Açık Bankacılık Şirketler İçin Ne Anlama Geliyor? HBHS ve ÖBHS

Birden fazla bankayla çalışan bir şirket, günlük nakit durumunu görmek, hesap hareketlerini izlemek veya ödeme yapmak için her bankanın kurumsal internet şubesine ayrı ayrı girmek zorunda kalabilir. Açık bankacılık, müşterinin açık rızasıyla hesap bilgilerine erişimi ve ödeme başlatmayı standart uygulama programlama arayüzleri (API) üzerinden mümkün kılar; böylece birden çok bankadaki hesaplar tek bir yerden izlenebilir ve yönetilebilir. Bu rehberde açık bankacılığın şirketler için ne anlama geldiğini, HBHS ve ÖBHS hizmetlerini, rıza ve güvenlik modelini ve kurumsal kullanım alanlarını anlatıyoruz.

Açık bankacılık nedir?

Açık bankacılık, banka müşterilerinin (bireysel veya kurumsal) açık rızasıyla, hesap bilgilerine ve ödeme başlatma işlemlerine yetkili hizmet sağlayıcıların güvenli API'ler üzerinden erişebilmesidir. Müşteri hangi bilgiyi, hangi sağlayıcıyla ve ne süreyle paylaşacağına kendisi karar verir.

Türkiye'de açık bankacılığın düzenleyici çerçevesini Türkiye Cumhuriyet Merkez Bankası (TCMB) belirler. TCMB bu hizmetleri "ödeme hizmetleri veri paylaşım servisleri" olarak adlandırır. Bankalar bu servisleri, Bankalararası Kart Merkezi (BKM) tarafından işletilen ortak geçit (GEÇİT) üzerinden sunar; API ilke ve kuralları da bu çerçevede ortak olarak belirlenir. Böylece her bankayla ayrı ayrı ikili anlaşma yapıp ayrı entegrasyon geliştirmek yerine, ortak standarda uygun tek bir API yapısı üzerinden iletişim kurulur. Şirketler açısından bu, çok bankalı entegrasyonların daha öngörülebilir ve daha az bakım gerektiren bir yapıya kavuşması demektir.

HBHS ve ÖBHS: iki temel hizmet

Açık bankacılıkta iki temel hizmet vardır. İkisi de müşterinin rızasına dayanır ama farklı işler yapar:

İki hizmet birlikte kullanıldığında finans ekibi bankaların arayüzleri arasında dolaşmadan hem hesaplarını izleyebilir hem de ödemelerini tek noktadan başlatabilir. Her bankada ayrı oturum açma ve ayrı ayrı tek kullanımlık şifre girme ihtiyacı azalır.

Rıza (onay) yönetimi nasıl işler?

Açık bankacılığın temeli rızadır. Müşterinin açık izni olmadan bankadaki hiçbir bilgi bir hizmet sağlayıcıyla paylaşılmaz.

Rıza mekanizması şu ilkelerle çalışır:

1. Kapsam: Şirket yetkilisi hangi bankadaki hangi hesapların (örneğin yalnızca TL vadesiz hesap) ve hangi bilgilerin (yalnızca bakiye mi, hareketler de mi) paylaşılacağını belirler. Ödeme başlatmada rıza, onaylanan ödeme işlemi için verilir.
2. Süre: Rızanın bir geçerlilik süresi vardır. Süre dolduğunda veri paylaşımı durur; devam etmesi için rızanın yenilenmesi gerekir.
3. Bankada kimlik doğrulama: Rıza verilirken şirket yetkilisi kendi bankasının kimlik doğrulama ekranına yönlendirilir ve onayı orada verir (mobil onay veya tek kullanımlık şifre gibi). Hizmet sağlayıcı kullanıcının bankacılık şifresini görmez.
4. Geri alma: Şirket verdiği rızayı istediği zaman geri alabilir; rıza geri alındığında sağlayıcının erişimi sona erer.

Bu akış sayesinde hangi bilginin kiminle ve ne süreyle paylaşılacağına şirketin kendi yetkilileri karar verir.

Güvenlik: mTLS, OAuth2 ve OIDC

Açık bankacılık altyapısı birkaç katmanlı bir güvenlik modeliyle çalışır:

• mTLS (karşılıklı TLS): Yalnızca sunucunun değil, iki tarafın da yetkili bir sertifika otoritesinin imzaladığı sertifikayla birbirini doğruladığı şifreli bağlantıdır. Yalnızca tanınan sistemlerin bağlanmasını sağlar ve araya girme (man-in-the-middle) saldırılarını önemli ölçüde zorlaştırır.
• OAuth2 ve OpenID Connect (OIDC): OAuth2 yetkilendirme, OIDC ise kimlik doğrulama için kullanılan standartlardır. Kullanıcı şifresi sağlayıcıyla paylaşılmaz; sağlayıcı, rızanın kapsamı ve süresiyle sınırlı bir erişim belirteci (access token) alır ve her çağrıda bu belirteci kullanır.
• API geçidi (gateway): Çağrıların girdiği tek noktadır. İmza ve yetki kontrolleri burada yapılır, istek sıklığı sınırlandırılır (rate limiting) ve her işlem denetim kaydına yazılır.

Bu katmanlar şirketin kendi tarafında da önemlidir. ERP veya nakit yönetimi yazılımı bu API'lere bağlanırken sertifikaların, belirteçlerin ve erişim kayıtlarının nasıl saklanıp yenileneceği baştan tasarlanmalıdır. Süresi dolan bir sertifika veya belirteç bağlantının kesilmesine yol açabilir; yenileme tarihleri de izlenmelidir.

Şirketler için kullanım alanları

Açık bankacılık şirketlerin finans operasyonunda şu alanlarda kolaylık sağlar:

• Çok bankalı bakiye ve nakit pozisyonu: Farklı bankalardaki hesapların bakiyeleri tek ekranda görülür, günlük nakit pozisyonu elle derlenmeden çıkarılır.
• Otomatik muhasebeleştirme: Bankalardan gelen hareketler şirketin kurumsal tahsilat ve mutabakat otomasyonu altyapısına aktarılır ve açık faturalar otomatik kapatılır. Bu eşleştirmenin nasıl kurulduğunu banka mutabakatı rehberimizde anlattık.
• Ödemeleri tek noktadan başlatma: ERP'de onaylanan tedarikçi ve personel ödemeleri, banka arayüzüne dosya yüklemeden ÖBHS üzerinden ilgili bankaya iletilir.
• Bayi ve tedarikçi süreçleriyle bağlantı: Bakiye ve tahsilat bilgileri DBS ve tedarikçi finansmanı akışlarıyla birlikte değerlendirilerek nakit planlaması daha sağlam hale getirilir.

Güncel hesap bilgisine dayanan finans yöneticileri, likidite kararlarını gün sonu ekstresini beklemeden verebilir.

Başlarken çalışılan bankaların hangilerinin bu servisleri sunduğu, kullanılacak sağlayıcının hangi hizmet türlerinde yetkili olduğu ve ERP tarafında hangi verinin hangi sıklıkla alınacağı netleştirilmelidir. Mevcut MT940 veya CAMT.053 dosya akışlarının hemen kapatılması gerekmez; iki kanal bir süre birlikte çalıştırılarak sonuçlar karşılaştırılabilir. Rıza bitiş tarihleri de izlenmelidir; süresi dolan bir rıza zamanında yenilenmezse veri akışı habersizce durabilir.

Lisans gerekir mi?

Açık bankacılık hizmetini başkalarına kendiniz sunacaksanız TCMB'den izin (lisans) almanız gerekebilir. Hizmeti yalnızca kendi şirketiniz için, yetkili bir sağlayıcının (banka, ödeme kuruluşu veya elektronik para kuruluşu) platformu üzerinden kullanacaksanız genellikle ayrıca lisans gerekmez. Hangi durumun size uyduğu; hizmetin kime, hangi amaçla ve kimin adına sunulduğuna göre değişir.

Sonraki adım

Çok bankalı finans süreçlerinizi açık bankacılık altyapısıyla bağlamak, nakit görünürlüğünü ve otomatik mutabakatı tek yapıda kurmak için mevcut entegrasyonlarınızı birlikte değerlendirebiliriz.