Bankalar, faaliyetlerinin bir bölümünü dışarıdan hizmet alarak yürütür; çağrı merkezinden bilgi işlem altyapısına, tahsilat süreçlerinden arşiv yönetimine kadar geniş bir alan bu kapsamdadır. Bankaların Destek Hizmeti Almalarına İlişkin Yönetmelik, bu ilişkinin hangi koşullarda kurulabileceğini ve hangi risklerin nasıl yönetileceğini düzenler. Temel ilke şudur: hizmet dışarıya verilebilir, sorumluluk verilemez.
Destek Hizmeti Kapsamının Belirlenmesi
İlk soru, alınan hizmetin gerçekten destek hizmeti niteliğinde olup olmadığıdır. Sıradan bir mal alımı ile bankanın faaliyetlerinin yürütülmesine doğrudan katkı sağlayan bir hizmet farklı rejimlere tabidir. Bu ayrım yanlış yapıldığında, yönetmeliğin öngördüğü risk analizi ve sözleşme koşulları hiç uygulanmamış olur; denetimde ilk sorgulanan konu da budur.
Risk Programı: Sözleşmeden Önce Yapılması Gereken Çalışma
Hizmet alımından önce, hizmetin taşıdığı risklerin ve bunların nasıl yönetileceğinin yazılı olarak değerlendirilmesi beklenir. Bu değerlendirmede öne çıkan başlıklar:
- Hizmetin kesintiye uğraması halinde iş sürekliliğinin nasıl sağlanacağı.
- Sağlayıcının mali ve teknik yeterliliğinin ölçülmesi.
- Verilerin nerede tutulacağı ve kimlerin erişebileceği.
- Sağlayıcının işi bir başkasına devretmesi halinde uygulanacak kurallar.
Sözleşmede Bulunması Gereken Hükümler
- Bankanın ve denetim otoritesinin sağlayıcı nezdinde denetim yapabilmesine imkân tanıyan hüküm.
- Sır saklama ve gizlilik yükümlülüğünün, sözleşme sona erdikten sonra da sürmesi.
- Alt yükleniciye devir yasağı veya bunun bankanın onayına bağlanması.
- Hizmet seviyesi taahhütleri ve ihlal halinde uygulanacak sonuçlar.
- Sözleşmenin sona ermesi halinde verilerin iadesi ve imhasına ilişkin düzen.
Müşteri Sırrı ve Kişisel Veri Katmanı
Destek hizmeti ilişkisinde iki ayrı koruma katmanı üst üste biner: bankacılık mevzuatından doğan müşteri sırrı yükümlülüğü ve KVKK kapsamındaki kişisel veri rejimi. Sağlayıcının veri işleyen sıfatıyla hareket ettiği hallerde, aradaki ilişkinin yazılı bir metne bağlanması ve teknik ile idari tedbirlerin somut olarak belirlenmesi gerekir. Verinin yurt dışındaki bir altyapıda tutulacağı hallerde, bu husus baştan ele alınmalıdır; sonradan yapılan düzeltmeler çoğu zaman yetersiz kalır.
Sorumluluğun Devredilemezliği
Bir müşteri zarara uğradığında, hizmetin dışarıdan alınmış olması bankayı sorumluluktan kurtarmaz. Bu nedenle sözleşmeye konulacak rücu hükümleri ve sağlayıcının sorumluluk sigortası, bankanın iç riskini yönetmeye yarar; müşteriye karşı konumunu değiştirmez. Kurumsal savunmanın gücü, seçim ve gözetim aşamalarında gösterilen özenin belgelenmiş olmasına bağlıdır.
Bu değerlendirme genel çerçeve sunmak içindir; her destek hizmeti ilişkisi kendi teknik ve sözleşmesel yapısıyla ele alınmalı, uyum incelemesi hizmet bazında yapılmalıdır.