitleri.
- RWA/T-bill tokenları: Nakit benzeri park alanı; ihraççı kredibilitesi, saklama yapısı, itfa/likidite mekanikleri.
- Yasaklılar: Yetersiz likiditeye sahip token’lar, denetlenmemiş DeFi sözleşmeleri, ince piyasalı NFT’ler vb.
5) Saklama Mimarisi: Self-Custody mi, Kurumsal Saklama mı?
Saklamayı belirleyen ana eksenler: kontrol, güvenlik, uyum ve iş sürekliliği.
- Kurumsal saklama hizmeti (CaaS): MPC tabanlı cüzdanlar, çok seviyeli onay akışları, politikalı harcama kuralları, sigorta kapsamı, anahtar fragmantasyonu, denetim raporları, 7/24 operasyon.
- Self-custody: Donanım cüzdan + HSM; çok imza (multisig) veya MPC; imza politikaları, coğrafi dağıtım, kurtarma prosedürleri.
- Hibrit model: Operasyonel akış için saklama sağlayıcısı; stratejik kasalar için self-custody; “sıcak–ılık–soğuk” katmanlandırma; günlük ödeme kasası/ana kasa ayrımı.
- Politika motoru: Harcama miktarına, hedef adrese, zamana, kullanıcı rolüne, zincire göre kurallar; otomatik blok/ek onay isteği; IP ve cihaz parmak izi kontrolleri.
6) AML/KYT ve On-Chain Uyum: “Kimi ve Nereye” Sorusu
- Karşı taraf taraması: Yaptırım listeleri, hırsızlık/kimlik avı etiketli adresler, mixer teması, yüksek riskli ülke/servis tespiti.
- Allowlist-first: Tedarikçi ve cüzdanların önceden doğrulanıp beyaz listeye alınması; tek seferlik değil, periyodik risk yeniden skorlama.
- İşlem izleme ve eşikler: Hacim/iade/dalgalanma eşikleri; anomali yakalama; otomatik durdurma ve manuel gözden geçirme.
- KYT kayıt bütünlüğü: Zincir verisi + ERP eşlemesi; her transfer için iş gerekçesi ve dokümantasyon.
7) Likidite ve Çalışma Sermayesi: Depeg ve Pazar Stresi Planı
- Stablecoin çeşitlendirmesi: İhraççı, zincir ve teminat modeli çeşitlendirme (fiat rezervli vs. T-bill destekli tokenlar).
- Depeg koşul planı: “Eşik aşıldığında” otomatik dönüşüm kuralları, kademeli çıkış, fiat’a rampa.
- Kasa mimarisi: Günlük ödeme kasası (hot), haftalık operasyon (warm), ana kasa (cold); üst limitler ve otomatik doldurma (auto-sweep).
- Çoklu rampa ve borsa: Emir boyutu limitleri, TWAP icrası, saklama–borsa hızlı köprüleri, kesinti planı.
8) Muhasebe ve Raporlama: Ölçüm, Sınıflandırma, İz
- Değerleme yaklaşımı: Gerçeğe uygun değer (fair value) prensipleri; gün sonu kapanış fiyatı; likidite düzeyi ve veri sağlayıcı çeşitlendirmesi.
- Sınıflandırma: İşletme amaçlı stablecoin’ler (nakit eşdeğeri politikası ile tutarlı mı?), stratejik tutumlar (yatırım), alınan/ödenen kripto (ticari işlemler).
- Gelir/Gider tanıma: On-chain ücretler, ağ masrafları, dönüştürme farkları, staking/ödül türü getiriler (politika izinlerine bağlı).
- Alt kırılım raporu: Zincir, varlık, karşı taraf, departman; mutabakat dosyaları ve denetim izi.
9) Vergi ve Mevzuat Perspektifi: Ülke Bazlı Uyarlanabilirlik
- Vergi doğuran olaylar: Dönüştürme, satış, mal/hizmet bedeli tahsil/ödeme, ödül/gelir akışları.
- Belgelendirme ve kanıt: Zincir üstü işlem hash’leri, saklama hesap dökümleri, tedarikçi faturaları, kur farkı notları.
- Uyarlama ilkesi: Politikayı; faaliyet gösterilen ülke/ülkelerin güncel kurallarına, lisanslar ve raporlama gereksinimlerine göre modüler tasarlayın.
- Türkiye odaklı not: Yerel düzen ve vergisel yorumlar gelişime açıktır; kurum içi hukuk/vergiden yazılı görüş–onay süreci işletilmelidir.
10) Hedge ve Türev Kullanımı: Risk Azalt, Marjı Yönet
- Enstrümanlar: Vadeli (perpetual/dated), opsiyon, basis trade, stablecoin faizi, borçlanma–lend.
- İç limitler: Açık pozisyon limitleri, teminat oranı sınırları, tek borsa maruziyet limiti, zorunlu stop kuralları.
- Modelleme: VaR + stres; margin call senaryoları; fonlama oranı duyarlılığı; volatilite rejim geçişleri.
- Çatışma yönetimi: Spekülatif değil risk azaltım amaçlı kullanım; ispat yükümlülüğü için işlem notları.
11) Tedarikçi Seçimi: Borsa, Broker, Saklama Check-list
- Finansal sağlık ve lisanslar: Regüle durum, sermaye yeterliliği, denetim raporları, sigorta kapsamı.
- Teknik seviye: MPC/multisig, anahtar yönetimi, 2FA, donanım güvenliği, veri merkezleri, kurtarma planları.
- Operasyon: Ayrıştırılmış müşteri varlıkları, proof-of-reserves metodolojisi, duruş süreleri, kesinti iletişimi.
- Hukuki ve sözleşme: SLA, sorumluluk sınırları, tazmin, ihtilaf çözümü, veri saklama ve gizlilik.
12) Operasyon ve İş Sürekliliği: Runbook Olmadan Olmaz
- Yetki matrisi: Hazineden bağımsız onaylayıcı, acil durum imza sahipleri, rol bazlı erişimler.
- Anahtar yaşam döngüsü: Üretim, imza, rotasyon, revokasyon, kurtarma tatbikatları.
- Olay müdahale planı: Yanlış transfer, hack şüphesi, depeg, borsa kesintisi; ilk 60 dakika eylem adımları; dış iletişim şablonları.
- Kayıt ve izleme: Tüm on-chain ve off-chain adımların merkezi kayıt sistemi; denetçi erişimi.
13) Denetim, İç Kontrol ve Yönetişim
- İç denetim döngüsü: Çeyreklik kontrol testleri, uygunsuzluk raporları, düzeltici/önleyici faaliyetler.
- Dış denetim hazırlığı: İşlem örneklemeleri, mutabakat dosyaları, değerleme metodolojileri, kontrol kanıtları.
- Yönetim kurulu görünürlüğü: KPI seti (işlem süresi, hata oranı, spread maliyeti, hedge etkinliği, kesinti süresi), risk ısı haritası.
14) Uygulama Yol Haritası: Kademeli ve Ölçülebilir
- Keşif ve politika taslağı: Amaçlar, kapsam, risk taksonomisi, roller, limitler.
- Tedarikçi kısa listesi: Saklama, borsa, KYT, raporlama araçları; PoC gereksinimleri.
- Pilot evre: Düşük limitli stablecoin kasası + ödeme/tahsilat use-case; günlük raporlama.
- Kontrol olgunlaştırma: Allowlist, otomatik limitler, onay akışları, olay tatbikatları.
- Ölçekleme: RWA park alanı, hedge çerçevesi, çoklu ağ/çoklu varlık.
- Kurumsallaştırma: Yıllık politika gözden geçirmesi, denetim döngüsü, eğitim programı.
15) Kriptomagic.com İçin Önerilen Politika İskeleti (Örnek Şablon)
- Amaç: Ödeme–tahsilat verimliliği, çalışma sermayesi optimizasyonu, sınırlı stratejik çeşitlendirme.
- Varlık sepeti: %X–%Y stablecoin (çok ihraççı/çok zincir), %Z BTC/ETH üst limiti, izinli RWA listesi.
- Saklama: MPC tabanlı kurumsal saklama + soğuk self-custody ana kasa; “hot–warm–cold” katmanları.
- Limitler: İşlem başına, gün/hafta bazında, karşı taraf bazında ve kullanıcı rolüne göre limitler.
- Uyum: Allowlist-only ödemeler, KYT skoru alt sınırı, anomali tetikleyiciler, olay runbook’u.
- Raporlama: Günlük varlık dökümü, haftalık risk raporu, aylık yönetim özeti; denetim izi arşivi.
- Gözden geçirme: Çeyreklik stres testleri ve yıllık politika güncellemesi.
