2019 - ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ.pdf

ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ 2019 Yılı Sayıştay Denetim Raporu Eylül 2020

İÇERİK ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ 2019 YILI SAYIŞTAY DÜZENLİLİK DENETİM RAPORU 1 ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ DÖNER SERMAYE İŞLETMESİ 2019 YILI SAYIŞTAY DÜZENLİLİK DENETİM RAPORU 41

ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ 2019 YILI SAYIŞTAY DÜZENLİLİK DENETİM RAPORU

İÇİNDEKİLER

1. KAMU İDARESİ HAKKINDA BİLGİ ...................................................................................................... 1
2. KAMU İDARESİNİN SORUMLULUĞU .................................................................................................. 7
3. SAYIŞTAYIN SORUMLULUĞU .............................................................................................................. 7
4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI .......................................................... 7
5. İÇ KONTROL SİSTEMİNİN DEĞERLENDİRİLMESİ ........................................................................ 8
6. DENETİM GÖRÜŞÜ ................................................................................................................................. 11
7. DENETİM BULGULARI .......................................................................................................................... 11

TABLOLAR LİSTESİ Tablo 1: Akademik Personel Kadroları Tablosu ........................................................................ 3 Tablo 2: İdari Personel Kadroları Tablosu ................................................................................. 3 Tablo 3: 2019 Yılı Bütçe Ödenekleri ve Bütçe Gider Gerçekleşmeleri Tablosu ....................... 5 Tablo 4: 2019 Yılı Bütçe Gelir Tahminleri ve Bütçe Gelir Gerçekleşmeleri Tablosu............... 5

KISALTMALAR TSE: Türk Standartları Enstitüsü YÖK: Yükseköğretim Kurulu

BULGU LİSTESİ B. Denetim Görüşünü Etkilemeyen Tespit ve Değerlendirmeler

1. Kiraya Verilen Hazine Taşınmazlarından Isınma Bedeli Alınmaması
2. Taşınmazların Cins Tashihi İşlemlerinin Tamamlanmaması
3. Kişisel Verileri Korunması Kanunu’nun Gereklerini Yerine Getirecek Kurumsal Altyapının Oluşturulmaması
4. Lisansı Olmayan Yazılımların Kullanılmasının Engellenmemesi
5. Bilgi Varlıkların Envanterinin Bulunmaması
6. Bilişim Sistemleri Yönetişim Kontrollerinin Yetersiz Olması
7. Dış Tedarikle Yürütülen Bilişim Hizmetlerine İlişkin Sözleşmelerin Bilgi Güvenliği Yönünden Yetersiz Olması
8. Bilişim Sistemlerinin Sürekliliğini Güvence Altına Alacak Kontrollerin Yetersiz Olması
9. Bilişim Varlıkları Üzerinde Gerçekleştirilecek Değişikliklerin Yönetimiyle İlgili Kural ve Uygulamaların Yetersiz Olması

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 1

1. KAMU İDARESİ HAKKINDA BİLGİ 1.1. Mevzuat ve Görevler Zonguldak Bülent Ecevit Üniversitesi 1992 yılında, 11.07.1992 tarih ve 21281 Sayılı Resmi Gazete'de yayımlanarak yürürlüğe giren 3837 Sayılı Kanunun 25’inci maddesiyle 2809 sayılı Yükseköğretim Kurumları Teşkilatı Kanununa eklenen Ek Madde 9 ile kurulmuştur. Üniversitenin örgüt yapısı, Yükseköğretim Kanunu ve Yükseköğretim Kurumları Teşkilat Kanununun üniversitelerin akademik ve idari örgütlenmesine ilişkin maddeleri ve ilgili yönetmelikler doğrultusunda fakülte, enstitü, yüksekokul, meslek yüksekokulu, koordinatörlük, araştırma ve uygulama merkezi ile Rektörlüğe bağlı bölümlerden oluşmuştur. Akademik ve idari birimlerin yönetimi ve yöneticilerin yetki ve sorumlulukları da aynı Kanunlar tarafından belirlenmiştir. Yükseköğretim ile ilgili amaç ve ilkeleri belirlemek ve bütün yükseköğretim kurumlarının ve üst kuruluşlarının teşkilatlanma, işleyiş, görev, yetki ve sorumlulukları ile eğitim-öğretim, araştırma, yayım, öğretim elemanları, öğrenciler ve diğer personel ile esasları bir bütünlük içinde düzenlemek amacıyla düzenlenen 2547 sayılı Yükseköğretim Kanunu 1981’den beri yürürlüktedir. 2547 sayılı Kanun’un 12’nci maddesinde Yükseköğretim Kurumlarının görevleri sayılmakta olup bu görevler sırasıyla; a. Çağdaş uygarlık ve eğitim - öğretim esaslarına dayanan bir düzen içinde, toplumun ihtiyaçları ve kalkınma planları ilke ve hedeflerine uygun ve ortaöğretime dayalı çeşitli düzeylerde eğitim - öğretim, bilimsel araştırma, yayım ve danışmanlık yapmak, b. Kendi ihtisas gücü ve maddi kaynaklarını rasyonel, verimli ve ekonomik şekilde kullanarak, milli eğitim politikası ve kalkınma planları ilke ve hedefleri ile Yükseköğretim Kurulu tarafından yapılan plan ve programlar doğrultusunda, ülkenin ihtiyacı olan dallarda ve sayıda insan gücü yetiştirmek, c. Türk toplumunun yaşam düzeyini yükseltici ve kamu oyunu aydınlatıcı bilim verilerini söz, yazı ve diğer araçlarla yaymak, d. Örgün, yaygın, sürekli ve açık eğitim yoluyla toplumun özellikle sanayileşme ve tarımda modernleşme alanlarında eğitilmesini sağlamak,

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 2 e. Ülkenin bilimsel, kültürel, sosyal ve ekonomik yönlerden ilerlemesini ve gelişmesini ilgilendiren sorunlarını, diğer kuruluşlarla işbirliği yaparak, kamu kuruluşlarına önerilerde bulunmak suretiyle öğretim ve araştırma konusu yapmak, sonuçlarını toplumun yararına sunmak ve kamu kuruluşlarınca istenecek inceleme ve araştırmaları sonuçlandırarak düşüncelerini ve önerilerini bildirmek, f. Eğitim - öğretim ve seferberliği içinde, örgün, yaygın, sürekli ve açık eğitim hizmetini üstlenen kurumlara katkıda bulunacak önlemleri almak, g. Yörelerindeki tarım ve sanayinin gelişmesine ve ihtiyaçlarına uygun meslek elemanlarının yetişmesine ve bilgilerinin gelişmesine katkıda bulunmak, sanayi, tarım ve sağlık hizmetleri ile diğer hizmetlerde modernleşmeyi, üretimde artışı sağlayacak çalışma ve programlar yapmak, uygulamak ve yapılanlara katılmak, bununla ilgili kurumlarla işbirliği yapmak ve çevre sorunlarına çözüm getirici önerilerde bulunmak, h. Eğitim teknolojisini üretmek, geliştirmek, kullanmak, yaygınlaştırmak, ı. Yükseköğretimin uygulamalı yapılmasına ait eğitim - öğretim esaslarını geliştirmek, döner sermaye işletmelerini kurmak, verimli çalıştırmak ve bu faaliyetlerin geliştirilmesine ilişkin gerekli düzenlemeleri yapmaktır. 1.2. Teşkilat Yapısı ve İnsan Kaynakları Kamu İdaresinin üst yöneticisi olan Rektör Cumhurbaşkanınca, dekanlar ise Yükseköğretim Kurulunca seçilmekte ve atanmaktadırlar. Üniversitenin akademik organı Senato olup Üniversite Yönetim Kurulu ise idari faaliyetlerde Rektöre yardımcı olmaktadır. Bilimsel özerkliğe ve kamu tüzelkişiliğine sahip olan Üniversite, 14 Fakülte, 4 Yüksekokul, 1 Devlet Konservatuarı, 9 Meslek Yüksekokulu, 3 Enstitü, 33 Araştırma ve Uygulama Merkezinden oluşan akademik yapısı ile 10 İdari Birim, 13 Koordinatörlük ve 1 Döner Sermaye İşletme Müdürlüğü’nden oluşan idari yapısıyla eğitim ve öğretim faaliyetini sürdürmektedir.
Üniversitede 1256 akademik personel, 1100 idari personel olmak üzere toplam 2356 personel görev yapmaktadır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 3 Tablo 1: Akademik Personel Kadroları Tablosu Unvan Dolu Boş Toplam Profesör 110 55 165 Doçent 103 80 183 Dr. Öğr. Üyesi 329 141 470 Öğretim Görevlisi 314 115 429 Okutman - - - Çevirici - - - Eğitim-Öğretim Planlamacısı - - - Araştırma Görevlisi 400 263 663 Uzman - - - Toplam 1256 654 1910 Tablo 2: İdari Personel Kadroları Tablosu Üniversitenin bağlı, ilgili ve ilişkili olduğu kurum ve idareler değerlendirildiğinde; Üniversitenin ilgili yıl bütçesi hazırlanıp Anayasa’nın 130’uncu maddesi uyarınca Yükseköğretim Kurulu tarafından tetkik edilerek onaylanmakta, Milli Eğitim Bakanlığına sunulmakta ve merkezi yönetim bütçesinin bağlı olduğu esaslara uygun olarak işleme tabi tutulup yürürlüğe konmaktadır. Yükseköğretim kurumlarının öğretimini planlamak, düzenlemek, yönetmek, denetlemek, yükseköğretim kurumlarındaki eğitim-öğretim ve bilimsel araştırma faaliyetlerini yönlendirmek bu kurumların kanunda belirtilen amaç ve ilkeler doğrultusunda kurulmasını, geliştirilmesini ve üniversitelere tahsis edilen kaynakların etkili bir biçimde kullanılmasını sağlamak ve öğretim elemanlarının yetiştirilmesi için planlama yapmak maksadı ile kurulan Yükseköğretim Kurulunun görev alanı içerisinde Zonguldak Bülent Ecevit Üniversitesi de bulunmaktadır. Sınıfı Dolu Boş Toplam Genel İdari Hizmetler 403 373 776 Sağlık Hizmetleri Sınıfı 465 305 770 Teknik Hizmetler Sınıfı 127 78 205 Avukatlık Hizmetleri Sınıfı 4 2 6 Yardımcı Hizmetler Sınıfı 99 19 118 Din Hizmetleri Sınıfı - 2 2 Eğitim Öğretim Hizmetleri Sınıfı 2 2 4 Toplam 1100 781 1881

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 4 Yükseköğretim Kurulu adına üniversiteleri, bağlı birimlerini, öğretim elemanlarını ve bunların faaliyetlerini gözetim ve denetim altında bulunduran Yükseköğretim Kuruluna bağlı Yükseköğretim Denetleme Kurulu, Kamu İdaresinin faaliyetlerini denetleme yetkisine sahiptir. Akademik bir organ olan Üniversitelerarası Kurulun üyeleri her üniversiteden bir rektör ve bir profesörün katılımından oluşmaktadır. Bu Kurulun görevleri 2547 sayılı Kanun’un 11’inci maddesiyle belirlenmiştir ve Zonguldak Bülent Ecevit Üniversitesi de Kurulun üyesidir. Zonguldak Bülent Ecevit Üniversitesi diğer üniversiteler gibi mali yönetim yapısı ve işleyişi, kamu bütçelerinin hazırlanması, uygulanması, mali işlemlerin muhasebeleştirilmesi ve raporlanması ve mali kontrole ilişkin olarak 5018 sayılı Kanun’un verdiği görev ve yetkiye istinaden başta Hazine ve Maliye Bakanlığı düzenlemeleri olmak üzere ilgili diğer kurumların düzenlemelerine tabidir. 1.3. Mali Yapı “Özel Bütçeli İdare” olarak 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun, 5436 sayılı Kanun’un 12’nci maddesi ile değiştirilmiş (II) sayılı cetvelinin (A) bölümünde sayılan Yükseköğretim Kurulu, Üniversiteler ve İleri Teknoloji Enstitüleri içerisinde yer alan Kamu İdaresi, Merkezi Yönetim Bütçe Kanunu ile verilen hazine yardımı ve öz gelirlerini kullanarak giderlerini finanse etmektedir. Kurumun 2019 yılı bütçesi 285.379.000,00 TL gelir ve 285.379.000,00 TL gider olarak hazırlanmıştır. Yıl içinde eklenen ve silinen ödenekler sonucunda toplam ödenek tutarı 308.962.581,83 TL olarak gerçekleşmiştir. 2019 yılı bütçe gideri 298.618.297,07 TL olarak gerçekleşmiş olup, gider bütçesi gerçekleşme oranı % 96,65’dir. Kurumun 2019 yılı bütçe ödenekleri ile bütçe gelir ve gider gerçekleşmeleri Tablo 3'te gösterilmiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 5 Tablo 3: 2019 Yılı Bütçe Ödenekleri ve Bütçe Gider Gerçekleşmeleri Tablosu Bütçe Giderinin Ekonomik Kodu Başlangıç Ödeneği (TL) Toplam Ödenek (TL) Gerçekleşme (TL) Gerçekleşme Oranı (%) 01-Personel Giderleri 201.310.000,00 202.139.600,00 199.333.436,72 98,61 02-Sosyal Güvenlik Kurumlarına Devlet Primi Giderleri 31.619.000,00 32.156.800,00 32.033.558,19 99,62 03-Mal ve Hizmet Alım Giderleri 18.383.000,00 26.955.331,83 24.607.245,42 91,29 04-Faiz Giderleri 0,00 0,00 0,00 - 05-Cari Transferler 9.117.000,00 9.471.250,00 8.230.090,35 86,90 06-Sermaye Giderleri 24.950.000,00 38.239.600,00 34.413.966,39 90,00 07-Sermaye Transferleri 0,00 0,00 0,00 - 08-Borç Verme 0,00 0,00 0,00 - 09-Yedek Ödenek 0,00 0,00 0,00 - TOPLAM 285.379.000,00 308.962.581,83 298.618.297,07 96,65 2019 yılı bütçe geliri 329.243.942,25 TL olarak gerçekleşmiş olup, gelir bütçesi gerçekleşme oranı % 115,37’dir. Kurumun 2019 yılı bütçe gelir tahminleri ve bütçe gelir gerçekleşmeleri Tablo 4'te gösterilmiştir. Tablo 4: 2019 Yılı Bütçe Gelir Tahminleri ve Bütçe Gelir Gerçekleşmeleri Tablosu Bütçe Gelirinin Ekonomik Kodu Bütçe Tahmini (TL) Gerçekleşme (TL) Gerçekleşme Oranı (%) 01-Vergi Gelirleri 0,00 24.224.648,21 - 03-Teşebbüs ve Mülkiyet Gelirleri 11.760.000,00 15.626.354,98 132,88 04-Alınan Bağış ve Yardımlar ile Özel Gelirler 262.676.000,00 278.352.750,00 105,97 05-Diğer Gelirler 10.943.000,00 11.097.944,87 101,42 06-Sermaye Gelirleri 0,00 0,00 - 08-Alacaklardan Tahsilat 0,00 0,00 - 09-Red ve İadeler (-) 0,00 57.755,81 - TOPLAM 285.379.000,00 329.243.942,25 115,37 Dönem faaliyet geliri 294.130.847,77 TL, faaliyet gideri ise 297.788.538,20 TL olan Üniversitenin, 2019 yılını 3.657.690,43 TL olumsuz faaliyet sonucu ile tamamladığı anlaşılmıştır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 6 Kamu İdaresi bütçesi içinde yer almayan Üniversite Döner Sermaye İşletmesi 2019 yılını 53.775.802,31 TL dönem zararı ile kapatmışken bir diğer bütçe dışı kaynak olan Sosyal Tesis İşletmesinin 2019 yılı karı ise 38.300,91 TL'dir. 1.4. Muhasebe ve Raporlama Sistemi 5018 sayılı Kanun’un 49’uncu maddesi gereğince genel yönetim kapsamındaki kamu idarelerinde uygulanacak muhasebe ve raporlama standartları, uluslararası standartlara uygun olarak Hazine ve Maliye Bakanlığı bünyesinde; Sayıştay Başkanlığı, Hazine ve Maliye Bakanlığı ve diğer ilgili kuruluş temsilcilerinin katılımıyla oluşturulacak olan Devlet Muhasebesi Standartları Kurulu tarafından belirlenmektedir. Dolayısıyla genel yönetim kapsamında olan üniversitelerin muhasebe ve raporlama standartları Kurul tarafından belirlenen kurallara tabidir. Kamu İdaresi ayrıca adı geçen Kanun’un 80’inci maddesinin Hazine ve Maliye Bakanlığına verdiği yetkiye istinaden Bakanlığın hazırladığı düzenlemelere tabi olup bu kapsamda çıkarılan Genel Yönetim Muhasebe Yönetmeliği’ndeki muhasebe ilkeleri ile hesap planını kullanmakta, mali tabloları hazırlamakta ve Merkezi Yönetim Muhasebe Yönetmeliği hükümlerine göre mali işlemlerini muhasebeleştirmektedir. “Kamu İdaresi Hesaplarının Sayıştaya Verilmesi ve Muhasebe Birimleri ile Muhasebe Yetkililerinin Bildirilmesi Hakkında Usul ve Esaslar”ın 5’inci maddesi gereğince hesap dönemi sonunda Sayıştaya gönderilmesi gereken defter, tablo ve belgelerden denetime sunulanlar aşağıda sayılmakta olup denetim bunlar ile Usul ve Esaslar’ın 8’inci maddesinde yer alan diğer belgeler dikkate alınarak yürütülüp sonuçlandırılmıştır.  Birleştirilmiş veriler defteri  Geçici ve kesin mizan  Bilanço  Kasa sayım tutanağı  Banka mevcudu tespit tutanağı  Alınan çekler sayım tutanağı  Menkul kıymet ve varlıklar sayım tutanağı  Teminat mektupları sayım tutanağı  Değerli kâğıtlar sayım tutanağı

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 7  İdare taşınır mal yönetimi ayrıntılı hesap cetveli ile idare taşınır mal yönetimi hesabı icmal cetveli  Bütçe giderleri ve ödenekler tablosu  Bütçe gelirleri ekonomik sınıflandırılması tablosu  Faaliyet sonuçları tablosu Denetim görüşü, kamu idaresinin tabi olduğu geçerli finansal raporlama çerçevesi kapsamındaki temel mali tabloları olan bilanço ve faaliyet sonuçları tablosuna verilmiştir. 2. KAMU İDARESİNİN SORUMLULUĞU Denetlenen kamu idaresinin yönetimi, tabi olduğu muhasebe standart ve ilkelerine uygun olarak hazırlanmış olan mali rapor ve tabloların doğru ve güvenilir bilgi içerecek şekilde zamanında Sayıştaya sunulmasından, bir bütün olarak sunulan bu mali tabloların kamu idaresinin faaliyet ve işlemlerinin sonucunu tüm önemli yönleriyle doğru ve güvenilir olarak yansıtmasından ve ister hata isterse yolsuzluktan kaynaklansın bu mali rapor ve tabloların önemli hata veya yanlış beyanlar içermemesinden; kamu idaresinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğundan; mali yönetim ve iç kontrol sistemlerinin amacına uygun olarak oluşturulmasından, etkin olarak işletilmesinden ve izlenmesinden, mali tabloların dayanağını oluşturan bilgi ve belgelerin denetime hazır hale getirilmesinden ve sunulmasından sorumludur. 3. SAYIŞTAYIN SORUMLULUĞU Sayıştay, denetimlerinin sonucunda hazırladığı raporlarla denetlenen kamu idarelerinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek, mali rapor ve tablolarının güvenilirliğine ve doğruluğuna ilişkin görüş bildirmek, mali yönetim ve iç kontrol sistemlerini değerlendirmekle sorumludur. 4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI Denetimlerin dayanağı; 6085 sayılı Sayıştay Kanunu, uluslararası denetim standartları, Sayıştay ikincil mevzuatı ve denetim rehberleridir. Denetimler, kamu idaresinin hesap ve işlemlerinin kanunlara ve diğer hukuki

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 8 düzenlemelere uygunluğunu tespit etmek ve mali rapor ve tablolarının kamu idaresinin tüm faaliyet ve işlemlerinin sonucunu doğru ve güvenilir olarak yansıttığına ilişkin makul güvence elde etmek ve mali yönetim ve iç kontrol sistemlerini değerlendirmek amacıyla yürütülmüştür. Kamu idaresinin mali tabloları ile bunları oluşturan hesap ve işlemlerinin doğruluğu, güvenilirliği ve uygunluğuna ilişkin denetim kanıtı elde etmek üzere yürütülen denetimler; uygun denetim prosedürleri ve tekniklerinin uygulanması ile risk değerlendirmesi yöntemiyle gerçekleştirilmiştir. Risk değerlendirmesi sırasında, uygulanacak denetim prosedürünün belirlenmesine esas olmak üzere, mali tabloların üretildiği mali yönetim ve iç kontrol sistemleri de değerlendirilmiştir. Denetimin kapsamını, kamu idaresinin mali rapor ve tabloları ile gelir, gider ve mallarına ilişkin tüm mali faaliyet, karar ve işlemleri ve bunlara ilişkin kayıt, defter, bilgi, belge ve verileri (elektronik olanlar dâhil) ile mali yönetim ve iç kontrol sistemleri oluşturmaktadır. Bu hususlarla ilgili denetim sonucunda denetim görüşü oluşturmak üzere yeterli ve uygun denetim kanıtı elde edilmiştir. 5. İÇ KONTROL SİSTEMİNİN DEĞERLENDİRİLMESİ İç kontrol sistemi, 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun Beşinci kısmında düzenlenmiştir. İç kontrol, idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünüdür. Görev ve yetkileri çerçevesinde, malî yönetim ve kontrol süreçlerine ilişkin standartlar ve yöntemler Hazine ve Maliye Bakanlığınca, iç denetime ilişkin standartlar ve yöntemler ise İç Denetim Koordinasyon Kurulu tarafından belirlenir, geliştirilir ve uyumlaştırılır. Bunlar ayrıca, sistemlerin koordinasyonunu sağlar ve kamu idarelerine rehberlik hizmeti verir. 31.12.2005 tarihli ve 26040 (3. Mükerrer) sayılı Resmi Gazete’de yayımlanan İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esaslar’ın 5’inci maddesinde, iç kontrol standartlarının, merkezi uyumlaştırma görevi çerçevesinde Hazine ve Maliye Bakanlığı tarafından belirlenip yayımlanacağı, kamu idarelerinin, malî ve malî olmayan tüm işlemlerinde

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 9 bu standartlara uymakla ve gereğini yerine getirmekle yükümlü bulunduğu, ayrıca Kanun’a ve iç kontrol standartlarına aykırı olmamak koşuluyla, idarelerce görev alanları çerçevesinde her türlü yöntem, süreç ve özellikli işlemlere ilişkin standartlar belirlenebileceği belirtilmiştir. Hazine ve Maliye Bakanlığı tarafından hazırlanarak 26.12.2007 tarihli ve 26738 sayılı Resmi Gazete’de yayımlanan Kamu İç Kontrol Standartları Tebliği ile kamu idarelerinde iç kontrol sisteminin oluşturulması, uygulanması, izlenmesi ve geliştirilmesi amacıyla 18 standart ve bu standartlar için gerekli 79 genel şart belirlenmiştir. 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu ve ilgili diğer mevzuat uyarınca, Silivri Belediyesi tarafından Kamu İç Kontrol Sisteminin oluşturulması, uygulanması, izlenmesi ve geliştirilmesi çalışmaları ile Belediyenin yönetim sorumluluğu kapsamında müdürlüklerle ortak çalışma yapılarak Kamu İç Kontrol Standartları Uyum Eylem Planı hazırlanmıştır. Bu kapsamda idarenin iç kontrol sistemleri değerlendirilmiştir. Buna göre, İç denetim birimi oluşturulmuştur. İç Denetim Başkanlığında üç (3) İç Denetçi görev yapmaktadır. Ancak İç denetim birimi tarafından iç kontrol sisteminin değerlendirilmesine yönelik bir çalışma mevcut değildir. Kamu Görevlileri Etik Davranış İlkeleri ile Başvuru Usul ve Esasları Hakkında Yönetmeliğin Ek 1’inde yer alan “Etik Sözleşmesini” Kurumda çalışan tüm personel tarafından imzalanmış ve bu sözleşmeler personelin özlük dosyasında yer almaktadır. Kurum organizasyon yapısı içerisinde görev, yetki ve sorumluluklar açık bir şekilde belirlenmiştir. Kurumda yetki devri ile ilgili yaygın çalışmalar mevcuttur. Yetki devri ve sınırlarının belirlendiği imza yetkilileri yönergesi oluşturulmuştur. Stratejik Plan, ilgili birimlerden temsilcilerin katılımı ile düzenlenen toplantılar ve karşılıklı veri akışı ile birlikte mevzuata uygun olarak hazırlanmıştır. İdarenin yürüteceği program, faaliyet ve projeleri ile bunların kaynak ihtiyacını, performans hedef ve göstergelerini içeren performans programı hazırlanmıştır. İdare, bütçesini stratejik plan ve performans programına uygun olarak hazırlamıştır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 10 Kurumsal Risk Yönetim çalışmalarına "Kurumsal Risk Strateji Belgesi" hazırlanarak 2019 yılında başlanılmış, ancak ilgili belge Üniversite Senatosu tarafından henüz onaylanmamıştır. Kurumsal düzeydeki risklerin belirlenmesi için herhangi bir çalışma yürütülmemiştir. Ön mali kontrol sistemi, İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esaslara uygun olarak kurulmuştur. İlgili mevzuat çerçevesinde, harcama yetkilisi ve muhasebe yetkilisi görevleri ayrı kişilere verilmiştir. Ön mali kontrol görevini yürüten kişiler, yasaklanan görevlerde görevlendirilmemiştir. Ön mali kontrol görevini yürüten kişiler ihale, muayene ve kabul komisyonlarında görevlendirilmemiştir. Kurumun tüm birimlerinde yapılan işlerin iş tanımları yapılmış ve bu işlerin iş akış şemaları çıkarılmıştır. Kurumda, yönetimin ihtiyaç duyduğu gerekli bilgi ve raporların bir kısmını üreten modüller kullanılmaktadır. Ancak bu modüller verilerin analizini yapma imkanı sunmamaktadır. Yönetim Bilgi Sistemi, henüz görevlerin yerine getirilmesinde aktif olarak kullanılan bir sistem olma yetkinliğini kazanmamıştır. Modüllerin güncelliğini sağlamak amacıyla, verilerin düzenli bir şekilde girilmesi konusunda tüm birimlere bilgilendirme yapılmaktadır. Verilerin doğruluğu ile ilgili ek güvence sağlamak amacıyla, tüm birimlerde harcama yetkililerine onay yetkisi tanınmıştır. Ancak verilerin doğruluğunu güvence altına almak için ek önlemlere ihtiyaç bulunmaktadır. İdare Faaliyet Raporunda amaç ve hedeflere, faaliyetlere ve faaliyet sonuçlarına, göstergelere ve değerlendirmelere yer verilmiştir. İç Kontrol İzleme ve Yönlendirme Kurulu üst yöneticinin onayı ile görevlendirilmiş ve bu görevlendirme 31.10.2019 tarihinde güncellenmiştir. Ancak; ilgili kurulun iç kontrol sisteminin değerlendirilmesi konusunda herhangi bir faaliyeti olmamıştır. İç Kontrol Standartlarına Uyum Eylem Planı 2009 yılında hazırlanmış, 2015 yılında standartları ve genel şartları sağlayacak şekilde revize edilmiştir. Kurumda, bilişim sistemleri bünyesinde kurulması gereken iç kontrollerle ilgili önemli hususlar tespit edilmiştir. Kurum üst yönetimiyle bilişim sistemlerini yöneten birim arasındaki ilişkinin, orta ve uzun vadeli stratejiler ve planlar ile gözetim ve denetim faaliyetleri çerçevesinde yürütülmesinde yetersizlik olduğu görülmüştür. Buna ek olarak, Kurum bilişim

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 11 sistemlerinde bulunan bilgi varlıklarına izinsiz ve yetkisiz şekilde erişilmesini, kullanılmasını, değiştirilmesini, açıklanmasını veya silinmesini önlemek amacıyla ihdas edilmesi gereken bilgi güvenliği kontrollerinde de önemli eksikler tespit edilmiştir. Bu hususlara raporun bulguları arasında yer verilmiştir. Sonuç olarak; kurumda etkin şekilde çalışan ve güvence sağlayan bir kontrol yapısına ulaşılabilmesi için; kurumsal risk yönetim çalışmalarının tamamlanması, bilişim sistemlerine ilişkin iç kontrollerin yeniden yapılandırılması, İç Denetim Birimi ile İç Kontrol İzleme ve Yönlendirme Kurulunun iç kontrol sisteminin değerlendirilmesine yönelik faaliyetlerde bulunması gerektiği tespit edilmiştir. 6. DENETİM GÖRÜŞÜ Zonguldak Bülent Ecevit Üniversitesi 2019 yılına ilişkin yukarıda belirtilen ve ekte yer alan, geçerli finansal raporlama çerçevesi kapsamındaki mali rapor ve tablolarının tüm önemli yönleriyle doğru ve güvenilir bilgi içerdiği kanaatine varılmıştır. 7. DENETİM BULGULARI Raporda yer alan bulgular, denetimler sonucunda tespit edilen hususlara kamu idaresi tarafından verilen cevapların değerlendirilmesi suretiyle düzenlenmiştir. A. DENETİM GÖRÜŞÜNÜN DAYANAKLARI Herhangi bir denetim bulgusu tespit edilmemiştir. B. DENETİM GÖRÜŞÜNÜ ETKİLEMEYEN TESPİT VE DEĞERLENDİRMELER BULGU 1: Kiraya Verilen Hazine Taşınmazlarından Isınma Bedeli Alınmaması Kurum tarafından kiraya verilen taşınmazlardan ısınma bedeli tahsil edilmediği görülmüştür. 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun “Hesap Verme Sorumluluğu” başlıklı 8'inci maddesinde;

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 12 “Her türlü kamu kaynağının elde edilmesi ve kullanılmasında görevli ve yetkili olanlar, kaynakların etkili, ekonomik, verimli ve hukuka uygun olarak elde edilmesinden, kullanılmasından, muhasebeleştirilmesinden, raporlanmasından ve kötüye kullanılmaması için gerekli önlemlerin alınmasından sorumludur ve yetkili kılınmış mercilere hesap vermek zorundadır.”, “Üst Yönetici” başlıklı 11’inci maddesinde “(…) Üst yöneticiler, ... sorumlulukları altındaki kaynakların etkili, ekonomik ve verimli şekilde elde edilmesi ve kullanımını sağlamaktan, kayıp ve kötüye kullanımının önlenmesinden, ... sorumludurlar. Üst yöneticiler, bu sorumluluğun gereklerini harcama yetkilileri, malî hizmetler birimi ve iç denetçiler aracılığıyla yerine getirirler.”, Hükümleri getirilmiş, “Malî hizmetler birimi” başlıklı 60'ıncı maddesinin (e) bendinde ise; “İlgili mevzuatı çerçevesinde idare gelirlerini tahakkuk ettirmek, gelir ve alacaklarının takip ve tahsil işlemlerini yürütmek”, malî hizmetler biriminin görevleri arasında sayılmıştır. 6098 sayılı Türk Borçlar Kanununun "Uygulama alanı" başlıklı 339'uncu maddesinde Kamu kurum ve kuruluşlarının, hangi usul ve esaslar içinde olursa olsun yaptıkları bütün kira sözleşmelerinde konut ve çatılı işyeri kiralarına ilişkin hükümlerin uygulanacağı belirtilmiştir. Aynı Kanun'un "Kullanım giderleri" başlığını taşıyan 341'inci maddesi şu şekildedir: "Kiracı, konut ve çatılı işyeri kiralarında, sözleşmede aksi öngörülmemişse veya aksine yerel âdet yoksa, ısıtma, aydınlatma ve su gibi kullanma giderlerine katlanmakla yükümlüdür. Giderlere katlanan taraf, bu giderleri ispat edici belgelerin birer örneğini, istem üzerine diğer tarafa vermek zorundadır." Hazine taşınmazlarının kiralanmasıyla ilgili hükümler, Devlet İhale Kanunu'nun “Tarihi ve bedii değeri olmayan taşınmaz mallarla ilgili işlemler” başlıklı 74'üncü maddesine dayanılarak çıkarılan Hazine Taşınmazlarının İdaresi Hakkında Yönetmelik ile düzenlenmiştir. Bu yönetmeliğin 70'inci maddenin 2'nci bendinde şu hükme yer verilmiştir:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 13 "Bu yerlerin elektrik, su, doğalgaz, ısınma tesisatı mümkünse binanın genel tesisatından ayrılır. Tesisatın teknik bakımdan müstakil hâle getirilmesinin mümkün olmaması hâlinde, tahmin edilen bedelin tespit ve takdirinde elektrik, su, doğalgaz ve ısınma giderleri de ayrıca belirlenir." Borçlar Kanunu ile yapılan düzenlemelerde sözleşmelerde aksine bir hüküm bulunmadığı veya yerel adet olmadığı durumda ısınma giderlerine kiracının katlanacağı açık şekilde ifade edilmiştir. Yani, kira sözleşmelerinde ısınma bedelinden bahsedilmemesi durumunda da bu bedel kiracı tarafından ödenecektir. Isınma bedelinin ödenmemesi için, bu bedelin ödenmeyeceğinin veya kiralayan tarafından karşılanacağının sözleşmede açık bir şekilde ifade edilmesi gerekmektedir. Hazine Taşınmazlarının İdaresi Hakkında Yönetmelik'te de kiraya verilen yerlerin bedeli ile ilgili iki seçenek bulunmaktadır: ya ısınma tesisatları müstakil hale getirilecektir, ya da ısınma giderlerine tahmin edilen bedelin içinde yer verilecektir. Isınma gideri, birinci şartın gerçekleşmesi durumunda kiracıdan ayrıca tahsil edilecek, ikinci şartın gerçekleşmesi durumunda da kira bedelinin bir parçası olarak tahsil edilecektir. Söz konusu mevzuatın bir arada değerlendirilmesi sonucunda, Kurum tarafından kiraya verilen taşınmazların ısınma giderlerinin, sözleşmelerde aksine açık hüküm bulunmadıkça kiracı tarafından ödenecği görülmektedir. Kurumda yapılan incelemede, kira sözleşmelerinin bir kısmında ısınma bedeli ile ilgili hükümlere yer verilmediği, bir kısmında ise sözleşmede hüküm yer almasına rağmen ısınma bedeli tahsilatında eksikler bulunduğu tespit edilmiştir. Isınma giderlerinin kiracı tarafından ödenmeyeceğine dair açık bir hükme hiçbir sözleşmede yer verilmemiştir. Yukarıda değinilen mevzuat hükümleri çerçevesinde, ısınma bedelinin, ya tesisatların ayrılması suretiyle hesaplanarak kiracılardan tahsil edilmesi, ya da tahmin edilen bedelin içine eklenerek kira bedeli ile birlikte alınması gerekmektedir. İki usulün de uygulanmaması suretiyle kiralanan mekânların ısınma bedellerinin Kurum tarafından karşılanması mevzuata aykırıdır. Kamu kaynaklarının etkili, ekonomik ve verimli bir şekilde kullanımını sağlamak amacıyla kurum tarafından kiraya verilen taşınmazların ısınma bedellerinin tahsil ve takip işlemlerinin ilgili mevzuat hükümlerine uygun şekilde yürütülmesi, eksik tahsil edilen ısınma bedellerinin tahsilatının tamamlanması gerekmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 14 BULGU 2: Taşınmazların Cins Tashihi İşlemlerinin Tamamlanmaması Kuruma ait bazı taşınmazların mevcut durumunun tapu kayıtlarıyla uyumlu olmadığı, dolayısıyla cins tashihi işlemlerinin tamamlanmadığı görülmüştür. Kurum ve kuruluşların mülkiyetinde, yönetiminde veya kullanımında bulunan taşınmazların kaydına ve icmal cetvellerinin düzenlenmesine ilişkin usul ve esaslar, Kamu İdarelerine Ait Taşınmazların Kaydına İlişkin Yönetmelik ile düzenlenmiştir. Bu Yönetmelik’in 4’üncü maddesinin b bendinde; binalar, arazi ve arsalar ile yer altı ve yer üstü düzenlerinin mevcut kullanım şekilleri ile tapu kayıtlarının farklılık göstermesi durumunda tapu kayıtlarının mevcut kullanım şekli dikkate alınarak düzeltilmesi işleminin cins tashihi olarak adlandırıldığı belirtilmiştir. Söz konusu yönetmeliğin “Cins tashihlerinin yapılması” başlıklı 10’uncu maddesinin 1’inci bendinde, kamu idarelerinin mülkiyet, yönetim veya kullanımlarında bulunan taşınmazların mevcut kullanım şekli ile tapu kayıtlarının birbirine uygun olmaması durumunda, taşınmazların mevcut kullanım şekli ile kayıtlara alınacağı ve kamu idarelerinin, taşınmazlarının cins tashihinin yapılması için gerekli işlemleri yapacakları belirtilmiştir. Yine aynı maddede cins tashihinin, taşınmazın maliki durumunda olan kurumlar tarafından kullanıcı konumunda olan kurumların yazısı üzerine yapılacağı; taşınmazın bizzat malik kurum tarafından kullanılması durumunda ise, bu kurum tarafından tüm işlemlerin yerine getirileceği, hüküm altına alınmıştır. Aynı Yönetmelik’in “Kayıt değişikliği işlemleri” başlıklı 11’inci maddesinde ise kayıt değişikliği işlemlerinin nasıl yapılacağı maddeler halinde açıklanmıştır. Ancak, Üniversite yerleşkesi içerisinde ve ilçelerde yer alan ve üzerine bina yapılmış olan bazı taşınmazların mevcut durumunun tapu kayıtlarında halen tarla veya arsa olarak gösterildiği, dolayısıyla tapu kayıtlarının fiili durumu yansıtmadığı tespit edilmiştir. Söz konusu sorunu çözmek amacıyla Kurum, 2019 yılı içinde hizmet alımı ihalesine çıkmış, ancak ilk ihalenin iptal edilmesi, ikinci ihaleye de katılan olmaması sebebiyle hedeflenen çalışmalar yapılamamış ve cins tashihi işlemi tamamlanmamıştır. Kurumun kullanımında ve yönetiminde bulunan arazi ve arsalar ile binaların cins tashihi işlemlerinin ilgili mevzuat hükümleri çerçevesince tamamlanması gerekmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 15 BULGU 3: Kişisel Verileri Korunması Kanunu’nun Gereklerini Yerine Getirecek Kurumsal Altyapının Oluşturulmaması Kurum’un, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na uyum göstermek için kapsamlı bir çalışma yürüttüğü, ancak altyapı niteliğinde olan beş hususta yetersizlikler olduğu tespit edilmiştir. a. Kişisel Verilere Kimlerin Erişim Sağlamaya Yetkili Olduğunun Belirlenmemesi 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde kişisel verilere erişim ve işleme yetkisini haiz olacak “Veri İşleyenlerin” henüz belirlenmediği ve ilgili iş süreçlerinin tanımlanmadığı görülmüştür. Kişisel Verilerin Korunması Kanunu’nun “Tanımlar” başlıklı 3'üncü maddesinde kişisel verilerle ilgili sorumlu kişiler şu şekilde tanımlanmıştır: "Bu Kanunun uygulanmasında (…) ğ) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi (…) ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade eder" Yürütülen çalışmalar kapsamında; Kurum’da Genel Sekreter Yardımcısı’nın veri sorumlusu olarak görevlendirildiği, ancak, veri işleyenlerin henüz görevlendirilmediği görülmüştür. Kanun’a uyum çalışmanın ilk aşaması olması gereken, Kuruma ait bilişim sistemlerinde yer alan kişisel verilere halihazırda hangi personelin erişim sağladığı da henüz tespit edilmemiştir. İlgili mevzuata uyumun sağlanabilmesi amacıyla;  Kurum’da kişisel veri işlemekle ilgili yetkilendirme, yetkiyi kaldırma ve yetki kullanımını izleme süreçlerinin belirlenmesi,  Kişisel verilere halihazırda erişim sağlayan personelin belirlenmesi,

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 16  Bu personelin Veri İşleyen olarak görevlendirilmesi veya kişisel verilere erişim yetkilerinin kaldırılması, gerekmektedir. b. Kişisel Veri Envanterinin ve İlgili İş Süreçlerinin Oluşturulmaması 2016 yılında kabul edilen Kişisel Verilerin Korunması Kanunu’na uyum için öngörülen iki yıllık süre dolmasına rağmen, kişisel veri envanterinin oluşturulmadığı; Kurum bünyesinde tutulması gereken kişisel verilerin ve bu verilerin işlenmesine ilişkin kurumsal süreçlerin henüz belirlenmediği görülmüştür. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4'üncü maddenin 1'inci bendi "Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir." hükmünü getirmiştir. Kanun’un 5’inci maddesi kişisel verilerin işlenme şartlarını, 6’ncı maddesi özel nitelikli kişisel verilerin işlenme şartlarını, 7’nci maddesi kişisel verilerin aktarılmasını, 9’uncu maddesi de kişisel verilerin yurt dışına aktarılmasını düzenlemektedir. Bu maddelerde yer alan hükümlerin tatbik edilebilmesi, kişisel verilerin envanterinin çıkarılmasına bağlıdır. Kurumlar, öncelikle ellerinde hangi kişisel veriler olduğunu belirlemeli, bunun ardından bu verilerin işlenme, aktarım, muhafaza ve silinmesine ilişkin süreçleri yürütmelidir. Söz konusu kanuna dayalı olarak çıkarılan ve 01/01/2018 tarihinde yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmelik’in “Tanımlar” başlıklı 4’üncü maddesinin (h) bendinde “kişisel veri işleme envanteri” şu şekilde tanımlanmaktadır: “Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,” İlgili Yönetmelik’in “İlke, usul ve esaslar” başlıklı 5’inci maddesinin (ç) bendinde şu hükme yer verilmiştir:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 17 “Sicile kayıtla yükümlü olan veri sorumluları, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır.” Söz konusu envanter hazırlama yükümlülüğü, veri sorumlularının sicile kayıt olmalarından önce, 6698 sayılı Kanun’da öngörülen iki yıllık süre içinde tamamlanması gereken bir yükümlülüktür. Ancak yapılan incelemelerde kişisel veri envanterinin oluşturulmadığı, bu çerçevede aşağıda belirtilen hususların yerine getirilmediği tespit edilmiştir:  Kurum bilişim sistemlerinde halihazırda tutulan kişisel verilerin neler olduğu, bu verilerin ne zaman ve kimlerden toplandığı, ne şekilde kullanıldığı ve depolandığı belirlenmemiştir,  Kurumda tutulması gereken kişisel verilerin neler olduğu ve halihazırda tutulan verilerden silinmesi gerekenler olup olmadığı belirlenmemiştir,  Kişisel verileri işleme amaçları ve hukuki sebepleri tanımlanmamıştır,  Kişisel verilerin muhafaza süreleri belirlenmemiştir,  Kişisel verilerin güvenliğine ilişkin alınması gereken önlemler belirlenmemiştir,  Kişisel verilerin Kurum dışına ve yurt dışına aktarılması koşulları tanımlanmamıştır,  Kişilerin rızasının alınma ve bilgilendirme yöntemleri tanımlanmamıştır,  Yukarıdaki hususlara ilişkin kurumsal süreçler belirlenmemiştir.  Kurum bünyesinde kişisel verileri ve ilgili süreçleri yönetecek altyapı kurulmamıştır; kişisel veri envanterini muhafaza edecek ve ilgili kurumsal süreçleri yönetecek yazılımlar bulunmamaktadır. İlgili mevzuata uyumun sağlanabilmesi amacıyla, kişisel veri envanterinin ve ilgili süreçlerin ivedilikle oluşturulması ve bu hususlara ilişkin gerekli iç düzenlemelerin yapılması gerekmektedir. c. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi İşlemlerinin Yapılmaması

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 18 Kurumda, kişisel verilerin veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hale getirilmesi işlemlerinin yapılmadığı görülmüştür. Kişisel Verilerin Korunması Kanunu’nun “Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi” başlıklı 7’nci maddesinde şu hükümlere yer verilmiştir: “(1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. (2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır. (3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.” Söz konusu Kanun hükmü çerçevesinde çıkarılan ve 01/01/2018 tarihinde yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 1’inci maddesine göre; “Bu Yönetmeliğin amacı, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.” Yönetmeliğin “Kişisel veri saklama ve imha politikasına ilişkin esaslar” başlıklı 5’inci maddesi ile Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlü tutulmuşlardır. Yönetmeliğin 6’ncı maddesinde bu politikanın içeriğinde yer alması gereken asgari hususlar tespit edilmiştir. Yönetmeliğin diğer hükümlerinde kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi işlemleri tanımlanmış ve bu işlemler için zorunlu süreler belirlenmiştir. Kurumda, kişisel verilerin işlenmesine ilişkin şartlar ortadan kalkmasına rağmen kişisel verilerin veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hale getirilmesi işlemlerinin yapılmadığı görülmüştür.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 19 Kurumda kişisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine ilişkin süreç ve kuralların ivedilikle belirlenmesi ve uygulamaya geçilmesi gerekmektedir. ç. Kişisel Verilere İlişkin Olarak Tutulan Erişim Kayıtlarının ve Bu Kayıtların Korunması İçin Alınan Önlemlerin Yetersiz Olması Kurumda, bilişim ortamında kişisel verilere erişime ilişkin olarak tutulması gereken kayıtların (logların) tanımlanmadığı ve tutulan kayıtlara erişimin izlenmesi için yeterli önlem alınmamış olduğu görülmüştür. Kişisel Verilerin Korunması Kanunu’nun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12’nci maddesinde şu hükümler yer almaktadır: “(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır (…) (3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.” Söz konusu kanun maddesi, veri sorumlusuna kişisel verilerin ne tür işlemlere tabi tutulduğunun kapsamlı şekilde izlenmesi yükümlülüğünü getirmektedir. Bu izlemenin yapılabilmesi için, kişisel verileri işlemek veya depolamak için kullanılan bilgisayar programları tarafından oluşturulan erişim kayıtları (loglar) temel bilgi kaynağı konumundadır. Bu kayıtlar, kişisel verilere kimin, hangi uygulamadan ve ne zaman eriştiğini gösteren kayıtlardır. Veri Sorumluları Sicili Hakkında Yönetmelik’in “Tanımlar” başlıklı 4’üncü maddesinin (h) bendinde tanımlanan “kişisel veri işleme envanteri”nin sağlıklı bir şekilde çalışabilmesi de erişim kayıtlarının düzenli bir şekilde tutulmasına, güvenli bir ortamda ve erişilebilir bir formatta saklanmasına ve bu kayıtlara erişimin yönetilmesine bağlıdır. Bu çerçevede Kurum’da yürütülen çalışmalar kapsamında şu hususlar tespit edilmiştir:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 20  Kişisel verilerin işlenmesinin izlenmesine ilişkin gözetim ve denetim süreçleri tanımlanmamıştır.  Yazılımlar tarafından tutulan/yönetilen/erişilen kişisel veriler kategorize edilmemiş; hangilerinin “kişisel veri” veya “özel nitelikli kişisel veri” niteliği taşıdığı tanımlanmamış, dolayısıyla hangi kişisel verilerin kritik nitelikte olduğu belirlenmemiştir,  Kritik nitelikteki kişisel verilere erişimi izlemek için yazılımlar tarafından tutulması gereken erişim kayıtları belirlenmemiştir, Kişisel verilerin korunmasıyla ilgili mevzuata uyum sağlanabilmesi amacıyla, kişisel verilerin bilişim ortamında ne tür işlemlere tabi tutulduğunun izlenmesi için gerekli gözetim ve denetim süreçlerinin tanımlanması, kişisel verilere erişim kayıtlarının belirlenmesi ve tutulması gerekmektedir. d. Kişisel Verileri İşleyen Yüklenicilerle İmzalanan Sözleşme Hükümlerinin Yetersiz Olması Kurumda hizmet alımı yöntemiyle yürütülen bilişim hizmetleri çerçevesinde yüklenicilerle yapılan sözleşmelerin, Kişisel Verilerin Korunması Kanunu’nun gereklerinin yerine getirilmesi açısından yetersiz kaldığı tespit edilmiştir. Kişisel Verilerin Korunması Kanunu’nun “Tanımlar” başlıklı 3’üncü maddesinde şu tanımlara yer verilmiştir: “(…) ğ) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi, h) Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini (…) ifade eder.” Söz konusu Kanun’un “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12. maddesi şu şekildedir; “(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 21 b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır (2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. (3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır (…)” Kurumun öğrenci ve personel bilgi sistemleri ile ilgili hizmetlerinin, hizmet alımı yöntemiyle yükleniciler tarafından yerine getirildiği görülmüştür. Yürütülen işlerin niteliği gereği bu sistemlerde önemli miktarda kişisel veri bulunmaktadır. Yüklenici, kendi personeli aracılığıyla, kişisel verilerin tutulduğu veri tabanını yönetmekte ve kişisel verilere erişebilmektedir. Dolayısıyla yüklenici 6648 sayılı Kanun’da tanımlanan “veri işleyen” konumunda bulunmaktadır. Kanun’un 12’nci maddesinde kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde sorumluluğun müşterek olduğu açıkça belirtilmiştir. İlgili maddede veri sorumlusunun veri işleyenler üzerindeki denetim yetkisi de tanımlanmıştır. Bu durumda, kişisel verilerin yönetilmesi bakımından bir veri işleyen olarak yüklenicinin sorumluluklarının ve denetim gibi Kanun’un zorunlu kıldığı süreçlerin nasıl yürütüleceğinin taraflar arasında yapılan sözleşmeler çerçevesinde tanzim edilmesi gereklidir. Ancak, Kurum tarafından imzalanan sözleşmelerde 6648 sayılı Kanun ve ilgili alt düzenlemelerde aranan birçok hususun eksik bırakıldığı tespit edilmiştir. Bu hususların eksikliği, kişisel verilerin işlenmesi süreçlerinde mevzuata aykırılıklara ve önemli risklerin açığa çıkmasına sebep olmaktadır. Tespit edilen önemli hususlar şunlardır:  İlgili yazılımlar tarafından hangi kişisel verilerin işleneceği sözleşmelerde açıkça tanımlanmamıştır. Sonradan ortaya çıkan haller çerçevesinde kaydedilmesi

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 22 gerekebilecek kişisel verilerin tanımlanması ve yükleniciye bildirilmesine ilişkin süreç belirlenmemiştir. (6648, madde 5),  Yazılımlar tarafından işlenen kişisel verilere ilişkin aydınlatma yükümlülüğünün ve açık rızanın alınması süreçlerinin Kurum gözetiminde ilgili yazılımlar tarafından yürütülmesi temin edilmemiştir (madde 5 ve 10),  Özel nitelikli kişisel verilerin ilgili yazılımlar tarafından hiçbir şekilde kaydedilmemesi güvence altına alınmamıştır (madde 6),  Kişisel verilerin Kurum tarafından belirlenecek koşullar çerçevesinde yüklenici tarafından silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin süreçler tanımlanmamıştır (madde 7),  Kişisel verilerin, ilgili kişilerin ve Kurum’un açık izni alınmadan Kurum dışına veya yurt dışına aktarılması kısıtlanmamıştır (madde 8 ve 9),  İlgili kişilerin kişisel verilerine ilişkin taleplerinin yerine getirilme süreçleri ve süreleri tanımlanmamıştır (madde 11),  İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde işletilecek süreçler tanımlanmamıştır (madde 12),  Veri güvenliğine ilişkin teknik ve idari şartlar tanımlanmamıştır (madde 12),  Kurum’un, veri güvenliğine ve kişisel verilerin işlenmesine ilişkin olarak, kendi uygun göreceği vakitte bizzat kendi elemanları veya görevlendireceği kişiler aracılığıyla denetim ve gözetim yetkisine sahip olduğu belirtilmemiştir (madde 12),  Kişisel verilere ilişkin genel hükümlerin ihlal edilmesi veya yüklenicinin ihmali dolayısıyla Kurum’un veya Kurum çalışanlarının bir cezai müeyyide ile karşılaşması durumunda yükleniciye uygulanacak müeyyideler tanımlanmamıştır (madde 17 ve 18).  Kişisel verilere ilişkin olarak sözleşmelerde yer verilecek hükümlerin ihlalinin Kurum tarafından sözleşmenin askıya alınması veya feshedilmesi sebeplerinden biri olacağı belirtilmemiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 23  Hizmet akdinin sona ermesi veya sözleşmenin feshedilmesi durumunda kişisel verilerin yok edilmesi yükümlülüğünün nasıl yerine getirileceği ve buna ilişkin süreçler tanımlanmamıştır. Hizmet alımı yöntemiyle yürütülen işlerde kişisel verilerin mevzuata uygun şekilde işlenmesine özel önem verilmelidir. Bu amaçla, kişisel verilerin kullanımıyla ilgisi olan yürürlükteki tüm sözleşmelerin gözden geçirilmesi, mevzuata uygun olacak şekilde tadil edilmesi ve yeni sözleşmelerin yapılmasında yukarıda belirtilen hususlara dikkat edilmesi gerekmektedir. Sonuç olarak; Kurum’da Kişisel Verilerin Korunması Kanunu’na uyum amacıyla yürütülen çalışmaların amacına ulaşabilmesi için, veri envanterinin oluşturulması, ilgili iş süreçlerinin yetkilendirme, güvenlik ve gözetime ilişkin kontrolleri içerecek şekilde ihdas edilmesi ve yükleniciler tarafından yürütülen çalışmaların mevzuata uygunluğunun sağlanması gerekmektedir. BULGU 4: Lisansı Olmayan Yazılımların Kullanılmasının Engellenmemesi Kurum bilgisayarlarında, kullanıcılar tarafından indirilerek yüklenmiş olan çok sayıda lisanssız program kullanıldığı, mevzuata aykırı olan bu durumun bilişim sistemlerini saldırıya açık hale getirdiği belirlenmiştir. Fikir ve sanat eserleri üzerinde sahiplerinin mali ve manevi menfaatleri, 5846 sayılı Fikir ve Sanat Eserleri Kanunu dairesinde himaye görmektedir. Söz konusu Kanun'un 2'nci maddesi ile bilgisayar programları korumaya tabi ilim ve edebiyat eserleri arasında sayılmıştır. Kanun, lisanslı yazılımlar (bilgisayar programları) üzerindeki mali haklarla bu hakların ihlali halinde uygulanacak müeyyideleri de belirlemektedir. Söz konusu Kanun'la, belirli bir lisansı olan ücretli yazılımların lisanssız kopyalarının indirilmesi ve kullanılması yasaklanmış ve müeyyidelere bağlanmıştır. Lisanslı Yazılım Kullanılması hakkındaki 2008/17 sayılı Başbakanlık Genelgesi ile kamu kurulumlarında bilgisayar programlarının edinilmesine ilişkin esaslar düzenlenmiştir. Söz konusu Genelge, kurumların ihtiyaç duydukları lisans sayısının karşılığının bütçede gösterilmesi gerektiğini belirtmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 24 Buna ek olarak Genelge'de, lisanssız yazılımlarının bulundurulması ve kullanımının önlenmesi maksadıyla kamu kurumları tarafından yapılacak çalışmalar şu şekilde belirlenmiştir: "Lisanssız yazılımlarının bulundurulması ve kullanımının önlenmesi maksadıyla kamu kurum ve kuruluşları;  Lisans hakları kamu kurum ve kuruluşuna ait olmayan tüm programların, bilgisayar ve medyalardan silinmesi ve lisanslı olanların temin edilmesi, (…)  Lisans sicili oluşturularak kurumun sahip olduğu yazılım ve lisansların takip edilmesi,  Kullanılan yazılımların yasal olarak kurum tarafından sağlanmış orijinaller olup olmadığının ve yazılım siciline uygunluğunun belirli aralıklarla denetlenmesi, (…) hususlarında gereken tedbirleri alacaklardır." Yapılan incelemede, bilgi işlem birimi tarafından kurulumu yapılan bilgisayarlara sadece lisanslı yazılımların yüklendiği görülmüştür. Ancak kullanıcıların kendilerine tahsis edilen kurumsal bilgisayarlara yazılım yüklemeleri kısıtlanmamıştır. Yapılan incelemeler sonucunda, bilgisayarlara kullanıcılar tarafından indirilen çok sayıda lisanssız yazılım kullanıldığı belirlenmiştir. Lisanssız yazılım kullanımı, kurumu, kötü amaçlı yazılım, fidye yazılımı, casus yazılım, virüs vb. birçok güvenlik tehdidi ile karşı karşıya bırakmaktadır. İnternet üzerinden temin edilen lisanssız yazılımların bünyesinde genellikle kötü amaçlı yazılımlar barınmaktadır. Kullanıcılar, bu yazılımları indirmekle kendi kullandıkları bilgisayarları, bu bilgisayarların bağlı bulunduğu sistemleri, sistemlerde yer alan verileri ve diğer kullanıcıları, dolayısıyla Kurumun bilişim sistemlerinin tamamını risk altına sokmaktadır. Kurumda yürütülen çalışmalarda şu hususlar tespit edilmiştir:  Lisanssız yazılım kullanımı önemli bir güvenlik ihlali olarak değerlendirilmemektedir,  Kurum personeli lisanssız yazılım kullanımı ile ilgili riskler hakkında yeterli bilgiye sahip bulunmamaktadır,  Kuruma ait bilgisayarlara lisanssız yazılım yüklenmesi, iç düzenlemeler ve teknik kontroller ihdas edilmek suretiyle önlenmemiştir,

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 25  Kurumsal bilgisayarların taranması suretiyle lisanssız yazılımların tespit edilip kaldırılmasına yönelik bir çalışma yürütülmemektedir,  Lisanssız yazılım kullandığı tespit edilen personel hakkında ilgili mevzuat hükümleri işletilmemektedir,  Lisansı bulunmayan yazılımlar arasında kurumsal ve akademik çalışmaların devam ettirilmesi için kullanılması gerekli olanların olup olmadığı tespit edilmemiştir, dolayısıyla bu ihtiyaçların bütçelendirilmesi veya alternatiflerinin aranması sağlanmamaktadır. Bu çerçevede Kurum’da yürütülen işlerin aksamasını önlemek ve mevzuata uyumu temin etmek amacıyla, Kurum bünyesinde lisanssız program kullanımının engellenmesi gerekmektedir. Maliyeti kısa süre içinde karşılanamayacak ve kullanımı gerekli görülen yazılımlarla yürütülen işlerin aksamaması, aynı zamanda mevzuata uyumun sağlanması için orta ve uzun vadeli planlar hazırlanması değerlendirilmelidir. BULGU 5: Bilgi Varlıkların Envanterinin Bulunmaması Kurumun, maddi olmayan duran varlıklar kapsamına girmeyen bilgi varlıklarını izlemek için kullandığı kendine ait bir envanter sisteminin bulunmadığı tespit edilmiştir. Bilgi varlıkları mali yönden ölçülebilir olup olmamalarına göre kabaca iki ana gruba ayrılabilmektedir; maddi olmayan duran varlıklar ve diğer bilgi varlıkları.

1. Mali yönden ölçülebilir bilgi varlıklarının tespit edilmesi ve Kurum muhasebesinde mevzuata uygun şekilde kayıt altına alınması gerekmektedir. Bu tür varlıklar muhasebe düzenlemelerinde Maddi Olmayan Duran Varlıklar altında tanımlanmıştır. Bilgi varlıklarından fiyatlandırılabilir ve ölçülebilir nitelikte olan patentler, telif hakları, lisanslar, yazılımlar ve benzeri nitelikteki diğer haklar bu kategori altında yer alır.
2. Bilgi varlıklarının ölçülebilir nitelikte olmayan diğer kısmı ise, yükseköğretim kurumları tarafından üretilen ve maddi olmayan duran varlık kapsamına girmeyen, fiyatlandırılamayan diğer bilgi varlıklarıdır. Kurum bünyesinde yapılan çalışmalarda, maddi olmayan duran varlıklar dışında kalan diğer bilgi varlıklarının mevzuatta yer alan hükümleri yerine getirecek şekilde bir envantere kaydedilmediği ve izlenmediği görülmüştür.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 26 Bilgi üretmek ve bu bilgiyi yeni nesillere aktarmak yükseköğretim kurumlarının temel varlık sebebidir. 2547 sayılı Yüksek Öğretim Kanunu’nun 3’üncü maddesinde üniversite ve fakülteler; “eğitim - öğretim, bilimsel araştırma ve yayın yapan”, enstitüler de; “eğitim - öğretim, bilimsel araştırma ve uygulama yapan” kurumlar olarak tanımlanmışlardır. 2547 Sayılı Yükseköğretim Kurumları Kanunu’nun “Bilimsel denetim” başlıklı 42’nci maddesi, Kurum’da görevli tüm öğretim elemanları tarafından üretilen bilginin arşivlenmesini amirdir: “Kurumlariçi Bilimsel Denetim: (…) c. Her öğretim elemanı, bilimsel araştırmalarının, yayınlarının ve verdiği dersleriyle yönettiği seminerlerin ve uygulamaların listesini, yurt içinde ve dışında yapılan bilimsel kongrelerdeki tebliğlerin birer örneğini, bağlı bulunduğu birim yöneticisinin aracılığıyla rektörlüğe sunmak zorundadır. Yayımlanmayan eserlerin daktilo ile yazılmış birer kopyası verilir. 5846 sayılı Fikir ve Sanat Eserleri Kanununun eser sahibine tanıdığı haklar saklıdır. d. Öğretim elemanlarının bilimsel yayınları için üniversitelerde ve Yükseköğretim Kurulunda özel arşiv tutulur.” Söz konusu Kanun’un “Ders kitapları ve eğitim-öğretim araçlarının basılıp çoğaltılması” başlıklı 48’inci maddesinde de eğitim için kullanılan materyale ilişkin hükümlere yer verilmiştir. “Üniversitelerde ders kitapları, bilgisayar ve elektronik ortamlarda hazırlanan eğitim- öğretim ve uzaktan öğretim ilkelerine göre oluşturulan her türlü materyal ilgili üniversite veya Yükseköğretim Kurulu tarafından hazırlanır ve hazırlattırılır (…) bunlar ilgili üniversite tarafından basılır, bastırılır veya çoğaltılır (…)” Üniversiteler Yayın Yönetmeliği’nde, ders aracı olarak kullanılan kitaplar ve teksirlerle yardımcı ders kitapları ile ilgili yayınlar hakkında, ilgili eserlerin incelenmesi, telif ücreti, yayın hakkı gibi hususlar hükme bağlanmıştır. Yönetmeliğin 14’üncü maddesi ile Üniversiteler, yayınladıkları her türlü yayının kopyalarını muhafaza etmekle yükümlü tutulmuşlardır. Yükseköğretim Kurumları Bilimsel Araştırma Projeleri Hakkında Yönetmelik’in “Telif hakları” başlığını taşıyan 18’inci maddesinde, bu projelerden elde edilen bilimsel sonuçların Üniversitelere ait olduğu belirtilmiştir:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 27 “(1) Bilimsel araştırma projeleri birimi tarafından desteklenen projelerden elde edilen bilimsel sonuçların telif hakkı ilgili yükseköğretim kurumuna aittir. Bilimsel yayın, kitap ve benzeri eserlerin telif hakları yükseköğretim kurumunun yönetim kurulu kararı ile kısmen veya tamamen eser sahiplerine devredilebilir (…)” Üniversitelerde Ders Aracı Olarak Kullanılan Kitaplar, Teksirler ve Yardımcı Ders Kitapları Dışındaki Yayınlarla İlgili Yönetmelik ile Üniversiteler bünyesinde üretilen bilgi varlıklarının dergi, bülten ve diğer yöntemlerle yayım ve telif esasları belirlenmiştir. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” adını taşıyan TSE standardının "Varlık envanteri" başlıklı 8.1.1 numaralı bölümünde tanımlanan kontrol, özellikle bilgi üretim kurumları olan Üniversiteler için anlamlıdır: “Bilgi ve bilgi işleme tesisleri ile ilgili varlıklar belirlenmeli ve bu varlıkların bir envanteri çıkarılmalı ve idame ettirilmelidir.” Yukarıda tanımlanan mevzuat, Kuruma, kamu kaynakları kullanılarak kendi bünyesinde üretilen bilgileri izleme ve kaydetme yükümlülüğü getirmektedir. Bu yükümlülük, yayınlanmış olmasına bakılmaksızın; (i) öğretim elemanları tarafından bireysel olarak üretilen, (ii) derslerin yürütülebilmesi amacıyla kullanılan ve (iii) kamu kaynaklarıyla finanse edilen projeler vasıtasıyla üretilen tüm bilgi varlıklarını kapsamaktadır. Ancak, mevcut durumda söz konusu bilgi varlıklarının üniversite bünyesinde bir envanterinin bulunmadığı görülmüştür. Kurum bünyesinde yürütülen akademik çalışmalar sonucunda üretilen tezler, Yükseköğretim Kurumu tarafından tutulan ve kamuya açık online bir hizmet olan Ulusal Tez Merkezi aracılığıyla erişime sunulmaktadır (https://tez.yok.gov.tr/UlusalTezMerkezi/). YÖK tarafından yayınlanan Lisansüstü Tezlerin Elektronik Ortamda Toplanması, Düzenlenmesi ve Erişime Açılmasına İlişkin Yönerge’nin 1’inci maddesinde, lisansüstü tezlerin yetkili kurum ve kuruluşlar tarafından gizlilik kararı alınmadıkça, Yükseköğretim Kurulu Ulusal Tez Merkezinde toplanması, düzenlenmesi ve elektronik ortamda erişime açılması ile ilgili usuller belirlenmiştir. Söz konusu Yönerge uyarınca hakkında gizlilik kararı alınan veya erişime

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 28 açılması ertelenen tezlerin ilgili yükseköğretim kurumu tarafından muhafaza edilmesi gerekmektedir. Tezler dışında kalan bilgi varlıklarının önemli bir kısmı (kitaplar, makaleler, bildiriler, vb.), Yükseköğretim Kurumu tarafından tutulan ve kamuya açık olan YÖK Akademik isimli bir veri tabanında “listelenmektedir” (https://akademik.yok.gov.tr). Ancak söz konusu yazılım aracılığıyla bilgi varlığının kendisine değil, başlığı, özeti ve nerede yayınlandığını belirten bir “etiketine” ulaşılabilmektedir. Bu bilgi varlıkları Kurum bünyesinde başka bir sistemde tutulmamaktadır. Öğretim elemanlarının yayınlanmamış eserleri YÖK Akademik’te yer almadığı gibi, Kurum tarafından da izlenmemektedir. Kurumda, Bilimsel Araştırma Projelerini yönetmek için kullanılan yazılım bünyesinde söz konusu projelerin raporlarının kaydedildiği belirlenmiştir. Ancak, bu raporlar, bir bilgi varlıkları envanterine kaydedilmemekte ve Kurumun geri kalan öğretim elemanlarının ve öğrencilerin bunlara erişimi söz konusu olmamaktadır. Projeler bünyesinde raporlar dışında bir yayın yapılması söz konusu olduğunda, bu yayınlar yine YÖK Akademik’te listelenmektedir. Ancak YÖK Akademik’te listelenen yayınlar ve projeler sonucunda üretilen yayınlanmamış diğer eserler Kurum’a ait bir envantere içerik olarak kaydedilmemektedir. Akademik faaliyetler çerçevesinde Kurum tarafından, online makale veri tabanlarına erişim hizmeti satın alınmakta ve kullanıma sunulmaktadır. Kurumun kendisine ait bilgi varlıklarının envanterinin bulunmaması sebebiyle öğrenciler ve öğretim elemanları, Kurum bünyesinde üretilen ve Kurum dışındaki akademik dergilerde yayınlanan makalelere, ancak söz konusu makale veri tabanları aracılığıyla ulaşabilmektedir. Hizmet alınan veri tabanlarının çok çeşitli ve içeriklerinin sınırlı olması sebebiyle, bu makalelerin bir kısmına erişim sağlanamaması olasıdır. Kurum bünyesinde yayınlanan dergilerde yer alan makalelere ise serbestçe erişilebilmektedir. Kurum bünyesinde üretilen ve kullanılan eğitim materyallerinin envanteri de bulunmamaktadır. Kurumda çalışarak eğitim materyali oluşturan, çeşitli eğitim aktiviteleri uygulayan, laboratuvarlarda kullanılacak yöntemler geliştiren, vb. birçok eğitim uygulaması yapan bir akademisyenin Kurumdan ayrılması söz konusu olduğunda, ilgili eğitim birikimi ve bilgi envanteri bu akademisyenle birlikte kaybedilebilmektedir. Kurumun eğitim materyalleri,

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 29 eğitimin sürekliliğini garanti altına alacak şekilde kaydedilmemiş ve bu bilgi varlıkları üzerinde Kurum’un hakları tanımlanmamıştır. Kurum’un temel faaliyetleri mevzuatta, eğitim - öğretim, bilimsel araştırma ve yayın yapmak olarak tanımlanmıştır. Bu faaliyetler, söz konusu bilgiyi sürekli olarak üretmeyi, tasnif etmeyi, analiz etmeyi ve yeniden yorumlamayı gerektirmektedir. Bilgi üretimi, önceden üretilmiş bilgilere ulaşılmasına bağlıdır. Envanter oluşturulması, bilginin, yeni bilimsel çalışmalar ve eğitim faaliyetlerinde kullanılacak şekilde erişime açık tutulması, dolayısıyla Kurum faaliyetlerinin sürekliliğinin teminat altına alınması için gereklidir. Bu bilgilere erişilememesi, çalışmaların başarısını ve verimliliğini olumsuz şekilde etkileyecektir. Kuruma ait bilgi varlıklarının envanterinin bulunmaması; aynı bilginin tekrar üretilmesini ve mükerrer kaynak kullanılmasını engelleyecek kontrollerin de bulunmaması anlamına gelmektedir. Mevzuatta öngörülen yükümlülüklerin yerine getirilebilmesi amacıyla, Kurum bünyesinde üretilen tüm bilgi varlıklarının tanımlanması, bu varlıkların uygun bir envanterde kaydedilmesi ve eğitimde ve bilimsel çalışmalarda kullanılacak şekilde erişime açılması gerekmektedir. BULGU 6: Bilişim Sistemleri Yönetişim Kontrollerinin Yetersiz Olması Kurum üst yönetimiyle bilişim sistemlerini yöneten birim arasındaki ilişkinin, orta ve uzun vadeli stratejiler ve planlar ile gözetim ve denetim faaliyetleri çerçevesinde yürütülmesinde yetersizlik olduğu gözlemlenmiştir 5018 Sayılı Kamu Mali Yönetimi ve Kontrol Kanunu'nun, 55'inci maddesinde iç kontrol şu şekilde tanımlanmıştır: “İç kontrol; idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünüdür…" İç kontrol özetle, idarenin sağlıklı çalışmasını etkileme ihtimali olan risklerin tanımlanması ve bu riskleri ortadan kaldıracak eylem ve süreçlerin oluşturulmasıdır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 30 Kurumların faaliyetlerinin büyük ölçüde bilişim sistemleri desteğiyle yürütülmesi sebebiyle günümüzde iç kontrollerin önemli bir kısmının bilişim ortamında oluşturulması gerekmektedir. Nitekim Maliye Bakanlığı tarafından 5018 sayılı kanuna dayanılarak 2007 yılında yayınlanan Kamu İç Kontrol Standartları Tebliği'nde bu husus standarda bağlanmıştır. Tebliğde yer alan 12 numaralı "Bilgi sistemleri kontrolleri" standardında, idarelerin, bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmalarını geliştirmeleri gerektiği vurgulanmış ve “İdareler bilişim yönetişimini sağlayacak mekanizmalar geliştirmelidir” denilmiştir. Bilişim sistemleri kontrolleri arasında yer alan yönetişim kontrollerinin amacı, güvenli ve yeterli bir bilişim ortamının sağlanması için kurumsal strateji ve amaçlara uygun yönetim, karar alma, yönlendirme ve izleme mekanizmalarının oluşturulmasını sağlamaktır. Bu kontroller kuruma, alt düzeydeki ayrıntılı kontrollerin varlığı ve etkinliği konusunda makul bir güvence sağlar. Etkin bir bilişim sistemleri yönetişim yapısının kurulması; kurumun stratejik hedeflerine ulaşmasını, paydaş ihtiyaçlarına uygun ürünler ortaya çıkarmasını, bilişim sistemleri ile ilgili riskleri yönetmesini, kaynakları daha etkin kullanmasını, bilgi güvenliği gereklerine ve yasal mevzuata uygun çalışmasını destekler. Yürütülen denetim çerçevesinde iç kontrollerin etkinliği değerlendirilirken bilişim sistemleri kontrolleri incelenmiş, Kurumda bilişim sistemlerinin geliştirilmesi ve güvenliğe kavuşturulması amacıyla çok kapsamlı ve yetkin çalışmalar yürütüldüğü, ancak yönetişim alanında kurulan kontrollerin yetersiz olduğu görülmüştür. a. Kurumda Yazılı ve Müstakil Bir Bilişim Sistemleri Stratejisinin Oluşturulmaması Kurum bilişim sistemlerine ilişkin çalışmaların yazılı ve müstakil bir planlama süreci çerçevesinde yürütülmediği, bunun, bilişim sistemlerinin üst yönetim tarafından yakından izlenmesini ve yönetilmesini öngören kontrollerin işletilmesinde yetersizliğe sebep olduğu görülmüştür. e-Devlet Hizmetlerinin Yürütülmesine İlişkin Usul ve Esaslar Hakkında Yönetmelik'in “Kamu kurum ve kuruluşlarının görev ve sorumlulukları” başlıklı 7'nci maddesinde, kamu kurum ve kuruluşlarının bilişim stratejileri hazırlaması gerektiği şu şekilde ifade edilmiştir:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 31 “b) Kamu kurum ve kuruluşları, ulusal stratejiler ve planlar ile mevcut kurumsal stratejik planlarıyla uyumlu, kurumun e-Devlet hizmetleri sunumu amacıyla yapacakları yatırım, teknoloji tercihleri, kurumsal kapasite, tasarruf planları, fayda-maliyet, iş planı gibi unsurları kapsayacak bilişim stratejilerini hazırlar.” Kurumun bilişim sistemleri ile ilgili hedefler, yatırımlar ve eylemler müstakil bir strateji ile yönetilmediğinden, bunların kurumun ana stratejisi ve amaçları ile ne derecede uyumlu olduğunun Kurum üst yönetimi tarafından izlenmesinin oldukça güç olduğu gözlenmiştir. Kurumun, üst yönetimin ve ilgili paydaş birimlerin katılımıyla yazılı ve müstakil bir bilişim sistemleri stratejisi oluşturması gerekmektedir. b. Bilişim Sistemlerine İlişkin Planlama, Koordinasyon ve İzlemenin Sağlanmasına Yönelik Kurumsal Bir Mekanizmanın Bulunmaması Kurum üst yönetiminin, bilişim sistemlerine ilişkin planlama, koordinasyon ve izleme faaliyetlerine etkin olarak katılmasını sağlayacak kurumsal süreç ve yapıların oluşturulmadığı gözlenmiştir. Kurum bilişim sistemlerinin yönetişimini sağlamak üst yönetimin sorumluluğundadır. Bazı kurumlarda bu amaçla üst yönetimin içinde yer aldığı bir Bilişim Sistemleri Yönlendirme Kurulu veya eşdeğeri yapılar oluşturulmuştur. Ancak, mevcut durumda Kurum üst yönetiminin bilişim sistemleri ile ilgili kararlara katılımının; görevlendirmelerin yapılması, bütçelerin ve satın alma süreçlerinin onaylanması ve genel çalışma çerçevesini belirleyen iç düzenlemelerin yapılması gibi faaliyetlerle sınırlı kaldığı görülmüştür. Bilişim ile ilgili kararlarda üst yönetimi, bilişim sistemleri yöneticilerini ve bilişim sistemlerinden doğrudan etkilenen önemli birimlerin yöneticilerini (paydaşları) bir araya getiren organ, kurul ve mekanizmalar ihdas edilmemiştir. Kurum üst yönetiminin, bilişim sistemleriyle ilgili temel kararların alınması sürecine katılmasını, alınan kararların yürütülmesi sürecinde koordinasyonu sağlamasını ve sonuçları izlemesini temin edecek kurumsal mekanizma ve süreçlerin oluşturması gerekmektedir. c. Bilişim Sistemlerine İlişkin Faaliyetlerin İç Denetime Tabi Tutulmaması Kurum bilişim sistemlerinin üst yönetim adına iç denetime tabi tutulmadığı görülmüştür.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 32 Kamu İç Kontrol Standartları Tebliği 17 numaralı standartta “İdareler fonksiyonel olarak bağımsız bir iç denetim faaliyetini sağlamalıdır.” denilmektedir. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” adını taşıyan TSE standardının "Bilgi güvenliğinin bağımsız gözden geçirilmesi" başlıklı 18.2.1 numaralı bölümü, bağımsız gözden geçirmenin önemini vurgulamaktadır: “Kuruluşun bilgi güvenliğine ve uygulamasının (örneğin; bilgi güvenliği için kontrol amaçları, kontroller, politikalar, prosesler ve prosedürler) yönetimine olan yaklaşımı belirli aralıklarla veya önemli değişiklikler meydana geldiğinde bağımsız bir şekilde gözden geçirilmelidir.” Faaliyet alanının etkinliği dolayısıyla, esasen bilişim sistemlerinin yönetimiyle sorumlu birim, Kurum’un en güçlü birimleri arasında bulunmaktadır. Örneğin yeni bir yazılım geliştirildiğinde, kurumsal süreçlerin nasıl yürütüleceğini, kurumsal ve kişisel bilgilerin nasıl işleneceğini ve nasıl korunacağını, vb. kritik önemdeki birçok konuyu bilişim sistemlerinden sorumlu birim belirlemektedir. Ancak, bilgi işlem biriminin sahip olduğu bu gücün kurum lehine kullanıldığı hususunda üst yönetime güvence temin edecek gerekli planlama ve gözetim mekanizmalarının kurulmadığı görülmüştür. Bilişim sistemleriyle ilgili olarak üst yönetim tarafından yürütülen kurumsal süreçler, bilişim kaynaklarının etkin bir şekilde yönetilmesi ve kararların doğru alınması için yeterli bilgiyi sağlamamaktadır. Kuruma ait bilişim sistemleri, oldukça karmaşık, birbirini etkileyen ve dış dünyadan etkilenen iç içe geçmiş süreçlerle işletilmektedir. Bu karmaşık yapı içinde üst yönetim, bilişim alanında kurumsal hedeflere ulaşılmasını güvence altına alacak izleme, sonuçları değerlendirme, gerektiğinde hedef ve planları revize etme faaliyetlerini yerine getirememektedir. Esasen, bu faaliyetlerin yürütülmesi için gerekli altyapıyı sağlayacak olan, bilişim sistemlerini yöneten birimlerin iç denetim birimi tarafından üst yönetim adına denetlenmesi sağlanmamıştır. Bilişim sistemleri denetiminin, Kurum'da mevcut olan iç denetim biriminin rutin faaliyetleri arasında yer alacak şekilde planlanarak yürütülmesi ve üst yönetime raporlanması gerekmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 33 Sonuç olarak, bilişim sistemlerinin Kurum amaçlarına uygun çalışmasını ve işlevlerini doğru bir şekilde yerine getirmesini sağlayacak etkin bir bilişim sistemleri yönetişim yapısının oluşturması, bu amaçla bilişim sistemlerine ilişkin planlama süreçlerinin ve yönetişim mekanizmalarının ihdas edilmesi ve bilişim sistemleri denetiminin düzenli olarak yapılması gerekmektedir. BULGU 7: Dış Tedarikle Yürütülen Bilişim Hizmetlerine İlişkin Sözleşmelerin Bilgi Güvenliği Yönünden Yetersiz Olması Kurumda hizmet alımı yöntemiyle tedarik edilen bilişim hizmetlerine ilişkin olarak imzalanan sözleşmelerde yer verilen hükümlerin bilgi güvenliğini temin etmek için yeterli olmadığı tespit edilmiştir. Hizmet İşleri Genel Şartnamesi’nin “Gizlilik” başlığını taşıyan 13’üncü maddesi şu şekildedir: “Yüklenici, işle ilgili olarak elde ettiği her tür bilgi ve dokümanı özel ve gizli tutacak ve idarenin önceden yazılı izni olmaksızın sözleşmeye ait herhangi bir detayı ifşa etmeyecek veya yayınlamayacaktır. Türk yargı mercilerinin kararları saklı kalmak kaydıyla, sözleşmenin amaçları doğrultusunda herhangi bir ifşa veya yayınlama gerekliliği konusunda bir uzlaşmazlık ortaya çıkarsa idarenin bu konudaki kararı nihai olacaktır. Gizlilik yükümlülüğü, sözleşmenin herhangi bir nedenle sona ermesinden sonra da devam eder.” Söz konusu şartnamenin “Kontrol teşkilatı ve yetkileri” başlığını taşıyan 26’ncı maddesinde şu ifadeye yer verilmiştir: “Sözleşmeye bağlanan her türlü iş, idare tarafından görevlendirilen kontrol teşkilatının denetimi altında, yüklenici tarafından yönetilir ve gerçekleştirilir.” Hizmet Alımlarına Ait Tip Sözleşme’nin “Kontrol Teşkilatı, görev ve yetkileri” başlığını taşıyan 18’inci maddesi şu şekilde tanzim edilmiştir: “İşin, sözleşme ve eklerine uygun olarak yürütülüp yürütülmediği İdare tarafından görevlendirilen Kontrol Teşkilatı aracılığıyla denetlenir. Kontrol Teşkilatı, Genel Şartnamenin Dördüncü Bölümünde belirtilen yetkileri kullanır ve görevleri yerine getirir” Bilgi işlem varlıklarını ilgilendiren ve dış tedarik yoluyla alınan hizmetlerde, yükleniciler tarafından erişilebilen kurumsal bilgi varlıklarının korunması büyük önem

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 34 taşımaktadır. Kurum, kendi birimleri tarafından yürütülen hizmetlerde, bilgi varlıklarını korumak amacıyla kurallar koyabilmekte ve uygulamayı izleyerek denetleyebilmektedir. Bu hizmetlerin yükleniciler tarafından yerine getirilmesi durumunda ise aynı güvenceleri sağlayabilmek için bu faaliyetler üzerinde özel kontroller tesis edilmesi gerekmektedir. Yukarıda belirtilen, kurumların satın alma süreçlerinde kullandıkları ve genel amaçlarla geliştirilmiş sözleşme ve şartname şablonlarında yer alan ifadeler, bilgi güvenliği ile ilgili gerekliliklerin yerine getirilmesi için yeterli bulunmamaktadır. Örneğin, yükleniciye ait olan ve sözleşme konusu hizmetlerde kullanılan bilişim sistemlerinin Kurum tarafından denetimine izin veren açık bir sözleşme hükmü bulunmadıkça, Kurum kontrol teşkilatının bu tür bir denetimi yapmasına yüklenicinin rıza göstermesi beklenmemektedir. Bu sebeple dış tedarik yoluyla alınan bilişim hizmetlerine ilişkin sözleşmelerde, kamu menfaatlerinin korunması amacıyla ek düzenlemeler yapılmasına ihtiyaç bulunmaktadır. Genel sözleşme ve şartname şablonlarında yer alan gizlilik, gözden geçirme ve kontrol teşkilatı ile ilgili hususlara ek olarak, sözleşmelere, bilişime mahsus ihtiyaçları karşılayacak maddelerin eklenmesi gerekmektedir. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” standardı, tedarikçilerle ilişkilerin ne şekilde tanzim edilmesi gerektiğini belirlemektedir. Söz konusu standartta “Tedarikçi ilişkileri için bilgi güvenliği politikası” başlığını taşıyan 15.1.1 numaralı kontrol şu şekilde tanımlanmıştır: “Tedarikçinin kuruluşun varlıklarına erişimi ile ilgili riskleri azaltmak için bilgi güvenliği gereksinimleri tedarikçi ile kararlaştırılmalı ve yazılı hale getirilmelidir (…) Kuruluş, politikada özellikle kuruluşun bilgilerine erişen tedarikçileri ele alarak bilgi güvenliği kontrollerini tanımlamalı ve zorlamalıdır.” Aynı standartta “Tedarikçi hizmetlerini izleme ve gözden geçirme” başlığı altında tanımlanan 15.2.1 numaralı kontrol şu şekildedir: “Kuruluşlar, düzenli aralıklarla tedarikçi hizmet sunumunu izlemeli, gözden geçirmeli ve tetkik etmelidir.” İlgili düzenlemelerde tanımlandığı şekilde dış tedariklerde Kurum, kendisine ve kullanıcılarına ait bilgilerin güvenliğinin sağlanması için gerekli tüm tedbirleri almakla yükümlüdür. Dış tedarik sürecinde bilgi varlıklarının bu şekilde korunması, tedarik edilen

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 35 bilişim hizmetleri kapsamında kullanılan, yükleniciye ait tüm sistem ve süreçlerin, Kurum tarafından belirlenmiş risk yönetimi, güvenlik ve gizliliğe ilişkin ilkelere uygunluğunun sağlanmasını gerektirir. Yani yüklenicinin Kurum’un bilgi güvenliği kurallarına uyması temin edilmeli ve bu uygunluğun sağlanıp sağlanmadığı Kurum tarafından denetlenmelidir. Bu amaçla, yüklenicilerin Kurum verilerine erişim sağlamasını gerektiren bilişim hizmetleri ile ilgili bilgi güvenliği çerçevesinin sözleşme ve şartnamelerde açıkça tanımlanması gereklidir. Yüklenicilere verilecek, bilişim sistemlerine erişim yetkileri, işin gerektirdiği bilgiyi kapsayacak şekilde sınırlandırılmalı, sözleşmeler de buna uygun şekilde tanzim edilmelidir. Bu çerçevede, Kurum tarafından dış tedarik yoluyla alınan bilişim hizmetlerine ilişkin olarak “Üçüncü Taraf Güvenlik Politikası” hazırlandığı, ancak bu belgenin yeterli kapsamda olmadığı görülmüştür. Bilgi güvenliği ile ilgili hususlara kısmen hizmet alımına ilişkin şartnamelerde yer verilmektedir. Ancak, yürütülen hizmetlere ilişkin bir risk değerlendirmesi yapılmadığı için ihdas edilmesi gereken kontroller somut bir şekilde tanımlanamamakta, sözleşmelerde kullanılan soyut ifadeler bilişime ilişkin riskleri yönetmek için yetersiz kalmaktadır. Kurumun dış tedarik yoluyla yürütülen bilişim hizmetlerine ait sözleşmelere ilişkin şu hususlar tespit edilmiştir:  Sözleşmelerde, yüklenicilere ait sistem ve süreçlerin, Kurumun kendi risk yönetimi, güvenlik ve gizliliğe ilişkin ilkelerine uygun olmasını güvence altına alacak hükümlere yer verilmemiştir,  Yüklenicilerin Kurum bilişim varlıklarına erişiminin nasıl yönetileceği ve izleneceği tanımlanmamıştır,  Yüklenici ve personeli tarafından kullanılabilecek erişim türleri (uzaktan erişim vb.), erişilecek verinin kritiklik derecesi ve erişimin bilgi güvenliği üzerindeki etkileri tanımlanmamıştır,  Yükleniciler tarafından erişilen gizli veya kişisel nitelikteki verilerin gizliliğinin ve güvenliğinin nasıl korunacağı belirlenmemiştir,  Yüklenici personelinin işten ayrılması veya sözleşme kapsamındaki hizmetin sonlanması durumunda yüklenici personelinin erişim haklarının iptal edilme süreci tanımlanmamıştır,

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 36  Bilgi güvenliğine ilişkin olarak yüklenici bünyesinde alınan tedbirler üzerinde Kurumun denetim/ gözden geçirme hakkı ve bu hakkın nasıl kullanılacağı tanımlanmamıştır,  Yüklenicinin, hizmet kapsamında gerçekleşen güvenlik ihlallerini bildirme yükümlülüğü tanımlanmamıştır. Kurum tarafından hizmet alımı yöntemiyle yürütülen bilişim hizmetlerine ilişkin olarak yürürlükte olan sözleşmelerin, bilgi güvenliğini temin edecek ve yukarıda belirlenen hususları da içerecek şekilde tadil edilmesi ve yeni sözleşmelerin bu hususları karşılayacak şekilde tanzim edilmesi gerekmektedir. BULGU 8: Bilişim Sistemlerinin Sürekliliğini Güvence Altına Alacak Kontrollerin Yetersiz Olması Kurumda, bilişim sistemleriyle yürütülen hizmetlerin kesintiye uğraması veya bir felaketle karşı karşıya kalması durumunda, söz konusu hizmetlerin sürekliliğinin sağlanması için alınması gereken kontrollerin yetersiz olduğu tespit edilmiştir. Kamu İç Kontrol Standartları Tebliği’nde 11 ve 12 No’lu Standartlarda şu kontroller tanımlanmıştır: “İdareler, faaliyetlerin sürekliliğini sağlamaya yönelik gerekli önlemleri almalıdır.” “Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır.” E-Devlet Hizmetlerinin Yürütülmesine İlişkin Usul ve Esaslar Hakkında Yönetmelik’in “Kamu kurum ve kuruluşlarının görev ve sorumlulukları” başlıklı 7’nci maddesinde şu hükümlere yer verilmiştir: “d) Kamu kurum ve kuruluşları, e-Devlet hizmetlerini kullanım kolaylığı ve kullanıcı memnuniyetini sağlayacak şekilde; ulusal ve uluslararası standartlara uygun olarak, işlevsel, güvenli, talebe cevap verebilir ve kesintisiz şekilde sunar (…)” m) Kamu kurum ve kuruluşları herhangi bir felaket anında sistemlerin kesintiye uğramaması için gerekli tedbirleri alır.” Kurumlarda sistemlerin kesintiye uğramaması için alınan tedbirler, iş sürekliliği ve felaket kurtarma planları ve bu planların ifası için gerekli olan altyapılarla sağlanmaktadır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 37 İş sürekliliği planı, bilişim hizmetlerinde herhangi bir kesinti meydana gelmesi durumunda yapılacak çalışmaları tanımlayan bir belgedir. Bu belgede kesinti durumunda kimin hangi görevi yerine getireceği, hangi sistemlerin öncelikle ele alınacağı, öncelikli kurtarma adımlarının neler olduğu, tahliye prosedürlerinin neler olduğu, can ve mal kayıplarının en aza indirilmesi için neler yapılacağı, planın kimler tarafından ve nasıl aktif hale getirileceği gibi hususlara yer verilir. Benzer şekilde felaket kurtarma planı bir felaket sonrası bilişim alt yapısının yeniden aktif hale getirilmesini ele alır. Bu plan iş sürekliliği planının içinde bir bölüm olarak yer alabileceği gibi müstakil bir plan olarak da hazırlanabilir. İster iş sürekliliğinin bir parçası ister ayrı bir plan olsun felaket kurtarma planları iş sürekliliği planıyla uyumlu olmak zorundadır. İş sürekliliği planı ne kadar detaylı ve doğru hazırlanmış olursa olsun test edilmedikçe güvenilir değildir. Bu tür planların zayıf noktalarının; birbiriyle çelişen ve hatalı sıralanmış adımların, eksik kalan görevlendirmelerin ve tespiti yapılmamış ihtiyaçların görülebilmesi bir test yapılması ile mümkün olacaktır. Kurum bilişim sistemlerinde yapılan incelemede iş sürekliliğini sağlamak amacıyla çeşitli belgeler oluşturulduğu, iş sürekliliği planının hangi süreçlerle hazırlanacağının belirlendiği ancak planın henüz hazırlanmadığı görülmüştür. Ayrıca bu süreç tasarımı, bilgi işlem birimi bünyesinde yürütülmüş olup üst yönetim tarafından onaylanmamıştır. Dolayısıyla sürekli ve tutarlı bir şekilde uygulanması güvence altına alınmamıştır. Kuruma ait bir felaket kurtarma merkezinin başka bir birim bünyesinde kurulduğu, ancak bir felaket kurtarma planı hazırlanmadığı görülmüştür. Bu tür bir plan hazırlanarak test edilmedikçe, kurulmuş altyapının ihtiyaç anında uygun şekilde kullanılamaması riski bulunmaktadır. Kurum bünyesinde bilişim sistemleri iş sürekliliği ve felaket kurtarma planlarının hazırlanması ve üst yönetimce onaylanarak yürürlüğe konması, bu planların test edilmesi ve güncelliğinin korunması ve felaket kurtarma merkezi çalışmalarının tamamlanması gerekmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 38 BULGU 9: Bilişim Varlıkları Üzerinde Gerçekleştirilecek Değişikliklerin Yönetimiyle İlgili Kural ve Uygulamaların Yetersiz Olması Kurumun bilişim sistemleri üzerinde gerçekleştirilecek değişikliklerin yönetilmesi için kullanılacak kuralların ve süreçlerin ve acil durumlarda bu süreçlerin nasıl işletileceğinin belirlenmemiş olduğu görülmüştür. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” standardında konuyla ilgili tanımlanan kontrol şu şekildedir: “12.1.2 Değişiklik Yönetimi Bilgi güvenliğini etkileyen, kuruluş iş prosesleri, bilgi işleme tesisleri ve sistemlerdeki değişiklikler kontrol edilmelidir.” Kurumun bilişim varlıklarını ve süreçlerini etkileyebilecek tüm değişikliklerin kontrollü bir şekilde gerçekleştirilmesi gereklidir. Değişikliklerin, bunlardan etkilenecek bileşen ve sistemler tanımlanmadan yürütülmesi, farklı sistemlerin aksamasına sebep olabilir. Söz konusu değişikliklerin, ilgili etkileşimleri izlemeye ve gerekli tedbirleri almaya imkân tanıyacak şekilde planlanarak yürütülmesi gerekmektedir. Örneğin, yazılım güncellemeleri gibi bazı değişikliklerin test edilmeden hayata geçirilmesi bilişim hizmetlerinde önemli aksamalara sebep olabilmektedir. Bilişim sistemlerinin yapısı gereği, ne kadar planlama yapılırsa yapılsın, bazı değişikliklerin acil nitelik taşıması ve herhangi bir planlama ve bildirim sürecine imkân tanımayacak şekilde ivedilikle uygulanması söz konusu olabilmektedir. Acil durum değişikliklerinde, değişikliğe ilişkin sürecin gecikmesi kurumu yüksek maliyetler ile karşı karşıya getirebilir. İvedi müdahaleyi gerektiren bu tür durumlarda rutin değişikliklerin yönetimi için tasarlanmış süreçlerin işletilmesi mümkün olmayabilir. Ancak doğurduğu yüksek riskler sebebiyle acil durum değişikliklerinin sonradan takip edilmesi büyük önem taşır. Bu önemi sebebiyle acil durumlarda yapılan değişikliklere ilişkin ayrı bir süreç işletilmesi ve bu değişikliklerin geriye dönük olarak ilgilere bildirilmesi, etkilerinin izlenmesi ve gerekli tedbirlerin alınması sağlanmalıdır. Kurumda, bilişim sistemlerinin yönetiminde görev alan personel sayısının azlığı sebebiyle bilişim sistemleri üzerinde gerçekleştirilen değişikliklerin yönetilmesi için herhangi bir süreç işletilmediği ve kuralların belirlenmemiş olduğu görülmüştür. Her bilişim personeli

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 39 kendi sorumluluk alanındaki değişiklikleri yönetmektedir. Değişikliklerin sisteme ve iş sürekliliğine etkisinin değerlendirilmesi ve onaylanarak işletilmesi söz konusu olmamaktadır. Bilişim sistemleriyle ilgili değişiklik talep ve önerilerinin yönetim süreçlerinin ve acil durum değişikliklerine ilişkin süreçlerin belirlenmesi, değişikliklerin hangilerinin onaya tabi olacağının, değerlendirmenin kimler tarafından yapılacağının, ret ve kabul kriterlerinin tanımlanması gerekmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 40 T.C. SAYIŞTAY BAŞKANLIĞI 06520 Balgat / ANKARA Tel: 0 312 295 30 00; Faks: 0 312 295 48 00 e-posta: sayistay@sayistay.gov.tr http://www.sayistay.gov.tr

ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ DÖNER SERMAYE İŞLETMESİ 2019 YILI SAYIŞTAY DÜZENLİLİK DENETİM RAPORU

İÇİNDEKİLER

1. KAMU İDARESİ HAKKINDA BİLGİ .................................................................................................... 41
2. KAMU İDARESİNİN SORUMLULUĞU ................................................................................................ 46
3. SAYIŞTAYIN SORUMLULUĞU ............................................................................................................ 46
4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI ........................................................ 47
5. DENETİM GÖRÜŞÜ ................................................................................................................................. 47
6. DENETİM BULGULARI .......................................................................................................................... 47

TABLOLAR LİSTESİ Tablo 1: Sağlık Uygulama ve Araştırma Merkezi (Tıp Fakültesi Hastanesi) Bütçe Gelirleri (TL) .......................................................................................................................................... 43 Tablo 2: Diş Hekimliği Uygulama ve Araştırma Merkezi Bütçe Gelirleri (TL) ..................... 43 Tablo 3: Sağlık Uygulama ve Araştırma Merkezi (Tıp Fakültesi Hastanesi) Bütçe Giderleri (TL) .......................................................................................................................................... 44 Tablo 4: Diş Hekimliği Uygulama ve Araştırma Merkezi Bütçe Giderleri (TL) ..................... 44 Tablo 5: Sağlık Uygulama ve Araştırma Merkezinin (Tıp Fakültesi Hastanesi) Borç Durumu (TL) .......................................................................................................................................... 45 Tablo 6: Diş Hekimliği Uygulama ve Araştırma Merkezinin Borç Durumu (TL) .................. 45

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 41

1. KAMU İDARESİ HAKKINDA BİLGİ 1.1. Mevzuat ve Görevler Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi, 2547 sayılı Yükseköğretim Kanunu’nun 58’inci maddesinin 2’nci fıkrasının (a) bendi uyarınca, 5 Temmuz 1983 tarih ve 18098 sayılı Resmi Gazete’de yayımlanan Yönetmelik kapsamında kurulmuştur. Döner Sermaye İşletmesinin amacı, Üniversitenin görevleri ile ilgili olarak ortaya çıkan fiyatlandırılabilir nitelikteki mal veya hizmetlerin üretim veya satışını iyi şekilde yönetebilmektir. Üniversitenin yetkin olduğu konularda, öğretim üyeleri tarafından Döner Sermaye İşletmesi çerçevesinde Fakülte/Enstitü/Yüksekokul/Rektörlüğe bağlı Merkezler aracılığıyla yürütebilecekleri faaliyetler şunlardır; a. Yükseköğretim Kurumları dışındaki kuruluşlar ile gerçek ve tüzel kişilerce talep edilecek konularda bilimsel görüş vermek, proje hazırlamak, proje yürütmek, araştırma, uygulama, seminer, konferans, sempozyumlar düzenlemek, kurslar açmak ve benzeri hizmetler yapmak, b. Belirli bilimsel sonuçların uygulamasını sağlamak ve bilimsel rapor hazırlamak, c. Test ve analiz çalışmaları yürütmek, d. Her türlü baskı ve yayım hizmetlerini yerine getirmek. e. Bu amaçlardan biri veya birkaçına yönelik ve benzer çalışmalar, f. Üniversitenin bilgisayar alt yapısını kullanarak her türlü iş ve hizmetlerin üretilmesini sağlamak, g. Araştırma ve geliştirme, tasarım ve yenilik projeleri gerçekleştirmek. 1.2. Teşkilat Yapısı ve İnsan Kaynakları Rektörlüğe bağlı bir birim olan Döner Sermaye İşletmesi, İşletme Müdürlüğü ve Muhasebe Müdürlüğü olarak yapılandırılmıştır. İşletme Müdürlüğü bünyesinde 1 işletme müdürü ve 9 idari memur hizmet vermektedir. İşletmenin Muhasebe Müdürlüğünde Hazine ve Maliye Bakanlığı personeli 1 muhasebe müdür vekili ve 4 memur bulunmaktadır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 42 Döner Sermaye İşletme Müdürlüğünde 19 (on dokuz) birim faaliyet göstermektedir. İşletme Müdürlüğü birimleri arasında Sağlık Uygulama ve Araştırma Merkezi (Tıp Fakültesi hastanesi bünyesinde sunulan sağlık hizmetleri) ile Diş Hekimliği Uygulama ve Araştırma Merkezi (Diş sağlığı ile ilgili her türlü sağlık hizmetleri) en faal iki birim olarak göze çarpmaktadır. 1.3. Mali Yapı Genel yönetim kapsamındaki kamu idarelerine bağlı olarak kurulmuş olan döner sermayeli işletmelerin iş ve işlemleri ile bütçelerinin hazırlanması, uygulanması, sonuçlandırılması, muhasebesi, kontrol ve denetimi ile muhasebe yetkililerinin niteliklerine ilişkin usul ve esaslar, Döner Sermayeli İşletmeler Bütçe ve Muhasebe Yönetmeliği ile belirlenmiştir. Dolayısıyla 5018 sayılı Kanun’un bütçe ile ilgili hükümlerine tabi olmayan işletme bütçesi, adı geçen Yönetmelik’in 4’üncü maddesine göre hazırlanmakta olup Kamu İdaresinin üst yöneticisi olan Rektör tarafından onaylanarak yürürlüğe girmektedir. Döner Sermaye İşletme Müdürlüğünün, 2019 yılı bilançosunda sermayesi 2.361,36 TL olup, toplam aktif büyüklüğü 25.036.479,74 TL’dir. Döner sermaye gelir toplamı 138.544.476,73 TL, gider toplamı 192.320.279,04 TL olup, gelir tablosunda yılsonu itibariyle tahakkuk eden zarar toplamı 53.775.802.31 TL'dir. Döner Sermaye bünyesinde faaliyet gösteren ve döner sermaye bütçesinin neredeyse tamamını oluşturan Tıp Fakültesi ve Diş Hastanelerinin 2015-2019 yılları itibariyle bütçe geliri (II.Düzey), bütçe gideri (I.Düzey) ve borç durumları (Ticari, Hazineye Olan ve Diğer Borçlar) aşağıda gösterilmiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 43 Tablo 5: Sağlık Uygulama ve Araştırma Merkezi (Tıp Fakültesi Hastanesi) Bütçe Gelirleri (TL) Ekonomik Kod 2015 2016 2017 2018 2019 03.01- Sağlık Hizmeti 88.823.067,70 87.083.782,49 114.916.834,22 120.367.590,54 120.482.756,39 03.10- Eğitim ve Danışmanlık 0,00 0,00 0,00 0,00 0,00 03.99- Diğer Mal ve Hizmet Gelirleri 0,00 0,00 0,00 0,00 0,00 04.02- Bağlı Olunan İdareden Alınan Bağış ve Yardımlar 758.000,00 3.650.892,27 1.548.000,00 8.213.862,81 2.472.759,85 09.01- Faiz Gelirleri 7.125,98 80.094,80 238.674,05 652.563,56 450.872,04 09. 03- Para Cezaları 0,00 0,00 0,00 0,00 0,00 09.05- Fazla ve Yersiz Ödemelerden Kaynaklanan Gelirler 67.088,89 102.992,32 230.535,82 5.256,83 377.082,62 09.09- Diğer Çeşitli Gelirler 366.181,20 377.020,21 342.933,26 83.868,01 515.120,18 Toplam: 90.021.463,77 91.294.782,09 117.276.977,35 129.323.141,75 124.298.591,08 Tablo 6: Diş Hekimliği Uygulama ve Araştırma Merkezi Bütçe Gelirleri (TL) Ekonomik Kod 2015 2016 2017 2018 2019 03.01- Sağlık Hizmeti 4.802.580,70 6.321.686,95 7.541.637,11 7.991.684,82 8.706.442,20 03.10- Eğitim ve Danışmanlık 0,00 0,00 0,00 0,00 0,00 03.99- Diğer Mal ve Hizmet Gelirleri 0,00 0,00 0,00 0,00 0,00 04.02- Bağlı Olunan İdareden Alınan Bağış ve Yardımlar 50,00 153.000,00 18.000,00 243.002,32 286.760,00 09.01- Faiz Gelirleri 1.063,43 4.955,60 157,05 64.710,83 60.684,84 09.03- Para Cezaları 0,00 0,00 0,00 0,00 0,00 09.05- Fazla ve Yersiz Ödemelerden Kaynaklanan Gelirler 0,00 2.724,27 6.006,43 14.520,63 14.079,56 09.09- Diğer Çeşitli Gelirler 15.636,77 86.703,15 101,24 2.937,29 3.851,00 Toplam: 4.819.330,90 6.569.069,97 7.565.901,83 8.316.855,89 9.071.817,60

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 44 Tablo 7: Sağlık Uygulama ve Araştırma Merkezi (Tıp Fakültesi Hastanesi) Bütçe Giderleri (TL) Ekonomik Kod 2015 2016 2017 2018 2019 01- Personel Giderleri 11.787.792,22 14.054.456,14 15.963.704,47 32.161.740,81 44.750.089,16 02- SGK Devlet Primi Giderleri 1.338.105,15 1.473.050,92 1.587.190,07 4.927.770,01 7.298.992,54 03- Mal ve Hizmet Alımı Giderleri 50.786.551,93 69.052.167,11 88.406.786,93 84.102.343,92 93.256.309,80 05- Cari Transferler 4.801.811,61 6.434.632,16 6.910.941,39 7.358.971,22 7.438.759,42 06- Sermaye Giderleri 0,00 0,00 0,00 0,00 35.526,38 10- Ek Ödeme 21.041.657,95 23.998.555,90 26.281.364,19 30.651.457,74 30.999.388,39 Toplam: 89.755.918,86 115.012.862,23 139.149.987,05 159.202.283,70 183.779.065,69 Tablo 1: Diş Hekimliği Uygulama ve Araştırma Merkezi Bütçe Giderleri (TL) Ekonomik Kod 2015 2016 2017 2018 2019 01- Personel Giderleri 0,00 0,00 6.172,00 619.169,47 820.623,30 02- SGK Devlet Primi Giderleri 0,00 0,00 0,00 113.649,64 178.709,88 03- Mal ve Hizmet Alımı Giderleri 1.618.029,66 2.720.591,66 2.412.004,99 2.493.597,02 2.737.916,58 05- Cari Transferler 275.646,98 317.671,90 512.410,22 538.976,79 475.799,58 06- Sermaye Giderleri 0,00 0,00 22.302,00 0,00 13.176,00 10- Ek Ödeme 2.472.699,87 2.957.155,31 4.581.123,23 4.652.648,14 4.207.904,95 Toplam: 4.366.376,51 5.995.418,87 7.534.012,44 8.418.041,06 8.434.130,29

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 45 Tablo 8: Sağlık Uygulama ve Araştırma Merkezinin (Tıp Fakültesi Hastanesi) Borç Durumu (TL)
2015 2016 2017 2018 2019 Borç Miktarı 49.781.761,55 59.242.916,26 84.803.272,54 114.417.645,52 171.172.396,74 Tablo 9: Diş Hekimliği Uygulama ve Araştırma Merkezinin Borç Durumu (TL)
2015 2016 2017 2018 2019 Borç Miktarı 556.058,03 1.076.753,90 1.182.520,94 1.388.949,76 1.837.841,60 Yukarıdaki tablolarda görüleceği üzere; Tıp Fakültesi Hastanesinin bütçe gelir ve giderleri arasındaki fark son beş yıl içerisinde olumsuz yönde açılmış ve 59.480.474,61 TL’ye ulaşmıştır. Toplam borç miktarı ise 171.172.396,74 TL ile 2019 yılı bütçe gelirinin (124.298.591,08 TL) üzerine çıkarak sürdürülemez hale gelmiştir. Diş Hekimliği Uygulama ve Araştırma Merkezinin ise bütçe gelir ve giderleri arasındaki fark olumlu olup borç miktarının sürdürülebilir olduğu görülmüştür. 1.4. Muhasebe ve Raporlama Sistemi Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi muhasebe ve raporlama işlemlerini, Döner Sermayeli İşletmeler Bütçe ve Muhasebe Yönetmeliği’nde yer alan hükümlere göre Hazine ve Maliye Bakanlığı tarafından kurulan ve yönetilen Döner Sermayeli İşletmeler Muhasebe Sistemi üzerinden yürütmektedir. İşletme, Yönetmelik’te hüküm bulunmayan hâllerde 5018 sayılı Kanun ve bu Kanun’a dayanılarak hazırlanan diğer yönetmelikler ile Merkezi Yönetim Muhasebe Yönetmeliği’nin genel esaslarını, kıyasen uygulamakta olup Hazine ve Maliye Bakanlığı tarafından yayımlanan diğer düzenlemelere de tabidir. “Kamu İdaresi Hesaplarının Sayıştaya Verilmesi ve Muhasebe Birimleri ile Muhasebe Yetkililerinin Bildirilmesi Hakkında Usul ve Esaslar”ın 5’inci maddesi gereğince hesap dönemi sonunda Sayıştaya gönderilmesi gereken defter, tablo ve belgelerden denetime sunulanlar aşağıda yer almakta olup denetim bunlar ile Usul ve Esaslar’ın 8’inci maddesinde yer alan diğer belgeler dikkate alınarak yürütülüp sonuçlandırılmıştır.  Birleştirilmiş veriler defteri  Geçici ve kesin mizan

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 46  Bilanço  Kasa sayım tutanağı  Banka mevcudu tespit tutanağı  Alınan çekler sayım tutanağı  Menkul kıymet ve varlıklar sayım tutanağı  Teminat mektupları sayım tutanağı  Değerli kâğıtlar sayım tutanağı  İdare taşınır mal yönetimi ayrıntılı hesap cetveli ile idare taşınır mal yönetimi hesabı icmal cetveli  Gelir tablosu Denetim görüşü, kamu idaresinin tabi olduğu geçerli finansal raporlama çerçevesi kapsamındaki temel mali tablolar olan bilanço ve gelir tablosuna verilmiştir. 2. KAMU İDARESİNİN SORUMLULUĞU Denetlenen kamu idaresinin yönetimi, tabi olduğu muhasebe standart ve ilkelerine uygun olarak hazırlanmış olan mali rapor ve tabloların doğru ve güvenilir bilgi içerecek şekilde zamanında Sayıştaya sunulmasından, bir bütün olarak sunulan bu mali tabloların kamu idaresinin faaliyet ve işlemlerinin sonucunu tüm önemli yönleriyle doğru ve güvenilir olarak yansıtmasından ve ister hata isterse yolsuzluktan kaynaklansın bu mali rapor ve tabloların önemli hata veya yanlış beyanlar içermemesinden; kamu idaresinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğundan; mali yönetim ve iç kontrol sistemlerinin amacına uygun olarak oluşturulmasından, etkin olarak işletilmesinden ve izlenmesinden, mali tabloların dayanağını oluşturan bilgi ve belgelerin denetime hazır hale getirilmesinden ve sunulmasından sorumludur. 3. SAYIŞTAYIN SORUMLULUĞU Sayıştay, denetimlerinin sonucunda hazırladığı raporlarla denetlenen kamu idarelerinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek, mali rapor ve tablolarının güvenilirliğine ve doğruluğuna ilişkin görüş bildirmek, mali yönetim ve iç kontrol sistemlerini değerlendirmekle

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 47 sorumludur. 4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI Denetimlerin dayanağı; 6085 sayılı Sayıştay Kanunu, uluslararası denetim standartları, Sayıştay ikincil mevzuatı ve denetim rehberleridir. Denetimler, kamu idaresinin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek ve mali rapor ve tablolarının kamu idaresinin tüm faaliyet ve işlemlerinin sonucunu doğru ve güvenilir olarak yansıttığına ilişkin makul güvence elde etmek ve mali yönetim ve iç kontrol sistemlerini değerlendirmek amacıyla yürütülmüştür. Kamu idaresinin mali tabloları ile bunları oluşturan hesap ve işlemlerinin doğruluğu, güvenilirliği ve uygunluğuna ilişkin denetim kanıtı elde etmek üzere yürütülen denetimler; uygun denetim prosedürleri ve tekniklerinin uygulanması ile risk değerlendirmesi yöntemiyle gerçekleştirilmiştir. Risk değerlendirmesi sırasında, uygulanacak denetim prosedürünün belirlenmesine esas olmak üzere, mali tabloların üretildiği mali yönetim ve iç kontrol sistemleri de değerlendirilmiştir. Denetimin kapsamını, kamu idaresinin mali rapor ve tabloları ile gelir, gider ve mallarına ilişkin tüm mali faaliyet, karar ve işlemleri ve bunlara ilişkin kayıt, defter, bilgi, belge ve verileri (elektronik olanlar dâhil) ile mali yönetim ve iç kontrol sistemleri oluşturmaktadır. Bu hususlarla ilgili denetim sonucunda denetim görüşü oluşturmak üzere yeterli ve uygun denetim kanıtı elde edilmiştir. 5. DENETİM GÖRÜŞÜ Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 yılına ilişkin yukarıda belirtilen ve ekte yer alan, geçerli finansal raporlama çerçevesi kapsamındaki mali rapor ve tablolarının tüm önemli yönleriyle doğru ve güvenilir bilgi içerdiği kanaatine varılmıştır. 6. DENETİM BULGULARI Herhangi bir denetim bulgusu tespit edilmemiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2019 Yılı Sayıştay Düzenlilik Denetim Raporu 48 T.C. SAYIŞTAY BAŞKANLIĞI 06520 Balgat / ANKARA Tel: 0 312 295 30 00; Faks: 0 312 295 48 00 e-posta: sayistay@sayistay.gov.tr http://www.sayistay.gov.tr