2019 - KARAMANOĞLU MEHMETBEY ÜNİVERSİTESİ.pdf

KARAMANOĞLU MEHMETBEY ÜNİVERSİTESİ 2019 Yılı Sayıştay Denetim Raporu Eylül 2020

İÇERİK KARAMANOĞLU MEHMETBEY ÜNİVERSİTESİ 2019 YILI SAYIŞTAY DÜZENLİLİK DENETİM RAPORU 1 KARAMANOĞLU MEHMETBEY ÜNİVERSİTESİ 2019 YILI SAYIŞTAY PERFORMANS DENETİM RAPORU 46

KARAMANOĞLU MEHMETBEY ÜNİVERSİTESİ 2019 YILI SAYIŞTAY DÜZENLİLİK DENETİM RAPORU

İÇİNDEKİLER

1. KAMU İDARESİ HAKKINDA BİLGİ ...................................................................................................... 1
2. KAMU İDARESİNİN SORUMLULUĞU .................................................................................................. 7
3. SAYIŞTAYIN SORUMLULUĞU .............................................................................................................. 7
4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI .......................................................... 7
5. İÇ KONTROL SİSTEMİNİN DEĞERLENDİRİLMESİ ........................................................................ 8
6. DENETİM GÖRÜŞÜ ................................................................................................................................. 11
7. DENETİM BULGULARI .......................................................................................................................... 11
8. EKLER ........................................................................................................................................................ 43

TABLOLAR LİSTESİ Tablo 1: Akademik Personel Kadroları Tablosu ........................................................................ 3 Tablo 2: İdari Personel Kadroları Tablosu ................................................................................. 3 Tablo 3: 2019 Yılı Bütçe Ödenekleri ve Bütçe Gider Gerçekleşmeleri Tablosu ....................... 5 Tablo 4: 2019 Yılı Bütçe Gelir Tahminleri ve Bütçe Gelir Gerçekleşmeleri Tablosu............... 5

KISALTMALAR TSE: Türk Standartları Enstitüsü YÖK: Yükseköğretim Kurulu

BULGU LİSTESİ B. Denetim Görüşünü Etkilemeyen Tespit ve Değerlendirmeler

1. Banka Hesabının Haczedilmesi
2. Kiraya Verilen Hazine Taşınmazlarından Isınma Bedeli Alınmaması
3. Taşınmazların Cins Tashihi İşlemlerinin Tamamlanmaması
4. Kişisel Verilerin Korunması Kanunu’nun Gereklerini Yerine Getirecek Kurumsal Altyapının Oluşturulmaması
5. Lisansı Olmayan Yazılımların Kullanılmasının Engellenmemesi
6. Bilgi Varlıklarının Envanterinin Bulunmaması
7. Bilişim Sistemleri Yönetişim Kontrollerinin Yetersiz Olması
8. Dış Tedarikle Yürütülen Bilişim Hizmetlerine İlişkin Sözleşmelerin Bilgi Güvenliği Yönünden Yetersiz Olması
9. Bilişim Sistemlerinin Sürekliliğini Güvence Altına Alacak Kontrollerin Yetersiz Olması
10. Bilişim Varlıkları Üzerinde Gerçekleştirilecek Rutin ve Acil Değişikliklerin Yönetimiyle İlgili Kural ve Uygulamaların Yetersiz Olması

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 1

1. KAMU İDARESİ HAKKINDA BİLGİ 1.1. Mevzuat ve Görevler Karamanoğlu Mehmetbey Üniversitesi 2007 yılında, 29 Mayıs 2007 tarih ve 26536 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren 5662 sayılı Kanunla kurulmuştur. Üniversitenin örgüt yapısı, Yükseköğretim Kanunu ve Yükseköğretim Kurumları Teşkilat Kanununun üniversitelerin akademik ve idari örgütlenmesine ilişkin maddeleri ve ilgili yönetmelikler doğrultusunda fakülte, enstitü, yüksekokul, meslek yüksekokulu, koordinatörlük, araştırma ve uygulama merkezi ile Rektörlüğe bağlı bölümlerden oluşmuştur. Akademik ve idari birimlerin yönetimi ve yöneticilerin yetki ve sorumlulukları da aynı Kanunlar tarafından belirlenmiştir. Yükseköğretim ile ilgili amaç ve ilkeleri belirlemek ve bütün yükseköğretim kurumlarının ve üst kuruluşlarının teşkilatlanma, işleyiş, görev, yetki ve sorumlulukları ile eğitim-öğretim, araştırma, yayım, öğretim elemanları, öğrenciler ve diğer personel ile esasları bir bütünlük içinde düzenleyen 2547 sayılı Yükseköğretim Kanunu 1981’den beri yürürlüktedir. 2547 sayılı Kanun’un 12’nci maddesinde Yükseköğretim Kurumlarının görevleri sayılmakta olup bu görevler sırasıyla; a. Çağdaş uygarlık ve eğitim - öğretim esaslarına dayanan bir düzen içinde, toplumun ihtiyaçları ve kalkınma planları ilke ve hedeflerine uygun ve ortaöğretime dayalı çeşitli düzeylerde eğitim - öğretim, bilimsel araştırma, yayım ve danışmanlık yapmak, b. Kendi ihtisas gücü ve maddi kaynaklarını rasyonel, verimli ve ekonomik şekilde kullanarak, milli eğitim politikası ve kalkınma planları ilke ve hedefleri ile Yükseköğretim Kurulu tarafından yapılan plan ve programlar doğrultusunda, ülkenin ihtiyacı olan dallarda ve sayıda insan gücü yetiştirmek, c. Türk toplumunun yaşam düzeyini yükseltici ve kamu oyunu aydınlatıcı bilim verilerini söz, yazı ve diğer araçlarla yaymak, d. Örgün, yaygın, sürekli ve açık eğitim yoluyla toplumun özellikle sanayileşme ve tarımda modernleşme alanlarında eğitilmesini sağlamak,

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 2 e. Ülkenin bilimsel, kültürel, sosyal ve ekonomik yönlerden ilerlemesini ve gelişmesini ilgilendiren sorunlarını, diğer kuruluşlarla işbirliği yaparak, kamu kuruluşlarına önerilerde bulunmak suretiyle öğretim ve araştırma konusu yapmak, sonuçlarını toplumun yararına sunmak ve kamu kuruluşlarınca istenecek inceleme ve araştırmaları sonuçlandırarak düşüncelerini ve önerilerini bildirmek, f. Eğitim - öğretim ve seferberliği içinde, örgün, yaygın, sürekli ve açık eğitim hizmetini üstlenen kurumlara katkıda bulunacak önlemleri almak, g. Yörelerindeki tarım ve sanayinin gelişmesine ve ihtiyaçlarına uygun meslek elemanlarının yetişmesine ve bilgilerinin gelişmesine katkıda bulunmak, sanayi, tarım ve sağlık hizmetleri ile diğer hizmetlerde modernleşmeyi, üretimde artışı sağlayacak çalışma ve programlar yapmak, uygulamak ve yapılanlara katılmak, bununla ilgili kurumlarla işbirliği yapmak ve çevre sorunlarına çözüm getirici önerilerde bulunmak, h. Eğitim teknolojisini üretmek, geliştirmek, kullanmak, yaygınlaştırmak, ı. Yükseköğretimin uygulamalı yapılmasına ait eğitim - öğretim esaslarını geliştirmek, döner sermaye işletmelerini kurmak, verimli çalıştırmak ve bu faaliyetlerin geliştirilmesine ilişkin gerekli düzenlemeleri yapmaktır. 1.2. Teşkilat Yapısı ve İnsan Kaynakları Kamu İdaresinin üst yöneticisi olan Rektör Cumhurbaşkanınca, dekanlar ise Yükseköğretim Kurulunca seçilmekte ve atanmaktadır. Üniversitenin akademik organı Senato olup Üniversite Yönetim Kurulu ise idari faaliyetlerde Rektöre yardımcı olmaktadır. Bilimsel özerkliğe ve kamu tüzelkişiliğine sahip olan Üniversite, 10 Fakülte, 3 Yüksekokul, 5 Meslek Yüksekokulu, 3 Enstitü, 22 Araştırma ve Uygulama Merkezinden oluşan akademik yapısı ve 11 İdari Birim, 7 Koordinatörlük ve 1 Döner Sermaye İşletme Müdürlüğü’nden oluşan idari yapısıyla eğitim ve öğretim faaliyetini sürdürmektedir. Üniversitede 665 akademik personel, 234 idari personel olmak üzere toplam 899 personel görev yapmaktadır.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 3 Tablo 1: Akademik Personel Kadroları Tablosu Unvan Dolu Boş Toplam Profesör 26 30 56 Doçent 53 32 85 Yardımcı Doçent 195 80 275 Öğretim Görevlisi 145 43 188 Okutman
Çevirici
Eğitim-Öğretim Planlamacısı
Araştırma Görevlisi 246 76 322 Uzman
Toplam 665 261 926 Tablo 2: İdari Personel Kadroları Tablosu Sınıfı Dolu Boş Toplam Genel İdari Hizmetler 179 143 322 Sağlık Hizmetleri Sınıfı 2 8 10 Teknik Hizmetler Sınıfı 47 24 71 Avukatlık Hizmetleri Sınıfı 0 1 1 Yardımcı Hizmetler Sınıfı 6 8 14 Toplam 234 184 418 Üniversitenin bağlı, ilgili ve ilişkili olduğu kurum ve idareler değerlendirildiğinde; Üniversitenin ilgili yıl bütçesi hazırlanıp Anayasa’nın 130’uncu maddesi uyarınca Yükseköğretim Kurulu tarafından tetkik edilerek onaylanmakta, Milli Eğitim Bakanlığına sunulmakta ve merkezi yönetim bütçesinin bağlı olduğu esaslara uygun olarak işleme tabi tutulup yürürlüğe konmaktadır. Yükseköğretim kurumlarının öğretimini planlamak, düzenlemek, yönetmek, denetlemek, yükseköğretim kurumlarındaki eğitim-öğretim ve bilimsel araştırma faaliyetlerini yönlendirmek bu kurumların kanunda belirtilen amaç ve ilkeler doğrultusunda kurulmasını, geliştirilmesini ve üniversitelere tahsis edilen kaynakların etkili bir biçimde kullanılmasını sağlamak ve öğretim elemanlarının yetiştirilmesi için planlama yapmak maksadı ile kurulan Yükseköğretim Kurulunun görev alanı içerisinde Karamanoğlu Mehmetbey Üniversitesi de bulunmaktadır.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 4 Yükseköğretim Kurulu adına üniversiteleri, bağlı birimlerini, öğretim elemanlarını ve bunların faaliyetlerini gözetim ve denetim altında bulunduran Yükseköğretim Kuruluna bağlı Yükseköğretim Denetleme Kurulu, Kamu İdaresinin faaliyetlerini denetleme yetkisine sahiptir. Akademik bir organ olan Üniversitelerarası Kurulun üyeleri her üniversiteden bir rektör ve bir profesörün katılımından oluşmaktadır. Bu Kurulun görevleri 2547 sayılı Kanun’un 11’inci maddesiyle belirlenmiştir ve Karamanoğlu Mehmetbey Üniversitesi de Kurulun üyesidir. Karamanoğlu Mehmetbey Üniversitesi diğer üniversiteler gibi mali yönetim yapısı ve işleyişi, kamu bütçelerinin hazırlanması, uygulanması, mali işlemlerin muhasebeleştirilmesi ve raporlanması ve mali kontrole ilişkin olarak 5018 sayılı Kanun’un verdiği görev ve yetkiye istinaden başta Hazine ve Maliye Bakanlığı düzenlemeleri olmak üzere ilgili diğer kurumların düzenlemelerine tabidir. 1.3. Mali Yapı “Özel Bütçeli İdare” olarak 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun, 5436 sayılı Kanun’un 12’nci maddesi ile değiştirilmiş (II) sayılı cetvelinin (A) bölümünde yer alan Kurum, Merkezi Yönetim Bütçe Kanunu ile verilen hazine yardımı ve öz gelirlerini kullanarak giderlerini finanse etmektedir. Kurumun 2019 yılı bütçesi 111.656.000,00 TL gelir ve 111.656.000,00 TL gider olarak hazırlanmıştır. 2019 yılı gelir gerçekleşmesi 133.324.429,61 TL olup, gelir bütçesi gerçekleşme oranı % 119’dur. 2019 yılı bütçesi eklenen ve düşülen ödeneklerle 158.681.580,50 TL’ye ulaşmış, ve bütçe gideri 137.089.578,63 TL olarak gerçekleşmiştir. Gider bütçesi gerçekleşme oranı % 86’dır. Kurumun 2019 yılı bütçe gelir ve giderleri, bütçe ödeneği ile gerçekleşme oranları aşağıda gösterildiği gibidir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 5 Tablo 3: 2019 Yılı Bütçe Ödenekleri ve Bütçe Gider Gerçekleşmeleri Tablosu Bütçe Giderinin Ekonomik Kodu Bütçe Tahmini (TL) Bütçe Ödeneği (TL) Gerçekleşme (TL) Gerçekleşme Oranı (%) 01-Personel Giderleri 77.926.000,00 84.234.113,25 83.957.195,82 99 02-Sosyal Güvenlik Kurumlarına Devlet Primi Giderleri 10.323.000,00 11.069.230,00 11.059.867,34 99 03-Mal ve Hizmet Alım Giderleri 7.130.000,00 12.327.488,25 10.934.883,43 89 04-Faiz Giderleri 0,00 0,00 0,00 - 05-Cari Transferler 2.277.000,00 2.344.050,00 1.903.064,71 81 06-Sermaye Giderleri 14.000.000,00 48.706.699,00 29.234.567,33 60 07-Sermaye Transferleri 0,00 0,00 0,00 - 08-Borç Verme 0,00 0,00 0,00 - 09-Yedek Ödenek 0,00 0,00 0,00 - TOPLAM 111.656.000,00 158.681.580,50 137.089.578,63 86 Tablo 4: 2019 Yılı Bütçe Gelir Tahminleri ve Bütçe Gelir Gerçekleşmeleri Tablosu Bütçe Gelirinin Ekonomik Kodu Bütçe Tahmini (TL) Gerçekleşme (TL) Gerçekleşme Oranı (%) 01-Vergi Gelirleri 0,00 0,00 - 03-Teşebbüs ve Mülkiyet Gelirleri 3.182.000,00 5.384.114,62 169 04-Alınan Bağış ve Yardımlar ile Özel Gelirler 107.421.000,00 123.971.150,00 115 05-Diğer Gelirler 1.053.000,00 3.969.164,99 377 06-Sermaye Gelirleri 0,00 0,00 - 08-Alacaklardan Tahsilat 0,00 0,00 - 09-Red ve İadeler (-) 0,00 0,00 - TOPLAM 111.656.000,00 133.324.429,61 119 Dönem faaliyet geliri 127.256.888,60 TL, faaliyet gideri ise 127.596.280,70 TL olan Üniversitenin, 2019 yılını 339.392,10 TL olumsuz faaliyet sonucu ile tamamladığı anlaşılmıştır. Kamu İdaresi bütçesi içinde yer almayan Üniversite Döner Sermaye İşletmesi 2019 yılını 518.501,51 TL dönem karı ile kapatmışken bir diğer bütçe dışı kaynak olan Sosyal Tesis İşletmesinin 2019 yılı karı ise 63.208,39 TL’dir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 6 1.4. Muhasebe ve Raporlama Sistemi 5018 sayılı Kanun’un 49’uncu maddesi gereğince genel yönetim kapsamındaki kamu idarelerinde uygulanacak muhasebe ve raporlama standartları, uluslararası standartlara uygun olarak Hazine ve Maliye Bakanlığı bünyesinde; Sayıştay Başkanlığı, Hazine ve Maliye Bakanlığı ve diğer ilgili kuruluş temsilcilerinin katılımıyla oluşturulacak olan Devlet Muhasebesi Standartları Kurulu tarafından belirlenmektedir. Dolayısıyla genel yönetim kapsamında olan üniversitelerin muhasebe ve raporlama standartları Kurul tarafından belirlenen kurallara tabidir. Kamu İdaresi ayrıca adı geçen Kanun’un 80’inci maddesinin Hazine ve Maliye Bakanlığına verdiği yetkiye istinaden Bakanlığın hazırladığı düzenlemelere tabi olup bu kapsamda çıkarılan Genel Yönetim Muhasebe Yönetmeliği’ndeki muhasebe ilkeleri ile hesap planını kullanmakta, mali tabloları hazırlamakta ve Merkezi Yönetim Muhasebe Yönetmeliği hükümlerine göre mali işlemlerini muhasebeleştirmektedir. “Kamu İdaresi Hesaplarının Sayıştaya Verilmesi ve Muhasebe Birimleri ile Muhasebe Yetkililerinin Bildirilmesi Hakkında Usul ve Esaslar”ın 5’inci maddesi gereğince hesap dönemi sonunda Sayıştaya gönderilmesi gereken defter, tablo ve belgelerden denetime sunulanlar aşağıda sayılmakta olup denetim bunlar ile Usul ve Esaslar’ın 8’inci maddesinde yer alan diğer belgeler dikkate alınarak yürütülüp sonuçlandırılmıştır.  Birleştirilmiş veriler defteri,  Geçici ve kesin mizan,  Bilanço,  Kasa sayım tutanağı,  Banka mevcudu tespit tutanağı,  Alınan çekler sayım tutanağı,  Menkul kıymet ve varlıklar sayım tutanağı,  Teminat mektupları sayım tutanağı,  Değerli kâğıtlar sayım tutanağı,  İdare taşınır mal yönetimi ayrıntılı hesap cetveli ile idare taşınır mal yönetimi hesabı icmal cetveli,  Bütçe giderleri ve ödenekler tablosu,

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 7  Bütçe gelirleri ekonomik sınıflandırılması tablosu,  Faaliyet sonuçları tablosu. Denetim görüşü, kamu idaresinin tabi olduğu geçerli finansal raporlama çerçevesi kapsamındaki temel mali tabloları olan bilanço ve faaliyet sonuçları tablosuna verilmiştir. 2. KAMU İDARESİNİN SORUMLULUĞU Denetlenen kamu idaresinin yönetimi, tabi olduğu muhasebe standart ve ilkelerine uygun olarak hazırlanmış olan mali rapor ve tabloların doğru ve güvenilir bilgi içerecek şekilde zamanında Sayıştaya sunulmasından, bir bütün olarak sunulan bu mali tabloların kamu idaresinin faaliyet ve işlemlerinin sonucunu tüm önemli yönleriyle doğru ve güvenilir olarak yansıtmasından ve ister hata isterse yolsuzluktan kaynaklansın bu mali rapor ve tabloların önemli hata veya yanlış beyanlar içermemesinden; kamu idaresinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğundan; mali yönetim ve iç kontrol sistemlerinin amacına uygun olarak oluşturulmasından, etkin olarak işletilmesinden ve izlenmesinden, mali tabloların dayanağını oluşturan bilgi ve belgelerin denetime hazır hale getirilmesinden ve sunulmasından sorumludur. 3. SAYIŞTAYIN SORUMLULUĞU Sayıştay, denetimlerinin sonucunda hazırladığı raporlarla denetlenen kamu idarelerinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek, mali rapor ve tablolarının güvenilirliğine ve doğruluğuna ilişkin görüş bildirmek, mali yönetim ve iç kontrol sistemlerini değerlendirmekle sorumludur. 4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI Denetimlerin dayanağı; 6085 sayılı Sayıştay Kanunu, uluslararası denetim standartları, Sayıştay ikincil mevzuatı ve denetim rehberleridir. Denetimler, kamu idaresinin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek ve mali rapor ve tablolarının kamu idaresinin tüm faaliyet ve işlemlerinin sonucunu doğru ve güvenilir olarak yansıttığına ilişkin makul güvence elde etmek ve mali yönetim ve iç kontrol sistemlerini değerlendirmek amacıyla yürütülmüştür.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 8 Kamu idaresinin mali tabloları ile bunları oluşturan hesap ve işlemlerinin doğruluğu, güvenilirliği ve uygunluğuna ilişkin denetim kanıtı elde etmek üzere yürütülen denetimler; uygun denetim prosedürleri ve tekniklerinin uygulanması ile risk değerlendirmesi yöntemiyle gerçekleştirilmiştir. Risk değerlendirmesi sırasında, uygulanacak denetim prosedürünün belirlenmesine esas olmak üzere, mali tabloların üretildiği mali yönetim ve iç kontrol sistemleri de değerlendirilmiştir. Denetimin kapsamını, kamu idaresinin mali rapor ve tabloları ile gelir, gider ve mallarına ilişkin tüm mali faaliyet, karar ve işlemleri ve bunlara ilişkin kayıt, defter, bilgi, belge ve verileri (elektronik olanlar dâhil) ile mali yönetim ve iç kontrol sistemleri oluşturmaktadır. Bu hususlarla ilgili denetim sonucunda denetim görüşü oluşturmak üzere yeterli ve uygun denetim kanıtı elde edilmiştir. 5. İÇ KONTROL SİSTEMİNİN DEĞERLENDİRİLMESİ İç kontrol sistemi, 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun Beşinci kısmında düzenlenmiştir. İç kontrol, idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünüdür. Görev ve yetkileri çerçevesinde, malî yönetim ve kontrol süreçlerine ilişkin standartlar ve yöntemler Hazine ve Maliye Bakanlığınca, iç denetime ilişkin standartlar ve yöntemler ise İç Denetim Koordinasyon Kurulu tarafından belirlenir, geliştirilir ve uyumlaştırılır. Bu kurumlar ayrıca, sistemlerin koordinasyonunu sağlar ve kamu idarelerine rehberlik hizmeti verir. 31.12.2005 tarihli ve 26040 (3. Mükerrer) sayılı Resmi Gazete’de yayımlanan İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esaslar’ın 5’inci maddesinde, iç kontrol standartlarının, merkezi uyumlaştırma görevi çerçevesinde Hazine ve Maliye Bakanlığı tarafından belirlenip yayımlanacağı, kamu idarelerinin, malî ve malî olmayan tüm işlemlerinde bu standartlara uymakla ve gereğini yerine getirmekle yükümlü bulunduğu, ayrıca Kanun’a ve iç kontrol standartlarına aykırı olmamak koşuluyla, idarelerce görev alanları çerçevesinde her

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 9 türlü yöntem, süreç ve özellikli işlemlere ilişkin standartlar belirlenebileceği belirtilmiştir. Hazine ve Maliye Bakanlığı tarafından hazırlanarak 26.12.2007 tarihli ve 26738 sayılı Resmi Gazete’de yayımlanan Kamu İç Kontrol Standartları Tebliği ile kamu idarelerinde iç kontrol sisteminin oluşturulması, uygulanması, izlenmesi ve geliştirilmesi amacıyla 18 standart ve bu standartlar için gerekli 79 genel şart belirlenmiştir. 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu ve ilgili diğer mevzuat uyarınca, Kurum tarafından Kamu İç Kontrol Sisteminin oluşturulması, uygulanması, izlenmesi ve geliştirilmesi çalışmaları yürütülmüştir. Kurumun iç kontrol sistemlerinin değerlendirilmesi sonucunda tespit edilen hususlar şunlardır: Kurumda 3 adet iç denetçi kadrosu bulunmakta olup atama yapılmamıştır. Kamu Görevlileri Etik Davranış İlkeleri ile Başvuru Usul ve Esasları Hakkında Yönetmeliğin Ek 1’inde yer alan “Etik Sözleşmesini” Kurumda çalışan tüm personel tarafından imzalanmış ve bu sözleşmeler personelin özlük dosyasında yer almaktadır. Kurum organizasyon yapısı içerisinde görev, yetki ve sorumluluklar açık bir şekilde belirlenmiştir. Üniversitede yetkiler 2008/1 sayılı İmza Yetkileri Genelgesi çerçevesinde yürütülmektedir. Bu genelgede hangi yöneticinin hangi belgeleri imzalayacağı tanımlanmış, ancak yetki devri yapılan alanlar ve devrin sınırları tanımlanmamıştır. İmza yetkileri ve yetki devrine ilişkin “Karamanoğlu Mehmetbey Üniversitesi İmza Yetkisi ve Yetki Devri Yönergesi” taslağı hazırlanmış ancak henüz yayınlanmamıştır. Üniversitenin yetki devri ile ilgili düzenlemelerinin yeterli olmadığı gözlenmiştir. Stratejik Plan, ilgili birimlerden temsilcilerin katılımı ile düzenlenen toplantılar ve karşılıklı veri akışı ile birlikte mevzuata uygun olarak hazırlanmıştır. İdarenin yürüteceği program, faaliyet ve projeleri ile bunların kaynak ihtiyacını, performans hedef ve göstergelerini içeren performans programı hazırlanmıştır. İdare, bütçesini stratejik plan ve performans programına uygun olarak hazırlamıştır.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 10 Kurumda halihazırda risk değerlendirmesi yapılmamaktadır. Kurumsal risklere ilişkin etki ve olasılık değerlendirmesi yapılmamış, risk iştahı ve kontrol faaliyetleri belirlenmemiştir. Ancak, kalite çalışmaları kapsamında Risk ve Fırsat Analiz Prosedürü belirlenmiştir. Prosedür doğrultusunda birimler kendilerine ilişkin süreç risklerini ortaya koymuştur. Süreç risklerine ilişkin etki ve olasılık değerlendirmesi yapılmakta, ardından alınması gereken önlemler belirlenmektedir. Risk yönetimine ilişkin Yönetim Bilgi Sisteminde sistematik bir yazılım yapılmış olup yeni eylem planı ile birlikte bu sistem üzerinden işlemlerin yürütülmesine geçilmesinin hedeflendiği görülmüştür. Ön mali kontrol sistemi, İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esaslara uygun olarak kurulmuştur. İlgili mevzuat çerçevesinde, harcama yetkilisi ve muhasebe yetkilisi görevleri ayrı kişilere verilmiştir. Ön mali kontrol görevini yürüten kişiler, yasaklanan görevlerde görevlendirilmemiştir. Ön mali kontrol görevini yürüten kişiler ihale, muayene ve kabul komisyonlarında görevlendirilmemiştir. Kurumun tüm birimlerinde yapılan işlerin iş tanımları yapılmış ve bu işlerin iş akış şemaları çıkarılmıştır. Yönetimin ihtiyaç duyduğu gerekli bilgileri ve raporları üreten ve analiz yapma imkânı sunan bilgisayar destekli bir Yönetim Bilgi Sistemi mevcuttur. Kurumsal faaliyet ve sürece ilişkin verileri toplamak, analiz etmek ve raporlamak üzere Üniversite tarafından geliştirilen çeşitli yazılımlar ile dış kaynaklardan temin edilerek destek verilen yazılımlar kullanılmaktadır. Ayrıca bu faaliyetlerin daha detaylı şekilde yapılabileceği modüller (stratejik yönetim, süreç yönetimi, iç kontrol faaliyetleri, performans yönetimi ve risk yönetimi vb. faaliyetleri) Yönetim Bilgi Sisteminin yazılımı adı altında Üniversite Bilgi İşlem Daire Başkanlığı ve Strateji Geliştirme Daire Başkanlığı tarafından geliştirilmiş ve kullanıma açılmıştır. İdare Faaliyet Raporunda amaç ve hedeflere, faaliyetlere ve faaliyet sonuçlarına, göstergelere ve değerlendirmelere yer verilmiştir. İç Kontrol İzleme ve Yönlendirme Kurulu, Üniversite Yönetim Kurulunun 06.11.2019 tarihli Rektörlük Makamı onayıyla görevlendirilmiştir. Ancak; ilgili kurulun iç kontrol sisteminin değerlendirilmesi konusunda herhangi bir faaliyeti olmamıştır. İç Kontrol Standartlarına Uyum Eylem Planı Kamu İç Kontrol Standartları Tebliği'ndeki standart ve genel şartlara uygun olarak hazırlanmıştır. Eylem planında yer alan eylemler döner sermaye işletmesi dâhil tüm birimleri kapsamaktadır.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 11 Kurumların faaliyetlerinin büyük ölçüde bilişim sistemleri desteğiyle yürütülmesi sebebiyle günümüzde iç kontrollerin önemli bir kısmının bilişim ortamında oluşturulması gerekmektedir. Ancak, Kuruma ait bilişim sistemleri bünyesinde kurulması gereken iç kontrollerle ilgili önemli eksikler tespit edilmiştir. Bu hususlara raporun bulguları arasında yer verilmiştir. Sonuç olarak; Kurumsal Risk Yönetim çalışmalarının tamamlanması, İç denetim biriminin kurulması, İç Kontrol İzleme ve Yönlendirme Kurulunun iç kontrol sisteminin değerlendirilmesine yönelik faaliyette bulunması ve bilişim sistemlerine ait kontrollerin yeniden yapılandırılması ile etkin çalışan ve güvence sağlayan bir iç kontrol yapısına ulaşılmış olacaktır. 6. DENETİM GÖRÜŞÜ Karamanoğlu Mehmetbey Üniversitesi 2019 yılına ilişkin yukarıda belirtilen ve ekte yer alan, geçerli finansal raporlama çerçevesi kapsamındaki mali rapor ve tablolarının tüm önemli yönleriyle doğru ve güvenilir bilgi içerdiği kanaatine varılmıştır. 7. DENETİM BULGULARI Raporda yer alan bulgular, denetimler sonucunda tespit edilen hususlara kamu idaresi tarafından verilen cevapların değerlendirilmesi suretiyle düzenlenmiştir. A. DENETİM GÖRÜŞÜNÜN DAYANAKLARI Herhangi bir denetim bulgusu tespit edilmemiştir. B. DENETİM GÖRÜŞÜNÜ ETKİLEMEYEN TESPİT VE DEĞERLENDİRMELER BULGU 1: Banka Hesabının Haczedilmesi Kurumdan alacağı olan bir firmanın açtığı dava sonucunda Üniversitenin banka hesabından haciz yoluyla tahsilat yapıldığı görülmüştür. 2004 sayılı İcra ve İflas Kanunu'nun "Haczi caiz olmıyan mallar ve haklar" başlıklı 82'nci maddesinde şu hükümler yer almaktadır:

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 12 "Aşağıdaki şeyler haczolunamaz:

1. Devlet malları ile mahsus kanunlarında haczi caiz olmadığı gösterilen mallar (…) İcra memuru, haczi talep edilen mal veya hakların haczinin caiz olup olmadığını değerlendirir ve talebin kabulüne veya reddine karar verir." 6183 sayılı Amme Alacaklarının Tahsil Usulü Hakkında Kanun'un "Kanunun şümulü" başlıklı 1'inci maddesi şu şekildedir: "Devlete, vilayet hususi idarelerine ve belediyelere ait vergi, resim, harç, ceza tahkik ve takiplerine ait muhakeme masrafı, vergi cezası, para cezası gibi asli, gecikme zammı, faiz gibi fer'i amme alacakları ve aynı idarelerin akitten, haksız fiil ve haksız iktisaptan doğanlar dışında kalan ve amme hizmetleri tatbikatından mütevellit olan diğer alacakları ile; bunların takip masrafları hakkında bu kanun hükümleri tatbik olunur." Aynı kanunun "Haczedilemiyecek mallar" başlıklı 70'inci maddesinde şu hükümlere yer verilmiştir: "Aşağıda gösterilen mallar haczedilemez:
2. 233 sayılı Kamu İktisadi Teşebbüsleri Hakkında Kanun Hükmünde Kararname hükümlerine tabi iktisadi devlet teşekkülleri, kamu iktisadi kuruluşları, bunların müesseseleri, bağlı ortaklıkları, iştirakleri ve mahalli idarelerin malları hariç olmak üzere Devlet malları ile hususi kanunlarında haczi caiz olmadığı gösterilen mallar." Yapılan incelemede, Üniversitenin Sağlık Bilimleri Fakültesi inşaatıyla ilgili olarak yüklenici firma ile alt yüklenici arasında çıkan anlaşmazlığın yargı yoluna taşındığı, açılan davada Kurumun taraf olarak gösterildiği görülmüştür. Ancak, söz konusu davaya Kurumun müdahil olmadığı ve aleyhte çıkan dava sonucuna ilişkin tebligatın takibinin Kurum bünyesinde aksaması sebebiyle yasal süresi içinde karara itiraz edilmediği belirlenmiştir. İtiraz olmaması sebebiyle icra takibi kesinleştirilmiş ve 19.11.2019 tarihli haciz işlemi ile Üniversite'nin Ziraat Bankası Karaman Şubesi nezdindeki hesaplarından 21.304,65 TL haczedilerek tahsil edilmiştir. Tahsilatı takiben Kurum, söz konusu haciz işlemine karşı yargı yoluna başvurmuştur. Karamanoğlu Mehmetbey Üniversitesi Rektörlüğü, 2809 sayılı Yükseköğretim Kurumları Teşkilatı Kanunu'nun Ek 77'nci maddesi ile kurulmuş bir Devlet Kuruluşudur. 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu'nda özel bütçeli kuruluş olarak tanımlanmış

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 13 olup, ödemeleri söz konusu kanunda öngörülen formalitelere bağlıdır. Öz sermayesi devletçe temin edilen, ödenekleri Merkezi Bütçe Kanunları ile tahsis edilen Kurum, sağladığı ekonomik ve sosyal yararlar dolayısıyla kamunun yararlandığı bir kuruluş niteliğindedir. Mahkeme ilamının icrası kastıyla olsa dahi, bir kamu kuruluşunun mallarının haczedilmesi mevzuata uygun olmayıp; gerekli hukuki takibatların eksiksiz ve zamanında yapılması önem arz etmekte, sorumlu birim ve/veya görevlilerin davaların takibi konusunda özenli davranması ve idarece gerekli tedbirlerin alınması gerekmektedir. BULGU 2: Kiraya Verilen Hazine Taşınmazlarından Isınma Bedeli Alınmaması Kurum tarafından kiraya verilen taşınmazlardan ısınma bedeli tahsil edilmediği görülmüştür. 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun “Hesap Verme Sorumluluğu” başlıklı 8'inci maddesinde; “Her türlü kamu kaynağının elde edilmesi ve kullanılmasında görevli ve yetkili olanlar, kaynakların etkili, ekonomik, verimli ve hukuka uygun olarak elde edilmesinden, kullanılmasından, muhasebeleştirilmesinden, raporlanmasından ve kötüye kullanılmaması için gerekli önlemlerin alınmasından sorumludur ve yetkili kılınmış mercilere hesap vermek zorundadır.”, “Üst Yönetici” başlıklı 11’inci maddesinde “(…) Üst yöneticiler, ... sorumlulukları altındaki kaynakların etkili, ekonomik ve verimli şekilde elde edilmesi ve kullanımını sağlamaktan, kayıp ve kötüye kullanımının önlenmesinden, ... sorumludurlar. Üst yöneticiler, bu sorumluluğun gereklerini harcama yetkilileri, malî hizmetler birimi ve iç denetçiler aracılığıyla yerine getirirler.”, hükümleri getirilmiş, “Malî hizmetler birimi” başlıklı 60'ıncı maddesinin (e) bendinde ise; “İlgili mevzuatı çerçevesinde idare gelirlerini tahakkuk ettirmek, gelir ve alacaklarının takip ve tahsil işlemlerini yürütmek”, malî hizmetler biriminin görevleri arasında sayılmıştır.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 14 6098 sayılı Türk Borçlar Kanununun "Uygulama alanı" başlıklı 339'uncu maddesinde, Kamu kurum ve kuruluşlarının, hangi usul ve esaslar içinde olursa olsun yaptıkları bütün kira sözleşmelerinde bu kanunun konut ve çatılı işyeri kiralarına ilişkin hükümlerin uygulanacağı belirtilmiştir. Aynı Kanun'un "Kullanım giderleri" başlığını taşıyan 341'inci maddesi şu şekildedir: "Kiracı, konut ve çatılı işyeri kiralarında, sözleşmede aksi öngörülmemişse veya aksine yerel âdet yoksa ısıtma, aydınlatma ve su gibi kullanma giderlerine katlanmakla yükümlüdür. Giderlere katlanan taraf, bu giderleri ispat edici belgelerin birer örneğini, istem üzerine diğer tarafa vermek zorundadır." Hazine taşınmazlarının kiralanmasıyla ilgili hükümler, Devlet İhale Kanunu'nun “Tarihi ve bedii değeri olmayan taşınmaz mallarla ilgili işlemler” başlıklı 74'üncü maddesine dayanılarak çıkarılan Hazine Taşınmazlarının İdaresi Hakkında Yönetmelik ile düzenlenmiştir. Bu yönetmeliğin 70'inci maddenin 2'nci bendinde şu hükme yer verilmiştir: "Bu yerlerin elektrik, su, doğalgaz, ısınma tesisatı mümkünse binanın genel tesisatından ayrılır. Tesisatın teknik bakımdan müstakil hâle getirilmesinin mümkün olmaması hâlinde, tahmin edilen bedelin tespit ve takdirinde elektrik, su, doğalgaz ve ısınma giderleri de ayrıca belirlenir." Borçlar Kanunu ile yapılan düzenlemelerde, sözleşmelerde aksine bir hüküm bulunmadığı veya yerel adet olmadığı durumda ısıtma, aydınlatma ve su gibi kullanma giderlerine kiracının katlanacağı açık şekilde ifade edilmiştir. Yani, kira sözleşmelerinde ısınma bedelinden bahsedilmemesi durumunda da bu bedel kiracı tarafından ödenecektir. Isınma bedelinin ödenmemesi için, bu bedelin ödenmeyeceğinin veya kiralayan tarafından karşılanacağının sözleşmede açık bir şekilde ifade edilmesi gerekmektedir. Hazine Taşınmazlarının İdaresi Hakkında Yönetmelik'te de kiraya verilen yerlerin bedeli ile ilgili iki seçenek bulunmaktadır: ya ısınma tesisatları müstakil hale getirilecektir, ya da ısınma giderlerine tahmin edilen bedelin içinde yer verilecektir. Isınma gideri, birinci şartın gerçekleşmesi durumunda kiracıdan ayrıca tahsil edilecek, ikinci şartın gerçekleşmesi durumunda da kira bedelinin bir parçası olarak tahsil edilecektir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 15 Söz konusu mevzuatın bir arada değerlendirilmesi sonucunda, Kurum tarafından kiraya verilen taşınmazların aydınlatma, su ve ısınma gibi kullanım giderlerinin, sözleşmelerde aksine açık hüküm bulunmadıkça kiracı tarafından ödeneceği görülmektedir. Kurumda yapılan incelemede, kira sözleşmelerinin bir kısmında ısınma bedeli ile ilgili hükümlere yer verilmediği, bir kısmında ise sözleşmede hüküm yer almasına rağmen ısınma bedeli tahsilatında eksikler bulunduğu tespit edilmiştir. Isınma giderlerinin kiracı tarafından ödenmeyeceğine dair açık bir hükme hiçbir sözleşmede yer verilmemiştir. Yukarıda değinilen mevzuat hükümleri çerçevesinde, ısınma bedelinin, ya tesisatların ayrılması suretiyle hesaplanarak kiracılardan tahsil edilmesi, ya da tahmin edilen bedelin içine eklenerek kira bedeli ile birlikte alınması gerekmektedir. İki usulün de uygulanmaması suretiyle kiralanan mekânların ısınma bedellerinin Kurum tarafından karşılanması mevzuata aykırıdır. Kamu kaynaklarının etkili, ekonomik ve verimli bir şekilde kullanımını sağlamak amacıyla kurum tarafından kiraya verilen taşınmazların ısınma bedellerinin tahsil ve takip işlemlerinin ilgili mevzuat hükümlerine uygun şekilde yürütülmesi, eksik tahsil edilen ısınma bedellerinin tahsilatının tamamlanması gerekmektedir. BULGU 3: Taşınmazların Cins Tashihi İşlemlerinin Tamamlanmaması Kuruma ait bazı taşınmazların mevcut durumunun tapu kayıtlarıyla uyumlu olmadığı, dolayısıyla cins tashihi işlemlerinin tamamlanmadığı görülmüştür. Kurum ve kuruluşların mülkiyetinde, yönetiminde veya kullanımında bulunan taşınmazların kaydına ve icmal cetvellerinin düzenlenmesine ilişkin usul ve esaslar, Kamu İdarelerine Ait Taşınmazların Kaydına İlişkin Yönetmelik ile düzenlenmiştir. Bu Yönetmelik’in "Tanımlar" başlıklı 4’üncü maddesinin b bendinde; binalar, arazi ve arsalar ile yer altı ve yer üstü düzenlerinin mevcut kullanım şekilleri ile tapu kayıtlarının farklılık göstermesi durumunda tapu kayıtlarının mevcut kullanım şekli dikkate alınarak düzeltilmesi işleminin cins tashihi olarak adlandırıldığı belirtilmiştir. Söz konusu yönetmeliğin “Cins tashihlerinin yapılması” başlıklı 10’uncu maddesinin 1’inci bendinde, kamu idarelerinin mülkiyet, yönetim veya kullanımlarında bulunan taşınmazların mevcut kullanım şekli ile tapu kayıtlarının birbirine uygun olmaması durumunda, taşınmazların mevcut kullanım şekli ile kayıtlara alınacağı ve kamu idarelerinin, taşınmazlarının cins tashihinin yapılması için gerekli işlemleri yapacakları belirtilmiştir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 16 Yine aynı maddede cins tashihinin, taşınmazın maliki durumunda olan kurumlar tarafından kullanıcı konumunda olan kurumların yazısı üzerine yapılacağı; taşınmazın bizzat malik kurum tarafından kullanılması durumunda ise, bu kurum tarafından tüm işlemlerin yerine getirileceği, hüküm altına alınmıştır. Aynı Yönetmelik’in “Kayıt değişikliği işlemleri” başlıklı 11’inci maddesinde ise kayıt değişikliği işlemlerinin nasıl yapılacağı maddeler halinde açıklanmıştır. Ancak uygulamada, Üniversite yerleşkesi içerisinde ve ilçelerde yer alan ve üzerine bina yapılmış olan bazı taşınmazların mevcut durumunun tapu kayıtlarında halen tarla veya arsa olarak gösterildiği, dolayısıyla tapu kayıtlarının fiili durumu yansıtmadığı tespit edilmiştir. Kurumun kullanımında ve yönetiminde bulunan taşınmazların cins tashihi işlemlerinin ilgili mevzuat hükümleri çerçevesinde tamamlanması gerekmektedir. BULGU 4: Kişisel Verilerin Korunması Kanunu’nun Gereklerini Yerine Getirecek Kurumsal Altyapının Oluşturulmaması Kurum’un, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na uyum göstermek için kapsamlı bir çalışma yürüttüğü, ancak altyapı niteliğinde olan beş hususta yetersizlikler olduğu tespit edilmiştir. a. Kişisel Verilere Kimlerin Erişim Sağlamaya Yetkili Olduğunun Belirlenmemesi 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde kişisel verilere erişim ve işleme yetkisini haiz olacak “Veri İşleyenlerin” henüz belirlenmediği ve ilgili iş süreçlerinin tanımlanmadığı görülmüştür. Kişisel Verilerin Korunması Kanunu’nun “Tanımlar” başlıklı 3'üncü maddesinde kişisel verilerle ilgili sorumlu kişiler şu şekilde tanımlanmıştır: "Bu Kanunun uygulanmasında; (…) ğ) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi, (…) ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 17 ifade eder" Yürütülen çalışmalar kapsamında; Rektör Yardımcısının veri sorumlusu olarak görevlendirildiği, ancak veri işleyenlerin henüz görevlendirilmediği görülmüştür. Kanun’a uyum çalışmanın ilk aşaması olması gereken, Kuruma ait bilişim sistemlerinde yer alan kişisel verilere halihazırda hangi personelin erişim sağladığı da henüz tespit edilmemiştir. İlgili mevzuata uyumun sağlanabilmesi amacıyla;  Kurum’da kişisel veri işlemekle ilgili yetkilendirme, yetkiyi kaldırma ve yetki kullanımını izleme süreçlerinin belirlenmesi,  Kişisel verilere halihazırda erişim sağlayan personelin belirlenmesi,  Bu personelin Veri İşleyen olarak görevlendirilmesi veya kişisel verilere erişim yetkilerinin kaldırılması, gerekmektedir. b. Kişisel Veri Envanterinin ve İlgili İş Süreçlerinin Oluşturulmaması 2016 yılında kabul edilen Kişisel Verilerin Korunması Kanunu’na uyum için öngörülen iki yıllık süre dolmasına rağmen, kişisel veri envanterinin oluşturulmadığı; Kurum bünyesinde tutulması gereken kişisel verilerin ve bu verilerin işlenmesine ilişkin kurumsal süreçlerin henüz belirlenmediği görülmüştür. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4'üncü maddenin 1'inci bendi "Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir." hükmünü getirmiştir. Kanun’un 5’inci maddesi kişisel verilerin işlenme şartlarını, 6’ncı maddesi özel nitelikli kişisel verilerin işlenme şartlarını, 7’nci maddesi kişisel verilerin aktarılmasını, 9’uncu maddesi de kişisel verilerin yurt dışına aktarılmasını düzenlemektedir. Bu maddelerde yer alan hükümlerin tatbik edilebilmesi, kişisel verilerin envanterinin çıkarılmasına bağlıdır. Kurumlar, öncelikle ellerinde hangi kişisel veriler olduğunu belirlemeli, bunun ardından bu verilerin işlenme, aktarım, muhafaza ve silinmesine ilişkin süreçleri yürütmelidir. Söz konusu kanuna dayalı olarak çıkarılan ve 01/01/2018 tarihinde yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmelik’in “Tanımlar” başlıklı 4’üncü maddesinin (h) bendinde “kişisel veri işleme envanteri” şu şekilde tanımlanmaktadır:

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 18 “Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,” İlgili Yönetmelik’in “İlke, usul ve esaslar” başlıklı 5’inci maddesinin (ç) bendinde şu hükme yer verilmiştir: “Sicile kayıtla yükümlü olan veri sorumluları, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır.” Söz konusu envanter hazırlama yükümlülüğü, veri sorumlularının sicile kayıt olmalarından önce, 6698 sayılı Kanun’da öngörülen iki yıllık süre içinde tamamlanması gereken bir yükümlülüktür. Ancak yapılan incelemelerde kişisel veri envanterinin oluşturulmadığı, bu çerçevede aşağıda belirtilen hususların yerine getirilmediği tespit edilmiştir:  Kurum bilişim sistemlerinde halihazırda tutulan kişisel verilerin neler olduğu, bu verilerin ne zaman ve kimlerden toplandığı, ne şekilde kullanıldığı ve depolandığı belirlenmemiştir,  Kurumda tutulması gereken kişisel verilerin neler olduğu ve halihazırda tutulan verilerden silinmesi gerekenler olup olmadığı belirlenmemiştir,  Kişisel verileri işleme amaçları ve hukuki sebepleri tanımlanmamıştır,  Kişisel verilerin muhafaza süreleri belirlenmemiştir,  Kişisel verilerin güvenliğine ilişkin alınması gereken önlemler belirlenmemiştir,  Kişisel verilerin Kurum dışına ve yurt dışına aktarılması koşulları tanımlanmamıştır,  Kişilerin rızasının alınma ve bilgilendirme yöntemleri tanımlanmamıştır,  Yukarıdaki hususlara ilişkin kurumsal süreçler belirlenmemiştir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 19  Kurum bünyesinde kişisel verileri ve ilgili süreçleri yönetecek altyapı kurulmamıştır. İlgili mevzuata uyumun sağlanabilmesi amacıyla, kişisel veri envanterinin ve ilgili süreçlerin ivedilikle oluşturulması ve bu hususlara ilişkin gerekli iç düzenlemelerin yapılması gerekmektedir. c. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi İşlemlerinin Yapılmaması Kurumda, kişisel verilerin işlenmesine ilişkin şartlar ortadan kalkmasına rağmen kişisel verilerin veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hale getirilmesi işlemlerinin yapılmadığı görülmüştür. Kişisel Verilerin Korunması Kanunu’nun “Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi” başlıklı 7’nci maddesinde şu hükümlere yer verilmiştir: “(1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. (2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır. (3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.” Söz konusu Kanun hükmü çerçevesinde çıkarılan ve 01/01/2018 tarihinde yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 1’inci maddesine göre; “Bu Yönetmeliğin amacı, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.” Yönetmeliğin “Kişisel veri saklama ve imha politikasına ilişkin esaslar” başlıklı 5’inci maddesi ile Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlü

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 20 tutulmuşlardır. Yönetmeliğin 6’ncı maddesinde bu politikanın içeriğinde yer alması gereken asgari hususlar tespit edilmiştir. Yönetmeliğin diğer hükümlerinde kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi işlemleri tanımlanmış ve bu işlemler için zorunlu süreler belirlenmiştir. Kurumda yapılan incelemede, verilerin silinmesine yönelik süreç ve kuralların berilenmesi çalışmalarının başlatılmış olduğu, bu kapsamda çeşitli politika belgelerinin hazırlandığı, ancak henüz uygulamaya geçirilmediği görülmüştür. Kişisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine ilişkin süreç ve kuralların ivedilikle belirlenmesi ve uygulamaya geçilmesi gerekmektedir. ç. Kişisel Verilere İlişkin Olarak Tutulan Erişim Kayıtlarının ve Bu Kayıtların Korunması İçin Alınan Önlemlerin Yetersiz Olması Kurumda, bilişim ortamında kişisel verilere erişime ilişkin olarak tutulması gereken kayıtların (logların) tanımlanmadığı, mevcut kayıtların kanuni yükümlülüklerin yerine getirilmesi için yeterli olmadığı ve tutulan kayıtların bütünlüğünün korunması için alınan önlemlerin yetersiz olduğu görülmüştür. Kişisel Verilerin Korunması Kanunu’nun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12’nci maddesinde şu hükümler yer almaktadır: “(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır (…) (3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.” Söz konusu kanun maddesi, veri sorumlusuna kişisel verilerin ne tür işlemlere tabi tutulduğunun kapsamlı şekilde izlenmesi yükümlülüğünü getirmektedir. Bu izlemenin yapılabilmesi için, kişisel verileri işlemek veya depolamak için kullanılan bilgisayar programları tarafından oluşturulan erişim kayıtları (loglar) temel bilgi kaynağı konumundadır.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 21 Bu kayıtlar, kişisel verilere kimin, hangi uygulamadan ve ne zaman eriştiğini gösteren kayıtlardır. Veri Sorumluları Sicili Hakkında Yönetmelik’in “Tanımlar” başlıklı 4’üncü maddesinin (h) bendinde tanımlanan “kişisel veri işleme envanteri”nin sağlıklı bir şekilde çalışabilmesi de erişim kayıtlarının düzenli bir şekilde tutulmasına, güvenli bir ortamda ve erişilebilir bir formatta saklanmasına bağlıdır. Kişisel verilerle ilgili altyapının sağlıklı şekilde çalışması, bu verilere erişime ilişkin kayıtların bütünlüğünün korunması, yani kayıtların değiştirilemeyecek şekilde saklanması ön şartına bağlıdır. Kurulan altyapının, erişim kayıtlarının değiştirilmesine izin vermemesi gereklidir. Bu, kritik erişim kayıtlarının saklanmasında, 5070 sayılı Elektronik İmza Kanunun 3'üncü maddesinde tanımlanan ve bir elektronik verinin, üretildiği, değiştirildiği, gönderildiği, alındığı ve/veya kaydedildiği zamanı gösteren Zaman Damgasının veya aynı seviyede güvence veren bir yöntemin kullanılması ile sağlanabilmektedir. Bu çerçevede Kurum’da yürütülen çalışmalar kapsamında şu hususlar tespit edilmiştir:  Kişisel verilerin işlenmesinin izlenmesine ilişkin gözetim ve denetim süreçleri tanımlanmamıştır.  Yazılımlar tarafından tutulan/yönetilen/erişilen kişisel veriler kategorize edilmemiş; hangilerinin kritik nitelikte olduğu belirlenmemiştir,  Kritik nitelikteki kişisel verilere erişimi izlemek için yazılımlar tarafından tutulması gereken erişim kayıtları belirlenmemiştir,  Halihazırda yazılımlar tarafından tutulmakta olan kişisel verilere erişim kayıtlarının değiştirilmesini önlemek için yeterli önlem alınmamıştır. Kişisel verilerin korunmasıyla ilgili mevzuata uyum sağlanabilmesi amacıyla, kişisel verilerin bilişim ortamında ne tür işlemlere tabi tutulduğunun izlenmesi için gerekli gözetim ve denetim süreçlerinin tanımlanması, kişisel verilere erişim kayıtlarının tutulması ve bu kayıtların bütünlüğünü güvence altına alacak kontrol mekanizmalarının ihdas edilmesi gerekmektedir. d. Kişisel Verileri İşleyen Yüklenicilerle İmzalanan Sözleşme Hükümlerinin Yetersiz Olması

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 22 Kurumda hizmet alımı yöntemiyle yürütülen bilişim hizmetleri çerçevesinde yüklenicilerle yapılan sözleşmelerin, Kişisel Verilerin Korunması Kanunu’nun gereklerinin yerine getirilmesi açısından yetersiz kaldığı tespit edilmiştir. Kişisel Verilerin Korunması Kanunu’nun “Tanımlar” başlıklı 3’üncü maddesinde şu tanımlara yer verilmiştir: “(…) ğ) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi, h) Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini, (…) ifade eder.” Söz konusu Kanun’un “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12. maddesi şu şekildedir; “(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır (2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. (3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır (…)” Kurumun öğrenci ve personel bilgi sistemleri ile ilgili hizmetlerinin, hizmet alımı yöntemiyle yükleniciler tarafından yerine getirildiği görülmüştür. Yürütülen işlerin niteliği gereği bu sistemlerde önemli miktarda kişisel veri bulunmaktadır. Yüklenici, kendi personeli

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 23 aracılığıyla, kişisel verilerin tutulduğu veri tabanını yönetmekte ve kişisel verilere erişebilmektedir. Dolayısıyla yüklenici 6648 sayılı Kanun’da tanımlanan “veri işleyen” konumunda bulunmaktadır. Kanun’un 12’nci maddesinde kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde sorumluluğun müşterek olduğu açıkça belirtilmiştir. İlgili maddede veri sorumlusunun veri işleyenler üzerindeki denetim yetkisi de tanımlanmıştır. Bu durumda, kişisel verilerin yönetilmesi bakımından bir veri işleyen olarak yüklenicinin sorumluluklarının ve denetim gibi Kanun’un zorunlu kıldığı süreçlerin nasıl yürütüleceğinin taraflar arasında yapılan sözleşmeler çerçevesinde tanzim edilmesi gereklidir. Ancak, Kurum tarafından imzalanan sözleşmelerde 6648 sayılı Kanun ve ilgili alt düzenlemelerde aranan birçok hususun eksik bırakıldığı tespit edilmiştir. Bu hususların eksikliği, kişisel verilerin işlenmesi süreçlerinde mevzuata aykırılıklara ve önemli risklerin açığa çıkmasına sebep olmaktadır. Tespit edilen önemli hususlar şunlardır:  İlgili yazılımlar tarafından hangi kişisel verilerin işleneceği sözleşmelerde açıkça tanımlanmamıştır. Sonradan ortaya çıkan haller çerçevesinde kaydedilmesi gerekebilecek kişisel verilerin tanımlanması ve yükleniciye bildirilmesine ilişkin süreç belirlenmemiştir. (6648, madde 5),  Yazılımlar tarafından işlenen kişisel verilere ilişkin aydınlatma yükümlülüğünün ve açık rızanın alınması süreçlerinin Kurum gözetiminde ilgili yazılımlar tarafından yürütülmesi temin edilmemiştir (madde 5 ve 10),  Özel nitelikli kişisel verilerin ilgili yazılımlar tarafından hiçbir şekilde kaydedilmemesi güvence altına alınmamıştır (madde 6),  Kişisel verilerin Kurum tarafından belirlenecek koşullar çerçevesinde yüklenici tarafından silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin süreçler tanımlanmamıştır (madde 7),  Kişisel verilerin, ilgili kişilerin ve Kurum’un açık izni alınmadan Kurum dışına veya yurt dışına aktarılması kısıtlanmamıştır (madde 8 ve 9),  İlgili kişilerin kişisel verilerine ilişkin taleplerinin yerine getirilme süreçleri ve süreleri tanımlanmamıştır (madde 11),

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 24  İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde işletilecek süreçler tanımlanmamıştır (madde 12),  Veri güvenliğine ilişkin teknik ve idari şartlar tanımlanmamıştır (madde 12),  Kurum’un, veri güvenliğine ve kişisel verilerin işlenmesine ilişkin olarak, kendi uygun göreceği vakitte bizzat kendi elemanları veya görevlendireceği kişiler aracılığıyla denetim ve gözetim yetkisine sahip olduğu belirtilmemiştir (madde 12),  Kişisel verilere ilişkin genel hükümlerin ihlal edilmesi veya yüklenicinin ihmali dolayısıyla Kurum’un veya Kurum çalışanlarının bir cezai müeyyide ile karşılaşması durumunda yükleniciye uygulanacak müeyyideler tanımlanmamıştır (madde 17 ve 18).  Kişisel verilere ilişkin olarak sözleşmelerde yer verilecek hükümlerin ihlalinin Kurum tarafından sözleşmenin askıya alınması veya feshedilmesi sebeplerinden biri olacağı belirtilmemiştir.  Hizmet akdinin sona ermesi veya sözleşmenin feshedilmesi durumunda kişisel verilerin yok edilmesi yükümlülüğünün nasıl yerine getirileceği ve buna ilişkin süreçler tanımlanmamıştır. Hizmet alımı yöntemiyle yürütülen işlerde kişisel verilerin mevzuata uygun şekilde işlenmesine özel önem verilmelidir. Bu amaçla, kişisel verilerin kullanımıyla ilgisi olan yürürlükteki tüm sözleşmelerin gözden geçirilmesi, mevzuata uygun olacak şekilde tadil edilmesi ve yeni sözleşmelerin yapılmasında yukarıda belirtilen hususlara dikkat edilmesi gerekmektedir. Sonuç olarak; Kurum’da Kişisel Verilerin Korunması Kanunu’na uyum amacıyla yürütülen çalışmaların amacına ulaşabilmesi için, veri envanterinin oluşturulması, ilgili iş süreçlerinin yetkilendirme, güvenlik ve gözetime ilişkin kontrolleri içerecek şekilde ihdas edilmesi ve yükleniciler tarafından yürütülen çalışmaların mevzuata uygunluğunun sağlanması gerekmektedir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 25 BULGU 5: Lisansı Olmayan Yazılımların Kullanılmasının Engellenmemesi Kurum bilgisayarlarında, kullanıcılar tarafından indirilerek yüklenmiş olan çok sayıda lisanssız program kullanıldığı, mevzuata aykırı olan bu durumun bilişim sistemlerini saldırıya açık hale getirdiği belirlenmiştir. Fikir ve sanat eserleri üzerinde sahiplerinin mali ve manevi menfaatleri, 5846 sayılı Fikir ve Sanat Eserleri Kanunu dairesinde himaye görmektedir. Söz konusu Kanun'un 2'nci maddesi ile bilgisayar programları korumaya tabi ilim ve edebiyat eserleri arasında sayılmıştır. Kanun, lisanslı yazılımlar (bilgisayar programları) üzerindeki mali haklarla bu hakların ihlali halinde uygulanacak müeyyideleri de belirlemektedir. Söz konusu Kanun'la, belirli bir lisansı olan ücretli yazılımların lisanssız kopyalarının indirilmesi ve kullanılması yasaklanmış ve müeyyidelere bağlanmıştır. Lisanslı Yazılım Kullanılması hakkındaki 2008/17 sayılı Başbakanlık Genelgesi ile kamu kurulumlarında bilgisayar programlarının edinilmesine ilişkin esaslar düzenlenmiştir. Söz konusu Genelge, kurumların ihtiyaç duydukları lisans sayısının karşılığının bütçede gösterilmesi gerektiğini belirtmektedir. Buna ek olarak Genelge'de, lisanssız yazılımlarının bulundurulması ve kullanımının önlenmesi maksadıyla kamu kurumları tarafından yapılacak çalışmalar şu şekilde belirlenmiştir: "Lisanssız yazılımlarının bulundurulması ve kullanımının önlenmesi maksadıyla kamu kurum ve kuruluşları;  Lisans hakları kamu kurum ve kuruluşuna ait olmayan tüm programların, bilgisayar ve medyalardan silinmesi ve lisanslı olanların temin edilmesi, (…)  Lisans sicili oluşturularak kurumun sahip olduğu yazılım ve lisansların takip edilmesi,  Kullanılan yazılımların yasal olarak kurum tarafından sağlanmış orijinaller olup olmadığının ve yazılım siciline uygunluğunun belirli aralıklarla denetlenmesi, (…) hususlarında gereken tedbirleri alacaklardır." Yapılan incelemede, bilgi işlem birimi tarafından kurulumu yapılan bilgisayarlara sadece lisanslı yazılımların yüklendiği görülmüştür. Ancak kullanıcıların kendilerine tahsis

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 26 edilen kurumsal bilgisayarlara yazılım yüklemeleri kısıtlanmamıştır. Sorumlularla yapılan görüşmeler ve örnek olarak seçilen bilgisayarlar üzerinde yapılan incelemeler sonucunda, bilgisayarlara kullanıcılar tarafından indirilen çok sayıda lisanssız yazılım kullanıldığı belirlenmiştir. Lisanssız yazılım kullanımı, Kurumu, kötü amaçlı yazılım, fidye yazılımı, casus yazılım, virüs vb. birçok güvenlik tehdidi ile karşı karşıya bırakmaktadır. İnternet üzerinden temin edilen lisanssız yazılımların bünyesinde genellikle kötü amaçlı yazılımlar barınmaktadır. Kullanıcılar, bu yazılımları indirmekle kendi kullandıkları bilgisayarları, bu bilgisayarların bağlı bulunduğu sistemleri, sistemlerde yer alan verileri ve diğer kullanıcıları, dolayısıyla Kurumun bilişim sistemlerinin tamamını risk altına sokmaktadır. Kurumda yürütülen çalışmalarda şu hususlar tespit edilmiştir:  Lisanssız yazılım kullanımi önemli bir güvenlik ihlali olarak değerlendirilmemektedir.  Kurum personeli lisanssız yazılım kullanımı ile ilgili riskler hakkında yeterli bilgiye sahip bulunmamaktadır.  Kuruma ait bilgisayarlara lisanssız yazılım yüklenmesi, iç düzenlemeler ve teknik kontroller ihdas edilmek suretiyle önlenmemiştir, ancak bunu temin edecek teknik altyapının kurulmasının planlandığı görülmüştür.  Kurumsal bilgisayarların taranması suretiyle lisanssız yazılımların tespit edilip kaldırılmasına yönelik bir çalışma yürütülmemektedir, ancak teknik altyapının kurulmasını müteakip lisanssız yazılımların izlenmesinin hedeflendiği görülmüştür.  Lisanssız yazılım kullandığı tespit edilen personel hakkında ilgili mevzuat hükümleri işletilmemektedir, ancak bu konuda disiplin yönetmeliğinde değişiklik yapılmasının planlandığı görülmüştür.  Lisansı bulunmayan yazılımlar arasında kurumsal ve akademik çalışmaların devam ettirilmesi için kullanılması gerekli olanların olup olmadığı tespit edilmemiştir, dolayısıyla bu ihtiyaçların bütçelendirilmesi veya alternatiflerinin aranması sağlanmamaktadır. Bu çerçevede Kurum’da yürütülen işlerin aksamasını önlemek ve mevzuata uyumu temin etmek amacıyla, Kurum bünyesinde lisanssız program kullanımının engellenmesi gerekmektedir. Bu çerçevede, henüz planlama aşamasında olan çalışmaların ivedilikle

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 27 sonuçlandırılmasına ihtiyaç bulunmaktadır. Maliyeti kısa süre içinde karşılanamayacak ve kullanımı gerekli görülen yazılımlarla yürütülen işlerin aksamaması, aynı zamanda mevzuata uyumun sağlanması için orta ve uzun vadeli planlar hazırlanması değerlendirilmelidir. BULGU 6: Bilgi Varlıklarının Envanterinin Bulunmaması Kurumun, maddi olmayan duran varlıklar kapsamına girmeyen bilgi varlıklarını izlemek için kullandığı kendine ait bir envanter sisteminin bulunmadığı tespit edilmiştir. Bilgi varlıkları mali yönden ölçülebilir olup olmamalarına göre kabaca iki ana gruba ayrılabilmektedir; maddi olmayan duran varlıklar ve diğer bilgi varlıkları.

1. Mali yönden ölçülebilir bilgi varlıklarının tespit edilmesi ve Kurum muhasebesinde mevzuata uygun şekilde kayıt altına alınması gerekmektedir. Bu tür varlıklar muhasebe düzenlemelerinde Maddi Olmayan Duran Varlıklar altında tanımlanmıştır. Bilgi varlıklarından fiyatlandırılabilir ve ölçülebilir nitelikte olan patentler, telif hakları, lisanslar, yazılımlar ve benzeri nitelikteki diğer haklar bu kategori altında yer alır.
2. Bilgi varlıklarının ölçülebilir nitelikte olmayan diğer kısmı ise, yükseköğretim kurumları tarafından üretilen ve maddi olmayan duran varlık kapsamına girmeyen, fiyatlandırılamayan diğer bilgi varlıklarıdır. Kurum bünyesinde yapılan çalışmalarda, maddi olmayan duran varlıklar dışında kalan diğer bilgi varlıklarının mevzuatta yer alan hükümleri yerine getirecek şekilde bir envantere kaydedilmediği ve izlenmediği görülmüştür. Bilgi üretmek ve bu bilgiyi yeni nesillere aktarmak yükseköğretim kurumlarının temel varlık sebebidir. 2547 sayılı Yüksek Öğretim Kanunu’nun 3’üncü maddesinde üniversite ve fakülteler; “eğitim - öğretim, bilimsel araştırma ve yayın yapan”, enstitüler de; “eğitim - öğretim, bilimsel araştırma ve uygulama yapan” kurumlar olarak tanımlanmışlardır. 2547 Sayılı Yükseköğretim Kurumları Kanunu’nun “Bilimsel denetim” başlıklı 42’nci maddesi, Kurum’da görevli tüm öğretim elemanları tarafından üretilen bilginin arşivlenmesini amirdir: “Kurumlariçi Bilimsel Denetim: (…)

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 28 c. Her öğretim elemanı, bilimsel araştırmalarının, yayınlarının ve verdiği dersleriyle yönettiği seminerlerin ve uygulamaların listesini, yurt içinde ve dışında yapılan bilimsel kongrelerdeki tebliğlerin birer örneğini, bağlı bulunduğu birim yöneticisinin aracılığıyla rektörlüğe sunmak zorundadır. Yayımlanmayan eserlerin daktilo ile yazılmış birer kopyası verilir. 5846 sayılı Fikir ve Sanat Eserleri Kanununun eser sahibine tanıdığı haklar saklıdır. d. Öğretim elemanlarının bilimsel yayınları için üniversitelerde ve Yükseköğretim Kurulunda özel arşiv tutulur.” Söz konusu Kanun’un “Ders kitapları ve eğitim-öğretim araçlarının basılıp çoğaltılması” başlıklı 48’inci maddesinde de eğitim için kullanılan materyale ilişkin hükümlere yer verilmiştir. “Üniversitelerde ders kitapları, bilgisayar ve elektronik ortamlarda hazırlanan eğitim- öğretim ve uzaktan öğretim ilkelerine göre oluşturulan her türlü materyal ilgili üniversite veya Yükseköğretim Kurulu tarafından hazırlanır ve hazırlattırılır (…) bunlar ilgili üniversite tarafından basılır, bastırılır veya çoğaltılır (…)” Üniversiteler Yayın Yönetmeliği’nde, ders aracı olarak kullanılan kitaplar ve teksirlerle yardımcı ders kitapları ile ilgili yayınlar hakkında, ilgili eserlerin incelenmesi, telif ücreti, yayın hakkı gibi hususlar hükme bağlanmıştır. Yönetmeliğin 14’üncü maddesi ile Üniversiteler, yayınladıkları her türlü yayının kopyalarını muhafaza etmekle yükümlü tutulmuşlardır. Yükseköğretim Kurumları Bilimsel Araştırma Projeleri Hakkında Yönetmelik’in “Telif hakları” başlığını taşıyan 18’inci maddesinde, bu projelerden elde edilen bilimsel sonuçların Üniversitelere ait olduğu belirtilmiştir: “(1) Bilimsel araştırma projeleri birimi tarafından desteklenen projelerden elde edilen bilimsel sonuçların telif hakkı ilgili yükseköğretim kurumuna aittir. Bilimsel yayın, kitap ve benzeri eserlerin telif hakları yükseköğretim kurumunun yönetim kurulu kararı ile kısmen veya tamamen eser sahiplerine devredilebilir (…)” Üniversitelerde Ders Aracı Olarak Kullanılan Kitaplar, Teksirler ve Yardımcı Ders Kitapları Dışındaki Yayınlarla İlgili Yönetmelik ile Üniversiteler bünyesinde üretilen bilgi varlıklarının dergi, bülten ve diğer yöntemlerle yayım ve telif esasları belirlenmiştir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 29 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” adını taşıyan TSE standardının "Varlık envanteri" başlıklı 8.1.1 numaralı bölümünde tanımlanan kontrol, özellikle bilgi üretim kurumları olan Üniversiteler için anlamlıdır: “Bilgi ve bilgi işleme tesisleri ile ilgili varlıklar belirlenmeli ve bu varlıkların bir envanteri çıkarılmalı ve idame ettirilmelidir.” Yukarıda tanımlanan mevzuat, Kuruma, kamu kaynakları kullanılarak kendi bünyesinde üretilen bilgileri izleme ve kaydetme yükümlülüğü getirmektedir. Bu yükümlülük, yayınlanmış olmasına bakılmaksızın; (i) öğretim elemanları tarafından bireysel olarak üretilen, (ii) derslerin yürütülebilmesi amacıyla kullanılan ve (iii) kamu kaynaklarıyla finanse edilen projeler vasıtasıyla üretilen tüm bilgi varlıklarını kapsamaktadır. Ancak, mevcut durumda söz konusu bilgi varlıklarının üniversite bünyesinde bir envanterinin bulunmadığı görülmüştür. Kurum bünyesinde yürütülen akademik çalışmalar sonucunda üretilen tezler, Yükseköğretim Kurumu tarafından tutulan ve kamuya açık online bir hizmet olan Ulusal Tez Merkezi aracılığıyla erişime sunulmaktadır (https://tez.yok.gov.tr/UlusalTezMerkezi/). YÖK tarafından yayınlanan Lisansüstü Tezlerin Elektronik Ortamda Toplanması, Düzenlenmesi ve Erişime Açılmasına İlişkin Yönerge’nin 1’inci maddesinde, lisansüstü tezlerin yetkili kurum ve kuruluşlar tarafından gizlilik kararı alınmadıkça, Yükseköğretim Kurulu Ulusal Tez Merkezinde toplanması, düzenlenmesi ve elektronik ortamda erişime açılması ile ilgili usuller belirlenmiştir. Söz konusu Yönerge uyarınca hakkında gizlilik kararı alınan veya erişime açılması ertelenen tezlerin ilgili yükseköğretim kurumu tarafından muhafaza edilmesi gerekmektedir. Tezler dışında kalan bilgi varlıklarının önemli bir kısmı (kitaplar, makaleler, bildiriler, vb.), Yükseköğretim Kurumu tarafından tutulan ve kamuya açık olan YÖK Akademik isimli bir veri tabanında “listelenmektedir” (https://akademik.yok.gov.tr). Ancak söz konusu yazılım aracılığıyla bilgi varlığının kendisine değil, başlığı, özeti ve nerede yayınlandığını belirten bir

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 30 “etiketine” ulaşılabilmektedir. Bu bilgi varlıkları Kurum bünyesinde başka bir sistemde tutulmamaktadır. Öğretim elemanlarının yayınlanmamış eserleri YÖK Akademik’te yer almadığı gibi, Kurum tarafından da izlenmemektedir. Kurumda, Bilimsel Araştırma Projelerini yönetmek için kullanılan yazılım bünyesinde söz konusu projelerin raporlarının kaydedildiği görülmüştür. Ancak, bu raporlar, bir bilgi varlıkları envanterine kaydedilmemekte ve Kurumun geri kalan öğretim elemanlarının ve öğrencilerin bunlara erişimi söz konusu olmamaktadır. Projeler bünyesinde raporlar dışında bir yayın yapılması söz konusu olduğunda, bu yayınlar yine YÖK Akademik’te listelenmektedir. Ancak YÖK Akademik’te listelenen yayınlar ve projeler sonucunda üretilen yayınlanmamış diğer eserler Kurum’a ait bir envantere içerik olarak kaydedilmemektedir. Akademik faaliyetler çerçevesinde Kurum tarafından, online makale veri tabanlarına erişim hizmeti satın alınmakta ve kullanıma sunulmaktadır. Kurumun kendisine ait bilgi varlıklarının envanterinin bulunmaması sebebiyle öğrenciler ve öğretim elemanları, Kurum bünyesinde üretilen ve Kurum dışındaki akademik dergilerde yayınlanan makalelere, ancak söz konusu makale veri tabanları aracılığıyla ulaşabilmektedir. Hizmet alınan veri tabanlarının çok çeşitli ve içeriklerinin sınırlı olması sebebiyle, bu makalelerin bir kısmına erişim sağlanamaması olasıdır. Kurum bünyesinde yayınlanan dergilerde yer alan makalelere ise serbestçe erişilebilmektedir. Kurum bünyesinde üretilen ve kullanılan eğitim materyallerinin envanteri de bulunmamaktadır. Kurumda çalışarak eğitim materyali oluşturan, çeşitli eğitim aktiviteleri uygulayan, laboratuvarlarda kullanılacak yöntemler geliştiren, vb. birçok eğitim uygulaması yapan bir akademisyenin Kurumdan ayrılması söz konusu olduğunda, ilgili eğitim birikimi ve bilgi envanteri bu akademisyenle birlikte kaybedilebilmektedir. Kurumun eğitim materyalleri, eğitimin sürekliliğini garanti altına alacak şekilde kaydedilmemiş ve bu bilgi varlıkları üzerinde Kurum’un hakları tanımlanmamıştır. Kurum’un temel faaliyetleri mevzuatta, eğitim - öğretim, bilimsel araştırma ve yayın yapmak olarak tanımlanmıştır. Bu faaliyetler, söz konusu bilgiyi sürekli olarak üretmeyi, tasnif etmeyi, analiz etmeyi ve yeniden yorumlamayı gerektirmektedir. Bilgi üretimi, önceden üretilmiş bilgilere ulaşılmasına bağlıdır. Envanter oluşturulması, bilginin, yeni bilimsel çalışmalar ve eğitim faaliyetlerinde kullanılacak şekilde erişime açık tutulması, dolayısıyla

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 31 Kurum faaliyetlerinin sürekliliğinin teminat altına alınması için gereklidir. Bu bilgilere erişilememesi, çalışmaların başarısını ve verimliliğini olumsuz şekilde etkileyecektir. Kuruma ait bilgi varlıklarının envanterinin bulunmaması; aynı bilginin tekrar üretilmesini ve mükerrer kaynak kullanılmasını engelleyecek kontrollerin de bulunmaması anlamına gelmektedir. Kurumda yürütülen çalışmalar çerçevesinde, bilgi varlıkları arasında yer alan yazılımların izlenmesi için çeşitli çalışmaların başlatıldığı ve diğer alanlara yayılmasının hedeflendiği görülmüştür. Mevzuatta öngörülen yükümlülüklerin yerine getirilebilmesi amacıyla, Kurum bünyesinde üretilen tüm bilgi varlıklarının tanımlanması, bu varlıkların uygun bir envanterde kaydedilmesi ve eğitimde ve bilimsel çalışmalarda kullanılacak şekilde erişime açılması, bu çerçevede planlanan ve başlatılan çalışmaların ivedilikle sonuçlandırılması gerekmektedir. BULGU 7: Bilişim Sistemleri Yönetişim Kontrollerinin Yetersiz Olması Kurum üst yönetimiyle bilişim sistemlerini yöneten birim arasındaki ilişkinin, orta ve uzun vadeli stratejiler ve planlar ile gözetim ve denetim faaliyetleri çerçevesinde yürütülmesinde yetersizlik olduğu gözlemlenmiştir 5018 Sayılı Kamu Mali Yönetimi ve Kontrol Kanunu'nun, 55'inci maddesinde iç kontrol şu şekilde tanımlanmıştır: “İç kontrol; idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünüdür (…)" İç kontrol özetle, idarenin sağlıklı çalışmasını etkileme ihtimali olan risklerin tanımlanması ve bu riskleri ortadan kaldıracak eylem ve süreçlerin oluşturulmasıdır. Kurumların faaliyetlerinin büyük ölçüde bilişim sistemleri desteğiyle yürütülmesi sebebiyle günümüzde iç kontrollerin önemli bir kısmının bilişim ortamında oluşturulması gerekmektedir. Nitekim Maliye Bakanlığı tarafından 5018 sayılı kanuna dayanılarak 2007 yılında yayınlanan Kamu İç Kontrol Standartları Tebliği'nde bu husus standarda bağlanmıştır. Tebliğde yer alan

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 32 12 numaralı "Bilgi sistemleri kontrolleri" standardında, idarelerin, bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmalarını geliştirmeleri gerektiği vurgulanmış ve “İdareler bilişim yönetişimini sağlayacak mekanizmalar geliştirmelidir” denilmiştir. Bilişim sistemleri kontrolleri arasında yer alan yönetişim kontrollerinin amacı, güvenli ve yeterli bir bilişim ortamının sağlanması için kurumsal strateji ve amaçlara uygun yönetim, karar alma, yönlendirme ve izleme mekanizmalarının oluşturulmasını sağlamaktır. Bu kontroller kuruma, alt düzeydeki ayrıntılı kontrollerin varlığı ve etkinliği konusunda makul bir güvence sağlar. Etkin bir bilişim sistemleri yönetişim yapısının kurulması; kurumun stratejik hedeflerine ulaşmasını, paydaş ihtiyaçlarına uygun ürünler ortaya çıkarmasını, bilişim sistemleri ile ilgili riskleri yönetmesini, kaynakları daha etkin kullanmasını, bilgi güvenliği gereklerine ve yasal mevzuata uygun çalışmasını destekler. Yürütülen denetim çerçevesinde iç kontrollerin etkinliği değerlendirilirken bilişim sistemleri kontrolleri incelenmiş, Kurumda bilişim sistemlerinin geliştirilmesi ve güvenliğe kavuşturulması amacıyla çok kapsamlı ve yetkin çalışmalar yürütüldüğü, ancak yönetişim alanında kurulan kontrollerin yetersiz olduğu görülmüştür. a. Kurumda Yazılı ve Müstakil Bir Bilişim Sistemleri Stratejisinin Oluşturulmaması Kurum bilişim sistemlerine ilişkin çalışmaların yazılı ve müstakil bir planlama süreci çerçevesinde yürütülmediği, bunun, bilişim sistemlerinin üst yönetim tarafından yakından izlenmesini ve yönetilmesini öngören kontrollerin işletilmesinde yetersizliğe sebep olduğu görülmüştür. e-Devlet Hizmetlerinin Yürütülmesine İlişkin Usul ve Esaslar Hakkında Yönetmelik'in “Kamu kurum ve kuruluşlarının görev ve sorumlulukları” başlıklı 7'nci maddesinde, kamu kurum ve kuruluşlarının bilişim stratejileri hazırlaması gerektiği şu şekilde ifade edilmiştir: “b) Kamu kurum ve kuruluşları, ulusal stratejiler ve planlar ile mevcut kurumsal stratejik planlarıyla uyumlu, kurumun e-Devlet hizmetleri sunumu amacıyla yapacakları yatırım, teknoloji tercihleri, kurumsal kapasite, tasarruf planları, fayda-maliyet, iş planı gibi unsurları kapsayacak bilişim stratejilerini hazırlar.”

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 33 Kurumun bilişim sistemleri ile ilgili hedefler, yatırımlar ve eylemler müstakil bir strateji ile yönetilmediğinden, bunların kurumun ana stratejisi ve amaçları ile ne derecede uyumlu olduğunun Kurum üst yönetimi tarafından izlenmesinin oldukça güç olduğu gözlenmiştir. Kurum bünyesinde yürütülen çalışmalar çerçevesinde, müstakil bir bilişim sistemleri stratejisi geliştirme çalışmasının başlatıldığı görülmüştür. Kurumun, üst yönetimin ve ilgili paydaş birimlerin katılımıyla yazılı ve müstakil bir bilişim sistemleri stratejisi oluşturması ve bu çerçevede yürütülen faaliyetlerin tamamlanması gerekmektedir. b. Bilişim Sistemlerine İlişkin Planlama, Koordinasyon ve İzlemenin Sağlanmasına Yönelik Kurumsal Bir Mekanizmanın Bulunmaması Kurum üst yönetiminin, bilişim sistemlerine ilişkin planlama, koordinasyon ve izleme faaliyetlerine etkin olarak katılmasını sağlayacak kurumsal süreç ve yapıların oluşturulmadığı gözlenmiştir. Kurum bilişim sistemlerinin yönetişimini sağlamak, üst yönetiminin sorumluluğundadır. Bazı kurumlarda bu amaçla üst yönetimin içinde yer aldığı bir Bilişim Sistemleri Yönlendirme Kurulu veya eşdeğeri yapılar oluşturulmuştur. Ancak, mevcut durumda Kurum üst yönetiminin bilişim sistemleri ile ilgili kararlara katılımının; görevlendirmelerin yapılması, bütçelerin ve satın alma süreçlerinin onaylanması ve genel çalışma çerçevesini belirleyen iç düzenlemelerin yapılması gibi faaliyetlerle sınırlı kaldığı görülmüştür. Bilişim ile ilgili kararlarda üst yönetimi, bilişim sistemleri yöneticilerini ve bilişim sistemlerinden doğrudan etkilenen önemli birimlerin yöneticilerini (paydaşları) bir araya getiren organ, kurul ve mekanizmalar ihdas edilmemiştir. Kurum üst yönetiminin, bilişim sistemleriyle ilgili temel kararların alınması sürecine katılmasını, alınan kararların yürütülmesi sürecinde koordinasyonu sağlamasını ve sonuçları izlemesini temin edecek kurumsal mekanizma ve süreçlerin oluşturması gerekmektedir. c. Bilişim Sistemlerine İlişkin Faaliyetlerin İç Denetime Tabi Tutulmaması Kurum bilişim sistemlerinin üst yönetim adına iç denetime tabi tutulmadığı görülmüştür.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 34 Kamu İç Kontrol Standartları Tebliği 17 numaralı standartta “İdareler fonksiyonel olarak bağımsız bir iç denetim faaliyetini sağlamalıdır.” denilmektedir. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” adını taşıyan TSE standardının "Bilgi güvenliğinin bağımsız gözden geçirilmesi" başlıklı 18.2.1 numaralı bölümü, bağımsız gözden geçirmenin önemini vurgulamaktadır: “Kuruluşun bilgi güvenliğine ve uygulamasının (örneğin; bilgi güvenliği için kontrol amaçları, kontroller, politikalar, prosesler ve prosedürler) yönetimine olan yaklaşımı belirli aralıklarla veya önemli değişiklikler meydana geldiğinde bağımsız bir şekilde gözden geçirilmelidir.” Faaliyet alanının etkinliği dolayısıyla, esasen bilişim sistemlerinin yönetimiyle sorumlu birim, Kurum’un en güçlü birimleri arasında bulunmaktadır. Örneğin yeni bir yazılım geliştirildiğinde, kurumsal süreçlerin nasıl yürütüleceğini, kurumsal ve kişisel bilgilerin nasıl işleneceğini ve nasıl korunacağını, vb. kritik önemdeki birçok konuyu bilişim sistemlerinden sorumlu birim belirlemektedir. Ancak, bilgi işlem biriminin sahip olduğu bu gücün kurum lehine kullanıldığı hususunda üst yönetime güvence temin edecek gerekli planlama ve gözetim mekanizmalarının kurulmadığı görülmüştür. Bilişim sistemleriyle ilgili olarak üst yönetim tarafından yürütülen kurumsal süreçler, bilişim kaynaklarının etkin bir şekilde yönetilmesi ve kararların doğru alınması için yeterli bilgiyi sağlamamaktadır. Kuruma ait bilişim sistemleri, oldukça karmaşık, birbirini etkileyen ve dış dünyadan etkilenen iç içe geçmiş süreçlerle işletilmektedir. Bu karmaşık yapı içinde üst yönetim, bilişim alanında kurumsal hedeflere ulaşılmasını güvence altına alacak izleme, sonuçları değerlendirilme, gerektiğinde hedef ve planları revize etme faaliyetlerini yerine getirememektedir. Esasen, bu faaliyetlerin yürütülmesi için gerekli altyapıyı sağlayacak olan, bilişim sistemlerini yöneten birimlerin üst yönetim adına denetlenmesi sağlanmamıştır. Bu hususlara ek olarak, Kurum'da bir iç denetim birimi kurulmamış olması sebebiyle bilişim sistemleri alanında denetim yapılması için gereken altyapı henüz bulunmamaktadır. Kurumun ivedilikle bir iç denetim birimini oluşturması, bunu yaparken de bilişim sistemleri denetimini rutin faaliyetler arasında yer alacak şekilde planlaması gerekmektedir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 35 Sonuç olarak, bilişim sistemlerinin Kurum amaçlarına uygun çalışmasını ve işlevlerini doğru bir şekilde yerine getirmesini sağlayacak etkin bir bilişim sistemleri yönetişim yapısının oluşturması, bu amaçla bilişim sistemlerine ilişkin planlama süreçlerinin ve yönetişim mekanizmalarının ihdas edilmesi ve bilişim sistemleri denetiminin düzenli olarak yapılması gerekmektedir. BULGU 8: Dış Tedarikle Yürütülen Bilişim Hizmetlerine İlişkin Sözleşmelerin Bilgi Güvenliği Yönünden Yetersiz Olması Kurumda hizmet alımı yöntemiyle tedarik edilen bilişim hizmetlerine ilişkin olarak imzalanan sözleşmelerde yer verilen hükümlerin bilgi güvenliğini temin etmek için yeterli olmadığı tespit edilmiştir. Hizmet İşleri Genel Şartnamesi’nin “Gizlilik” başlığını taşıyan 13’üncü maddesi şu şekildedir: “Yüklenici, işle ilgili olarak elde ettiği her tür bilgi ve dokümanı özel ve gizli tutacak ve idarenin önceden yazılı izni olmaksızın sözleşmeye ait herhangi bir detayı ifşa etmeyecek veya yayınlamayacaktır. Türk yargı mercilerinin kararları saklı kalmak kaydıyla, sözleşmenin amaçları doğrultusunda herhangi bir ifşa veya yayınlama gerekliliği konusunda bir uzlaşmazlık ortaya çıkarsa idarenin bu konudaki kararı nihai olacaktır. Gizlilik yükümlülüğü, sözleşmenin herhangi bir nedenle sona ermesinden sonra da devam eder.” Söz konusu şartnamenin “Kontrol teşkilatı ve yetkileri” başlığını taşıyan 26’ncı maddesinde şu ifadeye yer verilmiştir: “Sözleşmeye bağlanan her türlü iş, idare tarafından görevlendirilen kontrol teşkilatının denetimi altında, yüklenici tarafından yönetilir ve gerçekleştirilir.” Hizmet Alımlarına Ait Tip Sözleşme’nin “Kontrol Teşkilatı, görev ve yetkileri” başlığını taşıyan 18’inci maddesi şu şekilde tanzim edilmiştir: “İşin, sözleşme ve eklerine uygun olarak yürütülüp yürütülmediği İdare tarafından görevlendirilen Kontrol Teşkilatı aracılığıyla denetlenir. Kontrol Teşkilatı, Genel Şartnamenin Dördüncü Bölümünde belirtilen yetkileri kullanır ve görevleri yerine getirir” Bilgi işlem varlıklarını ilgilendiren ve dış tedarik yoluyla alınan hizmetlerde, yükleniciler tarafından erişilebilen kurumsal bilgi varlıklarının korunması büyük önem

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 36 taşımaktadır. Kurum, kendi birimleri tarafından yürütülen hizmetlerde, bilgi varlıklarını korumak amacıyla kurallar koyabilmekte ve uygulamayı izleyerek denetleyebilmektedir. Bu hizmetlerin yükleniciler tarafından yerine getirilmesi durumunda ise aynı güvenceleri sağlayabilmek için bu faaliyetler üzerinde özel kontroller tesis edilmesi gerekmektedir. Yukarıda belirtilen, kurumların satın alma süreçlerinde kullandıkları ve genel amaçlarla geliştirilmiş sözleşme ve şartname şablonlarında yer alan ifadeler, bilgi güvenliği ile ilgili gerekliliklerin yerine getirilmesi için yeterli bulunmamaktadır. Örneğin, yükleniciye ait olan ve sözleşme konusu hizmetlerde kullanılan bilişim sistemlerinin Kurum tarafından denetimine izin veren açık bir sözleşme hükmü bulunmadıkça, Kurum kontrol teşkilatının bu tür bir denetimi yapmasına yüklenicinin rıza göstermesi beklenmemektedir. Bu sebeple dış tedarik yoluyla alınan bilişim hizmetlerine ilişkin sözleşmelerde, kamu menfaatlerinin korunması amacıyla ek düzenlemeler yapılmasına ihtiyaç bulunmaktadır. Genel sözleşme ve şartname şablonlarında yer alan gizlilik, gözden geçirme ve kontrol teşkilatı ile ilgili hususlara ek olarak, sözleşmelere, bilişime mahsus ihtiyaçları karşılayacak maddelerin eklenmesi gerekmektedir. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” standardı, tedarikçilerle ilişkilerin ne şekilde tanzim edilmesi gerektiğini belirlemektedir. Söz konusu standartta “Tedarikçi ilişkileri için bilgi güvenliği politikası” başlığını taşıyan 15.1.1 numaralı kontrol şu şekilde tanımlanmıştır: “Tedarikçinin kuruluşun varlıklarına erişimi ile ilgili riskleri azaltmak için bilgi güvenliği gereksinimleri tedarikçi ile kararlaştırılmalı ve yazılı hale getirilmelidir (…) Kuruluş, politikada özellikle kuruluşun bilgilerine erişen tedarikçileri ele alarak bilgi güvenliği kontrollerini tanımlamalı ve zorlamalıdır.” Aynı standartta “Tedarikçi hizmetlerini izleme ve gözden geçirme” başlığı altında tanımlanan 15.2.1 numaralı kontrol şu şekildedir: “Kuruluşlar, düzenli aralıklarla tedarikçi hizmet sunumunu izlemeli, gözden geçirmeli ve tetkik etmelidir.” İlgili düzenlemelerde tanımlandığı şekilde dış tedariklerde Kurum, kendisine ve kullanıcılarına ait bilgilerin güvenliğinin sağlanması için gerekli tüm tedbirleri almakla yükümlüdür. Dış tedarik sürecinde bilgi varlıklarının bu şekilde korunması, tedarik edilen

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 37 bilişim hizmetleri kapsamında kullanılan, yükleniciye ait tüm sistem ve süreçlerin, Kurum tarafından belirlenmiş risk yönetimi, güvenlik ve gizliliğe ilişkin ilkelere uygunluğunun sağlanmasını gerektirir. Yani yüklenicinin Kurum’un bilgi güvenliği kurallarına uyması temin edilmeli ve bu uygunluğun sağlanıp sağlanmadığı Kurum tarafından denetlenmelidir. Bu amaçla, yüklenicilerin Kurum verilerine erişim sağlamasını gerektiren bilişim hizmetleri ile ilgili bilgi güvenliği çerçevesinin sözleşme ve şartnamelerde açıkça tanımlanması gereklidir. Yüklenicilere verilecek, bilişim sistemlerine erişim yetkileri, işin gerektirdiği bilgiyi kapsayacak şekilde sınırlandırılmalı, sözleşmeler de buna uygun şekilde tanzim edilmelidir. Bu çerçevede, Kurum tarafından dış tedarik yoluyla alınan bilişim hizmetlerine ilişkin olarak “Üçüncü Taraf Güvenlik Politikası” hazırlandığı, ancak bu belgenin yeterli kapsamda olmadığı görülmüştür. Bilgi güvenliği ile ilgili hususlara kısmen hizmet alımına ilişkin şartnamelerde yer verilmektedir. Ancak, yürütülen hizmetlere ilişkin bir risk değerlendirmesi yapılmadığı için ihdas edilmesi gereken kontroller somut bir şekilde tanımlanamamakta, sözleşmelerde kullanılan soyut ifadeler bilişime ilişkin riskleri yönetmek için yetersiz kalmaktadır. Kurumun dış tedarik yoluyla yürütülen bilişim hizmetlerine ait sözleşmelere ilişkin şu hususlar tespit edilmiştir:  Sözleşmelerde, yüklenicilere ait sistem ve süreçlerin, Kurumun kendi risk yönetimi, güvenlik ve gizliliğe ilişkin ilkelerine uygun olmasını güvence altına alacak hükümlere yer verilmemiştir,  Yüklenicilerin Kurum bilişim varlıklarına erişiminin nasıl yönetileceği ve izleneceği tanımlanmamıştır,  Yüklenici ve personeli tarafından kullanılabilecek erişim türleri (uzaktan erişim vb.), erişilecek verinin kritiklik derecesi ve erişimin bilgi güvenliği üzerindeki etkileri tanımlanmamıştır,  Yükleniciler tarafından erişilen gizli veya kişisel nitelikteki verilerin gizliliğinin ve güvenliğinin nasıl korunacağı belirlenmemiştir,  Yüklenici personelinin işten ayrılması veya sözleşme kapsamındaki hizmetin sonlanması durumunda yüklenici personelinin erişim haklarının iptal edilme süreci tanımlanmamıştır,

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 38  Bilgi güvenliğine ilişkin olarak yüklenici bünyesinde alınan tedbirler üzerinde Kurumun denetim/ gözden geçirme hakkı ve bu hakkın nasıl kullanılacağı tanımlanmamıştır,  Yüklenicinin, hizmet kapsamında gerçekleşen güvenlik ihlallerini bildirme yükümlülüğü tanımlanmamıştır. Kurum tarafından hizmet alımı yöntemiyle yürütülen bilişim hizmetlerine ilişkin olarak yürürlükte olan sözleşmelerin, bilgi güvenliğini temin edecek ve yukarıda belirlenen hususları da içerecek şekilde tadil edilmesi ve yeni sözleşmelerin bu hususları karşılayacak şekilde tanzim edilmesi gerekmektedir. BULGU 9: Bilişim Sistemlerinin Sürekliliğini Güvence Altına Alacak Kontrollerin Yetersiz Olması Kurumda, bilişim sistemleriyle yürütülen hizmetlerin kesintiye uğraması veya bir felaketle karşı karşıya kalması durumunda, söz konusu hizmetlerin sürekliliğinin sağlanması için alınması gereken kontrollerin yetersiz olduğu tespit edilmiştir. Kamu İç Kontrol Standartları Tebliği’nde 11 ve 12 No’lu Standartlarda şu kontroller tanımlanmıştır: “İdareler, faaliyetlerin sürekliliğini sağlamaya yönelik gerekli önlemleri almalıdır.” “Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır.” E-Devlet Hizmetlerinin Yürütülmesine İlişkin Usul ve Esaslar Hakkında Yönetmelik’in “Kamu kurum ve kuruluşlarının görev ve sorumlulukları” başlıklı 7’nci maddesinde şu hükümlere yer verilmiştir: “d) Kamu kurum ve kuruluşları, e-Devlet hizmetlerini kullanım kolaylığı ve kullanıcı memnuniyetini sağlayacak şekilde; ulusal ve uluslararası standartlara uygun olarak, işlevsel, güvenli, talebe cevap verebilir ve kesintisiz şekilde sunar.(…)” m) Kamu kurum ve kuruluşları herhangi bir felaket anında sistemlerin kesintiye uğramaması için gerekli tedbirleri alır.”

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 39 Kurumlarda sistemlerin kesintiye uğramaması için alınan tedbirler, iş sürekliliği ve felaket kurtarma planları ve bu planların ifası için gerekli olan altyapılarla sağlanmaktadır. İş sürekliliği planı, bilişim hizmetlerinde herhangi bir kesinti meydana gelmesi durumunda yapılacak çalışmaları tanımlayan bir belgedir. Bu belgede kesinti durumunda kimin hangi görevi yerine getireceği, hangi sistemlerin öncelikle ele alınacağı, öncelikli kurtarma adımlarının neler olduğu, tahliye prosedürlerinin neler olduğu, can ve mal kayıplarının en aza indirilmesi için gerekli prosedürlerin neler olduğu, planının kim tarafından ve nasıl aktif hale getirileceği gibi hususlara yer verilir. Benzer şekilde felaket kurtarma planı bir felaket sonrası bilişim alt yapısının yeniden aktif hale getirilmesini ele alır. Bu plan iş sürekliliği planının içinde bir bölüm olarak yer alabileceği gibi müstakil bir plan olarak da hazırlanabilir. İster iş sürekliliğinin bir parçası ister ayrı bir plan olsun felaket kurtarma planları iş sürekliliği planıyla uyumlu olmak zorundadır. İş sürekliliği planı ne kadar detaylı ve doğru hazırlanmış olursa olsun test edilmedikçe güvenilir değildir. Bu tür planların zayıf noktalarının; birbiriyle çelişen ve hatalı sıralanmış adımların, eksik kalan görevlendirmelerin ve tespiti yapılmamış ihtiyaçların görülebilmesi bir test yapılması ile mümkün olacaktır. Kurum bilişim sistemlerinde yapılan incelemede iş sürekliliğini sağlamak amacıyla çeşitli belgeler oluşturulduğu, iş sürekliliği planının hangi süreçlerle hazırlanacağının belirlendiği ancak planın henüz hazırlanmadığı görülmüştür. Ancak bu süreç tasarımı, bilgi işlem birimi bünyesinde yürütülmüş olup üst yönetim tarafından onaylanmamıştır. Dolayısıyla sürekli ve tutarlı bir şekilde uygulanması güvence altına alınmamıştır. Kuruma ait bir felaket kurtarma merkezinin, Üniversite kampüsü içinde oluşturulduğu, ancak bir felaket kurtarma planlamasının henüz yapılmadığı görülmüştür. Sonuç olarak, Kurumda iş sürekliliğini sağlamak amacıyla uygulanacak plan ve süreçlerin ve herhangi bir felaket durumunda yürütülecek çalışmaların planlanmamış olduğu belirlenmiştir. Kurum bünyesinde bilişim sistemleri iş sürekliliği ve felaket kurtarma planlarının hazırlanması ve üst yönetimce onaylanarak yürürlüğe konması, bu planların test edilmesi ve güncelliğinin korunması gerekmektedir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 40 BULGU 10: Bilişim Varlıkları Üzerinde Gerçekleştirilecek Rutin ve Acil Değişikliklerin Yönetimiyle İlgili Kural ve Uygulamaların Yetersiz Olması Kurumun bilişim sistemleri üzerinde gerçekleştirilecek değişikliklerin yönetilmesi için kullanılacak kuralların ve süreçlerin ve acil durumlarda bu süreçlerin nasıl işletileceğinin belirlenmemiş olduğu görülmüştür. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” standardında konuyla ilgili tanımlanan kontrol şu şekildedir: “12.1.2 Değişiklik Yönetimi Bilgi güvenliğini etkileyen, kuruluş iş prosesleri, bilgi işleme tesisleri ve sistemlerdeki değişiklikler kontrol edilmelidir.” Kurumun bilişim varlıklarını ve süreçlerini etkileyebilecek tüm değişikliklerin kontrollü bir şekilde gerçekleştirilmesi gereklidir. Değişikliklerin, bunlardan etkilenecek bileşen ve sistemler tanımlanmadan yürütülmesi, farklı sistemlerin aksamasına sebep olabilir. Söz konusu değişikliklerin, ilgili etkileşimleri izlemeye ve gerekli tedbirleri almaya imkân tanıyacak şekilde planlanarak yürütülmesi gerekmektedir. Örneğin, yazılım güncellemeleri gibi bazı değişikliklerin test edilmeden hayata geçirilmesi bilişim hizmetlerinde önemli aksamalara sebep olabilmektedir. Bilişim sistemlerinin yapısı gereği, ne kadar planlama yapılırsa yapılsın, bazı değişikliklerin acil nitelik taşıması ve herhangi bir planlama ve bildirim sürecine imkân tanımayacak şekilde ivedilikle uygulanması söz konusu olabilmektedir. Acil durum değişikliklerinde, değişikliğe ilişkin sürecin gecikmesi kurumu yüksek maliyetler ile karşı karşıya getirebilir. İvedi müdahaleyi gerektiren bu tür durumlarda rutin değişikliklerin yönetimi için tasarlanmış süreçlerin işletilmesi mümkün olmayabilir. Ancak doğurduğu yüksek riskler sebebiyle acil durum değişikliklerinin sonradan takip edilmesi büyük önem taşır. Bu önemi sebebiyle acil durumlarda yapılan değişikliklere ilişkin ayrı bir süreç işletilmesi ve bu değişikliklerin geriye dönük olarak ilgilere bildirilmesi, etkilerinin izlenmesi ve gerekli tedbirlerin alınması sağlanmalıdır. Kurum bilişim sistemlerinde yapılacak değişikliklerde bilgi işlem birimi içinde ilgililerle sözlü iletişim kurulduğu, bu şekilde değişikliklerin olası olumsuz etkilerinin en aza

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 41 indirilmesine çalışıldığı belirlenmiştir. Ancak bu uygulama, kişisel çabalar ile yürütülmekte olup, zorunlu ve izlenen bir kurumsal süreç niteliğinde değildir. Bilişim sistemleriyle ilgili değişiklik talep ve önerilerinin yönetim süreçlerinin ve acil durum değişikliklerine ilişkin süreçlerin belirlenmesi, değişikliklerin hangilerinin onaya tabi olacağının, değerlendirmenin kimler tarafından yapılacağının, ret ve kabul kriterlerinin tanımlanması gerekmektedir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 42 T.C. SAYIŞTAY BAŞKANLIĞI 06520 Balgat / ANKARA Tel: 0 312 295 30 00; Faks: 0 312 295 48 00 e-posta: sayistay@sayistay.gov.tr http://www.sayistay.gov.tr

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 43 8. EKLER EK 1: İZLEME Önceki Yıl/Yıllar Sayıştay Denetim Raporuna İlişkin İzleme Tablosu Bulgu Adı Yıl/Yıllar İdare Tarafından Yapılan İşlem Açıklama Kiralama Gelirlerinin Takibinin Düzenli Yapılmaması 2018 Kısmen Yerine Getirildi Kiralanan alanların ödemeleri düzenli olarak takip edilmektedir. Kirasını ve diğer (elektrik, su ve ısınma) ödemelerini zamanında yapmayan müstecirler sözlü ve yazılı olarak uyarılmaktadır. Ayrıca zamanında yapılmayan tüm ödemeler için yasal gecikme faizi uygulanarak tahsil edilmektedir. Sözleşmesi sona erdiği halde ödemesini tamamlamayan müstecirler için yazılı uyarılara müteakiben alacakların tahsili için Hukuk Müşavirliğine yazı yazılmakta takibi bu birimce devam etmektedir. (2018 yılında26.399,65 TL 2019 yılında ise 70.529,65 TL gecikme faizi tahsil edilmiştir.) Üniversiteye Ait Taşınmazların Cins Tahsisi İşlemlerinin Tamamlanmaması 2018 Yerine Getirilmedi Öğrencisi Olmayan Fakülte ve Yüksekokulların Bulunması 2018 Yerine Getirilmedi 2547 sayılı Kanun’un yedinci maddesine göre yükseköğretim kurumları içinde bölüm, anabilim ve anasanat dalları ile uygulama ve araştırma merkezi açılması, birleştirilmesi veya kapatılması; konservatuvar, meslek yüksekokulu veya destek, hazırlık okul veya birimleri kurulmasıyla ilgili olarak doğrudan veya üniversitelerden gelecek öneriler üzerine karar verme yetkisi Yükseköğretim Kuruluna aittir. Üniversitelerde Akademik Teşkilât Yönetmeliği’nin yedinci maddesinde; “Fakülte: yüksek düzeyde eğitim- öğretim, bilimsel araştırma ve yayın yapan ve kendisine enstitü, yüksekokul ve benzeri kuruluşlar bağlanabilen bir

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 44 yükseköğretim kurumudur ve kanunla kurulur. Fakülte, genellikle her biri en az ayrı bir eğitim programı yürüten bölümlerden oluşur. Bir eğitim programı uygulayan fakültelerde bir bölüm bulunur.” denilmektedir. Aynı Yönetmeliğin 13’üncü maddesinde; “Bölümler; fakülte ve yüksekokulların amaç, kapsam ve nitelik yönünden bir bütün oluşturan ve lisans düzeyini de içeren en az bir eğitim-öğretim bilim ve sanat dallarında araştırma ve uygulama yapan birimlerdir.” hükmü yer almaktadır. Yukarıda yer alan hükümler uyarınca fakülteler ve bölümler eğitim- öğretim hizmeti ile birlikte bilimsel araştırma ve yayın yapan kurumlar ve birimlerdir. Fakültelerde bölümlere yapılan öğretim elemanı atamaları bölümün eğitim-öğretim hizmeti yanında bilimsel araştırma ve yayın yapma yükümlülüğü de göz önünde bulundurularak yapılmıştır. Yükseköğretim kurumlarında bir bölüme lisans programı açılarak öğrenci alımı teklifinin yapılabilmesi için o bölümde kadrolu asgari öğretim üyesinin (Profesör, doçent ve doktor öğretim üyesi) kadroya atanmış olması gerekmektedir. Dolayısıyla 2547 sayılı Yükseköğretim Kanunu'nca bölümlerimize öğrenci alarak eğitim öğretim faaliyetinin yürütülebilmesi için gereken akademik kadrolarının yeterli hale getirilmesi şartı gereği ihtiyaç olan akademik kadro ilanına çıkılmıştır. Söz konusu bölümlere öğrenci alabilmek için gerekli olan şartlar tamamlandığında öğrenci talebi Yükseköğretim Kuruluna yapılacaktır.

KARAMANOĞLU MEHMETBEY ÜNİVERSİTESİ 2019 YILI SAYIŞTAY PERFORMANS DENETİM RAPORU

İÇİNDEKİLER

1. ÖZET ........................................................................................................................................................... 46
2. KAMU İDARESİNİN SORUMLULUĞU ................................................................................................ 46
3. SAYIŞTAYIN SORUMLULUĞU ............................................................................................................ 47
4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI ........................................................ 47
5. GENEL DEĞERLENDİRME ................................................................................................................... 47
6. DENETİM BULGULARI .......................................................................................................................... 48

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Performans Denetim Raporu 46

1. ÖZET Bu rapor, Karamanoğlu Mehmetbey Üniversitesi performans denetimi sonuçlarını içermektedir. 6085 sayılı Kanunun 36’ncı maddesi uyarınca Sayıştay, “hesap verme sorumluluğu çerçevesinde idarelerce belirlenen hedef ve göstergelerle ilgili olarak faaliyet sonuçlarının ölçülmesi suretiyle gerçekleştirilen denetim” olarak tanımlanan performans denetimini yapmakla görevli ve yetkilidir. Karamanoğlu Mehmetbey Üniversitesi hedef ve göstergeleriyle ilgili olarak faaliyet sonuçlarının değerlendirmesini sağlamak amacıyla aşağıdakiler denetlenmiştir:  2019 - 2023 dönemine ait Stratejik Plan,  2019 yılı Performans Programı,  2019 yılı İdare Faaliyet Raporu ve  Faaliyet sonuçları ölçümü yapan veri kayıt sistemleri. Yapılan incelemede; Karamanoğlu Mehmetbey Üniversitesinin performans yönetimi sisteminin, ilgili mevzuat hükümlerine ve iç kontrol sistemi ilkelerine uygun olduğu görülmüştür. Faaliyet sonuçlarının ölçülmesi ve değerlendirilmesine ilişkin olarak veri kayıt sisteminin kurulduğu, veri kayıt sisteminin hedef ve gösterge açısından performansın ölçülmesi ve raporlanması amacına uygun olduğu kanaatine varılmıştır.
2. KAMU İDARESİNİN SORUMLULUĞU Denetlenen kamu idaresi yönetimi, 5018 sayılı Kanun ve bu Kanun uyarınca yayımlanan Stratejik Plan, Performans Programı ve İdare Faaliyet Raporlarının hazırlanmasına ilişkin yönetmelik ve kılavuzlara uygun olarak hazırlanmış olan performans bilgisi raporlarının doğru ve güvenilir bilgi içerecek şekilde zamanında Sayıştay’a sunulmasından; bir bütün olarak sunulan bu raporların kamu idaresinin faaliyet ve işlemlerinin sonucunu tam ve doğru olarak yansıtmasından; kamu idaresinin amaç, hedef, gösterge ve faaliyetlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğundan; performans yönetimi ve faaliyet sonuçlarının ölçülmesine ilişkin sistemlerin amacına uygun olarak oluşturulmasından, etkin olarak işletilmesinden ve izlenmesinden; performans bilgisinin dayanağını oluşturan bilgi ve belgelerin denetime hazır hale getirilmesinden ve sunulmasından sorumludur.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Performans Denetim Raporu 47 3. SAYIŞTAYIN SORUMLULUĞU Sayıştay, denetimlerinin sonucunda hazırladığı raporlarla denetlenen kamu idarelerinin amaç, hedef, gösterge ve faaliyetlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek, kamu idaresinin raporladığı performans bilgisinin güvenilirliğine ilişkin değerlendirme yapmak, performans yönetimi ve faaliyet sonuçlarını ölçen sistemleri değerlendirmekle sorumludur. 4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI Denetimin dayanağı; 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu, 6085 sayılı Sayıştay Kanunu, genel kabul görmüş uluslararası denetim standartları ve Sayıştay ikincil mevzuatıdır. Denetimin amacı, bütçe hakkının gereği olarak kamu idarelerinin faaliyet sonuçları hakkında TBMM ve kamuoyuna güvenilir ve yeterli bilgi sunulması, kamu idarelerinin performansının değerlendirilmesi ile hesap verme sorumluluğu ve saydamlığın yerleştirilmesi ve yaygınlaştırılmasıdır. Denetim, kamu idaresinin faaliyet raporunda yer alan performans bilgilerinin ve bunları oluşturan kayıt ve belgelerin doğruluğu ve güvenilirliğine ilişkin denetim kanıtı elde etmek üzere; uygun denetim prosedürleri ve tekniklerinin uygulanması ile gerçekleştirilir. Bu çerçevede, Karamanoğlu Mehmetbey Üniversitesinin yayımladığı 2019-2023 dönemine ait Stratejik Plan, 2019 yılı Performans Programı ve 2019 yılı İdare Faaliyet Raporu incelenmiştir. 5. GENEL DEĞERLENDİRME 2019 yılı performans denetimi kapsamında Karamanoğlu Mehmetbey Üniversitesi'nin yayımladığı 2019-2023 dönemine ait Stratejik Plan, 2019 yılı Performans Programı ve 2019 yılı İdare Faaliyet Raporu incelenerek faaliyet sonuçlarının ölçülmesine yönelik olarak üretilen performans bilgisinin güvenilir olup olmadığı değerlendirilmiştir. Karamanoğlu Mehmetbey Üniversitesinin 2019-2023 dönemine ait Stratejik Planı incelendiğinde; Stratejik Planın zamanında yayımlandığı, mevzuatta belirtilen şekil ve içeriğe uygun olarak hazırlandığı görülmüştür. Kurum, Stratejik Planı hazırlarken amaçlarını üst

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Performans Denetim Raporu 48 politika belgelerine uygun şekilde belirlemiş ve hedeflerini de bu amaçları gerçekleştirecek şekilde tespit etmiştir. Aynı zamanda amaç ve hedeflerin ölçülebilir ve iyi tanımlanmış olduğu değerlendirilmiştir. Karamanoğlu Mehmetbey Üniversitesinin 2019 yılı Performans Programının mevcut olduğu, yasal süresi içinde yayımlandığı ve mevzuatta belirtilen şekil şartlarına uygun olduğu görülmüştür. Yapılan denetim sonucunda; Performans Programında yer alan performans hedeflerinin ve bunlara ilişkin belirlenen performans göstergelerinin amaç ve hedeflerle ilgili, ölçülebilir ve iyi tanımlanmış olduğu tespit edilmiştir. Karamanoğlu Mehmetbey Üniversitesi 2019 yılı Faaliyet Raporunun mevcut olduğu, zamanında yayımlandığı ve mevzuatta belirtilen şekil şartlarına uygun olduğu görülmüştür. Performans hedef veya göstergelerine ilişkin performans bilgisinin toplandığı, analiz edildiği, raporlandığı veri kayıt sisteminin kurulduğu, veri kayıt sisteminin faaliyet sonuçlarının ölçümüne ve değerlendirilmesine ilişkin unsurları kapsadığı görülmüştür. İncelenen veri kayıt sisteminin, hedef ve gösterge açısından performansın ölçülmesi ve raporlanması amacına uygun olduğu düşünülmektedir. Yapılan performans denetimi sonucunda; Karamanoğlu Mehmetbey Üniversitesinin performans yönetimi sistemini ilgili mevzuat hükümlerine ve iç kontrol sistemi ilkelerine uygun şekilde oluşturduğu sonucuna varılmıştır. 6. DENETİM BULGULARI Herhangi bir denetim bulgusu tespit edilmemiştir.

T.C. Sayıştay Başkanlığı Karamanoğlu Mehmetbey Üniversitesi 2019 Yılı Sayıştay Performans Denetim Raporu 49 T.C. SAYIŞTAY BAŞKANLIĞI 06520 Balgat / ANKARA Tel: 0 312 295 30 00; Faks: 0 312 295 48 00 e-posta: sayistay@sayistay.gov.tr http://www.sayistay.gov.tr