BAE'deki sanal varlık işletmeleri federal AML rejiminin tamamına tabidir; VARA ve CMA ise daha da ileri gider

2025 tarihli federal kanun sanal varlık firmalarını finansal kuruluşlar gibi ele alır

BAE içinden faaliyet gösteren her sanal varlık hizmet sağlayıcısı (VASP), kara para aklama risklerini değerlendirmek, müşterileri ve gerçek faydalanıcıları tanımlamak, şüpheli durumları Mali İstihbarat Birimi'ne (FIU) bildirmek, hedefe yönelik mali yaptırımları derhal uygulamak ve kayıt tutmak zorundadır (2025 tarihli ve 10 sayılı Federal Kararname-Kanun, madde 18 ve 19). 30 Eylül 2025'te çıkarılan Kararname-Kanun, 2018 tarihli AML kanununu yürürlükten kaldırmıştır (madde 41); uygulama yönetmeliği olan 2025 tarihli ve 134 sayılı Bakanlar Kurulu Kararı ise 2019 tarihli yönetmeliğin yerini almış (madde 70) ve BAE Mevzuat Portalı'na göre 14 Aralık 2025'te yürürlüğe girmiştir.

Sanal varlık hizmet sağlayıcısı, ticari bir faaliyet olarak başka bir kişi için ya da onun adına sanal varlık faaliyetleri yürüten herkestir (madde 1). Yönetmeliğin 4. maddesi bu faaliyetleri sayar: sanal varlıklar ile itibari para arasında ya da sanal varlıklar arasında değişim, transfer, saklama ya da yönetim ve bir ihraççının teklifi veya satışıyla bağlantılı hizmetler. Kararname-Kanun'un 20. maddesi, lisans, kayıt ya da tescil olmaksızın bu faaliyeti yasaklar.

Denetimi kim yapar: Dubai'de VARA, federal düzeyde CMA

DIFC dışındaki Dubai'de VARA, federal AML mevzuatı kapsamında tüm sanal varlık sağlayıcıları için belirlenmiş bir Denetim Otoritesidir (Supervisory Authority) (VARA Yönetmeliği VI.A.3) ve 2022 tarihli ve 112 sayılı Bakanlar Kurulu Kararı'ndaki yetki devri uyarınca, şüpheli işlemlere karşı önlemler dahil, federal düzenleyicinin lisanslama ve denetim yetkilerini orada kullanır (madde 2 ve 4). Lisans sahipleri federal kanunlara ve VARA kurallarına, özellikle de Uyum ve Risk Yönetimi Kural Kitabı'nın III. Kısmı'na uyar (Yönetmelik VI.B.1).

Federal düzeyde Sermaye Piyasası Otoritesi (CMA), 1 Ocak 2026'dan beri yürürlükte olan 2025 tarihli ve 33 sayılı Federal Kararname-Kanun uyarınca BAE genelinde ve finansal olmayan serbest bölgelerinde sanal varlık faaliyetini denetler (madde 39(3)). 2022 tarihli ve 111 ve 112 sayılı Bakanlar Kurulu Kararları, 2025 tarihli kanunlarla bağdaştıkları ölçüde yürürlükte kalır (2025 tarihli ve 32 sayılı Federal Kararname-Kanun, madde 27(3)); 111 sayılı Karar her sağlayıcıyı AML mevzuatıyla bağlar (madde 8) ve federal düzenleyicinin yerel olarak lisanslanmış sağlayıcıları gözetmesine imkân tanır (madde 9(2)). CMA'nın 28 Şubat 2026'dan beri yürürlükte olan 2026 tarihli ve 04/Başkan sayılı Kararı, CMA kural kitabının AML kısmını lisans sahiplerine uygular (İş Düzenleme Modülü, madde 4).

Ne CMA'nın denetimi ne de 111 sayılı Karar (madde 3(2)(a)) finansal serbest bölgelere uzanır; VARA'nın yetki alanı da DIFC'de sona erer; oradaki düzenleyicileri tamamlayıcı makalemizde ele alıyoruz.

Durum tespiti: her ilişkide ve 3.500 AED'den itibaren arızi işlemlerde

Durum tespiti; bir ilişki başladığında, şüphe bulunduğunda ve daha önce elde edilen kimlik bilgilerinden kuşku duyulduğunda gereklidir (yönetmelik, madde 7(1)). Arızi işlemlerde bir sanal varlık firması durum tespitini 3.500 AED veya üzerindeki işlemlerde, bağlantılı işlemleri birlikte hesaba katarak uygular (madde 7(3)); VARA aynı tutarı kullanır ve buna yüksek riskli bir müşteriye ait her işlemi ekler (Kural III.E.4).

Tüzel kişi bir müşteride firma, yüzde 25 veya daha fazlasına sahip her gerçek kişiyi, ardından şirketi başka yollarla kontrol eden kişiyi, her ikisi de yoksa üst düzey yöneticilerini tanımlar (madde 10). Yüksek riskli müşteriler ve siyasi nüfuz sahibi gerçek faydalanıcılar için VARA lisans sahibi fonların kaynağını ve servetin kaynağını doğrular, üst yönetim onayı alır ve ilk işlemin, düzenlemeye tabi bir kuruluşta müşterinin adına açılmış bir hesaptan gelmesini şart koşar (Kural III.E.10).

Durum tespiti tamamlanamazsa ne ilişki ne de işlem devam edebilir (madde 14; Kural III.E.8). Düzenlemeye tabi bir üçüncü kişiye dayanmak mümkündür, ancak sorumluluk firmada kalır (madde 20; Kural III.E.9).

Transferler, tarama ve yaptırımlar gerçek zamanlı işler

36(2) maddesi uyarınca gönderen firma, gönderenin adını, hesap numarasını ya da cüzdan adresini ve yerleşim ya da iş adresini, alıcının da adını ve hesabını ya da cüzdanını edinir ve bunları derhal ve güvenli biçimde alıcının sağlayıcısına iletir; alıcının sağlayıcısı da bu bilgileri tutar. VARA, 3.500 AED'yi aşan transferlere aynı asgari standardı uygular ve karşı taraf sağlayıcılar hakkında durum tespiti yapılmasını ve saklayıcısız cüzdanlar (unhosted wallets) konusunda bir karar verilmesini şart koşar (Kural III.G.2 ila III.G.7).

36(2) maddesi ayrıca, elektronik transfer kuralları da dahil olmak üzere 26 ila 33. maddeleri sanal varlık firmalarına orantılı biçimde ve denetim otoritesinin yönlendirdiği şekilde uygular; 1. madde de bir sanal varlık sağlayıcısının başka bir sağlayıcıya ya da bir cüzdana yaptığı transferi elektronik transfer sayar. Dolayısıyla veriler her uluslararası transferle birlikte gider ve gönderenin bilgileri 3.500 AED'den itibaren doğrulanır (madde 28(1) ve (3)). CMA'nın AML kısmı da benzer şekilde her transferde temel verileri, 3.500 AED'den itibaren de gönderene ilişkin daha kapsamlı bilgileri şart koşar (Beşinci Bölüm, madde 1 ve 4(1)). 2025 tarihli yönetmelikten önce yazılmış olan VARA kuralı 3.500 AED'nin üzerinden başlar, ancak federal hukukun tamamlayabileceği bir asgari standarttır (Kural III.G.1); 35(1) maddesi de denetim otoritesinin transferlerin kapsamını ve sınırlarını belirlemesine imkân tanır.

36(3) maddesi, Yürütme Ofisi'ne (Executive Office) kayıt ve müşterilerin, sahiplerin ve işlemlerin BM ve yerel listelere karşı taranması dahil, finansal kuruluşların tüm yaptırım yükümlülüklerini sanal varlık firmalarına da yükler (2020 tarihli ve 74 sayılı Bakanlar Kurulu Kararı, madde 21). Söz konusu Karar'ın 15. maddesi, listeye alınmadan itibaren 24 saat içinde dondurma yapılmasını ve beş iş günü içinde Yürütme Ofisi'ne bildirimde bulunulmasını şart koşar. VARA buna işlemlerin otomatik ve gerçek zamanlı yaptırım taramasını ve müşterileri, sahipleri ve cüzdan adreslerini tarayan risk kurallarını ekler (Kural III.B.3 ve III.H.1 ila III.H.5).

Şüpheli işlem bildirimleri, görevliler ve kayıtlar

Şüpheli işlemler, tutarı ne olursa olsun gecikmeksizin FIU'ya bildirilir (Kararname-Kanun, madde 18); VARA bildirim kanalı olarak goAML'yi belirler (Kural III.F.4) ve kara para aklama bildirim görevlisine (MLRO) FIU'nun ya da VARA'nın taleplerini yanıtlaması için 48 saat tanır (Kural III.F.3). Bildirimin ilgiliye ifşa edilmesi (tipping off) yasaktır (yönetmelik, madde 19). Kararname-Kanun uyarınca bu fiil hapis ve en az 50.000 AED para cezası ya da bunlardan biriyle (madde 29(1)), kasten ya da ağır ihmalle bildirimde bulunmamak ise hapis ve 100.000 AED ile 1 milyon AED arasında para cezası ya da bunlardan biriyle cezalandırılır (madde 28).

Yönetmelik, yönetim düzeyinde bağımsız bir uyum görevlisini şart koşar (madde 22); bu görevlinin atanması denetim otoritesinin ön onayına tabidir (madde 49(18)). VARA, beş yıllık uyum deneyimine, BAE'de ikamete ya da BAE pasaportuna, tam zamanlı istihdama ve yönetim kuruluna doğrudan erişime sahip bir uyum görevlisi (Kural I.C.1) ile iki yıllık AML deneyimine sahip ve yönetim kuruluna üç ayda bir rapor veren bir MLRO (Kural III.A.1 ve III.A.2) arar; MLRO görevi dışarıdan sağlanabilir (Şirket Kural Kitabı, Kural IV.A.3). CMA her iki görevlinin de BAE'de ikamet etmesini (Genel Çerçeve Modülü, madde 54(2)) ve iç kontrollere ilişkin altı ayda bir rapor sunulmasını (AML kısmı, Yedinci Bölüm) şart koşar.

Kayıtlar federal düzeyde en az beş yıl saklanmalıdır; süre işlemin ya da ilişkinin sona ermesinden, durum tespiti dosyaları için ise daha sonra yapılan her türlü inceleme, soruşturma ya da kesin hükümden itibaren işler (yönetmelik, madde 25); VARA kapsamında süre sekiz yıl, ulusal güvenlikle ilgili olabilecek kayıtlarda ise süresizdir (Kural I.F.2 ve III.I.2); CMA'nın AML kısmı kapsamında ise on yıldır (On İkinci Bölüm, madde 1). VARA ayrıca en az üç ayda bir işletme ve müşteri risk değerlendirmesi yapılmasını (Kural III.D.3 ve III.D.8) ve yetkin bir üçüncü kişi tarafından doğrulanmış, bir değişiklikten sonra 21 takvim günü içinde yeniden sunulan AML politikalarını (Kural III.B.4) şart koşar.

Cezalar şirkete ve onu yönetenlere ulaşır

Denetim otoritesi uyarı verebilir, ihlal başına 10.000 AED ile 5 milyon AED arasında para cezası uygulayabilir, yöneticileri ya da faaliyeti askıya alabilir, lisansı iptal edebilir ve sonucu kamuya açıklayabilir (Kararname-Kanun, madde 17). Temsilcileri ya da yöneticileri şirket adına bildirimde bulunmama, yaptırımları ihlal etme ya da lisanssız faaliyet gösterme gibi suçlar işleyen bir şirket, 200.000 AED ile 10 milyon AED arasında para cezasıyla karşılaşır (madde 27(2)). Tam anonimlik için tasarlanmış sanal varlıklarla işlem yapmak suçtur (madde 30(2)); VARA da Dubai'de anonimliği artırılmış kripto paraları ve bunlarla ilgili faaliyetleri yasaklar (Yönetmelik II.C.1).

VARA'nın para cezası çizelgesi, AML ve müşterini tanı (KYC) para cezalarının yerel ve federal hukuka göre belirlenmesini öngörür (Yönetmelik, Çizelge 3, No. 1). Diğer Uyum ve Risk Yönetimi ihlalleri için şirketlere gösterge niteliğinde, 50 milyon AED, yıllık gelirin yüzde 15'i ya da elde edilen kârın veya kaçınılan zararın yüzde 300'ünden hangisi yüksekse o tutara kadar para cezası öngörülür (No. 2); VARA ayrıca yöneticilere, Sorumlu Kişilere (Responsible Individuals) ve MLRO'ya karşı doğrudan harekete geçebilir (Kural III.J.2; Yönetmelik IX.C.3).

2024 tarihli ve 71 sayılı Bakanlar Kurulu Kararı sanal varlık firmalarına uzanmaz: bu Karar'ın ihlal başına 50.000 AED ile 1 milyon AED arasındaki, tekrarında Bakanlığın iki katına çıkarabileceği para cezaları, Adalet ve Ekonomi Bakanlıklarının denetimindeki belirlenmiş işletmelere uygulanır (madde 2 ve 5); bunlar arasında bir firmanın kurumsal hizmet sağlayıcısı da bulunabilir.

Metinlerin çakıştığı ya da gelişmelerin gerisinde kaldığı yerler

VARA'nın metinleri hâlâ yürürlükten kaldırılmış 2018 tarihli kanuna ve 2019 tarihli yönetmeliğe atıf yapmaktadır (Yönetmelik VI.A.1; Çizelge 4); Şirket Kural Kitabı da siyasi nüfuz sahibi kişi tanımını, 2025 tarihli ve 134 sayılı Bakanlar Kurulu Kararı'nın 70. maddesiyle yürürlükten kaldırılan 2019 tarihli yönetmelikten alır. Çizelge 4 zaman içinde yürürlükte olan federal AML mevzuatını da kapsadığından, VARA'nın atıflarını, yönetmeliğin 1. maddesindeki siyasi nüfuz sahibi kişi tanımı dahil, 2025 tarihli metinlere yapılmış sayıyoruz.

CMA'nın AML kısmı, “Otorite ya da yerel kuruluşlar tarafından” lisanslanan sanal varlık firmalarına uygulanır (Birinci Bölüm, madde 3) ve CMA'nın Nisan 2026 tarihli yazısı, firmaların uyması gereken metinler arasında VARA'nın kural kitabını da sayar. 2022 tarihli ve 112 sayılı Bakanlar Kurulu Kararı, VARA'nın lisans sahiplerinin denetimi için birleşik bir mekanizma oluşturmak üzere federal düzenleyiciyle birlikte çalışmasını şart koşar (madde 3(1)); ancak bu mekanizmayı ortaya koyan ya da CMA'nın AML kısmının bu lisans sahiplerine nasıl uygulanacağını söyleyen yayımlanmış bir metin bulamadık. CMA'nın bu kısmı da hâlâ yürürlükten kaldırılmış 2018 tarihli kanundaki cezalara atıf yapmaktadır (On İkinci Bölüm, madde 4).

Görevliler konusunda VARA, bir kişinin hem uyum görevlisi hem MLRO olmasına izin verir (Kural III.A.4); CMA'nın AML kısmı ise uyum görevlisini diğer operasyonel işlevlerin dışında tutar (Yedinci Bölüm, madde 1(2)); oysa CMA'nın 2026 tarihli düzenlemesi görevlerin birleştirilmesine izin vermektedir (madde 54(4)).

Bir sanal varlık işletmesinin ve hizmet sağlayıcılarının kontrol ettikleri

CMA'nın Nisan 2026'da menkul kıymet firmalarına ve VASP'lere gönderdiği yazı somut kontrollere işaret eder: 2025 tarihli metinlere göre belgelenmiş bir boşluk analizi; yokluk hâllerini karşılamak üzere belirlenmiş bir MLRO vekili ya da başka bir yetkili yedek (vekil varsa tam zamanlı, bağımsız ve BAE'de yerleşik olmalıdır); mümkün olduğunda cüzdan adreslerini de kapsayan yaptırım taraması; üçüncü taraf bir sağlayıcıdan sorgusuz kabul edilmek yerine kalibre edilmiş ve doğrulanmış blok zinciri analitiği. Yukarıdaki kurallar buna goAML erişimini ve uygulanabilir en uzun süreye göre belirlenmiş bir saklama takvimini ekler.

Kurumsal tarafta şirket pay sahipleri defterini tutar, temel bilgilerini ve gerçek faydalanıcı bilgilerini bir değişiklikten itibaren 15 iş günü içinde günceller; nominee'ler de kendilerini atayan kişiyi açıklar (yönetmelik, madde 38 ve 39). Bir VARA lisans sahibi, sahiplerinde ya da gerçek faydalanıcılarında yapılacak her önemli değişiklikten önce VARA'nın yazılı onayına ihtiyaç duyar (Şirket Kural Kitabı, Kural I.A.5). Şirketi kuran, ona ofis sağlayan ya da sekreteri veya nominee'si olarak hareket eden bir kurumsal hizmet sağlayıcısı da başlı başına belirlenmiş bir işletmedir (yönetmelik, madde 3(5)) ve firma hakkında kendi durum tespitini yapar.

Yeni bir girişim için AML çerçevesi lisans dosyasının içinde yer alır: VARA, lisanslama sürecinde doğrulanmış politikalar ve bir seyahat kuralı planı bekler (Kural III.B.4 ve III.G.8).

Bu makale, BAE mevzuatını ve düzenleyici otoritelerin kurallarını 2 Kasım 2026 itibarıyla aktarır. Genel bilgi niteliğindedir; hukuki danışmanlık ya da yatırım danışmanlığı değildir. Polaris bir hukuk bürosu değildir ve VARA, CMA, Merkez Bankası, DFSA veya FSRA tarafından lisanslanmış değildir.