Kurumsal Hazine Yönetimi Kriptoya Giriyor: Risk Politikaları Nasıl Yazılmalı?

Kurumsal Hazine Yönetimi Kriptoya Giriyor: Risk Politikaları Nasıl Yazılmalı?

Kurumsal hazine yönetiminde 2025 itibarıyla kripto varlıkların yeri hızla netleşiyor. Nakit yönetimi, likidite optimizasyonu ve alternatif getiri arayışları; Bitcoin, stablecoin ve tokenize varlıklara kurumsal ilginin artmasını sağlıyor. Ancak bu adım, klasik nakit politikalarının kopyala-yapıştır yaklaşımıyla yönetilemeyecek kadar farklı risk dinamikleri içeriyor. Bu makalede; kurumsal hazine için kripto politika tasarımının omurgasını, ölçülebilir risk limitlerini, operasyonel kontrol setlerini ve uyum (compliance) gerekliliklerini adım adım anlatıyoruz. Rehber, kriptomagic.com editöryel standartlarına göre SEO uyumlu ve uygulamaya dönük hazırlanmıştır.

1) Neden Şimdi? Kurumsal Hazine Açısından İş Gerekçesi

• Çeşitlendirme ve asimetri: Bitcoin ve majör kripto varlıklar, uzun dönem korelasyonları dalgalı da olsa, portföy çeşitlendirmesi açısından alternatif sunar.
• Likidite ve ödeme esnekliği: Global tedarikçilere hızlı ödeme, stablecoin bazlı mutabakat ve 7/24 transfer olanağı operasyonel verimlilik sağlar.
• Getiri fırsatı: Kurumsal hazine, kısa vadeli nakit fazlasını düşük riskli kripto para piyasası enstrümanlarında sınırlı, kontrollü şekilde değerlendirmeyi düşünebilir (ör. T-bill teminatlı stablecoin modelleri veya düzenlenmiş saklama üzerinden repo-benzeri yapılar).
• Uzun vadeli teknoloji stratejisi: Tokenizasyon ve zincir üstü uzlaştırma (on-chain settlement), kurumsal süreçleri dönüştürürken ilk yatırımlara politika çerçevesi gerekir.

Ana çıkarım: İş gerekçesi netleştirilmeden yazılan risk politikaları kâğıt üzerinde kalır. Politika; hedefleri, kapsamı ve ölçülebilir başarı kriterlerini açık seçik tanımlamalıdır.

2) Politika Çerçevesi: Amaç, Kapsam, Tanımlar

Kurumsal kripto hazine politikasının ilk sayfası, üç net başlıkla başlar:

1. Amaç: Likidite yönetimi, ödeme verimliliği, riskten korunma (hedge) veya stratejik varlık tahsisi mi?
2. Kapsam: Hangi varlık sınıfları (BTC, ETH, regüle stablecoin’ler, tokenize menkul kıymetler), hangi platformlar (düzenlenmiş borsalar, saklama kuruluşları), hangi coğrafyalar?
3. Tanımlar: “Sıcak/soğuk cüzdan”, “emir türleri”, “karşı taraf”, “saklama”, “on/off-ramp”, “stablecoin rezerv standardı”, “tokenizasyon” gibi terimleri şirket sözlüğüne sabitleyin.

Bu bölüm; tüm birimlerin aynı dili konuşmasını sağlar ve ileride iç denetim tarafından referans alınır.

3) Yönetişim: Yetki Matrisi ve Üç Hat Savunma Modeli

• Yetki matrisi:
  • Strateji ve limit onayı: Yönetim Kurulu / Risk Komitesi
  • Uygulama: Hazine & Finans Operasyonları
  • Gözetim: İç Kontrol & Uyum (Compliance)
  • Bağımsız güvence: İç Denetim / dış denetim
• İki imza kuralı (4-eyes / 6-eyes): Transfer, anahtar taşıma, whitelist güncelleme gibi kritik işlemlerde çoklu onay.
• RACI tablosu: Rol ve sorumlulukları (Responsible, Accountable, Consulted, Informed) işlem adımlarına bağlayın.
• Çatışma yönetimi: İşlem yapan ekip ile risk ölçen/gözetleyen ekibi ayrıştırın.

4) Risk Türleri ve Ölçüm Yöntemleri

4.1 Piyasa Riski

• Limitler: Varlık ve portföy bazında % VaR, maksimum düşüş (Max Drawdown) ve stop-loss/ take-profit seviyeleri.
• Stres testi: Tarihsel senaryo (ör. %30 günlük düşüş), faktör bazlı şok (volatilite + spread artışı) ve likidite daralması kombinasyonları.

4.2 Likidite Riski

• Likidite kademeleri: T+0 nakde dönüşebilenler (majör BTC/ETH, birinci sınıf stablecoin), T+1/T+2 dönüşlü varlıklar, kilitli staking pozisyonları.
• Oran hedefleri: Örn. toplam kripto pozisyonunun en az %60’ı T+0 likit olmalı; tek borsada %X’ten fazla açık maruz kalınmamalı.

4.3 Karşı Taraf Riski

• Borsa/saklama skoru: Lisans durumu, sermaye yeterliliği, sigorta kapsamı, kanıtlanmış rezerv ve ayrıştırılmış müşteri varlıkları.
• Dağıtım: En az iki bağımsız saklama çözümü, bir ana, bir yedek borsa.

4.4 Operasyonel ve Siber Risk

• Anahtar yönetimi: MPC/çoklu imza, HSM destekli soğuk cüzdan, donanım cüzdan standardı, kurtarma prosedürü ve düzenli “fire drill”.
• Erişim kontrolü: IAM ilkeleri, rol bazlı erişim, cihaz ve IP kısıtları, YubiKey gibi güçlü MFA.
• Talimat doğrulama: Onay akışları + işlem limiti + on-chain adres whitelist’i.

4.5 Düzenleyici ve Uyum Riski

• KYC/AML: Tedarikçi borsaların ve ödeme köprülerinin KYC seviyesi, zincir-üstü tarama, Travel Rule uyumluluğu.
• Vergi ve muhasebe: IFRS/yerel standartlara göre sınıflandırma, değerleme, realize/gerçekleşmemiş kâr-zararın raporlanması.

5) Varlık Seçimi: “Ne Alınır?” Sorusu Yanıltıcıdır

Politika, hangi varlıkların alınacağını değil; hangi kriterleri sağlayan varlıkların portföye girebileceğini tarif etmelidir:

• Piyasa derinliği: Belirli borsalarda minimum günlük hacim ve dar spread şartı.
• Regülasyon durumu: Menkul kıymet iddiası, yaptırım riski, ihraççı şeffaflığı.
• Teknik risk: Protokol geçmişi, denetim raporları, kritik hatalar ve topluluk desteği.
• Stablecoin standardı: Rezerv kompozisyonu, denetim sıklığı, itfa (redeem) kuralları, düzenleyici çerçeve.

6) Platform ve Saklama Seçimi

• Borsa seçimi: Lisanslı, finansal raporlama yapan, müşteri varlıklarını bilançodan ayrıştıran yapılar tercih edilmelidir.
• Saklama: Kurumsal saklama (qualified custodian), sigorta limiti, şirket adıyla ayrık hesap yapısı ve düzenli kanıt/rapor.
• Soğuk–sıcak cüzdan oranı: Örn. operasyon amaçlı sıcak cüzdan %5–10, geri kalanı soğuk cüzdan; limitler günlük kurulla gözden geçirilir.
• Adres beyaz listeleme: Çıkışlar yalnız whitelistli adreslere; yeni adres eklemek özel onay akışı gerektirir.

7) Limit Tasarımı: Tavanlar, Zarar Durdur ve Konsantrasyon

• Toplam tahsis tavanı: Nakit benzerlerine oranla örn. toplam kripto pozisyonu ≤ toplam nakit rezervinin %X’i.
• Varlık bazlı tavan: BTC/ETH gibi majörler için daha yüksek, alt varlıklar için daha düşük.
• Konsantrasyon limiti: Tek borsa, tek stablecoin, tek protokol riskini tavanlayın.
• Zarar durdur (stop-loss): Emir bazlı ve portföy bazlı çift katman.
• Koruma (hedge) yetkisi: Vadeli/opsiyon kullanımı, delta-nötr çerçeve ve teminat oranı kuralları.

8) Operasyonel Süreçler: Uçtan Uca Kontrol Akışı

1. Talep ve gerekçe: Hazine talebi; amaç, miktar, hesap ve tedarikçi.
2. Ön kontrol: Limit, whitelist, KYC/AML ve karşı taraf skoru kontrolü.
3. Emir iletimi: Rol bazlı kullanıcı iletimi; algoritmik değil, önceden tanımlı emir türleri.
4. Eş zamanlı izleme: Fiyat, slipaj, komisyon, emir gerçekleşme raporu.
5. Mutabakat: Gün sonu defter kayıtları, zincir-üstü TXID, borsa ekstresi.
6. Raporlama: CFO’ya günlük özet; Risk Komitesi’ne haftalık VaR/stres ve limit kullanımı.
7. Denetim izi: Tüm adımlar loglanır; bağımsız inceleme için saklanır.

9) Uyum: AML, Travel Rule ve Yaptırım Tarama

• Karşı adres doğrulama: Zincir-üstü analitik ile kara liste, hack, mixer, yaptırım bağlantısı taraması.
• Travel Rule: Eşik üstü transferlerde gönderici/alıcı bilgisi entegrasyonu olan VASP’ler tercih edilir.
• Süreç otomasyonu: Yüksek riskli uyarılar için manuel inceleme, “sarı bayrak” (enhanced due diligence) kuyruğu.

10) Muhasebe, Vergi ve Raporlama

• Sınıflandırma: Nakit benzeri değil; çoğunlukla maddi olmayan duran varlık veya stok (iş modeline göre). Stablecoin için ayrı politika.
• Ölçümleme: Maliyet bedeli, değer düşüklüğü, gerçeğe uygun değer açıklamaları—yerel mevzuata uygun.
• Dipnotlar: Karşı taraf, saklama, likidite ve piyasa riskine ilişkin sayısal açıklamalar.
• Kapanış rutini: Ay sonu/çeyrek sonu fiyat doğrulama, bağımsız fiyat sağlayıcıdan teyit, döküm/pricing dosyası.

11) İş Sürekliliği ve Olay Müdahale Planı

• Anahtar kaybı senaryosu: Kurtarma anahtarları, coğrafi ayrıştırma, şifreli kasalar, yetkisiz erişim alarmı.
• Borsa erişim kesintisi: Alternatif on-ramp, P2P değil kurumsal köprü; “kritik ödemeler” için stablecoin yedek planı.
• Siber olay: Soğuk cüzdana acil taşıma, tüm API anahtarlarını iptal, adli bilişim ve bildirim prosedürü.
• Kamu iletişimi: CFO/CISO onaylı tek mesaj; spekülasyonu önleyen netlik.

12) Ölçülebilir KPI’lar ve Eşikler

• Likidite KPI’sı: T+0 dönüştürülebilir pay ≥ %X
• Risk KPI’sı: Günlük 99% VaR ≤ Y birim; limit ihlali sayısı = 0
• Operasyon KPI’sı: Günlük mutabakat kapanış saati ≤ 19:00; rapor hatası = 0
• Uyum KPI’sı: Yüksek risk uyarılarının %100’ü 24 saat içinde sonuçlandı

13) 90 Günlük Yol Haritası (Hızlı Başlangıç)

0–30 Gün:

• Politika taslağı + yetki matrisi
• Tedarikçi kısa listesi (iki borsa, iki saklama)
• Cüzdan altyapısı (MPC, whitelist), prova transfer

31–60 Gün:

• Limitler ve stres test parametreleri
• Muhasebe entegrasyonu, fiyat teyit akışı
• AML/Travel Rule sağlayıcı seçimi, ilk uyarı kuralları

61–90 Gün:

• Pilot portföy (yalnızca BTC/majör stablecoin; küçük tavan)
• Günlük raporlama otomasyonu
• İç denetim ön incelemesi ve politika revizyonu

14) Örnek “Kurumsal Kripto Hazine Politikası” Şablonu (Kısa)

• Amaç & Kapsam
• Tanımlar
• Yönetişim & Yetki Matrisi
• Varlık Uygunluk Kriterleri
• Platform ve Saklama Standartları
• Limitler (Toplam/varlık/borsa/stablecoin)
• Risk Ölçümü (VaR, stres testi, MDD)
• Operasyon Akışı (talep-onay-emir-mutabakat)
• Anahtar & Cüzdan Güvenliği (MPC, whitelist, 2FA/MFA)
• AML/KYC/Travel Rule
• Muhasebe & Vergi & Raporlama
• İş Sürekliliği & Olay Müdahale
• KPI’lar ve İzleme
• Gözden Geçirme Takvimi (3/6 ay)

Bu şablonu şirket ölçeği, sektör, regülasyon ve risk iştahına göre genişletin. Her bölümde ölçülebilir eşik ve sorumlu birim mutlaka yazılı olmalı.

15) Sık Yapılan Hatalar ve Kaçınma Yolları

• Varlık listesini kural zannetmek: Politika, “hangi coin’ler” yerine “hangi kriterler” yaklaşımıyla yazılmalı.
• Tek borsaya aşırı bağımlılık: Operasyon kolay görünür, risk yoğunlaşması tehlikelidir.
• Sıcak cüzdan şişmesi: İşlem akışları büyüdükçe sıcak oranı tırmanır; periyodik geri çekim (sweep) otomasyonu kurun.
• Uyumun sonradan eklenmesi: AML taraması, Travel Rule ve yaptırım kontrolü baştan entegre edilmeli.
• Denetim izi eksikliği: Zincir-üstü TXID, log ve onay kayıtları tek klasörde, denetim-hazır tutulmalı.

Sonuç: Politika, Teknolojinin Bir Adım Önünde Olmalı

Kurumsal hazinenin kriptoya girişi bir “tek tuş” kararı değil, çok katmanlı bir kontrol sistemi gerektirir. Güçlü bir politika; amaç, yönetişim, risk limitleri, operasyon ve uyum başlıklarını eksiksiz kapsadığında, şirket hem volatiliteyi yönetir hem de ürün/ödeme inovasyonundan pay alır. kriptomagic.com olarak önerimiz; küçük bir pilotla başlayıp ölçülebilir KPI’larınız tutturuldukça kapsamı genişletmenizdir. Teknoloji hızla değişse de, iyi yazılmış bir risk politikası her koşulda şirketinizi korur.