CTO'su Olmayan Bir Fintech Kurucusu: Platformunuzu Tasarlayacak, Geliştirecek ve Teslim Edecek Firma Nasıl Seçilir

Finansmanınız ve geliştirilecek bir fintech ürününüz var ama CTO'nuz yoksa, işe bir geliştirici firma seçerek başlamayın. Önce, yarı zamanlı da olsa, tarafınıza teknik bir kişi alın. Sonra mühendislik şirketlerinden bir kısa liste çıkarın. Bu şirketler size ait olacak bir sistem kurar; oysa bir platform satıcısı size kendi ürününü lisanslar, serbest çalışan bir mühendis de ne kadar iyi olursa olsun sistemi tek bir kişiye bağımlı bırakır. Aralarından, üretimde çalışır hâlde gösterebildiklerine ve sözleşmelerinin elinizde tutmanıza izin verdiklerine göre seçim yapın.

Bu yazı firmaları sıralamıyor: bir sıralama ne lisansınızı ne de lansman tarihinizi bilebilir. Kontrolleri bir kurucunun onlara ihtiyaç duyduğu sırayla veriyor ve amBrain'i sona yakın tek bir bölümde anlatıyor.

Finansmanım var ama CTO'm yok. İlk olarak ne yapmalıyım?

Projeye teknik uzmanlık katmanın üç yolu var. Aralarındaki fark esas olarak geliştirici firmanın işini kimin kontrol ettiğidir.

• Önce tam zamanlı bir CTO işe almak. Doğru kişi bulunduğunda en güçlü konum budur, ama geliştirme bu aramayı bekler ve yeni bir CTO'nun başta yöneteceği bir ekibi olmaz
• Yarı zamanlı bir CTO ya da bağımsız bir teknik danışman getirmek: sizin için kısmi zamanlı çalışan ve ücretini yalnızca sizden alan deneyimli bir mühendis. Geliştirici firmaların önerdiklerini okur, gereken takip sorularını sorar ve her kilometre taşını sizin için kontrol eder
• Mimariye geliştirici firmanın öncülük etmesine izin vermek. En hızlı başlangıç budur ve firma benzer sistemler kurduğu için tasarım çoğu zaman sağlamdır. Sorun şu ki sistemi tasarlayan firmaya onu kurması için para ödenecek ve sizin tarafınızda kimse gerekli bir parçayı işine gelen bir parçadan ayırt edemez

Sizi koruyan, ikinci ve üçüncü seçeneğin birlikte kullanılmasıdır: mimarinin taslağını geliştirici firma hazırlar, siz geliştirmeye bağlanmadan önce de danışmanınız onu inceler. Bir trading ya da aracı kurum sistemi üzerinde çalışmış bir danışman seçin; böylece emrin izlediği yol ve düzenleyicinin beklediği kayıtlar hakkında ne sorması gerektiğini bilir. Kısa listenizdeki hiçbir firmayla yönlendirme komisyonu ya da başka bir anlaşması olmamalıdır.

Mimari aşaması, tek satır kod yazılmadan önce bana ne vermeli?

Bir mimari aşaması, danışmanınızın kontrol edebileceği ve sizin takip edebileceğiniz biçimde yazılmış belgelerle bitmelidir:

• Kapsamı anlatan tek bir sayfa: önce hangi ürün geliyor (müşterileriniz için bir terminal, onun arkasındaki aracı kurum sistemleri ya da bir borsa), hangi piyasa ve hangi ilk kullanıcılar için
• Sistemin ve bağlandığı her şeyin bir çizimi: aracı kurumlar ya da borsalar, bankalar ve ödeme sağlayıcıları, kimlik doğrulama, piyasa verisi sağlayıcıları
• Tek bir emrin müşterinin ekranından piyasaya ve geri izlediği yol; risk kontrolleri işaretlenmiş ve bir bağlantı koptuğunda ne olduğu gösterilmiş olarak
• Sistemin neyi, ne kadar süreyle ve kimin için kaydetmesi gerektiği; lisansınızın kurallarından çıkarılmış olarak
• Nerede çalışacağı: şirketinizin adına açılmış bulut ya da sunucu hesapları
• Şirketinizin imzalaması gereken üçüncü taraf sözleşmeleri ve geliştirmenin bunlardan hangilerini beklediği
• Yazıya dökülmüş ilk sürüm; bilerek dışarıda bırakılanlar dahil
• Açık riskler ve her şey için tek bir rakam yerine kilometre taşı başına bir tahmin

Bu aşamanın ücretini ayrı ödeyin ve aynı firmayla devam etseniz de etmeseniz de belgelerin sizin olmasını sağlayın. Böylece ikinci bir firma aynı tasarım üzerinden fiyat verebilir ve gelecekteki CTO'nuz birinin hafızasından değil, yazılı bir kayıttan başlar. Sonraki bölümde görüleceği gibi, bazı düzenleyiciler de aynı türden belgeler ister.

Geliştirmeyi hangi lisanslar ve kurallar şekillendirir?

Tasarım kesinleşmeden önce, düzenleyici mevzuat konusunda uzman bir avukatın katılımıyla lisans sorusunu netleştirin. Lisans, sistemin ne yapması gerektiğine ve onu ne zaman devreye alabileceğinize karar verir; hiçbir mühendislik firması onu sizin yerinize alamaz ya da düzenleyicinin daha hızlı karar vermesini sağlayamaz.

Düzenleyiciler sistemlerinizi başvurunun bir parçası olarak inceler:

• Birleşik Krallık'ta FCA, başvuru sahiplerinden “kullanacağınız teknolojinin ya da sistemlerin, başvurusu yapılan düzenlemeye tabi faaliyetleri yürütmeye hazır olduğunu göstermelerini” ister. Ayrıca “sizi bugün yetkilendirecek olsaydık”, başvurduğunuz faaliyeti yürütüp yürütemeyeceğinizi de değerlendirir
• ABD'de bir aracı kurum (broker-dealer), faaliyete başlamadan önce SEC nezdinde kayıt yaptırır ve FINRA gibi bir öz düzenleyici kuruluşa üye olur. FINRA'nın kabul standartları arasında “iş sürekliliğini makul ölçüde sağlayan” iletişim ve operasyon sistemleri ile “Başvuru Sahibinin federal, eyalet ve öz düzenleyici kuruluş kayıt tutma gerekliliklerine uymasını sağlayan bir kayıt tutma sistemi” bulunur
• AB'de kripto varlık hizmet sağlayıcısı olmak için yapılan başvuru, “BİT sistemlerinin ve güvenlik düzenlemelerinin teknik belgelerini ve bunların teknik olmayan bir dille açıklamasını” içermelidir. Bir kripto varlık işlem platformu işletmek isteyen firma, ayrıca platformun işleyiş kurallarını ve piyasanın kötüye kullanılmasını tespit etmeye yönelik prosedürünü ve sistemini açıklamalıdır

Düzenleyicinin saati aylarla işler. FCA'nın başvuru sahiplerine yönelik, en son Mart 2026'da güncellenen rehberine göre, aracı kurum gibi bir firmanın eksiksiz başvurusu genellikle altı ay içinde değerlendirilir, eksik bir başvuru ise on iki aya kadar sürebilir. Yatırım kuruluşlarına ilişkin AB yasası olan MiFID II uyarınca, başvuru sahibine, eksiksiz başvurusunu sunmasından itibaren altı ay içinde yetki verilip verilmediği bildirilmelidir. AB'nin kripto varlık düzenlemesi olan MiCA uyarınca otorite, başvurunun eksiksiz olup olmadığını 25 iş günü içinde kontrol eder ve eksiksiz bir başvuruyu aldıktan sonra 40 iş günü içinde karar verir; sorularına yanıt beklerken süreyi en fazla 20 iş günü durdurur. FINRA kuralları, başvurudan 180 gün sonra ya da yazılı olarak kararlaştırılan daha geç bir tarihte hâlâ karar çıkmamışsa, başvuru sahibinin konuyu bir üst merciye taşımasına izin verir.

Kurallar, sistemin neyi sakladığına da karar verir. Bir AB yatırım kuruluşu, tüm hizmetleri, faaliyetleri ve işlemleri hakkında “yetkili otoritenin denetim görevlerini yerine getirmesini sağlamaya yeterli” kayıtlar tutmalı ve müşteri emirleriyle ilgili telefon görüşmelerinin ve elektronik yazışmaların kayıtlarını beş yıl, otorite isterse yedi yıla kadar saklamalıdır. Bu tür gereklilikler, verinin nasıl saklanacağını ilk tasarımdan itibaren şekillendirir.

Bir firmanın gerçekten fintech sistemlerini üretime aldığını nasıl kontrol ederim?

Gerçekten üretime almak, içinden gerçek müşterilerin emirleri ya da paraları geçen, görebileceğiniz ve kuranlarına soru sorabileceğiniz, üretimdeki bir sistem demektir. Nereden başlanacağını anlatan yazı temel kanıtları sıralıyor: adıyla anılan bir üretim sistemi, sistemin baştan sona gösterimi, bir olay hikâyesi ve işi yapan insanlar. Kendi CTO'nuz olmadığı için, kod okumaya dayanmayan kontroller ekleyin:

• Müşteriyi kendiniz kontrol edin. Bir firma, düzenlemeye tabi bir müşteri için platform kurduğunu söylüyorsa, kamuya açık siciller o müşterinin yetkilendirilmiş olup olmadığını gösterir: ABD'de FINRA'nın BrokerCheck'i, Birleşik Krallık'ta FCA'nın Financial Services Register'ı, AB'de ESMA'nın yetkilendirilmiş kripto varlık hizmet sağlayıcıları sicili
• Bir referansı, firma hatta olmadan kendiniz arayın ve canlıya geçişten sonra neyin bozulduğunu ve firmanın bunu nasıl ele aldığını sorun
• Sizin soramayacağınız soruları sorması için danışmanınızı sistemin gösterimine getirin
• Firma o sistemi kuran mühendislerin sizinki üzerinde çalışacağını söylüyorsa, adlarını sözleşmeye yazın

Hangi deneyimin sayıldığı konusunda net olun. Bir ödeme uygulamasına da trading platformuna da fintech denir ve ikisi farklı biçimlerde çöker. Bir trading ya da aracı kurum ürünü için, emirlerin piyasaya giderken firmanın kodundan geçtiği sistemleri isteyin.

Sözleşme kod, hesaplar ve devir teslim hakkında ne demeli?

Kodun parasını ödemek, onu tek başına sizin yapmaz. Birleşik Krallık'ta Fikrî Mülkiyet Ofisi'nin rehberine göre, ısmarlama bir eserde telif hakkının ilk yasal sahibi, “yazılı olarak aksini kararlaştırmadığınız sürece”, eseri yaratan kişidir. ABD'de telif hakkının devri ancak yazılı olarak yapılır ve hak sahibi ya da yetkili temsilcisi tarafından imzalanırsa geçerlidir. Mülkiyet maddesinin kendisini, özel ekibin nasıl kontrol edileceğini anlatan yazı ele alıyor. Bir fintech geliştirmesi için şu koşulları ekleyin:

• Kod deposu, bulut hesapları, alan adları ve uygulama mağazası hesapları ilk günden şirketiniz tarafından açılır; firma ise sizin kaldırabileceğiniz bir erişim alır
• Aracı kurumlar, borsalar, bankalar ve piyasa verisi sağlayıcıları için erişim bilgileri şirketinize verilir ve bu sözleşmeler onun adına imzalanır. Bunlar firmada olursa, trading'iniz firmanın kalmasına bağlı hâle gelir
• Firmanın elinde tuttuğu her şey, örneğin kendi yeniden kullanılabilir kütüphaneleri, adlarıyla listelenir ve yollarınız ayrıldıktan sonra onları kullanmaya ve değiştirmeye devam etmenizi sağlayan bir lisansa bağlanır
• Devir teslimin, son kilometre taşından önce bir kabul testi ve bir provası olur; neleri içermesi gerektiğini mühendis işe almak ile ortakla çalışmak arasındaki seçimi anlatan yazı listeliyor
• Çıkış koşulları bildirim sürelerini, geçiş sırasında firmanın yardımını ve verilerinizin kullanılabilir bir biçimde iadesini kapsar

Şirketiniz AB'de bir yatırım kuruluşu, kripto varlık hizmet sağlayıcısı ya da işlem yeri olacaksa, 17 Ocak 2025'ten bu yana uygulanan Dijital Operasyonel Dayanıklılık Yasası'nın (DORA) kapsamına girer. DORA'nın 30. maddesi, yönetmeliğin BİT hizmetleri adını verdiği teknoloji hizmetlerine ilişkin sözleşmeler için asgari şartlar belirler; bunlar arasında verilerin işlendiği ve saklandığı bölgeler veya ülkeler, sağlayıcı ödeme aczine düşerse, faaliyetini durdurursa ya da sözleşme sona ererse verilerinizin iadesi ve bildirim süreli fesih hakları yer alır. Kritik veya önemli işlevleri destekleyen hizmetlere ilişkin sözleşmelerde ayrıca zorunlu bir geçiş dönemi içeren çıkış stratejileri bulunmalıdır. Geliştirici firmayla yaptığınız anlaşmanın hangi kısımlarının bu kapsama girdiğini, özellikle de lansman sonrası destek ve barındırmayı avukatınıza sorun.

İş, kilometre taşlarına ve ödemelere nasıl bölünmeli?

Geliştirmeyi, her ödemenin çalıştığını görebileceğiniz ve danışmanınızın iş başlamadan önce kararlaştırılan kriterlere göre kontrol ettiği bir şeyi satın alacağı şekilde bölün. Bir trading ya da aracı kurum geliştirmesi için olası bir yapı:

• Ayrı fiyatlandırılmış ve devam etseniz de etmeseniz de size ait mimari belgeler
• Bir test hesabından çıkıp risk kontrollerinden geçerek bir aracı kurumun ya da borsanın test ortamına giden ve ekrana geri dönen tek bir emir; şirketinizin bulut hesabında çalışır hâlde
• Uçtan uca çalışan ilk piyasa: hesaplar, bakiyeler, pozisyonlar, lisansınızın gerektirdiği kayıtlar ve aracı kurumlarla borsaların kendi takvimlerine göre yürüttüğü bağlantı testleri
• İzleme açıkken ve nöbetçi biri hazırken, küçük bir gerçek müşteri grubuna lansman
• Kendi mühendisinizin, geliştirici ekip izlerken bir değişikliği devreye alıp geri aldığı bir devir teslim provası

Kilometre taşlarını lisans başvurusuyla uyumlu hâle getirin. Örneğin FCA, başvurduğunuzda sistemlerin düzenlemeye tabi faaliyeti yürütmeye hazır olmasını ister; bu yüzden geliştirmenin o zamana kadar epey ilerlemiş olması gerekir.

Herhangi bir kilometre taşından sonra, o ana kadar kurulan her şeyle birlikte durma hakkını elinizde tutun; geliştirmenin tamamına bağlanmadan önce, mimari aşamasının hemen ardından da.

Bir fintech geliştirme ortağı seçerken tehlike işaretleri nelerdir?

• Kimse hangi lisansa başvurduğunuzu ya da hangi aracı kurumlara ve borsalara bağlanacağınızı sormadan, ilk yanıtta gelen sabit bir fiyat ve bir lansman tarihi
• Düzenleyicinin kararına ya da aracı kurumlarınızın bağlantı testlerine yer bırakmayan bir lansman planı
• Belgeler üzerinde yazılı bir hak tanımayan ve tasarımı başka bir firmaya götürmenizi imkânsız kılan ücretsiz bir mimari aşaması
• Firmanın adına tutulan aracı kurum ya da borsa erişim bilgileri veya bulut hesabı
• “Platformumuz mevzuata uygun.” Lisans yazılımın değil, şirketinizin elindedir. Tasarımın hangi kurallara göre ve kim tarafından kontrol edildiğini sorun
• Tasarımı incelemesi için bağımsız bir danışman getirdiğinizde gösterilen direnç
• Hepsi web sitesi ve gösterge paneli olan, emir ya da para hareket ettiren tek bir sistem içermeyen fintech örnekleri

amBrain nerede devreye girer?

Yukarıda anlatılan firma türleri arasında amBrain bir mühendislik şirketidir. amBrain 2019'dan bu yana yazılım geliştiriyor.

amBrain'in trading hizmetleri şöyle listeleniyor: “Trading terminali geliştirme, emir yönetim sistemleri ve FIX protokolü borsa entegrasyonu.” amBrain, Spectre Trade için trading terminalini geliştirdi. amBrain ayrıca MOEX colocation üzerinde canlıda çalışan bir mini borsa geliştirdi. Mini borsanın müşterisinin adı verilmiyor.

amBrain, müşterileriyle nasıl çalıştığını tek satırla anlatıyor: “Üç format: tam teslim, özel ekip ya da sizin ekibinize yerleşen mühendisler.” Mülkiyet konusundaki satırı ise şöyle: “Müşteri, yeniden kullanılabilir bileşenlerimiz dışında ürünün ve kodun tam mülkiyetini elinde tutar.” Bu istisna, tam da bu yazının sınırlarını netleştirmenizi söylediği türden bir maddedir; bu yüzden imzalamadan önce amBrain'den bu bileşenlerin adlarıyla listesini isteyin. Bu yazı bir vaka çalışması değildir ve kontrolleri, başka herhangi bir firmaya olduğu kadar amBrain'e de uygulanır.

Henüz başlangıçtaysanız, kimseyle iletişime geçmeden önce tek bir sayfa yazın: önce geliştirdiğiniz ürün, başvurduğunuz lisans, ilk piyasanız ve kullanıcılarınız ve canlıya çıkmanız gereken tarih. Sayfayı önce danışmanınıza, sonra amBrain ya da başka herhangi biri olsun, iki üç firmaya gönderin ve geri gelen soruları karşılaştırın.