MADDE 27 – (1) Kuruluşun, faaliyetlerinin kapsamı ve yapısıyla uyumlu ve değişen koşullara uygun, suç gelirlerinin aklanması ve terörizmin finansmanıyla ilgili riskler de dahil olmak üzere maruz kalınabilecek tüm risklerin tanımlanmasını, ölçülmesini, izlenmesini, kontrol edilmesini, raporlanmasını ve yönetilmesini sağlamak üzere etkin bir risk yönetimi sistemi kurması zorunludur.

(2) Risk yönetimi faaliyetleri, yönetim kuruluna veya yönetim kurulunun belirleyeceği genel müdür dışındaki icrai görevi olmayan bir yönetim kurulu üyesine bağlı olarak; gerekli bilgi ve deneyime sahip olan ve icraî görevi bulunmayan risk yönetimi personeli tarafından yürütülür. (Ek cümle:RG-7/10/2023-32332) Kuruluş bünyesindeki risk yönetimi personelinin en az bir tanesinin kuruluşun tam zamanlı çalışanı olması şarttır. Risk yönetimi personeli tarafından, gerçekleştirilen risk yönetimi faaliyetlerine ilişkin olarak Haziran ve Aralık sonu itibarıyla yılda iki kez yönetim kuruluna raporlama yapılır.

(3) Birinci fıkra kapsamında kurulan risk yönetim sistemi, kuruluş tarafından gerçekleştirilen tüm faaliyetlerden, gerçekleştirilen faaliyetler ile ilgili diğer kuruluşlar ile olan bağlantılardan, katılım sağlanan ödeme sistemlerinden, dış hizmet sağlayıcılardan, temsilcilerden ve yürütülen faaliyetler ile ilgili diğer hususlardan kaynaklanabilecek ve faaliyetlerin sorunsuz bir şekilde gerçekleştirilmesini tehlikeye sokabilecek tüm risklerin tespit edilip, etkin bir şekilde yönetilmesini sağlayacak şekilde oluşturulur.

(4) Risk yönetim sistemi ile ilgili kural, prosedür ve politikalar ile bunlarda yapılacak değişikliklerin yazılı olarak oluşturulması esastır.

(5) Risk yönetimi faaliyetleri kapsamında, kuruluş tarafından Kanun çerçevesinde sunulan hizmetlerin yasa dışı bahis başta olmak üzere yasa dışı faaliyetlerde kullanılıp kullanılmadığının tespiti için sosyal medya ve çevrim içi platformlar başta olmak üzere gerekli araştırmalar yapılır ve bu tür işlemlerin önlenmesi için gerekli tedbirler alınır.