Günümüzde bir mağazada kredi kartımızla ödeme yaptığımızda işlem birkaç saniye içerisinde tamamlanır. Ancak bu kısa sürede arka planda bankalar, ödeme ağları ve çeşitli finansal sistemler arasında bir iletişim gerçekleşir.
Bu sürecin iki temel aktörü Issuer ve Acquirer olarak adlandırılır.
1. Issuer Nedir?
Issuer (Kartı Veren Kuruluş), müşteriye kredi kartı, banka kartı veya ön ödemeli kart sağlayan banka ya da yetkili finansal kuruluştur.
Örneğin, Garanti BBVA'dan bir kredi kartı aldığınızı düşünelim. Bu durumda kartınızın issuer kuruluşu Garanti BBVA'dır.
Issuer'ın temel sorumlulukları şunlardır:
- Müşteriye fiziksel veya sanal kart sağlamak.
- Kartın kullanımını ve güvenliğini yönetmek.
- Kart limitlerini ve hesap bakiyelerini kontrol etmek.
- Kartla gerçekleştirilen işlemlere onay veya ret vermek.
- Şüpheli işlemleri tespit etmek ve fraud kontrolleri gerçekleştirmek.
- Kartın PIN, EMV ve kriptografik güvenlik süreçlerini yönetmek.
Örneğin, 5.000 TL limitli bir kredi kartıyla 6.000 TL tutarında alışveriş yapmaya çalıştığınızda, işlemi reddeden taraf genellikle issuer bankanın yetkilendirme sistemidir.
Issuer'ın Teknik Altyapısı
Bir issuer sisteminde aşağıdaki bileşenler bulunabilir:
Card Management System (CMS): Kartların oluşturulmasını, yaşam döngüsünü, limitlerini ve durumlarını yönetir.
Authorization System: POS veya ATM üzerinden gelen işlemlerin onaylanıp onaylanmayacağını değerlendirir.
Fraud Detection System: Şüpheli kart işlemlerini analiz eder.
HSM (Hardware Security Module): PIN ve kriptografik anahtar işlemlerinin güvenli şekilde gerçekleştirilmesini sağlar.
Card Personalization System: Kartların EMV verilerinin hazırlanmasını ve çiplerine yazılmasını sağlar.
2. Acquirer Nedir?
Acquirer (Üye İşyeri Anlaşması Yapan Kuruluş), mağazaların ve işletmelerin kartla ödeme kabul etmesini sağlayan banka veya yetkili ödeme kuruluşudur.
Örneğin, bir mağazanın İş Bankası üzerinden POS hizmeti aldığını düşünelim.
Bu durumda:
- Kartı veren banka: Garanti BBVA (Issuer)
- POS hizmetini sağlayan banka: İş Bankası (Acquirer)
Acquirer'ın temel görevleri şunlardır:
- İşletmelerin kartlı ödeme kabul etmesini sağlamak.
- POS ve sanal POS altyapısını sunmak.
- Ödeme işlemlerini ilgili kart ağına veya yönlendirme sistemine iletmek.
- İşlemlerin finansal mutabakat ve ödeme süreçlerini yönetmek.
- İşletmelerin hesaplarına ödeme tutarlarının aktarılmasını sağlamak.
- İade, ters ibraz (chargeback) ve üye işyeri risk süreçlerini yönetmek.
Acquirer, kart sahibinden ziyade kartlı ödeme kabul eden işletmeyle ilişkilidir.
3. Issuer ve Acquirer Arasındaki Farklar
| Özellik | Issuer | Acquirer |
|---|---|---|
| Temel müşteri | Kart sahibi | Üye işyeri |
| Temel görev | Kart çıkarmak ve yönetmek | Kartlı ödeme kabul ettirmek |
| Kart limiti kontrolü | Evet | Hayır |
| POS hizmeti | Temel rolü değildir | Evet |
| İşlem yetkilendirmesi | Nihai onay/ret kararını genellikle verir | İsteği iletir |
| Fraud yönetimi | Kart sahibi işlemleri | Üye işyeri işlemleri |
| Para akışı | Kart sahibinin hesabı/borcu | İşletmenin tahsilatı |
Bir banka aynı anda hem issuer hem de acquirer olabilir. Bu roller, kurumların birbirinden tamamen farklı olması gerektiği anlamına gelmez.
4. Kartla Ödeme Yapıldığında Sistem Nasıl Çalışır?
Gerçek bir senaryo üzerinden inceleyelim.
Senaryo:
- Müşteri: Ahmet
- Kart: Garanti BBVA kredi kartı
- Mağaza: Bir elektronik mağazası
- POS bankası: İş Bankası
- Kart ağı: Visa
- Ödeme tutarı: 2.000 TL
İşlem aşağıdaki adımlarla gerçekleşir:
Adım 1 — Kartın POS cihazına okutulması
Ahmet, Garanti BBVA kredi kartını mağazanın POS cihazına okutur.
POS cihazı, karttan gerekli ödeme bilgilerini alır ve işlem için bir yetkilendirme isteği oluşturur.
Adım 2 — Acquirer'a iletim
POS cihazı, ödeme isteğini İş Bankası'nın ödeme altyapısına gönderir.
İş Bankası burada acquirer rolündedir.
Adım 3 — Kart ağına yönlendirme
Acquirer, isteği uygun ödeme ağına yönlendirir. Bu örnekte Visa ağı kullanılır.
Adım 4 — Issuer'a iletim
Visa, işlemi kartı veren Garanti BBVA'nın yetkilendirme sistemine yönlendirir.
Adım 5 — Issuer kontrolü
Garanti BBVA çeşitli kontroller gerçekleştirir:
- Kart aktif mi?
- Kartın yeterli limiti var mı?
- İşlem güvenlik kurallarına uygun mu?
- Fraud açısından riskli bir durum var mı?
- Gerekli EMV doğrulamaları başarılı mı?
Kontrollerin sonucunda işlem onaylanır veya reddedilir.
Adım 6 — Sonucun POS cihazına iletilmesi
Issuer'ın verdiği yanıt, Visa üzerinden acquirer'a ve oradan POS cihazına iletilir.
POS ekranında işlem sonucu görüntülenir.
5. Authorization, Clearing ve Settlement Nedir?
Kartlı ödeme sistemlerini anlamak için üç kavramı birbirinden ayırmak gerekir.
Authorization (Yetkilendirme)
Kartla yapılan işlemin gerçekleştirilmesine izin verilip verilmediğinin belirlendiği aşamadır.
Issuer, işlemle ilgili kontrollerini yapar ve onay ya da ret yanıtı üretir.
Clearing (Takas / İşlem Bilgilerinin Mutabakatı)
Gerçekleştirilen kart işlemlerinin finansal kayıtlarının taraflar arasında paylaşılması ve işlenmesi aşamasıdır.
Bu süreçte işlem tutarları, komisyonlar ve diğer finansal bilgiler değerlendirilir.
Settlement (Hesaplaşma)
İlgili finansal kuruluşlar arasında para transferinin veya net pozisyonların kapatılmasının gerçekleştiği aşamadır.
Acquirer'ın üye işyerine ödeme yapması ise anlaşmaya ve ödeme takvimine bağlı olarak gerçekleşir.
6. ISO 8583 ve EMV ile İlişkisi
Issuer ve acquirer sistemleri arasındaki iletişimde iki önemli teknoloji karşımıza çıkar.
ISO 8583
ISO 8583, finansal işlem mesajlarının yapısını tanımlayan uluslararası bir standarttır.
Kartlı ödeme sistemlerinde kullanılan yetkilendirme mesajları bu standardın farklı sürümlerine veya ağlara özgü uygulamalarına dayanabilir.
Örneğin bir işlem mesajında şu bilgiler bulunabilir:
- MTI: Mesaj türü
- DE2: Kart numarası (PAN)
- DE3: İşlem kodu
- DE4: İşlem tutarı
- DE11: Sistem izleme numarası (STAN)
- DE39: Yanıt kodu
- DE55: EMV çip verileri
Bu bilgiler sayesinde sistemler işlemleri tanımlayabilir, yönlendirebilir ve sonuçlandırabilir.
EMV
EMV, çipli kart işlemlerinde kullanılan teknik standartlar bütünüdür.
EMV kapsamında kart ve terminal, işlemin güvenliğini sağlamak için çeşitli doğrulama ve kriptografik işlemler gerçekleştirir.
Örneğin, çevrim içi EMV işlemlerinde kart tarafından üretilen ARQC (Authorization Request Cryptogram), issuer tarafında doğrulanabilir.
Issuer'ın verdiği yetkilendirme kararına bağlı olarak kartla gerçekleştirilen EMV işlemi tamamlanır.
Bu süreçlerde HSM cihazları, kriptografik anahtarların korunması ve doğrulama işlemleri açısından önemli rol oynar.
7. Issuer ve Acquirer Aynı Banka Olabilir mi?
Evet.
Örneğin, bir müşteri İş Bankası kredi kartını yine İş Bankası POS cihazında kullanabilir.
Bu senaryoda İş Bankası hem issuer hem de acquirer rolünü üstlenir.
Bu tür işlemler genellikle on-us transaction olarak adlandırılır.
Kartı veren kuruluş ile POS hizmetini sağlayan kuruluşun farklı olduğu işlemler ise off-us transaction olarak adlandırılabilir.
İşlemin hangi ağdan veya teknik altyapıdan geçeceği, bankaların ve ödeme sistemlerinin yapılandırmasına bağlıdır.
Sonuç
Issuer ve acquirer, kartlı ödeme ekosisteminin birbirini tamamlayan iki temel aktörüdür.
Issuer, kart sahibinin tarafını; acquirer ise ödeme kabul eden işletmenin tarafını temsil eder.
Issuer kartın yönetiminden ve işlemin yetkilendirilmesinden sorumluyken, acquirer işletmenin ödeme kabul etmesini, işlemlerin yönlendirilmesini ve finansal tahsilat süreçlerini yönetir.
Bu iki rolü anlamak; POS sistemleri, kart yönetim platformları, EMV kişiselleştirme uygulamaları, ISO 8583 mesajlaşması ve ödeme servisleri geliştiren yazılım mühendisleri için güçlü bir temel oluşturur.