2020 - ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ.pdf

ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ Eylül 2021

İÇERİK ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ 2020 YILI DÜZENLİLİK DENETİM RAPORU 1 ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ DÖNER SERMAYE İŞLETMESİ 2020 YILI DÜZENLİLİK DENETİM RAPORU 42

T.C. SAYIŞTAY BAŞKANLIĞI ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ 2020 Yılı Düzenlilik Denetim Raporu

İÇİNDEKİLER

1. KAMU İDARESİ HAKKINDA BİLGİ ...................................................................................................... 1
2. KAMU İDARESİNİN SORUMLULUĞU ................................................................................................ 10
3. SAYIŞTAYIN SORUMLULUĞU ............................................................................................................ 11
4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI ........................................................ 11
5. İÇ KONTROL SİSTEMİNİN DEĞERLENDİRİLMESİ ...................................................................... 12
6. DENETİM GÖRÜŞÜ ................................................................................................................................. 14
7. DENETİM BULGULARI .......................................................................................................................... 14
8. EKLER ........................................................................................................................................................ 40

TABLOLAR LİSTESİ Tablo 1: Zonguldak Bülent Ecevit Üniversitesi Teşkilat Yapısı ................................................ 2 Tablo 2: Zonguldak Bülent Ecevit Üniversitesi Akademik Personel Kadro Bilgileri Tablosu . 4 Tablo 3: Zonguldak Bülent Ecevit Üniversitesi İdari Personel Kadro Bilgileri Tablosu .......... 5 Tablo 4: 2020 Mali Yılı Bütçe Giderleri ve Ödenekler Tablosu ................................................ 6 Tablo 5: 2020 Mali Yılı Bütçe Gelirleri Tablosu ....................................................................... 7 Tablo 6: Bütçe Giderlerinin 3 Yıllık (2018-2020) Seyri ............................................................ 8 Tablo 7: Bütçe Gelirlerinin 3 Yıllık (2018-2020) Seyri ............................................................. 8 Tablo 8: 2020 Yılı Faaliyet Sonuçları Tablosu (TL) .................................................................. 9

KISALTMALAR TSE: Türk Standartları Enstitüsü

BULGU LİSTESİ A. Denetim Görüşünün Dayanağı Bulgular Herhangi bir denetim bulgusu tespit edilmemiştir. B. Diğer Bulgular

1. Hurdaya Ayrılan Dayanıklı Taşınırların Parçalarının Değerlendirilmemesi
2. Hurdaya Ayrılan Taşınırlara İlişkin Kişisel Sorumluluğun Tespit Edilmemesi
3. Bilişim Sistemleri Yönetişim Kontrollerinin Yetersiz Olması
4. Bilişim Sistemlerinin Sürekliliğini Güvence Altına Alacak Kontrollerin Yetersiz Olması
5. Bilişim Varlıkları Üzerinde Gerçekleştirilecek Değişikliklerin Yönetimiyle İlgili Kural ve Uygulamaların Yetersiz Olması
6. Dış Tedarikle Yürütülen Bilişim Hizmetlerine İlişkin Sözleşmelerin Bilgi Güvenliği Yönünden Yetersiz Olması
7. Kurumun Bilgi Varlıklarının Korunması İçin İhdas Edilmesi Gereken Bilgi Güvenliği Kontrollerinde Eksikler Bulunması

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 1

1. KAMU İDARESİ HAKKINDA BİLGİ 1.1. Mevzuat ve Görevler Anayasa’nın 130’uncu maddesinde, çağdaş eğitim-öğretim esaslarına dayanan bir düzen içinde milletin ve ülkenin ihtiyaçlarına uygun insan gücü yetiştirmek amacı ile ortaöğretime dayalı çeşitli düzeylerde eğitim-öğretim, bilimsel araştırma, yayın ve danışmanlık yapmak, ülkeye ve insanlığa hizmet etmek üzere çeşitli birimlerden oluşan kamu tüzel kişiliğine ve bilimsel özerkliğe sahip üniversitelerin Devlet tarafından kanunla kurulması öngörülmüştür. Zonguldak Bülent Ecevit Üniversitesi 1992 yılında, 3837 Sayılı Kanunun 25’inci maddesiyle 2809 sayılı Yükseköğretim Kurumları Teşkilatı Kanununa eklenen Ek Madde 9 ile kurulmuştur. Yükseköğretimin amaç ve ilkeleri, yükseköğretim kurumlarının ve üst kuruluşlarının teşkilatlanma, işleyiş, görev, yetki ve sorumlulukları ile eğitim-öğretim, araştırma, yayın, öğretim elemanları, öğrenciler ve diğer personel ile ilgili esaslar 2547 sayılı Yükseköğretim Kanunu’yla düzenlenmiştir. Söz konusu Kanun’un 12’nci maddesinde Yükseköğretim Kurumlarının görevleri sayılmakta olup bu görevler; toplumun ihtiyaçları, kalkınma planları ilke ve hedeflerine uygun bilimsel eğitim-öğretim, araştırma, yayım ve danışmanlık yapmak, bu ilke ve hedefler doğrultusunda insan gücü yetiştirmek, toplumun özellikle sanayileşme ve tarımda modernleşme alanlarında eğitilmesini sağlamak, üretimde artışı sağlayacak uygulamalı çalışmalarda bulunmak, bu amaçla döner sermaye işletmelerini kurmak ve bu faaliyetlerin geliştirilmesine ilişkin gerekli düzenlemeleri yapmak olarak özetlenebilir. Yükseköğretim kurumları için temel mevzuat 2547 sayılı Yükseköğretim Kanunu ve 2914 sayılı Yüksek Öğretim Personel Kanunudur. Üniversitelerin faaliyetlerini yürütürken tabi oldukları diğer mevzuat, 2809 sayılı Yükseköğretim Kurumları Teşkilatı Kanunu, 3843 sayılı Yükseköğretim Kurumlarında İkili Öğretim Yapılması Hakkında Kanun, 2547 sayılı Yükseköğretim Kanununun Bazı Maddelerinin Değiştirilmesi ve Bu Kanuna Bir Ek Madde Eklenmesi Hakkında Kanundan oluşmaktadır. Buna ek olarak Kurum, 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu, 4734 sayılı Kamu İhale Kanunu, 4735 sayılı Kamu İhale Sözleşmeleri Kanunu, 4857 sayılı İş Kanunu, 2886 sayılı Devlet İhale Kanunu, 657 sayılı Devlet Memurları Kanunu ve 6245 sayılı Harcırah Kanunu ile diğer ilgili mevzuata tâbîdir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 2 1.2. Teşkilat Yapısı ve İnsan Kaynakları Zonguldak Bülent Ecevit Üniversitesi, akademik ve idari birimlerden oluşmaktadır. Kurumun akademik yapısı, Rektörlük Bölüm Başkanlıkları, Enstitü Müdürlükleri, Fakülte Dekanlıkları, Devlet Konservatuvarı Müdürlüğü, Yüksekokul Müdürlükleri, Meslek Yüksekokulu Müdürlükleri ile Uygulama ve Araştırma Merkezlerinden oluşmaktadır. Kurumun idari yapısında ise, Rektör, Senato, Üniversite Yönetim Kurulu, Rektör Yardımcıları, İç Denetim Birimi, Koordinatörlükler, Genel Sekreterlik, Daire Başkanlıkları Hukuk Müşavirliği ve Şube Müdürlükleri bulunmaktadır. Üniversitenin üst yöneticisi olan Rektör, Cumhurbaşkanı tarafından, dekanlar ise Yükseköğretim Kurulunca atanmaktadırlar. Üniversitenin akademik karar organı Senato olup, Üniversite Yönetim Kurulu ise idari faaliyetlerde Rektöre yardımcı olmaktadır. Zonguldak Bülent Ecevit Üniversitesi bünyesinde, Zonguldak ili merkez ve ilçelerine dağılmış olan toplam 12 ayrı kampüste, 14 Fakülte, 3 Enstitü, 4 Yüksekokul, 1 Devlet Konservatuarı, 9 Meslek Yüksekokulu, 34 Uygulama ve Araştırma Merkezi bulunmaktadır. Zonguldak Bülent Ecevit Üniversitesi akademik ve idari birimlerine ilişkin teşkilat yapısı aşağıdaki gibidir. Tablo 1: Zonguldak Bülent Ecevit Üniversitesi Teşkilat Yapısı I. İdari Birimler II. Akademik Birimler Rektör Rektör Yardımcıları Genel Sekreterlik İç Denetim Birimi Başkanlığı Hukuk Müşavirliği Daire Başkanlıkları  Personel Daire Başkanlığı  Öğrenci İşleri Daire Başkanlığı  İdari ve Mali İşler Daire Başkanlığı  Bilgi İşlem Daire Başkanlığı  Kütüphane ve Dokümantasyon Daire Başkanlığı  Sağlık Kültür Spor Daire Başkanlığı  Yapı İşleri ve Teknik Daire Başkanlığı  Strateji Geliştirme Daire Başkanlığı Fakülteler  Fen Edebiyat Fakültesi (1992)  Tıp Fakültesi (1992)  Mühendislik Fakültesi (1992)  İktisadi ve İdari Bilimler Fakültesi (1992)  Ereğli Eğitim Fakültesi (1995)  Güzel Sanatlar Fakültesi (2008)  Diş Hekimliği Fakültesi (2008)  İletişim Fakültesi (2010)  Eczacılık Fakültesi (2012)  İlahiyat Fakültesi (2012)  Denizcilik Fakültesi (2013)  Mimarlık ve Tasarım Fakültesi (2016)  Karadeniz Ereğli Turizm Fakültesi (2016)  Sağlık Bilimleri Fakültesi (2016) Enstitüler

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 3 I. İdari Birimler II. Akademik Birimler Fakülte, Yüksekokul ve Enstitü Sekreterlikleri Döner Sermaye İşletme Müdürlüğü Koordinatörlükler  Bilimsel Araştırma Projeleri Koordinatörlüğü  Ortak Zorunlu Dersler Koordinatörlüğü  Basın Yayın ve Halkla İlişkiler Koordinatörlüğü  Dış İlişkiler Ofisi Genel Koordinatörlüğü  ÖYP Kurum Koordinatörlüğü  Sosyal Sorumluluk Projeleri Koordinatörlüğü  Veri Merkezi Koordinatörlüğü  İş Sağlığı ve Güvenliği Koordinatörlüğü  Teknoloji Transfer Ofisi Koordinatörlüğü  Mezunlarla İletişim Koordinatörlüğü  Engelli Öğrenci Koordinatörlüğü  YLS Koordinatörlüğü  Fen Bilimleri Enstitüsü (1992)  Sosyal Bilimler Enstitüsü (1992)  Sağlık Bilimleri Enstitüsü (1992) Yüksekokullar  Devlet Konservatuarı (2004)  Beden Eğitimi ve Spor Yüksekokulu (2010)  Yabancı Diller Yüksekokulu (2013)  Çaycuma Sivil Havacılık Yüksekokulu (2015)  Uygulamalı Bilimler Yüksekokulu (2015) Meslek Yüksekokulları  Alaplı Meslek Yüksekokulu (1992)  Zonguldak Meslek Yüksekokulu (1992)  Ahmet Erdoğan Sağlık Hizmetleri Meslek Yüksekokulu (1992)  Devrek Meslek Yüksekokulu (2001)  Çaycuma Meslek Yüksekokulu (2001)  Gökçebey Mithat-Mehmet Çanakçı Meslek Yüksekokulu (2006)  Karadeniz Ereğli Meslek Yüksekokulu (2012)  Çaycuma Gıda ve Tarım Meslek Yüksekokulu (2016)  Devrek Adalet Meslek Yüksekokulu (2017) Araştırma ve Uygulama Merkezleri  Abdulkadir Geylani Araştırmaları Uygulama ve Araştırma Merkezi  Aerobiyoloji Uygulama ve Araştırma Merkezi  Afet Uygulama ve Araştırma Merkezi  Ahşap Kültürünü Araştırma ve Uygulama Merkezi  Atatürk İlkeleri ve İnkılap Tarihi Araştırma ve Uygulama Merkezi  Bilim ve Teknoloji Uygulama ve Araştırma Merkezi  Biyomedikal Kalibrasyon Uygulama Ve Araştırma Merkezi  Çevre Sorunları Araştırma ve Uygulama Merkezi  Deneysel Araştırmalar Uygulama ve Araştırma Merkezi  Devrek Bastonu Uygulama ve Araştırma Merkezi  Diş Hekimliği Uygulama ve Araştırma Merkezi  Enerji Uygulama ve Araştırma Merkezi  Eğitim Çalışmaları Uygulama ve Araştırma Merkezi  Göç Araştırma ve Uygulama Merkezi  İşçi Sağlığı ve İş Güvenliği Uygulama Araştırma Merkezi  Kadın Sorunları Uygulama ve Araştırma Merkezi  Karadeniz Stratejik Araştırmalar Uygulama ve Araştırma Merkezi  Karaelmas Siber Güvenlik Uygulama ve Araştırma Merkezi  Maden Makinaları Uygulama ve Araştırma Merkezi  Medeniyet Araştırmaları ve Değerler Eğitimi Uygulama Araştırma Merkezi  Mücevher ve Geleneksel El Sanatları Araştırma- Uygulama Merkezi  Obezite ve Diyabet Uygulama ve Araştırma Merkezi  Okul Öncesi Eğitimi Uygulama ve Araştırma Merkezi

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 4 I. İdari Birimler II. Akademik Birimler  Psikolojik Danışma ve Rehberlik Uygulama ve Araştırma Merkezi  Roman Kültürü Uygulama ve Araştırma Merkezi  Özel Eğitim Hizmetleri Uygulama ve Araştırma Merkezi  Sağlık Uygulama ve Araştırma Merkezi  Sakine – Şevki Yurtbay Gıda Araştırma ve Uygulama Merkezi  Sürekli Eğitim Merkezi  Türkçe Öğretimi Uygulama ve Araştırma Merkezi (Karaelmas TÖMER)  Uzaktan Eğitim Uygulama ve Araştırma Merkezi  Üniversite–Sanayi İşbirliğini Geliştirme Uyg.ve Araştırma Mrk.  Yer Bilimleri Araştırma ve Uygulama Merkezi  Yükseköğretim Çalışmaları Uygulama ve Araştırma Merkezi Uzaktan Eğitim Merkezi Üniversitede 2020 yılsonu itibariyle akademik ve idari personel sayısı toplam 3.601’dir. Akademik personel sayısı, 1.266’sı kadrolu, 9’u yabancı uyruklu sözleşmeli olmak üzere toplam 1.275'tir. Tablo 2: Zonguldak Bülent Ecevit Üniversitesi Akademik Personel Kadro Bilgileri Tablosu Unvan Kadroların Doluluk Durumu İstihdam Şekli Dolu Boş Toplam Tam zamanlı Yarı zamanlı Profesör 124 41 165 124 - Doçent 92 92 184 92 - Dr. Öğretim Üyesi 326 144 470 326 - Öğretim Görevlisi 322 107 429 322 - Araştırma Görevlisi 402 261 663 402 - Sözleşmeli(1) 9 - 9 9 - TOPLAM 1.275 645 1.920 1.275 - (1) Yabancı uyruklu sözleşmeli akademik personel Üniversitenin toplam 3.198 idari personel kadrosu bulunmakta olup bunların 2.326’sı doludur. 1.095’i idari personel, 267’si sözleşmeli idari personel ve 964’ü işçi kadrosunda idari personel statüsündedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 5 Tablo 3: Zonguldak Bülent Ecevit Üniversitesi İdari Personel Kadro Bilgileri Tablosu Hizmet Sınıfları Özel Bütçe Döner Sermaye SKS Öz Gelirler Genel Toplam Dolu Boş Dolu Boş Dolu Boş Dolu Boş Toplam Genel İdari Hizmetler 361 336 12 42 17 11 390 389 779 Sağlık Hizmetleri 255 226 207 82 462 308 770 Teknik Hizmetler 122 65 13 3 3 0 138 68 206 Avukatlık Hizmetleri 3 3 - - - - 3 3 6 Eğitim-Öğretim Hiz. 2 2 - - - - 2 2 4 Din Hizmetleri 0 2 - - - - 0 2 2 Yardımcı Hizmetler 47 13 41 5 12 0 100 18 118 Sürekli İşçi 2 22 - - - - 2 22 24 Sürekli İşçi(1) 3 0 - - - - 3 0 3 Sürekli İşçi(2) 289 0 534 0 59 0 882 0 882 Sürekli İşçi(3) 77 0 - - - - 77 0 77 Sözleşmeli Personel 267 35 0 23 0 2 267 60 327 TOPLAM 1.428 704 807 155 91 13 2.326 872 3.198 (1) Maden şehitleri yakınları (2) 696 sayılı KHK kapsamında kadro verilen (3) Özel bütçeden hastanede çalıştırılmak üzere ihdas edilen işçi kadrosu Üniversitenin diğer kurum ve kuruluşlarla ilişkisi: Yükseköğretim Kurulu, Yükseköğretim kurumlarının öğretimini ve bilimsel araştırma faaliyetlerini planlamak düzenlemek, yönetmek, denetlemek, üniversitelere tahsis edilen kaynakların etkili bir biçimde kullanılmasını sağlamak ve öğretim elemanlarının yetiştirilmesi için planlama yapmakla görevlidir. Yükseköğretim Denetleme Kurulu, Yükseköğretim Kurulu adına üniversiteleri, bağlı birimlerini, öğretim elemanlarını ve bunların faaliyetlerini gözetim ve denetim yetkisine sahiptir. Üniversitelerce hazırlanan bütçeler, Anayasa’nın 130’uncu maddesi uyarınca Yükseköğretim Kurulu tarafından tetkik edilerek onaylanmakta, T.C. Milli Eğitim Bakanlığına sunulmakta ve merkezi yönetim bütçesinin bağlı olduğu esaslara uygun olarak yürürlüğe konulmaktadır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 6 1.3. Mali Yapı “Özel Bütçeli İdare” olarak 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun 5436 sayılı Kanun’un 12’nci maddesi ile değiştirilmiş (II) sayılı cetvelinin (A) bölümünde sayılan Yükseköğretim Kurulu, Üniversiteler ve İleri Teknoloji Enstitüleri içerisinde yer alan Kamu İdaresi, Merkezi Yönetim Bütçe Kanunu ile verilen hazine yardımı ve özgelirlerini kullanarak giderlerini finanse etmektedir. 2020 Yılı Merkezi Yönetim Bütçe Kanunu ile Zonguldak Üniversitesine 311.022.000 TL ödenek tahsis edilmiş olup yıl içinde 17.736.973 TL ödenek eklenmesiyle toplam tahsis edilen ödenek tutarı 328.758.973 TL’ye ulaşmıştır. Yıl sonu itibarıyla bu tutarın 312.154.397 TL’si harcanmış ve toplam ödeneğin kullanılma oranı %94,9 olarak gerçekleşmiştir. Ekonomik sınıflandırma açısından İdarenin 2020 yılı bütçesinde yer alan ödeneklerin dağılımı ve yılsonu gerçekleşmeleri aşağıda gösterilmiştir: Tablo 4: 2020 Mali Yılı Bütçe Giderleri ve Ödenekler Tablosu Ekonomik Kod Bütçe Başlangıç Ödeneği (TL) Toplam Ödenek (TL) Toplam Harcanan (TL) Toplam Ödeneğe Göre Gerçekleşme (%) Başlangıç Ödeneğini Aşma Oranı (%) 01-Personel Giderleri 218.014.000,00 226.502.000,00 225.002.492,67 99,3 3,2 02-Sosyal Güvenlik Kurumlarına Devlet Primi Giderleri 35.522.000,00 36.505.600,00 36.240.140,28 99,3 2,0 03-Mal ve Hizmet Alım Giderleri 20.280.000,00 21.900.973,15 17.429.306,64 79,6 -14,1 05-Cari Transferler 10.156.000,00 10.670.400,00 10.586.657,79 99,2 4,2 06-Sermaye Giderleri 27.050.000,00 33.180.000,00 22.895.799,97 69,0 -15,4 TOPLAM 311.022.000,00 328.758.973,15 312.154.397,35 94,9 0,4 Bütçe başlangıç ödenekleri ile harcama tutarları dikkate alındığında bütçe başlangıç ödeneğinin toplamda %0,4 oranında aşıldığı görülmüştür. Bu oran, Personel giderlerinde %3,2, sosyal güvenlik kurumlarına devlet primi giderlerinde %2, cari transfer giderlerinde %4,2 olarak gerçekleşmiştir. Personel, sosyal güvenlik ve cari transfer gider kalemleri beklenenin üstünde gerçekleşirken, mal ve hizmet alım giderleri ile sermaye giderleri beklenenin altında gerçekleşmiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 7 Ekonomik sınıflandırmaya göre 2020 yılı gelir bütçesi tahmin ve gerçekleşme rakamları ise şu şekildedir: Tablo 5: 2020 Mali Yılı Bütçe Gelirleri Tablosu Ekonomik Kodu Bütçe Başlangıç Tahmini (TL) Gerçekleşen Tutar (TL) Gerçekleşme Oranı (%) Bütçe Gelirleri İçindeki Payı (%) 03-Teşebbüs ve Mülkiyet Gelirleri 12.779.000,00 12.540.156,17 98,1 4,0 04-Alınan Bağış ve Yardımlar ile Özel Gelirler 286.369.000,00 284.541.381,28 99,4 90,3 05-Diğer Gelirler 11.874.000,00 18.097.448,68 152,4 5,7 06-Sermaye Gelirleri 0,00 0,00 - - TOPLAM 311.022.000,00 315.178.986,13 101,3 100,0 Buna göre 2020 yılında bütçe gelirleri %101 seviyesinde gerçekleşmiştir. Teşebbüs ve mülkiyet gelirleri için başlangıç bütçesinde öngörülen tutar %98 oranında gerçekleşirken, alınan bağış ve yardımlar ile öz gelirler için başlangıç ödeneğinde öngörülen tutar %99 oranında gerçekleşmiştir. Diğer gelirler için başlangıç bütçesinde öngörülen tutar %152 oranı ile beklenenin üstünde gerçekleşmiştir. Bunun dışında 2020 yılında, Üniversitede Türkiye Bilimsel ve Teknolojik Araştırma Kurumu için toplam 610.171 TL destek verilmiş ve 986.886 TL harcama yapılmıştır. Erasmus Değişim Programı için toplam 1.380.347 TL destek verilmiş ve 721.832 TL harcama yapılmıştır. Mevlana Değişim Programı için 2020 yılında destek verilmemiş ve 14.393 TL harcama yapılmıştır. Farabi Değişim Programı İçin 2020 yılında destek verilmemiş ve 62.343 TL harcama yapılmıştır. Batı Karadeniz Kalkınma Ajansı (BAKKA) projesi için 2020 yılında 974.313 TL destek verilmiş ve 5.347 TL harcama yapılmıştır. Dış Kaynaklı projeler için 2020 yılında toplam 2.964.832 TL destek verilmiş ve 1.790.803 TL bütçe dışı kaynak kullanılmıştır. Üniversitenin bütçe gelirler ve giderlerinin ekonomik sınıflandırmaya göre son üç yıllık seyri değişim yüzdeleri aşağıdaki tablolarda yer almaktadır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 8 Tablo 6: Bütçe Giderlerinin 3 Yıllık (2018-2020) Seyri Bütçe Giderinin Çeşidi 2018 Yılı (TL) (A) 2019 Yılı (TL) (B) 2020 Yılı (TL) (C) 2019-2018 Değişim Oranı (%) [D=(B-A)/A] 2020-2019 Değişim Oranı (%) [E=(C-B)/B] Personel Giderleri 163.059.696,22 199.333.436,72 225.002.492,67 22,2 12,9 SGK Devlet Prim Giderleri 25.245.338,52 32.033.558,19 36.240.140,28 26,9 13,1 Mal ve Hizmet Alım Giderleri 29.948.637,74 24.607.245,42 17.429.306,64 -17,8 -29,2 Faiz Giderleri 0,00 0,00 0,00 - - Cari Transferler 6.944.281,91 8.230.090,35 10.586.657,79 18,5 28,6 Sermaye Giderleri 48.892.932,18 34.413.966,39 22.895.799,97 -29,6 -33,5 Sermaye Transferleri - - TOPLAM 274.090.886,57 298.618.297,07 312.154.397,35 8,9 4,5 Mal ve hizmet alım giderleri tertibinde 2018-2019 yılları arasında görülen değişim, yükleniciler tarafından çalıştırılmakta olan personelin 2018 yılı içerisinde kadroya geçirilmesinden kaynaklanmıştır. Aynı tertipte 2019-2020 yılları arasında görülen değişim ise, COVID-19 Pandemisi nedeniyle eğitim öğretim faaliyetlerinin uzaktan eğitim şeklinde yapılması sebebiyle oluşmuştur. Sermaye Giderleri tertibindeki azalma, yıllar itibariyle devam eden projelerin tamamlanmasından kaynaklanmıştır. Tablo 7: Bütçe Gelirlerinin 3 Yıllık (2018-2020) Seyri Bütçe Gelirinin Çeşidi 2018 Yılı (TL) (A) 2019 Yılı (TL) (B) 2020 Yılı (TL) (C) 2018-2019 Değişim Oranı (B- A)/A 2019-2020 Değişim Oranı E=(C-B)/B Vergi Gelirleri 0,00 0,00 0,00 - - Teşebbüs ve Mülkiyet Gelirleri 14.865.850,64 15.626.354,98 12.540.156,17 5,1 -19,7 Alınan Bağış ve Yardım ile Özel Gelirler 243.779.110,00 278.352.750,00 284.541.381,28 14,2 2,2 Diğer Gelirler 13.339.055,84 11.098.239,87 18.097.448,68 -16,8 63,1 Sermaye Gelirleri 0,00 0,00 0,00 - - Toplam 271.984.016,48 305.077.344,85 315.178.986,13 12,2 3,3 Bütçe Gelirlerinden Red ve İadeler Toplamı (-) 78.377,25 57.755,81 62.135,81 -26,3 7,6 NET TOPLAM 271.905.639,23 305.019.589,04 315.116.850,32 12,2 3,3 Teşebbüs ve mülkiyet gelirleri için 2020 yılında, bir önceki yıla göre %19,7 oranında azalmıştır. Söz konusu azalma, 2020 yılında ortaya çıkan Covid-19 pandemisi nedeniyle

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 9 taşınmaz kira gelirlerinde düşüşten kaynaklanmıştır. Diğer gelirler kaleminin 2019 yılında %16,8 azalmasının sebebi, öğrenci katkı payı telafi gelirlerinin 2019 yılı güz döneminde gönderilmemesidir. Geciken tutar 2020 yılı içinde gönderilmiş bu sebeple diğer gelirler kalemi bu yılda bir önceki yıla göre %63 artış kaydetmiştir. Dönem net faaliyet geliri 345.877.159 TL, faaliyet gideri ise 337.997.036 TL olan Üniversite, 2020 yılını 7.880.122 TL olumlu faaliyet sonucu ile tamamlamıştır. Tablo 8: 2020 Yılı Faaliyet Sonuçları Tablosu (TL) Faaliyet Giderleri Faaliyet Gelirleri İndirim, İade, Iskonto Toplamı Net gelir Dönem Olumlu Faaliyet Sonucu 337.997.036,86 345.939.294,84 62.135,81 345.877.159,03 7.880.122,17 Zonguldak Bülent Ecevit Üniversitesi merkezi yönetim bütçesi içerisinde yer alan özel bütçeli bir kamu idaresi olmakla birlikte 5018 sayılı Yasa’da tanımlanan bütçe türleri dışında kalan döner sermaye işletmesi bütçesi de kaynakları arasında yer almaktadır. Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi, 2020 yılını 9.180.141 TL dönem zararı ile kapatmıştır. Üniversite bünyesinde özel bütçeden ayrı olarak sosyal tesis işletmesi bulunmakta olup, 2020 yılı faaliyet gelirleri toplamı 457.164 TL, faaliyet giderleri toplamı 596.258 TL'dir. Dönem faaliyet sonucu 139.094 TL zarar olarak gerçekleşmiştir. Kurum, 2017/10806 sayılı Bakanlar Kurulu Kararı ile kurulan Zonguldak Teknopark AŞ’nin ortağıdır. Toplam sermayesi 350.000 TL olan Teknopark AŞ’ye Kurum, 203.000 TL tutarında sermaye ile %58 oranında ortaktır. 1.4. Muhasebe ve Raporlama Sistemi 5018 sayılı Kanun’un 49’uncu maddesi gereğince genel yönetim kapsamındaki kamu idarelerinde uygulanacak muhasebe ve raporlama standartları, uluslararası standartlara uygun olarak Hazine ve Maliye Bakanlığı bünyesinde; Sayıştay Başkanlığı, T.C. Hazine ve Maliye Bakanlığı ve diğer ilgili kuruluş temsilcilerinin katılımıyla oluşturulacak olan Devlet Muhasebesi Standartları Kurulu tarafından belirlenmektedir. Dolayısıyla genel yönetim kapsamında olan üniversitelerin muhasebe ve raporlama standartları Kurul tarafından belirlenen kurallara tabidir. Kamu İdaresi ayrıca adı geçen Kanun’un 80’inci maddesinin T.C.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 10 Hazine ve Maliye Bakanlığına verdiği yetkiye istinaden Bakanlığın hazırladığı düzenlemelere tabi olup bu kapsamda çıkarılan Genel Yönetim Muhasebe Yönetmeliği’ndeki muhasebe ilkeleri ile hesap planını kullanmakta, mali tabloları hazırlamakta ve Merkezi Yönetim Muhasebe Yönetmeliği hükümlerine göre mali işlemlerini muhasebeleştirmektedir. “Kamu İdaresi Hesaplarının Sayıştaya Verilmesi ve Muhasebe Birimleri ile Muhasebe Yetkililerinin Bildirilmesi Hakkında Usul ve Esaslar”ın 5’inci maddesi gereğince hesap dönemi sonunda Sayıştaya gönderilmesi gereken defter, tablo ve belgelerden denetime sunulanlar aşağıda sayılmakta olup denetim bunlar ile Usul ve Esaslar’ın 8’inci maddesinde yer alan diğer belgeler dikkate alınarak yürütülüp sonuçlandırılmıştır.  Birleştirilmiş veriler defteri  Geçici ve kesin mizan  Bilanço  Faaliyet sonuçları tablosu  Bütçelenen ve gerçekleşen tutarların karşılaştırma tablosu,  İdare taşınır mal yönetimi ayrıntılı hesap cetveli ile idare taşınır mal yönetim hesabı icmal cetveli Denetim görüşü, kamu idaresinin tabi olduğu geçerli finansal raporlama çerçevesi kapsamındaki temel mali tabloları olan bilanço ve faaliyet sonuçları tablosuna verilmiştir. 2. KAMU İDARESİNİN SORUMLULUĞU Denetlenen kamu idaresinin yönetimi, tabi olduğu muhasebe standart ve ilkelerine uygun olarak hazırlanmış olan mali rapor ve tabloların doğru ve güvenilir bilgi içerecek şekilde zamanında Sayıştaya sunulmasından, bir bütün olarak sunulan bu mali tabloların kamu idaresinin faaliyet ve işlemlerinin sonucunu tüm önemli yönleriyle doğru ve güvenilir olarak yansıtmasından ve ister hata isterse yolsuzluktan kaynaklansın bu mali rapor ve tabloların önemli hata veya yanlış beyanlar içermemesinden; kamu idaresinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğundan; mali yönetim ve iç kontrol sistemlerinin amacına uygun olarak oluşturulmasından, etkin olarak

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 11 işletilmesinden ve izlenmesinden, mali tabloların dayanağını oluşturan bilgi ve belgelerin denetime hazır hale getirilmesinden ve sunulmasından sorumludur. 3. SAYIŞTAYIN SORUMLULUĞU Sayıştay, denetimlerinin sonucunda hazırladığı raporlarla denetlenen kamu idarelerinin mali yönetim ve iç kontrol sistemlerini değerlendirmek, mali rapor ve tablolarının güvenilirliğine ve doğruluğuna ilişkin görüş bildirmek, gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmekle sorumludur. 4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI Denetimlerin dayanağı; 6085 sayılı Sayıştay Kanunu, uluslararası denetim standartları, Sayıştay ikincil mevzuatı ve denetim rehberleridir. Denetimler, kamu idaresinin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek ve mali rapor ve tablolarının kamu idaresinin tüm faaliyet ve işlemlerinin sonucunu doğru ve güvenilir olarak yansıttığına ilişkin makul güvence elde etmek ve mali yönetim ve iç kontrol sistemlerini değerlendirmek amacıyla yürütülmüştür. Kamu idaresinin mali tabloları ile bunları oluşturan hesap ve işlemlerinin doğruluğu, güvenilirliği ve uygunluğuna ilişkin denetim kanıtı elde etmek üzere yürütülen denetimler; uygun denetim prosedürleri ve tekniklerinin uygulanması ile risk değerlendirmesi yöntemiyle gerçekleştirilmiştir. Risk değerlendirmesi sırasında, uygulanacak denetim prosedürünün belirlenmesine esas olmak üzere, mali tabloların üretildiği mali yönetim ve iç kontrol sistemleri de değerlendirilmiştir. Denetimin kapsamını, kamu idaresinin mali rapor ve tabloları ile gelir, gider ve mallarına ilişkin tüm mali faaliyet, karar ve işlemleri ve bunlara ilişkin kayıt, defter, bilgi, belge ve verileri (elektronik olanlar dâhil) ile mali yönetim ve iç kontrol sistemleri oluşturmaktadır. Bu hususlarla ilgili denetim sonucunda denetim görüşü oluşturmak üzere yeterli ve uygun denetim kanıtı elde edilmiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 12 5. İÇ KONTROL SİSTEMİNİN DEĞERLENDİRİLMESİ Kurum organizasyon yapısı içerisinde görev, yetki ve sorumluluklar açık bir şekilde belirlenip yazılı hale getirilmiştir. Bu amaçla her birimde gerçekleştirilen işlere ilişkin görev tanımları oluşturulmuş ancak iş akış süreçleri henüz tanımlanmamıştır. Yürütülmekte olan iş akış süreçleri hazırlıklarında, imza ve onay mercileri ile yetki devrine ilişkin hususların dikkate alınması öngörülmemiştir. Yetki devri yapılan alanlar ve sınırları İmza Yetkilileri Yönergesi ile belirlenmiş ve ilgililere bildirilmiştir. Kurum, yaptığı görevlendirmelerde görevler ayrılığı ilkesini dikkate almaktadır. Ancak, bilişim hizmetleri alanında personel azlığı sebebiyle görevler ayrılığı ilkesi tam olarak uygulanamamakta olup, bundan kaynaklanan riskler henüz tanımlanmamıştır. Kamu İç Kontrol Standartlarına Uyum Eylem Planı hazırlanarak Hazine ve Maliye Bakanlığına gönderilmiştir. Eylem planı, Kamu İç Kontrol Standartları Tebliğine uygun şekilde hazırlanmış, Zonguldak'ın ilçelerinde yer alan harcama birimlerini de kapsayacak eylemler belirlenmiştir. Ancak Döner Sermaye İşletmesi için herhangi bir eylem belirlenmemiştir. İç kontrol Standartlarına Uyum Eylem Planının izlenmesi ve izleme sonuçlarının raporlaması için herhangi bir çalışma yapılmamıştır. Etik Davranış İlkeleri ve İş Etik Kurulu Yönergesi ile İş Etik Sözleşmesi 2009 yılında yürürlüğe girmiş olup tüm personel tarafından okunup imzalanmaktadır. Kurumda işe başlayan aday memurlara, etik değerler eğitimi verilmektedir. Personelin işe alınması, yer değiştirmesi, görevde yükselmesi, yeterlilik-performans değerlendirmesi ile disiplin hükümlerine yönelik uygulamalar mevzuatta belirlenen hususlarla sınırlı tutulmuştur. Bu alanda, Kamu İç Kontrol Standartları Tebliği ile uyumlu bir insan kaynakları politikası belirleme çalışmalarına başlanmış ancak henüz sonuçlandırılmamıştır. Hassas görevlerin tespit edilmesi, bu görevlere ilişkin risklerin ve bu risklerin etkisini azaltmak için gerekli kontrollerin tanımlanması çalışmalarına başlanmış, ancak henüz sonuçlandırılmamıştır. Yürütülen görevler için gerekli eğitim ihtiyacı Personel Daire Başkanlığı tarafından belirlenmekte, kurum çapında eğitim ihtiyaç analizi yapılmamaktadır. Eğitim faaliyetleri için

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 13 yıllık planlama yapılmamakta, mevzuat değişiklikleri ve zorunlu durumlarda eğitim verilmesi yöntemi kullanılmaktadır. Mevcut eğitim programları güncellenmemektedir. 2018-2022 Stratejik Planı, ilgili birimlerden temsilcilerin katılımı ile düzenlenen toplantılar ve karşılıklı veri akışı ile mevzuata uygun olarak hazırlanmıştır. Stratejik plan, ilgili genel plan ve programlarla uygun şekilde ilişkilendirilmiştir. 2020 Yılı Performans Programı, Kurumun yürüteceği program, faaliyet ve projeleri ile bunların kaynak ihtiyacını, performans hedef ve göstergelerini içerecek şekilde hazırlanmıştır. Bütçe, stratejik plan ve performans programında öngörülen performans hedefleri ve faaliyetlerle ilişkilendirilmiştir. Kurumun amaç ve hedeflerinin gerçekleşmesini engelleyebilecek iç ve dış riskler tanımlanmamış ve alınması gereken önlemleri belirlenmemiştir. Risklerin belirlenme ve yönetim sürecini tanımlayacak bir Yönerge taslağı hazırlanmış ancak henüz uygulamaya konmamıştır. Ön mali kontrol sistemi, iç kontrol ve ön mali kontrole ilişkin usul ve esaslara uygun olarak kurulmuştur. Yönetimin ihtiyaç duyduğu gerekli bilgileri ve raporları üreten ve analiz yapma imkânı sunan bilgisayar destekli bir Yönetim Bilgi Sistemi bulunmamaktadır. Faaliyet Raporu içerik olarak mevzuata uygun hazırlanmıştır. Kurum bünyesinde tüm birimler tarafından faaliyet raporları hazırlanmış, raporlarda faaliyet sonuçları ile ilgili değerlendirmelere yer verilmiştir. Faaliyet Raporlarının duyurulmasında mevzuatta belirtilen sürelere uyulmuştur. Raporlar kurum internet sitesinde yayınlanmakta, basın açıklaması yapılmamaktadır. Kurum, gelen ve giden her türlü evrakın yönetimi için Elektronik Belge Yönetim Sistemi kullanmaktadır ve bütün personelin sisteme erişimi bulunmaktadır. Ancak yazışmalar dışındaki iş ve işlemlerin kaydedildiği, sınıflandırıldığı ve dosyalandığı bir sistem bulunmamaktadır. Kurum içi haberleşme için herhangi bir sistem kullanılmamaktadır. Mevcut bilgi yönetim sistemlerinde Kurumun kritik bilgilerini yedekleyecek altyapı bulunmakla birlikte, kurumsal verilerin yedeklenme ve geri yüklenmesine dair politika ve süreçler henüz tanımlanmamıştır. Mevcut yedekleme süreçleri bilgi işlem biriminin takdiri ile

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 14 yürütülmektedir. Bilgi yönetim sistemlerinin tasarımında bilgi güvenliği yönünden kritik açıklar bulunduğu tespit edilmiştir. Bu açıkların kapatılmasını hedefleyen çalışmalar bir süredir yürütülmekte olmasına rağmen, bilgi işlem biriminin mevcut kapasitesinin sorunları çözmek için yeterli olmadığı gözlemlenmiştir. Kurumda üst yöneticinin onayı ile bir İç Kontrol İzleme ve Yönlendirme Kurulu oluşturulmuştur. Ancak Kurul, iç kontrol sisteminin değerlendirilmesi ve üst yöneticiye bu konuda bilgi sunulması için herhangi bir çalışma yürütmemiştir. Üst yönetim tarafından risk yönetimi ve iç kontrol yapısını izlemek amacıyla yürütülen ayrı bir çalışma bulunmamaktadır. Kurumda üç adet iç denetçi çalışmaktadır. Ancak bu sayı denetim fonksiyonunun etkin ve verimli çalışabilmesi için yeterli görülmemektedir. İç denetim birimi, iç kontrol sistemi konusunda bir denetim yapmamıştır, ancak denetim yapılan alanlarda iç kontrol sistemi hakkında değerlendirmelerde bulunmaktadır. İç kontrol sisteminin tasarım ve işleyişi konusunda iç denetim biriminden danışmanlık katkısı alınmamıştır. Üst yönetici ve harcama birimleri iç kontrol güvence beyanını imzalamışlardır. 6. DENETİM GÖRÜŞÜ Zonguldak Bülent Ecevit Üniversitesi 2020 yılına ilişkin yukarıda belirtilen ve kamu idaresi tarafından sunulan, geçerli finansal raporlama çerçevesi kapsamındaki mali rapor ve tablolarının tüm önemli yönleriyle doğru ve güvenilir bilgi içerdiği kanaatine varılmıştır. 7. DENETİM BULGULARI Raporda yer alan bulgular, denetimler sonucunda tespit edilen hususlara kamu idaresi tarafından verilen cevapların değerlendirilmesi suretiyle düzenlenmiştir. A. DENETİM GÖRÜŞÜNÜN DAYANAĞI BULGULAR Herhangi bir denetim bulgusu tespit edilmemiştir. B. DİĞER BULGULAR Bu bölümde, mali rapor ve tablolara verilen görüş ile ilgili olmayan bulgular yer almaktadır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 15 BULGU 1: Hurdaya Ayrılan Dayanıklı Taşınırların Parçalarının Değerlendirilmemesi Kurumun taşınır işlemlerinin incelenmesi sonucunda, hurdaya ayrılan ve dayanıklı taşınır niteliğinde olan bazı cihazların, yeniden kullanılması mümkün olan parçalarının tespit edilip ayrılması için herhangi bir işlem yapılmadığı, cihazların bir bütün olarak hurdaya ayrıldığı görülmüştür. 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu'nun “Tanımlar” başlıklı 3’üncü maddesinin (g) bendinde kamuya ait taşınırlar kamu kaynakları arasında sayılmıştır. Aynı Kanunun "Hesap verme sorumluluğu" başlıklı 8’inci maddesinde, her türlü kamu kaynağının elde edilmesi ve kullanılmasında görevli ve yetkili olanların, kaynakların etkili, ekonomik, verimli ve hukuka uygun olarak elde edilmesinden, kullanılmasından, muhasebeleştirilmesinden, raporlanmasından ve kötüye kullanılmaması için gerekli önlemlerin alınmasından sorumlu oldukları belirtilmiştir. Yine aynı Kanunun 11’inci maddesinde üst yöneticilerin sorumlulukları altındaki kaynakların etkili, ekonomik ve verimli şekilde elde edilmesi ve kullanımını sağlamaktan, kayıp ve kötüye kullanımının önlenmesinden sorumlu oldukları belirtilmiştir. Söz konusu Kanunun "Mal yönetiminde etkililik ve sorumluluk" başlıklı 48’inci maddesinin üçüncü bendinde kamu idarelerine ait malların kullanma ve elden çıkarma işlemlerinin hizmetin amacına uygun olarak verimlilik ve tutumluluk ilkesine göre yapılacağı belirtilmiş, bu ilkeye aykırı eylem ve işlemlerden doğacak zararlardan, malların yönetimi veya kullanılması hususunda yetki verilenlerin sorumlu olacağı belirtilmiştir. Taşınır Mal Yönetmeliği'nin 3’üncü maddesinin g bendinde hurda, "Ekonomik ömrünü tamamlamış olan veya tamamlamadığı halde teknik ve fiziki nedenlerle alınış amaçları doğrultusunda kullanılması imkânı kalmayan ya da tamiri mümkün veya ekonomik olmayan arızalar nedeniyle kullanılmasında yarar görülmeyerek hizmet dışı bırakılan taşınırlar ile üretim sırasında elde edilen kırpıntı, döküntü ve artık parçalar" şeklinde tanımlanmıştır. Aynı Yönetmeliğin "Hurdaya ayırma nedeniyle çıkış" başlıklı 28’inci maddesinde hurdaya ayırma işleminin nasıl yürütüleceği belirlenmiştir. Buna göre, ekonomik ömrünü tamamlamış olan veya tamamlamadığı halde teknik ve fiziki nedenlerle kullanılmasında yarar görülmeyerek hizmet dışı bırakılması gerektiği ilgililer veya özel mevzuatı çerçevesinde

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 16 oluşturulan komisyon tarafından bildirilen taşınırlar, biri işin uzmanı olmak kaydıyla harcama yetkilisinin belirleyeceği en az üç kişiden oluşan komisyon tarafından değerlendirilir. Komisyonca yapılan değerlendirme sonucunda hurdaya ayrılması uygun görülmeyen taşınırlar hakkındaki gerekçeli karar harcama yetkilisine bildirilir, hurdaya ayrılmasına karar verilen taşınırlar da harcama yetkilisinin onayı ile kayıtlardan çıkarılır. Bilgisayar, kamera, projeksiyon cihazı ve benzeri teknik cihazların, anakart, bellek, harddisk, lens, lamba gibi maddi değeri yüksek olan veya yüksek maddi değer taşımamakla birlikte, cihazın çalışabilir durumda kalması için kritik önem taşıyan bazı parçaları, kolayca sökülüp takılabilir nitelikte üretilmektedir. Bu tür parçaların, benzer özellikleri taşıyan ve henüz hurdaya ayrılmamış başka cihazlarda yedek parça olarak kullanılması ve bu cihazların ekonomik ömrünü uzatması veya daha yüksek ekonomik bedelle elden çıkarılması mümkün bulunmaktadır. Özellikle bilişim alanında kullanılan cihazların, anakart, işlemci, bellek, harddisk, güç ünitesi gibi parçalarının yeniden değerlendirilmesi, bu tür yüzlerce cihazı bulunan üniversitelerde birçok cihazın daha uzun süre kullanımda tutulmasını, dolayısıyla önemli ölçüde tasarruf edilmesini sağlayacaktır. Parçaları yeniden kullanılabilir nitelikte olan, ancak az sayıda bulunan diğer dayanıklı taşınırların lens, lamba gibi çalışan parçalarının da ayrılmak suretiyle hurda satım sürecinde daha yüksek ekonomik değere elden çıkarılması mümkündür. Taşınır yönetmeliğinde hurdaya ayırma işlemi için oluşturulan komisyonun ilgili cihazları değerlendireceği ve hurdaya ayrılmasının uygun olup olmayacağını belirleyeceği ifade edilmiş, ancak bu sürecin detayları belirtilmemiştir. Mevzuatın bir bütün olarak değerlendirmesi sonucunda bu tür, değiştirilebilen kritik veya değerli parçalar içeren dayanıklı taşınırların elden çıkarma işlemlerinin kanunun öngördüğü etkili kullanım ilkesine uygun şekilde yapılabilmesi için söz konusu parçalarının ayrı ayrı değerlendirilmesinin gerekli olduğu açıktır. Bu şekilde değerlendirilme yapılmadan, ilgili parçaların kullanılmasına imkân kalmadığının veya kullanılmasında yarar görülmediğinin, yani hurda tanımına uyup uymadığının tespiti mümkün olmayacaktır. Böyle bir değerlendirmenin yapılmaması, ancak dayanıklı taşınırın herhangi bir ekonomik değer taşımayacak kadar eski olması durumunda mazur görülebilecektir. Dayanıklı taşınırın teknolojik yönden kurumda kullanılan diğer cihazlarla uyumlu olmaması durumunda dahi kritik ve değerli parçalarının en ekonomik şekilde elden

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 17 çıkarılabilmesi için bu parçalar üzerinde ayrı ayrı tespit yapılması gereklidir. Çalışır durumdaki bir parça ile hurda niteliğindeki parçanın elden çıkarma bedelinin farklı olacağı açıktır. Söz konusu ilkelerin uygulanmaması durumunda doğacak zararlardan, 5018 sayılı Kanunun 48’inci maddesi çerçevesinde, malların yönetimi veya kullanılması hususunda yetki verilenlerin sorumlu olacağı tabiidir. Ancak geçmişe dönük olarak hurdaya ayırma işlemleri ile ilgili sorumluluk tevcihi mümkün bulunmamaktadır. Kurumda, değiştirilebilir nitelikte değerli veya kritik önemde parçalar içeren dayanıklı taşınırların bir bütün olarak hurdaya ayrıldığı ve değerlendirilebilecek parçalarının çalışır nitelikte olup olmadıklarının tespit edilmediği görülmüştür. Bu konuda herhangi bir iç düzenleme yapılmamış ve iş süreçlerinde yer verilmemiştir. Kamu İdaresi cevabında, hurdaya ayrılma sürecindeki eksiklerin giderilmesi için gerekli iç düzenlemelerin yapılması ve komisyonların teşekkül ettirilmesi çalışmalarına başlandığı bildirilmiştir. Kamu kaynaklarından olan dayanıklı taşınırların elden çıkarma işlemlerinin kanunun öngördüğü verimlilik ve tutumluluk ilkelerine göre yürütülebilmesi için;  Hurdaya ayırma işlemi için oluşturulan komisyonun, hurdaya ayırma işlemi sırasında, değerli ve kritik bileşenler içiren dayanıklı taşınırların bu parçaları üzerinde ayrı ayrı teknik değerlendirme yapması ve yeniden kullanım veya yedek parça olarak satış imkânını araştırması,  Bu incelemenin sadece bilişim cihazlarında değil, değerli ve kritik bileşenler içeren tüm dayanıklı taşınırlar için yapılması,  Çalışabilir durumdaki parçaların ayrılarak taşınır kayıt sistemine kaydedilmesi,  Kurumsal iç düzenlemelerin ve süreçlerin buna uygun şekilde düzenlenmesi, gerekmektedir. BULGU 2: Hurdaya Ayrılan Taşınırlara İlişkin Kişisel Sorumluluğun Tespit Edilmemesi Kuruma ait taşınırların hurdaya ayrılmasında kişisel sorumluluk bulunup bulunmadığının tespit edilmesi için herhangi bir işlem yapılmadığı görülmüştür.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 18 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu'nun 3’üncü maddesinde kamuya ait taşınırlar kamu kaynakları arasında sayılmıştır. Aynı Kanunun 8’inci maddesinde, her türlü kamu kaynağının elde edilmesi ve kullanılmasında görevli ve yetkili olanların, 11’inci maddesinde de üst yöneticilerin, kamu kaynaklarının kayıp ve kötüye kullanımının önlenmesinden sorumlu oldukları belirtilmiştir Söz konusu Kanunun "Mal yönetiminde etkililik ve sorumluluk" başlıklı 48’inci maddesinde "Kullanılmak üzere taşınır teslim edilen görevliler, taşınırın korunmasından ve taşınıra verilen zararlardan sorumludur. Kamu idareleri, verilen zararların sorumlularına ödettirilmesini sağlamakla yükümlüdür." hükmüne yer verilmiştir. Taşınır Mal Yönetmeliği'nin “Sorumluluk” başlıklı 5’inci maddesinde şu hükümler yer almaktadır: "(2) Harcama yetkilileri, taşınırlara ilişkin işlem ve kayıtların usule uygun olarak yapılıp yapılmadığını kontrol etmeye veya ettirmeye; kasıt, kusur veya ihmal sonucu kırılan, bozulan veya kaybolan taşınırların ilgililerden tazmini için gerekli işlemleri yapmaya veya yaptırmaya yetkilidir… (6) Kullanılmak üzere kendilerine taşınır teslim edilen kamu görevlilerinin kasıt, kusur, ihmal veya tedbirsizlik ya da dikkatsizlikleri nedeniyle oluşan kamu zararı, değer tespit komisyonu tarafından tespit edilecek gerçeğe uygun değer üzerinden, ilgili mevzuat hükümleri uygulanmak suretiyle tahsil edilir. Ortak kullanım alanına tahsis edilen dayanıklı taşınırlarda meydana gelen kamu zararı ise zararın oluşmasında kasıt, kusur veya ihmali olanlardan tahsil edilir…" Aynı Yönetmeliğin "Taşınır kayıt yetkilileri ve taşınır kontrol yetkilileri" başlıklı 6’ncı maddesinde taşınır kayıt yetkililerinin görev ve sorumlulukları arasında "Ambarlarında kasıt, kusur, ihmal veya tedbirsizlikleri nedeniyle meydana gelen kayıp ve noksanlıklardan sorumlu olmak" sayılmıştır. Yine aynı Yönetmeliğin "Kullanılmaz hale gelme, yok olma veya sayım noksanı nedeniyle çıkış" başlıklı 27’inci maddesinde, sayımda noksan çıkan taşınırlar, çalınma, kaybolma gibi nedenlerle yok olan taşınırlar ya da yıpranma, kırılma veya bozulma gibi nedenlerle kullanılamaz hale gelen taşınırlara ilişkin olarak "... kasıt, kusur, ihmal veya

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 19 tedbirsizlik olup olmadığı araştırılarak sonuçları ayrı bir tutanakta belirtilir ve 5 inci madde hükmüne göre işlem yapılır" hükmü yer almaktadır. Kamu Zararlarının Tahsiline İlişkin Usul ve Esaslar Hakkında Yönetmelik'in 7’nci maddesinde kontrol, denetim veya inceleme sonucunda tespit edilen zararların tespitine ve tanzimine ilişkin esaslar belirlenmiştir. Merkezi Yönetim Muhasebe Yönetmeliğinin muhtelif maddelerinde kişisel kusur sebebiyle zarar gören taşınırların bedelinin tanzim edilmesine dair işlemlerin ne şekilde kayıt altına alınacağı tarif edilmiştir. Görüleceği üzere, mevzuatta taşınırların korunması ile ilgili sorumluluk tanımlanmış ve kişisel kusur sebebiyle kullanılamaz hale gelen veya zarar gören taşınmazlara ilişkin yapılacak işlemler belirlenmiştir. Her ne kadar Taşınır Mal Yönetmeliği'nde hurdaya ayırma işlemlerini tanzim eden maddede kişisel sorumluluk olup olmadığının tespitine atıf yapılmamışsa da, yönetmelik ve ilgili mevzuat hükümlerinin bir bütün olarak değerlendirilmesi sonucunda, taşınırlara ilişkin her türlü yıpranma, kırılma, bozulma ve kaybolma durumunda kişilerin kasıt, kusur, ihmal veya tedbirsizliğinin bulunup bulunmadığının tespit edilmesi gerektiği açıktır. 5018 sayılı kanun, taşınırın korunmasından ve taşınıra verilen zararlardan sorumluluğu açık şekilde tanzim etmiştir. Sadece hurdaya ayırma durumunda değil, kullanılmaz hale gelme, yok olma veya sayım noksanı nedeniyle çıkış yapılması durumlarında da sorumluluk tayininin yapılması gerektiği açıktır. Sorumluluk tayininin, hurdaya ayrılacak veya kayıtlardan çıkarılacak taşınır, kişilere tahsis edilmemiş ve ortak kullanımda bulunuyor veya ambarlarda muhafaza ediliyor olsa dahi yapılması zorunludur. Ancak, Kurumda hurdaya ayırma işlemlerine ait belgelerin incelenmesi sonucunda kişisel sorumluluğun tespiti için herhangi bir işlem yapılmadığı, bu konuda bir iç düzenleme yapılmamış olduğu ve kurumsal iş süreçlerinde de bu konunun tanımlanmamış olduğu görülmüştür. Kamu İdaresi cevabında, hurdaya ayrılma sürecinde sorumluluğun tespit edilmesini sağlayacak iç düzenlemelerin hazırlanması çalışmalarına başlandığı bildirilmiştir. Kuruma ait taşınırlardan, ortak kullanımda veya ambarlarda bulunan veya kişilere tahsis edilmiş olanların hurdaya ayrılması veya başka sebeplerle kayıtlardan düşürülmesinde kişisel

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 20 sorumluluğun bulunup bulunmadığının mevzuata uygun şekilde tayin edilmesi, buna ilişkin gerekli iç düzenlemelerin yapılması ve kurumsal iş süreçlerinin tanımlanması gerekmektedir. BULGU 3: Bilişim Sistemleri Yönetişim Kontrollerinin Yetersiz Olması Kurum üst yönetimiyle bilişim sistemlerini yöneten birim arasındaki ilişkinin, orta ve uzun vadeli stratejiler ve planlar çerçevesinde yürütülmesinde, gözetim ve denetiminin yapılmasında yetersizlik olduğu gözlemlenmiştir 5018 Sayılı Kamu Mali Yönetimi ve Kontrol Kanunu'nun, 55'inci maddesinde iç kontrol şu şekilde tanımlanmıştır: “İç kontrol; idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünüdür…" İç kontrol özetle, idarenin sağlıklı çalışmasını etkileme ihtimali olan risklerin tanımlanması ve bu riskleri ortadan kaldıracak eylem ve süreçlerin oluşturulmasıdır. Kurumların faaliyetlerinin büyük ölçüde bilişim sistemleri desteğiyle yürütülmesi sebebiyle günümüzde iç kontrollerin önemli bir kısmının bilişim ortamında oluşturulması gerekmektedir. Nitekim Maliye Bakanlığı tarafından 5018 sayılı Kanuna dayanılarak 2007 yılında yayınlanan Kamu İç Kontrol Standartları Tebliği'nde bu husus standarda bağlanmıştır. Tebliğde yer alan 12 numaralı "Bilgi sistemleri kontrolleri" standardında, idarelerin, bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmalarını geliştirmeleri gerektiği vurgulanmış ve “İdareler bilişim yönetişimini sağlayacak mekanizmalar geliştirmelidir” denilmiştir. Bilişim sistemleri kontrolleri arasında yer alan yönetişim kontrollerinin amacı, güvenli ve yeterli bir bilişim ortamının sağlanması için kurumsal strateji ve amaçlara uygun yönetim, karar alma, yönlendirme ve izleme mekanizmalarının oluşturulmasını sağlamaktır. Bu kontroller kuruma, alt düzeydeki ayrıntılı kontrollerin varlığı ve etkinliği konusunda makul bir güvence sağlar.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 21 Etkin bir bilişim sistemleri yönetişim yapısının kurulması; kurumun stratejik hedeflerine ulaşmasını, paydaş ihtiyaçlarına uygun ürünler ortaya çıkarmasını, bilişim sistemleri ile ilgili riskleri yönetmesini, kaynakları daha etkin kullanmasını, bilgi güvenliği gereklerine ve yasal mevzuata uygun çalışmasını destekler. Yürütülen denetim çerçevesinde iç kontrollerin etkinliği değerlendirilirken bilişim sistemleri kontrolleri incelenmiş, Kurumda bilişim sistemlerinin geliştirilmesi ve güvenliğe kavuşturulması amacıyla kapsamlı ve yetkin çalışmalar yürütüldüğü, ancak yönetişim alanında kurulan kontrollerin yetersiz olduğu görülmüştür. a. Kurumda Yazılı ve Müstakil Bir Bilişim Sistemleri Stratejisinin Oluşturulmaması Kurum bilişim sistemlerine ilişkin çalışmaların üst yönetim tarafından yönlendirilmesini ve izlemesini öngören kontrollerin zayıf olduğu görülmüştür. e-Devlet Hizmetlerinin Yürütülmesine İlişkin Usul ve Esaslar Hakkında Yönetmelik'in “Kamu kurum ve kuruluşlarının görev ve sorumlulukları” başlıklı 7'nci maddesinde, kamu kurum ve kuruluşlarının bilişim stratejileri hazırlaması gerektiği şu şekilde ifade edilmiştir: “b) Kamu kurum ve kuruluşları, ulusal stratejiler ve planlar ile mevcut kurumsal stratejik planlarıyla uyumlu, kurumun e-Devlet hizmetleri sunumu amacıyla yapacakları yatırım, teknoloji tercihleri, kurumsal kapasite, tasarruf planları, fayda-maliyet, iş planı gibi unsurları kapsayacak bilişim stratejilerini hazırlar.” Bilişim sistemleri kontrollerini güçlendirme çalışmaları çerçevesinde Kurum tarafından 2020 yılı içinde bir dizi çalışma yürütüldüğü, bu çerçevede bilgi güvenliği çerçevesini tanımlayan çeşitli taslak belgeler oluşturulduğu ve bilişim stratejisini hazırlayacak bir Bilişim Sistemleri Yönlendirme Kurulu oluşturulması çalışmaları yürütüldüğü görülmüştür. Ancak söz konusu çalışmalar tamamlanmadığından, halihazırda Kurumun bilişim sistemleri ile ilgili hedefler, yatırımlar ve eylemler müstakil bir strateji ile yönetilmemektedir. Bilgi İşlem Birimi tarafından yürütülen faaliyetlerin kurumun ana stratejisi ve amaçları ile ne derecede uyumlu olduğunun Kurum üst yönetimi tarafından izlenmesinin oldukça güç olduğu gözlenmiştir. Kurumun, üst yönetimin ve ilgili paydaş birimlerin katılımıyla yazılı ve müstakil bir bilişim sistemleri stratejisi oluşturması gerekmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 22 b. Bilişim Sistemlerine İlişkin Planlama, Koordinasyon ve İzlemenin Sağlanmasına Yönelik Kurumsal Bir Mekanizmanın Bulunmaması Kurum üst yönetiminin, bilişim sistemlerine ilişkin planlama, koordinasyon ve izleme faaliyetlerine etkin olarak katılmasını sağlayacak kurumsal süreç ve yapıların oluşturulması çalışmalarının tamamlanmadığı gözlenmiştir. Bilişim faaliyetlerinin geleceğinin planlanması, bu faaliyetlerin başarısı için gerekli kurum içi koordinasyonun temin edilmesi ve faaliyet sonuçlarının izlenmesi faaliyetleri büyük ölçüde Bilgi İşlem Daire Başkanlığına bırakılmış durumdadır. Ancak bilgi işlem biriminin organizasyon yapısı içindeki yeri, birime devredilmiş olan yetkiler, birim bütçesi ve personel sayısı söz konusu faaliyetlerin yerine getirilmesi için yeterli bulunmamaktadır. Kurum bilişim sistemlerinin yönetişimini sağlamak üst yönetimin sorumluluğundadır. Kurumda bu amaçla yıl içinde üst yönetimin gözetiminde bir Bilişim Sistemleri Yönlendirme Kurulu ve ayrı bir Bilgi Güvenliği Kurulu kurulması için taslak belgeler oluşturulduğu, ancak bunların uygulamaya geçirilmemiş olduğu görülmüştür. Mevcut durumda Kurum üst yönetiminin bilişim sistemleri ile ilgili kararlara katılımının; görevlendirmelerin yapılması, bütçelerin ve satın alma süreçlerinin onaylanması ve genel çalışma çerçevesini belirleyen iç düzenlemelerin yapılması gibi faaliyetlerle sınırlı kaldığı görülmüştür. Kurum üst yönetiminin, bilişim sistemleriyle ilgili temel kararların alınması sürecine katılmasını, alınan kararların yürütülmesi sürecinde koordinasyonu sağlamasını ve sonuçları izlemesini temin edecek kurumsal mekanizma ve süreçlerin oluşturması gerekmektedir. c. Bilişim Sistemlerine İlişkin Faaliyetlerin İç Denetime Tabi Tutulmaması Kurum bilişim sistemlerinin üst yönetim adına iç denetime tabi tutulmadığı görülmüştür. Kamu İç Kontrol Standartları Tebliği 17 numaralı standartta “İdareler fonksiyonel olarak bağımsız bir iç denetim faaliyetini sağlamalıdır.” denilmektedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 23 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” adını taşıyan TSE standardının "Bilgi güvenliğinin bağımsız gözden geçirilmesi" başlıklı 18.2.1 numaralı bölümü, bağımsız gözden geçirmenin önemini vurgulamaktadır: “Kuruluşun bilgi güvenliğine ve uygulamasının (örneğin; bilgi güvenliği için kontrol amaçları, kontroller, politikalar, prosesler ve prosedürler) yönetimine olan yaklaşımı belirli aralıklarla veya önemli değişiklikler meydana geldiğinde bağımsız bir şekilde gözden geçirilmelidir.” Faaliyet alanının etkinliği dolayısıyla, esasen bilişim sistemlerinin yönetimiyle sorumlu birim, Kurum’un en güçlü birimleri arasında bulunmaktadır. Örneğin yeni bir yazılım geliştirildiğinde, kurumsal süreçlerin nasıl yürütüleceğini, kurumsal ve kişisel bilgilerin nasıl işleneceğini ve nasıl korunacağını, vb. kritik önemdeki birçok konuyu bilişim sistemlerinden sorumlu birim belirlemektedir. Ancak, bilgi işlem biriminin sahip olduğu bu gücün kurum lehine kullanıldığı hususunda üst yönetime güvence temin edecek gerekli planlama ve gözetim mekanizmalarının kurulmadığı görülmüştür. Bilişim sistemleriyle ilgili olarak üst yönetim tarafından yürütülen kurumsal süreçler, bilişim kaynaklarının etkin bir şekilde yönetilmesi ve kararların doğru alınması için yeterli bilgiyi sağlamamaktadır. Kuruma ait bilişim sistemleri, oldukça karmaşık, birbirini etkileyen ve dış dünyadan etkilenen iç içe geçmiş süreçlerle işletilmektedir. Bu karmaşık yapı içinde üst yönetim, bilişim alanında kurumsal hedeflere ulaşılmasını güvence altına alacak izleme, sonuçları değerlendirme, gerektiğinde hedef ve planları revize etme faaliyetlerini yerine getirememektedir. Esasen, bu faaliyetlerin yürütülmesi için gerekli altyapıyı sağlayacak olan, bilişim sistemlerini yöneten birimlerin iç denetim birimi tarafından üst yönetim adına denetlenmesi sağlanmamıştır. Bilişim sistemleri denetiminin, Kurum'da mevcut olan iç denetim biriminin rutin faaliyetleri arasında yer alacak şekilde planlanarak yürütülmesi ve üst yönetime raporlanması gerekmektedir. Kurum cevabında, bir bilişim sistemleri stratejisi oluşturulmasına karar verildiği, stratejiyi hazırlayacak ve bilişim sistemlerine yönelik planlama, koordinasyon ve izlemeyi sağlayacak kurumsal mekanizmaların planlanmakta olduğu bilgisi verilmiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 24 İç denetim eksikliğine ilişkin olarak, Bilgi İşlem Daire Başkanlığı bünyesinde 10 personel tarafından bilgi güvenliği sertifikasyon süreci çerçevesinde iç denetçi sertifikası alınmış olduğu bildirilmiştir. Bilişim hizmetlerini yürüten birimin bilgi güvenliğine ilişkin denetim faaliyetlerinde bulunması oldukça olumlu bir adımdır. Ancak, bulguda değinilen iç denetim eksikliği, kurum üst yönetimi adına, Bilgi İşlem Daire Başkanlığı'ndan bağımsız şekilde iç denetim yapılmamasından kaynaklanmaktadır. Bilişim hizmetlerini yürüten birim tarafından yapılacak denetimin, bu ihtiyacı karşılayacak nitelikte olmayacağı açıktır. Sonuç olarak, bilişim sistemlerinin Kurum amaçlarına uygun çalışmasını ve işlevlerini doğru bir şekilde yerine getirmesini sağlayacak etkin bir bilişim sistemleri yönetişim yapısının oluşturması, bu amaçla bilişim sistemlerine ilişkin planlama süreçlerinin ve yönetişim mekanizmalarının ihdas edilmesi ve bilişim sistemleri denetiminin düzenli olarak yapılması gerekmektedir. BULGU 4: Bilişim Sistemlerinin Sürekliliğini Güvence Altına Alacak Kontrollerin Yetersiz Olması Kurumda, bilişim sistemleriyle yürütülen hizmetlerin kesintiye uğraması veya bir felaketle karşı karşıya kalınması durumunda, söz konusu hizmetlerin sürekliliğinin sağlanması için alınması gereken kontrollerin yetersiz olduğu tespit edilmiştir. Kamu İç Kontrol Standartları Tebliği’nde 11 ve 12 No’lu Standartlarda şu kontroller tanımlanmıştır: “İdareler, faaliyetlerin sürekliliğini sağlamaya yönelik gerekli önlemleri almalıdır.” “Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır.” E-Devlet Hizmetlerinin Yürütülmesine İlişkin Usul ve Esaslar Hakkında Yönetmelik’in “Kamu kurum ve kuruluşlarının görev ve sorumlulukları” başlıklı 7’nci maddesinde şu hükümlere yer verilmiştir: “d) Kamu kurum ve kuruluşları, e-Devlet hizmetlerini kullanım kolaylığı ve kullanıcı memnuniyetini sağlayacak şekilde; ulusal ve uluslararası standartlara uygun olarak, işlevsel, güvenli, talebe cevap verebilir ve kesintisiz şekilde sunar (…)”

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 25 m) Kamu kurum ve kuruluşları herhangi bir felaket anında sistemlerin kesintiye uğramaması için gerekli tedbirleri alır.” Kurumlarda sistemlerin kesintiye uğramaması için alınan tedbirler, iş sürekliliği ve felaket kurtarma planları ve bu planların ifası için gerekli olan altyapılarla sağlanmaktadır. İş sürekliliği planı, bilişim hizmetlerinde herhangi bir kesinti meydana gelmesi durumunda yapılacak çalışmaları tanımlayan bir belgedir. Bu belgede, kesinti durumunda kimin hangi görevi yerine getireceği, hangi sistemlerin öncelikle ele alınacağı, öncelikli kurtarma adımlarının neler olduğu, tahliye prosedürlerinin neler olduğu, can ve mal kayıplarının en aza indirilmesi için neler yapılacağı, planın kimler tarafından ve nasıl aktif hale getirileceği gibi hususlara yer verilir. Benzer şekilde felaket kurtarma planı bir felaket sonrası bilişim alt yapısının yeniden aktif hale getirilmesini ele alır. Bu plan iş sürekliliği planının içinde bir bölüm olarak yer alabileceği gibi müstakil bir plan olarak da hazırlanabilir. İster iş sürekliliğinin bir parçası ister ayrı bir plan olsun felaket kurtarma planları iş sürekliliği planıyla uyumlu olmak zorundadır. İş sürekliliği planı ne kadar detaylı ve doğru hazırlanmış olursa olsun test edilmedikçe güvenilir değildir. Bu tür planların zayıf noktalarının; birbiriyle çelişen ve hatalı sıralanmış adımların, eksik kalan görevlendirmelerin ve tespiti yapılmamış ihtiyaçların görülebilmesi ancak test yapılması ile mümkün olmaktadır. Kurum bilişim sistemlerinde yapılan incelemede iş sürekliliğini sağlamak amacıyla çeşitli belgeler oluşturulduğu, iş sürekliliği planının hangi süreçlerle hazırlanacağının belirlendiği ancak planın henüz hazırlanmadığı görülmüştür. Ayrıca bu süreç tasarımı, bilgi işlem birimi bünyesinde yürütülmüş olup üst yönetim tarafından onaylanmamıştır. Dolayısıyla sürekli ve tutarlı bir şekilde uygulanması güvence altına alınmamıştır. Kuruma ait bir felaket kurtarma merkezinin başka bir birim bünyesinde kurulduğu, ancak bir felaket kurtarma planı hazırlanmadığı görülmüştür. Bu tür bir plan hazırlanarak test edilmedikçe, kurulmuş altyapının ihtiyaç anında uygun şekilde kullanılamaması riski bulunmaktadır. Kurum tarafından gönderilen cevapta, iş sürekliliğine yönelik taslak niteliğinde çalışmaların başlatılmış olduğu ve gerekli kurumsal mekanizmaların kurulmasının hedeflendiği bildirilmiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 26 Kurum bünyesinde bilişim sistemleri iş sürekliliği ve felaket kurtarma planlarının hazırlanması ve üst yönetimce onaylanarak yürürlüğe konması, bu planların test edilmesi ve güncelliğinin korunması ve felaket kurtarma merkezi çalışmalarının tamamlanması gerekmektedir. BULGU 5: Bilişim Varlıkları Üzerinde Gerçekleştirilecek Değişikliklerin Yönetimiyle İlgili Kural ve Uygulamaların Yetersiz Olması Kurumun bilişim sistemleri üzerinde gerçekleştirilecek değişikliklerin yönetilmesi için kullanılacak kuralların ve süreçlerin ve acil durumlarda bu süreçlerin nasıl işletileceğinin belirlenmemiş olduğu görülmüştür. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” standardında konuyla ilgili tanımlanan kontrol şu şekildedir: “12.1.2 Değişiklik Yönetimi Bilgi güvenliğini etkileyen, kuruluş iş prosesleri, bilgi işleme tesisleri ve sistemlerdeki değişiklikler kontrol edilmelidir.” Kurumun bilişim varlıklarını ve süreçlerini etkileyebilecek tüm değişikliklerin kontrollü bir şekilde gerçekleştirilmesi gereklidir. Değişikliklerin, bunlardan etkilenecek bileşen ve sistemler tanımlanmadan yürütülmesi, farklı sistemlerin aksamasına sebep olabilir. Söz konusu değişikliklerin, ilgili etkileşimleri izlemeye ve gerekli tedbirleri almaya imkân tanıyacak şekilde planlanarak yürütülmesi gerekmektedir. Örneğin, yazılım güncellemeleri gibi bazı değişikliklerin test edilmeden hayata geçirilmesi bilişim hizmetlerinde önemli aksamalara sebep olabilmektedir. Bilişim sistemlerinin yapısı gereği, ne kadar planlama yapılırsa yapılsın, bazı değişikliklerin acil nitelik taşıması ve herhangi bir planlama ve bildirim sürecine imkân tanımayacak şekilde ivedilikle uygulanması söz konusu olabilmektedir. Acil durum değişikliklerinde, değişikliğe ilişkin sürecin gecikmesi kurumu yüksek maliyetler ile karşı karşıya getirebilir. İvedi müdahaleyi gerektiren bu tür durumlarda rutin değişikliklerin yönetimi için tasarlanmış süreçlerin işletilmesi mümkün olmayabilir. Ancak doğurduğu yüksek riskler sebebiyle acil durum değişikliklerinin sonradan takip edilmesi büyük önem taşır. Bu önemi sebebiyle acil durumlarda yapılan değişikliklere ilişkin ayrı bir süreç işletilmesi ve bu

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 27 değişikliklerin geriye dönük olarak ilgililere bildirilmesi, etkilerinin izlenmesi ve gerekli tedbirlerin alınması sağlanmalıdır. Kurumda, bilişim sistemlerinin yönetiminde görev alan personel sayısının azlığı sebebiyle bilişim sistemleri üzerinde gerçekleştirilen değişikliklerin yönetilmesi için herhangi bir süreç işletilmediği ve kuralların belirlenmemiş olduğu görülmüştür. Her bilişim personeli kendi sorumluluk alanındaki değişiklikleri yönetmektedir. Değişikliklerin sisteme ve iş sürekliliğine etkisinin değerlendirilmesi ve onaylanarak uygulanması söz konusu olmamaktadır. Kurum tarafından gönderilen cevapta, değişim yönetimine yönelik taslak niteliğinde çalışmaların başlatılmış olduğu ve gerekli kurumsal mekanizmaların kurulmasının hedeflendiği bildirilmiştir. Bilişim sistemleriyle ilgili değişiklik talep ve önerilerinin yönetim süreçlerinin ve acil durum değişikliklerine ilişkin süreçlerin belirlenmesi, değişikliklerin hangilerinin onaya tabi olacağının, değerlendirmenin kimler tarafından yapılacağının, ret ve kabul kriterlerinin tanımlanması gerekmektedir. BULGU 6: Dış Tedarikle Yürütülen Bilişim Hizmetlerine İlişkin Sözleşmelerin Bilgi Güvenliği Yönünden Yetersiz Olması Kurumda hizmet alımı yöntemiyle tedarik edilen bilişim hizmetlerine ilişkin olarak imzalanan sözleşmelerde yer verilen hükümlerin bilgi güvenliğini temin etmek için yeterli olmadığı tespit edilmiştir. Hizmet İşleri Genel Şartnamesi’nin “Gizlilik” başlığını taşıyan 13’üncü maddesi şu şekildedir: “Yüklenici, işle ilgili olarak elde ettiği her tür bilgi ve dokümanı özel ve gizli tutacak ve idarenin önceden yazılı izni olmaksızın sözleşmeye ait herhangi bir detayı ifşa etmeyecek veya yayınlamayacaktır. Türk yargı mercilerinin kararları saklı kalmak kaydıyla, sözleşmenin amaçları doğrultusunda herhangi bir ifşa veya yayınlama gerekliliği konusunda bir uzlaşmazlık ortaya çıkarsa idarenin bu konudaki kararı nihai olacaktır. Gizlilik yükümlülüğü, sözleşmenin herhangi bir nedenle sona ermesinden sonra da devam eder.”

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 28 Söz konusu şartnamenin “Kontrol teşkilatı ve yetkileri” başlığını taşıyan 26’ncı maddesinde şu ifadeye yer verilmiştir: “Sözleşmeye bağlanan her türlü iş, idare tarafından görevlendirilen kontrol teşkilatının denetimi altında, yüklenici tarafından yönetilir ve gerçekleştirilir.” Hizmet Alımlarına Ait Tip Sözleşme’nin “Kontrol Teşkilatı, görev ve yetkileri” başlığını taşıyan 18’inci maddesi şu şekilde tanzim edilmiştir: “İşin, sözleşme ve eklerine uygun olarak yürütülüp yürütülmediği İdare tarafından görevlendirilen Kontrol Teşkilatı aracılığıyla denetlenir. Kontrol Teşkilatı, Genel Şartnamenin Dördüncü Bölümünde belirtilen yetkileri kullanır ve görevleri yerine getirir” Bilgi işlem varlıklarını ilgilendiren ve dış tedarik yoluyla alınan hizmetlerde, yükleniciler tarafından erişilebilen kurumsal bilgi varlıklarının korunması büyük önem taşımaktadır. Kurum, kendi birimleri tarafından yürütülen hizmetlerde, bilgi varlıklarını korumak amacıyla kurallar koyabilmekte ve uygulamayı izleyerek denetleyebilmektedir. Bu hizmetlerin yükleniciler tarafından yerine getirilmesi durumunda ise aynı güvenceleri sağlayabilmek için bu faaliyetler üzerinde özel kontroller tesis edilmesi gerekmektedir. Yukarıda belirtilen, kurumların satın alma süreçlerinde kullandıkları ve genel amaçlarla geliştirilmiş sözleşme ve şartnamelerde yer alan ifadeler, bilgi güvenliği ile ilgili gerekliliklerin yerine getirilmesi için yeterli bulunmamaktadır. Örneğin, yükleniciye ait olan ve sözleşme konusu hizmetlerde kullanılan bilişim sistemlerinin Kurum tarafından denetimine izin veren açık bir sözleşme hükmü bulunmadıkça, Kurum kontrol teşkilatının bu tür bir denetimi yapmasına yüklenicinin rıza göstermesi beklenmemektedir. Bu sebeple dış tedarik yoluyla alınan bilişim hizmetlerine ilişkin sözleşmelerde, kamu menfaatlerinin korunması amacıyla ek düzenlemeler yapılmasına ihtiyaç bulunmaktadır. Genel sözleşme ve şartname şablonlarında yer alan gizlilik, gözden geçirme ve kontrol teşkilatı ile ilgili hususlara ek olarak, sözleşmelere, bilişime mahsus ihtiyaçları karşılayacak maddelerin eklenmesi gerekmektedir. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” standardı, tedarikçilerle ilişkilerin ne şekilde tanzim edilmesi gerektiğini belirlemektedir. Söz konusu standartta “Tedarikçi ilişkileri için bilgi güvenliği politikası” başlığını taşıyan 15.1.1 numaralı kontrol şu şekilde tanımlanmıştır:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 29 “Tedarikçinin kuruluşun varlıklarına erişimi ile ilgili riskleri azaltmak için bilgi güvenliği gereksinimleri tedarikçi ile kararlaştırılmalı ve yazılı hale getirilmelidir (…) Kuruluş, politikada özellikle kuruluşun bilgilerine erişen tedarikçileri ele alarak bilgi güvenliği kontrollerini tanımlamalı ve zorlamalıdır.” Aynı standartta “Tedarikçi hizmetlerini izleme ve gözden geçirme” başlığı altında tanımlanan 15.2.1 numaralı kontrol şu şekildedir: “Kuruluşlar, düzenli aralıklarla tedarikçi hizmet sunumunu izlemeli, gözden geçirmeli ve tetkik etmelidir.” İlgili düzenlemelerde tanımlandığı şekilde dış tedariklerde Kurum, kendisine ve kullanıcılarına ait bilgilerin güvenliğinin sağlanması için gerekli tüm tedbirleri almakla yükümlüdür. Dış tedarik sürecinde bilgi varlıklarının bu şekilde korunması, tedarik edilen bilişim hizmetleri kapsamında kullanılan, yükleniciye ait tüm sistem ve süreçlerin, Kurum tarafından belirlenmiş risk yönetimi, güvenlik ve gizliliğe ilişkin ilkelere uygunluğunun sağlanmasını gerektirir. Yani yüklenicinin Kurum’un bilgi güvenliği kurallarına uyması temin edilmeli ve bu uygunluğun sağlanıp sağlanmadığı Kurum tarafından denetlenmelidir. Bu amaçla, yüklenicilerin Kurum verilerine erişim sağlamasını gerektiren bilişim hizmetleri ile ilgili bilgi güvenliği çerçevesinin sözleşme ve şartnamelerde açıkça tanımlanması gereklidir. Yüklenicilere verilecek, bilişim sistemlerine erişim yetkileri, işin gerektirdiği bilgiyi kapsayacak şekilde sınırlandırılmalı, sözleşmeler de buna uygun şekilde tanzim edilmelidir. Bu çerçevede, Kurum tarafından dış tedarik yoluyla alınan bilişim hizmetlerine ilişkin olarak “Üçüncü Taraf Güvenlik Politikası” hazırlandığı, ancak bu belgenin yeterli kapsamda olmadığı görülmüştür. Bilgi güvenliği ile ilgili hususlara kısmen hizmet alımına ilişkin şartnamelerde yer verilmektedir. Ancak, yürütülen hizmetlere ilişkin bir risk değerlendirmesi yapılmadığı için ihdas edilmesi gereken kontroller somut bir şekilde tanımlanamamakta, sözleşmelerde kullanılan soyut ifadeler bilişime ilişkin riskleri yönetmek için yetersiz kalmaktadır. Kurum tarafından hizmet alımı yöntemiyle yürütülen bilişim hizmetlerinde, söz konusu hizmetlerin kritikliği ile doğru orantılı şekilde hizmeti yürüten yükleniciye bağımlılık oluştuğu gözlenmiştir. Yükleniciler, verdikleri hizmetlerin sürekliliğinin tek güvencesi haline gelmekte; yüklenici değiştirilmesi ise çok sorun çıkaran, uzun süren, kullanıcı memnuniyetsizliğini artıran

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 30 bir işlem olarak görüldüğünden hizmetlerde değişiklik yapılmaması tercih edilmektedir. Bu sebeple, yükleniciler tarafından tedarik edilen bilişim hizmetleri uzun yıllar boyunca aynı yüklenicilerle Bakım ve Destek Anlaşmaları yapılarak devam ettirilmektedir. Bu bağımlılık ilişkisinin, sözleşmelerin müzakeresinde Kurumu güç durumda bıraktığı, bilgi güvenliği ile ilgili hususların kabul ettirilmesini güçleştirdiği gözlenmiştir. Çok sayıda kuruma hizmet veren yükleniciler, kendilerinin bilgi güvenliği ile ilgili yükümlülüklerinin artmasına ve ilgili verilerin yönetiminde Kurumun daha fazla söz sahibi olmasına sıcak bakmamaktadır. Bu durum bilgi işlem birimini, hizmetin sürekliliği ile bilgi varlıklarının korunması yükümlülüğünün yerine getirilmesi arasında seçim yapmak durumunda bırakmaktadır. Kurumun dış tedarik yoluyla yürütülen bilişim hizmetlerine ait sözleşmelere ilişkin şu hususlar tespit edilmiştir:  Sözleşmelerde, yüklenicilere ait sistem ve süreçlerin, Kurumun kendi risk yönetimi, güvenlik ve gizliliğe ilişkin ilkelerine uygun olmasını güvence altına alacak hükümlere yer verilmemiştir.  Yüklenicilerin Kurum bilişim varlıklarına erişiminin nasıl yönetileceği ve izleneceği tanımlanmamıştır.  Yüklenici ve personeli tarafından kullanılabilecek erişim türleri (uzaktan erişim vb.), erişilecek verinin kritiklik derecesi ve erişimin bilgi güvenliği üzerindeki etkileri tanımlanmamıştır.  Yükleniciler tarafından erişilen gizli veya kişisel nitelikteki verilerin gizliliğinin ve güvenliğinin nasıl korunacağı belirlenmemiştir.  Yüklenici personelinin işten ayrılması veya sözleşme kapsamındaki hizmetin sonlanması durumunda yüklenici personelinin erişim haklarının iptal edilme süreci tanımlanmamıştır.  Bilgi güvenliğine ilişkin olarak yüklenici bünyesinde alınan tedbirler üzerinde Kurumun denetim/ gözden geçirme hakkı ve bu hakkın nasıl kullanılacağı tanımlanmamıştır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 31  Yüklenicinin, hizmet kapsamında gerçekleşen güvenlik ihlallerini bildirme yükümlülüğü tanımlanmamıştır. Kurum tarafından gönderilen cevapta, dış tedarikle yürütülen bilişim hizmetleri sözleşmelerine yönelik taslak niteliğinde çalışmaların başlatılmış olduğu, mevcut sözleşmelerin tadil edilmesi ve yeni sözleşmelerde uygun hükümlere yer verilmesi için gerekli incelemelerin yapılmasının planlandığı bildirilmiştir. Kurum tarafından hizmet alımı yöntemiyle yürütülen bilişim hizmetlerine ilişkin olarak yürürlükte olan sözleşmelerin, bilgi güvenliğini temin edecek ve yukarıda belirlenen hususları da içerecek şekilde tadil edilmesi ve yeni sözleşmelerin bu hususları karşılayacak şekilde tanzim edilmesi gerekmektedir. BULGU 7: Kurumun Bilgi Varlıklarının Korunması İçin İhdas Edilmesi Gereken Bilgi Güvenliği Kontrollerinde Eksikler Bulunması Kurum bilişim sistemlerinde bulunan bilgi varlıklarına izinsiz ve yetkisiz şekilde erişilmesini, bu varlıkların kullanılmasını, değiştirilmesini, açıklanmasını veya silinmesini önlemek amacıyla ihdas edilmesi gereken bilgi güvenliği kontrollerinde önemli eksikler tespit edilmiştir. Bilgi güvenliği, herhangi biri zarar görürse kritik güvenlik zafiyeti doğuracak üç bileşenden meydana gelmektedir.  Gizlilik, bilginin yetkisiz kişilerin eline geçmeye ve yetkisiz erişime karşı korunmasını,  Bütünlük, bilginin yetkisiz kişiler tarafından değiştirilmesinin önlenmesini,  Erişilebilirlik, bilginin yetkili kişilerce ihtiyaç duyulduğunda ulaşılabilir ve kullanılabilir durumda olmasının temin edilmesini, ifade eder. Kurumda tespit edilen kontrol eksikleri, yukarıda belirtilen temel nitelikli üç bileşeni de etkileyecek mahiyettedir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 32 5018 sayılı kanuna dayanılarak çıkarılan Kamu İç Kontrol Standartları Tebliği'nde yer alan “Kontrol stratejileri ve yöntemleri” başlıklı 7 numaralı standartta, kurumlar tarafından ihdas edilmesi gereken kontroller şu şekilde tanımlanmıştır: “7.1. Her bir faaliyet ve riskleri için uygun kontrol strateji ve yöntemleri (düzenli gözden geçirme, örnekleme yoluyla kontrol, karşılaştırma, onaylama, raporlama, koordinasyon, doğrulama, analiz etme, yetkilendirme, gözetim, inceleme, izleme vb.) belirlenmeli ve uygulanmalıdır (…) 7.3. Kontrol faaliyetleri, varlıkların dönemsel kontrolünü ve güvenliğinin sağlanmasını kapsamalıdır (…)” Söz konusu Tebliğ’de yer alan 12 numaralı Standart şu gereklilikleri içermektedir: “İdareler, bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmaları geliştirmelidir. Bu standart için gerekli genel şartlar: 12.1. Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır. 12.2. Bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmeler yapılmalı, hata ve usulsüzlüklerin önlenmesi, tespit edilmesi ve düzeltilmesini sağlayacak mekanizmalar oluşturulmalıdır (…)” Kurum için, sunduğu hizmetlerinin kesintisiz olarak yürütülmesi yanında yürütülen faaliyetler sonucu ortaya çıkan bilginin korunması ve verilerin bütünlüğünün sağlanması büyük önem arz etmektedir. Özellikle, internet kullanımı dolayısıyla Kurum sistemlerine uzaktan erişim imkânlarının artması ve siber saldırıların yoğunlaşması nedeniyle bilgi güvenliğinin önemi daha da artmıştır. Yürütülen denetim çalışmasında bilgi güvenliği kontrolleri alanında tespit edilen temel hususlar şunlardır:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 33 a. Bilgi Varlıklarının Belirlenerek Güvenlik Gereksinimine Göre Sınıflandırılmaması Kurumda bilgi varlıklarının envanterinin çıkarılmadığı ve mevcut bilgi varlıklarının kritiklik derecesinin tespit edilmediği görülmüştür. Bilgi varlığı; kurum faaliyetlerinin yürütülmesinde kullanılan veriler ile bu verilerin taşındığı, saklandığı, iletildiği veya işlendiği sistem, yazılım, ağ cihazları, bilişim teknolojileri donanımları, iş süreçleri ve aktiviteleri gibi kurum için değeri olan her türlü varlığı ifade etmektedir. 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” adını taşıyan TSE standardının "Bilgilerin sınıflandırılması" başlıklı 8.2.1 numaralı bölümünde tanımlanan kontrol şu şekildedir: “Bilgi yasal gereksinimler, değeri, kritikliği ve yetkisiz ifşa veya değiştirilmeye karşı hassasiyetine göre sınıflandırılmalıdır.” Kurumun bilgi varlıklarının etkin bir şekilde korunabilmesi, bu varlıkların kritikliğinin ve yetkisiz ifşa ve değiştirilmeye karşı hassasiyetinin belirlenmesine bağlıdır. Bilgi sistemlerinde tutulan kurumsal ve kişisel bilgilere ilişkin farklı güvenlik gereksinimleri vardır ve bu gereksinimler bilinmeden bilginin etkin bir şekilde korunması mümkün bulunmamaktadır. Örneğin, bir bilginin gizlilik derecesi belirlenmedikçe bu bilgiyi yetkisiz kişilerden koruyacak erişim kontrollerinin yetkin bir şekilde ihdas edilmesi mümkün olmayacaktır. Uygulamada, sadece Bilgi İşlem Daire Başkanlığına ait bilgi varlıklarının tespiti çalışmasının yürütüldüğü, diğer birimler için bu tür bir çalışmanın yapılmadığı görülmüştür. Kurumun bilgi varlıklarının önemli bir kısmı bilgi işlem cihazları üzerinde tutulmaktadır. Ancak bilgi varlıklarının tanımlanmasına yönelik bir çalışma yapılmadığı için, bu varlıkların hangilerinin kritik önemde olduğu, erişim yetkilerinin nasıl belirleneceği, yedeklemenin hangi sıklıkla yapılacağı, ihtiyaç durumunda yedeklerden ne kadar sürede geri dönüleceği, hangi bilgilerin Felaket Kurtarma Merkezi'ne aktarılacağı gibi hususlar belirsizdir. Bu hususlardaki kararları bilgi varlıklarının sahibi olan birimler almadığı için, Bilgi İşlem Daire Başkanlığı inisiyatif kullanarak, kendi biriminde bulunan sunucularda yer alan, tanımadığı varlıkları

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 34 yönetmek durumunda kalmaktadır. Bilgi işlem biriminde muhafaza edilmeyen bilgi varlıklarının nasıl yönetildiğine ve korunduğuna ilişkin herhangi bir bilgiye erişilememiştir. Kurum bilgi varlıklarının korunması amacıyla ihdas edilmesi gereken önlemlerin sağlıklı şekilde tespit edilebilmesini teminen bilgi varlıklarının sınıflandırılması, bu varlıkların kritiklik ve gizlilik derecelerinin belirlenmesi gerekmektedir. b. Erişim Kontrolüne İlişkin Kural ve Uygulamaların Yetersiz Olması Kurumun bilgi varlıklarının korunması için bilişim sistemlerine erişime ilişkin ihdas edilen kuralların ve uygulamanın yetersiz olduğu tespit edilmiştir. Ulusal Siber Güvenlik Stratejisi ve 2013-2014 Eylem Planı çerçevesinde hazırlanmış olan Kamu Kurumlarının Uyması Gereken Asgari Bilgi Güvenliği Kriterleri’nin “Bilgi güvenliği kriterleri” başlıklı dördüncü maddesi şu şekildedir: “Erişim Kontrolünün Yönetilmesi: “Tüm kurum kullanıcıları benzersiz kullanıcı isimleri ve parolaları ile donatılmalı, isim ve parolaların kimse ile paylaşılmaması konusunda uyarılmalıdır. Sistemlerin fabrika çıkış parolaları değiştirilmelidir.” 27002 sayılı “Bilgi teknolojisi - Güvenlik teknikleri” adını taşıyan TSE standardının "Erişim kontrolü" başlıklı 9 numaralı bölümünde tanımlanan gereklilikler şu şekildedir; “9.1.1 Erişim kontrol politikası: Bir erişim kontrol politikası, iş ve bilgi güvenliği şartları temelinde oluşturulmalı, yazılı hale getirilmeli ve gözden geçirilmelidir (…) 9.4.1 Bilgiye erişimin kısıtlanması: Bilgi ve uygulama sistem fonksiyonlarına erişim, erişim kontrol politikası doğrultusunda kısıtlanmalıdır (…) 9.4.3 Parola yönetim sistemi: Parola yönetim sistemleri etkileşimli olmalı ve kaliteli parolaları temin etmelidir.” Kurum bilişim sistemlerinin incelenmesinde erişim kontrolüne ilişkin birçok hususun eksik olduğu tespit edilmiştir. Kurumda kullanıcıların yetkilendirilmesine, kimlik doğrulamaya ve şifre güvenliğine ilişkin kural ve uygulamaların yetersiz olduğu ve bilgisayarlara kolayca erişilebildiği görülmüştür.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 35 Bilgi işlem biriminde kullanılanlar dâhil olmak üzere kurumda kullanılan bilgisayarlarda, kimlik ve parola doğrulaması zorunlu tutulmamıştır. Bilgi işlem birimi tarafından kurulumu yapılan bilgisayarlara şifre konulmakta, ancak bu şifreler sonradan kullanıcılar tarafından kaldırılabilmektedir. Bilgisayar ağı üzerinden erişilmesi gereken sistemlere erişim için ise kullanıcı adı ve şifre kullanılması zorunlu tutulmuştur. Ancak, kritik verilere erişim sağlayan bilgisayarların kullanıcıları, bilgisayarlarını şifre ve kimlik doğrulaması yapılmadan açılacak şekilde ayarlayabilmektedirler. Bu bilgisayarlarda ağa bağlanmak için kullanılan şifrelerin kaydedilmesi ve bu şekilde sistemlere otomatik olarak giriş yapılması engellenmemiştir. Dolayısıyla bilgisayar ağına erişimi yönetmek amacıyla kurulan kontroller geçersiz kalmaktadır. Söz konusu kontrollerdeki yetersizliklerden yararlanarak yetkisiz bir kişinin kritik sistemlere erişimi olan bir bilgisayarı açması, hem bilgisayardaki hem de kritik sistemlerdeki bilgilere ulaşması, bu bilgileri kopyalaması, silmesi veya değiştirmesi mümkün bulunmaktadır. Kurum ağına bağlı bilgisayarlarda erişim ve şifre kontrollerinin kullanıcılar tarafından aşılabilmesinin en önemli sebebi, kullanıcıların kendi bilgisayarlarında “yönetici” haklarına sahip olmalarıdır. Bu sebeple, bilgi işlem birimi tarafından bilgisayarların kurulumunda ihdas edilen kontroller sonradan kullanıcılar tarafından geçersiz kılınabilmektedir. Kurum bilgi kaynaklarının güvenliğinin sağlanabilmesi ve risklerin yönetilebilmesi amacıyla erişim kontrol kurallarının ve uygulamalarının gözden geçirilmesi, bu kapsamda kritik sistemlere ve kurum ağına erişimin, kullanıcılar tarafından aşılamayacak kimlik ve şifre doğrulama kontrolleri ile gerçekleştirilmesi gerekmektedir. c. Bilişim Sistemlerine ve Uygulamalara Yetkisiz Erişimlerin İzlenmemesi Kurum bilişim sistemlerine ve uygulamalara kimlerin eriştiğinin izlenmesi için ihdas edilen kontrollerin yetersiz olduğu ve yetkisiz erişimlerin yönetime raporlanmadığı görülmüştür. 27002 sayılı standartta tanımlanan konuyla ilgili kontroller şu şekildedir:

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 36 “12.4.1 Olay kaydetme: Kullanıcı faaliyetleri, istisnai durumlar, hatalar ve bilgi güvenliği olaylarını kaydeden olay kayıtları üretilmeli, saklanmalı ve düzenli olarak gözden geçirilmelidir.” “16.1.2 Bilgi güvenliği olaylarının raporlanması: Bilgi güvenliği olayları uygun yönetim kanalları aracılığı ile olabildiğince hızlı bir şekilde raporlanmalıdır.” Kurum ağı üzerinden erişilebilen çok miktardaki bilginin güvenliğinin sağlanabilmesi, öncelikle bu bilgilere kimlerin, hangi yetkiyle erişebileceğinin tanımlanmış olmasına, buna ek olarak erişimin gerçekten bu kurallara göre sağlanıp sağlanmadığının izlenmesine bağlıdır. İzleme faaliyetinin sonucunda yetkisiz erişimlerin (bilgi güvenliği olaylarının) üst yönetime bildirilmesini güvence altına alacak bir raporlama sürecinin işletilmesi gereklidir. Bu tür kontrollerin ihdas edilmemesi durumunda yetkisiz erişimlerin farkına varılmadan uzun süre devam etmesi riski bulunmaktadır. Örnek olarak, kurum bilişim cihazlarında muhafaza edilen bazı belgelerin okuma yetkisi, çeşitli gerekçelerle kısıtlı sayıda kişiye verilmektedir. Ancak, sistemde üst düzeyde yetkiye sahip kişilerin veya sisteme yetkisiz şekilde sızabilecek kişilerin bu şekilde kısıtlı nitelikteki belgeleri okuması olasıdır. Bu olasılığa karşı bir dizi kontrol kurulması gereklidir. Kısıtlı belgelere kimin eriştiği kaydedilmeli, bu kayıtlar erişim yetkisi olan kişilerin listesiyle karşılaştırılmalı ve varsa yetkisiz erişimler tespit edilip raporlanmalıdır. Özetle, bilgi güvenliğinin sağlanması, bilgi varlıklarının kritiklik derecesine bağlı olarak yetkisiz erişimlerin izlenmesine ve raporlanmasına bağlıdır. Kurumda, bilişim ortamında erişim kurallarının sadece bilişim trafiğinin güvenliğini sağlayan “Güvenlik Duvarı Cihazı” üzerinden tanımlandığı belirlenmiştir. Buna ek olarak çok sayıda program tarafından tutulan, ancak incelenmeyen erişim kayıtları (loglar) bulunmaktadır. Ancak, erişim kayıtlarını anlamlı kılacak şekilde, Kurum bilgi varlıklarına olağan ve olağandışı erişimlerin neler olduğu tanımlanmamıştır. Bu tür bir tanımlama yapılmadan, çok büyük bir hacme sahip olan erişim kayıtlarının incelenmesi ve yetkisiz erişimlerin takip edilmesi olağanüstü derecede güçtür. Bu bilginin işlenmesinin güç olması sebebiyle esasen tutulan erişim kayıtlarının hiç kullanılmaması söz konusu olmaktadır. Sonuç itibariyle, olağandışı erişimler kayıt altına alınmamakta, üst yönetime bu konuda herhangi bir bilgi sunulmamaktadır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 37 Bilişim sistemlerine, uygulamalara ve verilere erişim yetkilerinin ve kurallarının tanımlanması, kritik verilere yetkisiz erişimi tespit edecek kontrollerin ihdas edilmesi ve tespit edilen yetkisiz erişimlerin üst yönetime raporlanması gerekmektedir. ç. Bilişim Sisteminde İmtiyazlı Haklara Sahip Kullanıcıların İşlemlerinin İzlenmemesi ve Yetkisiz İşlemlerin Raporlanmaması Kuruma ait bilişim ağları ve cihazlarda kullanılan, “root, admin, administrator, local administrator, domain admin, service account ve application account” gibi yönetici seviyesindeki “imtiyazlı hesapların” kullanımının kurallara bağlanmadığı, izlenmediği ve olağandışı işlemlerin yönetime raporlanmasına yönelik bir süreç oluşturulmadığı görülmüştür. Konuyla ilgili olarak 27002 sayılı TSE standardında şu kontroller tanımlanmıştır: “9.2.3 Ayrıcalıklı erişim haklarının yönetimi Ayrıcalıklı erişim haklarının tahsis edilmesi ve kullanımı kısıtlanmalı ve kontrol edilmelidir.” “12.4.3 Yönetici ve operatör kayıt kayıtları Sistem yöneticileri ve sistem operatörlerinin faaliyetleri kayıt altına alınmalı, kayıtlar korunmalı ve düzenli olarak gözden geçirilmelidir.” Bilişim sistemlerinde imtiyazlı hesap olarak adlandırılan ve normal bir kullanıcıdan daha fazla yetki kullanan hesaplar kritik niteliktedir. Bilişim sistemlerinin yönetilebilmesi için bu hesapların kullanımı zorunludur. Ancak, imtiyazlı hesaplar kullanılmak suretiyle, hem bilgi güvenliğini ihlal eden eylemlerde bulunulması, hem de programlar tarafından oluşturulan olay kayıtlarına (loglara) ulaşılarak bu kayıtların silinmesi, yani yapılan eylemin izlerinin ortadan kaldırılması mümkündür. Bu hesaplar tarafından yerine getirilebilen işlemler, kurallarla sınırlandırılmamaları ve izlenmemeleri durumunda bilgi varlıklarının gizlilik, bütünlük ve güvenilirliğini risk altına sokmaktadır. Bu amaçla, imtiyazlı hesaplar tarafından gerçekleştirilen işlemlerden kritik olanların tanımlanıp izlenmesi önem taşımaktadır. Kurumda, imtiyazlı hesaplarla ilgili izleme yapılmadığı, yetkisiz işlemleri tespit edecek ve üst yönetime raporlayacak bir sürecin bulunmadığı görülmüştür.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 38 Kurum bilişim sistemlerinde kullanılan imtiyazlı erişim haklarının kritiklik derecesinin risk değerlendirmesi yapılarak belirlenmesi, risk değerlendirmesi sonucuna göre tanımlanan düşük, orta ve yüksek riskli erişim haklarının üst yönetimin onayı ile tespit edilmesi, imtiyazlı haklar kullanılarak gerçekleştirilen olağandışı işlemlerin izlenmesi ve üst yönetime raporlanması gerekmektedir. Kurum tarafından gönderilen cevapta, bilgi güvenliği kontrollerinin güçlendirilmesine yönelik taslak niteliğinde çalışmaların başlatılmış olduğu, gerekli kurumsal mekanizmaların oluşturulmasının planlandığı bildirilmiştir. Kurum bilişim sistemlerinde bulunan bilgi varlıklarına izinsiz ve yetkisiz şekilde erişilmesini, bu varlıkların kullanılmasını, değiştirilmesini, açıklanmasını veya silinmesini önlemek amacıyla eksik olduğu tespit edilen bilgi güvenliği kontrolleri ivedilikle kapatılmalıdır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 39 T.C. SAYIŞTAY BAŞKANLIĞI 06520 Balgat / ANKARA Tel: 0 312 295 30 00; Faks: 0 312 295 48 00 e-posta: sayistay@sayistay.gov.tr https://www.sayistay.gov.tr

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 40 8. EKLER EK 1: İZLEME Önceki Yıl/Yıllar Sayıştay Denetim Raporuna İlişkin İzleme Tablosu Bulgu Adı Yıl İdare Tarafından Yapılan İşlem Açıklama Kiraya Verilen Hazine Taşınmazlarından Isınma Bedeli Alınmaması 2019 Kısmen Yerine Getirildi Tahsil edilmeyen ısınma giderleri Kurum tarafından hesaplanmış ve ilgili müstecirlere ödemeleri gereken tutarlar tebliğ edilmiştir. Tebliğ edilen tutarların bir kısmı tahsil edilmiştir. Taşınmazların Cins Tashihi İşlemlerinin Tamamlanmaması 2019 Kısmen Yerine Getirildi Kurum taşınmazlarının cins değişikliği işlemleri için 2020 yılında hizmet alımı yapdığı, ancak Covid- 19 salgını sebebiyle söz konusu işlemlerin sonuçlandırılamadığı görülmüştür. Kişisel Verileri Korunması Kanunu’nun Gereklerini Yerine Getirecek Kurumsal Altyapının Oluşturulmaması 2019 Kısmen Yerine Getirildi Kişisel Verilerin Korunması Kanunu'na uyum amacıyla Kurum bünyesinde bir kurul oluşturulduğu, bu kurul tarafından yerine getirilecek hizmetleri desteklemek amacıyla danışmanlık hizmeti satın alındığı, veri envanteri hazırlanmasına başlandığı, Veri Sorumlusunun görevlendirildiği ve Veri Sorumluları Sicil Bilgi Sistemine kaydedildiği görülmüştür. Kanuna uyum

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 41 Önceki Yıl/Yıllar Sayıştay Denetim Raporuna İlişkin İzleme Tablosu Bulgu Adı Yıl İdare Tarafından Yapılan İşlem Açıklama çalışmaları devam etmekte olup eksikler henüz tamamlanmamıştır. Lisansı Olmayan Yazılımların Kullanılmasının Engellenmemesi 2019 Yerine Getirilmedi Bu konuda 2020 yılı içinde bir faaliyet gerçekleştirilmemiştir. Bilgi Varlıkların Envanterinin Bulunmaması 2019 Kısmen Yerine Getirildi Kurum içinde bilgi varlıklarının envanterinin oluşturulmasına yönelik çalışmaların yıl içinde başlatıldığı ancak henüz tamamlanmadığı görülmüştür. Bilişim Sistemleri Yönetişim Kontrollerinin Yetersiz Olması 2019 Kısmen Yerine Getirildi Bilişim sistemi yönetişim kontrollerinin kurulması ile ilgili çalışmaların planlama aşamasında kaldığı gözlemlenmiştir. Yürütülen çalışmalar Kurum üst yönetimiyle bilişim sistemlerini yöneten birim arasındaki ilişkinin, orta ve uzun vadeli stratejiler ve planlar çerçevesinde yürütülmesine, gözetim ve denetiminin yapılmasına imkan tanıyacak yapıya ulaşmamıştır. Dış Tedarikle Yürütülen Bilişim Hizmetlerine İlişkin Sözleşmelerin Bilgi Güvenliği 2019 Yerine Getirilmedi Dış tedarikler yürütülen bilişim hizmetlerine ilişkin sözleşmelerde bulunan eksiklerin giderilmesi için gerekli çalışmaların taslak sözleşme

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 42 Önceki Yıl/Yıllar Sayıştay Denetim Raporuna İlişkin İzleme Tablosu Bulgu Adı Yıl İdare Tarafından Yapılan İşlem Açıklama Yönünden Yetersiz Olması hazırlanması aşamasında kaldığı görülmüştür. Mevcut sözleşmelerin revize edilmesi için herhangi bir çalışma yapılmamıştır. Bilişim Sistemlerinin Sürekliliğini Güvence Altına Alacak Kontrollerin Yetersiz Olması 2019 Kısmen Yerine Getirildi İş sürekliliği ile ilgili olarak Kurum bünyesinde yürütülen çalışmaların henüz taslak aşamasında bulunduğu, uygulamaya geçilmediği görülmüştür. Bilişim Varlıkları Üzerinde Gerçekleştirilecek Değişikliklerin Yönetimiyle İlgili Kural ve Uygulamaların Yetersiz Olması 2019 Kısmen Yerine Getirildi Değişiklik yönetimi ile ilgili olarak Kurum bünyesinde yürütülen çalışmaların henüz taslak aşamasında bulunduğu, uygulamaya geçilmediği görülmüştür.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 43

T.C. SAYIŞTAY BAŞKANLIĞI ZONGULDAK BÜLENT ECEVİT ÜNİVERSİTESİ DÖNER SERMAYE İŞLETMESİ 2020 Yılı Düzenlilik Denetim Raporu

İÇİNDEKİLER

1. KAMU İDARESİ HAKKINDA BİLGİ .................................................................................................... 42
2. KAMU İDARESİNİN SORUMLULUĞU ................................................................................................ 44
3. SAYIŞTAYIN SORUMLULUĞU ............................................................................................................ 45
4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI ........................................................ 45
5. DENETİM GÖRÜŞÜ ................................................................................................................................. 46

TABLOLAR LİSTESİ Tablo 1: Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi İdari Personel Kadro Bilgileri ..................................................................................................................................... 43

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 42

1. KAMU İDARESİ HAKKINDA BİLGİ 1.1. Mevzuat ve Görevler Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi, 2547 sayılı Yükseköğretim Kanunu’nun 58’inci maddesinin 2’nci fıkrasının (a) bendi uyarınca, 5 Temmuz 1983 tarih ve 18098 sayılı Resmi Gazete’de yayımlanan Yönetmelik kapsamında kurulmuştur. Döner Sermaye İşletmesinin amacı, Üniversitenin görevleri ile ilgili olarak ortaya çıkan fiyatlandırılabilir nitelikteki mal veya hizmetlerin üretim veya satışını iyi şekilde yönetebilmektir. Üniversitenin yetkin olduğu konularda öğretim üyeleri tarafından Döner Sermaye İşletmesi çerçevesinde Fakülte, Enstitü Yüksekokul ve Rektörlüğe bağlı Merkezler aracılığıyla yürütebilecekleri faaliyetler şunlardır: a. Yükseköğretim Kurumları dışındaki kuruluşlar ile gerçek ve tüzel kişilerce talep edilecek konularda Bilimsel görüş vermek, proje hazırlamak, proje yürütmek, araştırma, uygulama, seminer, konferans, sempozyumlar düzenlemek, kurslar açmak ve benzeri hizmetler yapmak, b. Belirli bilimsel sonuçların uygulamasını sağlamak ve bilimsel rapor hazırlamak, c. Test ve analiz çalışmaları yürütmek, d. Her türlü baskı ve yayım hizmetlerini yerine getirmek. e. Bu amaçlardan biri veya birkaçına yönelik ve benzer çalışmalar, f. Üniversitenin bilgisayar alt yapısını kullanarak her türlü iş ve hizmetlerin üretilmesini sağlamak, g. Araştırma ve geliştirme, tasarım ve yenilik projeleri gerçekleştirmek. 1.2. Teşkilat Yapısı ve İnsan Kaynakları Rektörlüğe bağlı bir birim olarak yapılanan Döner Sermaye İşletmesi, İşletme Müdürlüğü ve Saymanlık Müdürlüğü olarak teşkilatlandırılmıştır. İşletme Müdürlüğü bünyesinde 1 işletme müdürü, 4 idari memur ve 4 sürekli işçi hizmet vermekte olup; 4 idari

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 43 memurun kadroları, özel bütçede, diğerlerinin ise İşletmededir. İşletmenin Saymanlık Müdürlüğünde, T.C. Hazine ve Maliye Bakanlığı personeli 1 saymanlık müdürü ve 5 memur bulunmaktadır. Döner Sermaye İşletmesinde çalışan toplam personel sayısı ise 807'dir. Personelin hizmet sınıfları itibarıyla dağılımı aşağıdaki tabloda gösterilmiştir. Tablo 1: Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi İdari Personel Kadro Bilgileri Hizmet Sınıfları Dolu Boş Toplam Genel İdari Hizmetler 12 42 54 Sağlık Hizmetleri 207 82 289 Teknik Hizmetler 13 3 16 Yardımcı Hizmetler 41 5 46 Sürekli İşçi (696 KHK) 534 0 534 Sözleşmeli Personel 0 23 23 TOPLAM 807 155 962 1.3. Mali Yapı Genel yönetim kapsamındaki kamu idarelerine bağlı olarak kurulmuş olan döner sermayeli işletmelerin iş ve işlemleri ile bütçelerinin hazırlanması, uygulanması, sonuçlandırılması, muhasebesi, kontrol ve denetimi ile muhasebe yetkililerinin niteliklerine ilişkin usul ve esaslar, Döner Sermayeli İşletmeler Bütçe ve Muhasebe Yönetmeliği ile belirlenmiştir. Dolayısıyla, 5018 sayılı Kanun’un bütçe ile ilgili hükümlerine tabi olmayan İşletme bütçesi, adı geçen Yönetmelik’in 4’üncü maddesine göre hazırlanmakta olup; Kamu İdaresinin üst yöneticisi olan Rektör tarafından onaylanarak yürürlüğe girmektedir. Başlangıç bütçesinde 293.650.000 TL olarak tahmin edilen işletmenin 2020 yılı bütçe gideri 214.866.719 TL, bütçe geliri ise 175.257.746 TL olarak gerçekleşmiştir. 2020 bilançosuna göre işletmenin sermayesi 2.361 TL, toplam aktif büyüklüğü ise 32.534.192 TL'dir. 2020 Yılı Gelir Tablosuna göre gelir toplamı 202.204.269 TL, gider toplamı 211.384.410 TL olan Döner Sermaye İşletmesi, yıl sonu itibarıyla dönemi 9.180.141 TL net zararla tamamlamıştır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 44 1.4. Muhasebe ve Raporlama Sistemi Zonguldak Üniversitesi Döner Sermaye İşletmesi muhasebe ve raporlama işlemlerini, Döner Sermayeli İşletmeler Bütçe ve Muhasebe Yönetmeliği’nde yer alan hükümlere göre T.C. Hazine ve Maliye Bakanlığı tarafından kurulan ve yönetilen Döner Sermayeli İşletmeler Muhasebe Sistemi üzerinden yürütmektedir. İşletme, Yönetmelik’te hüküm bulunmayan hâllerde 5018 sayılı Kanun ve bu Kanun’a dayanılarak hazırlanan diğer yönetmelikler ile Merkezi Yönetim Muhasebe Yönetmeliği’nin genel esaslarını, kıyasen uygulamakta olup T.C. Hazine ve Maliye Bakanlığı tarafından yayımlanan diğer düzenlemelere de tabidir. “Kamu İdaresi Hesaplarının Sayıştaya Verilmesi ve Muhasebe Birimleri ile Muhasebe Yetkililerinin Bildirilmesi Hakkında Usul ve Esaslar”ın 5’inci maddesi gereğince hesap dönemi sonunda Sayıştaya gönderilmesi gereken defter, tablo ve belgelerden denetime sunulanlar aşağıda yer almakta olup denetim bunlar ile Usul ve Esaslar’ın 8’inci maddesinde yer alan diğer belgeler dikkate alınarak yürütülüp sonuçlandırılmıştır.  Birleştirilmiş veriler defteri  Geçici ve kesin mizan  Bilanço  Gelir tablosu  Envanter defteri Denetim görüşü, kamu idaresinin tabi olduğu geçerli finansal raporlama çerçevesi kapsamındaki temel mali tabloları olan bilanço ve gelir tablosuna verilmiştir. 2. KAMU İDARESİNİN SORUMLULUĞU Denetlenen kamu idaresinin yönetimi, tabi olduğu muhasebe standart ve ilkelerine uygun olarak hazırlanmış olan mali rapor ve tabloların doğru ve güvenilir bilgi içerecek şekilde zamanında Sayıştaya sunulmasından, bir bütün olarak sunulan bu mali tabloların kamu idaresinin faaliyet ve işlemlerinin sonucunu tüm önemli yönleriyle doğru ve güvenilir olarak yansıtmasından ve ister hata isterse yolsuzluktan kaynaklansın bu mali rapor ve tabloların önemli hata veya yanlış beyanlar içermemesinden; kamu idaresinin gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğundan;

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 45 mali yönetim ve iç kontrol sistemlerinin amacına uygun olarak oluşturulmasından, etkin olarak işletilmesinden ve izlenmesinden, mali tabloların dayanağını oluşturan bilgi ve belgelerin denetime hazır hale getirilmesinden ve sunulmasından sorumludur. 3. SAYIŞTAYIN SORUMLULUĞU Sayıştay, denetimlerinin sonucunda hazırladığı raporlarla denetlenen kamu idarelerinin mali yönetim ve iç kontrol sistemlerini değerlendirmek, mali rapor ve tablolarının güvenilirliğine ve doğruluğuna ilişkin görüş bildirmek, gelir, gider ve malları ile bunlara ilişkin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmekle sorumludur. 4. DENETİMİN DAYANAĞI, AMACI, YÖNTEMİ VE KAPSAMI Denetimlerin dayanağı; 6085 sayılı Sayıştay Kanunu, uluslararası denetim standartları, Sayıştay ikincil mevzuatı ve denetim rehberleridir. Denetimler, kamu idaresinin hesap ve işlemlerinin kanunlara ve diğer hukuki düzenlemelere uygunluğunu tespit etmek ve mali rapor ve tablolarının kamu idaresinin tüm faaliyet ve işlemlerinin sonucunu doğru ve güvenilir olarak yansıttığına ilişkin makul güvence elde etmek ve mali yönetim ve iç kontrol sistemlerini değerlendirmek amacıyla yürütülmüştür. Kamu idaresinin mali tabloları ile bunları oluşturan hesap ve işlemlerinin doğruluğu, güvenilirliği ve uygunluğuna ilişkin denetim kanıtı elde etmek üzere yürütülen denetimler; uygun denetim prosedürleri ve tekniklerinin uygulanması ile risk değerlendirmesi yöntemiyle gerçekleştirilmiştir. Risk değerlendirmesi sırasında, uygulanacak denetim prosedürünün belirlenmesine esas olmak üzere, mali tabloların üretildiği mali yönetim ve iç kontrol sistemleri de değerlendirilmiştir. Denetimin kapsamını, kamu idaresinin mali rapor ve tabloları ile gelir, gider ve mallarına ilişkin tüm mali faaliyet, karar ve işlemleri ve bunlara ilişkin kayıt, defter, bilgi, belge ve verileri (elektronik olanlar dâhil) ile mali yönetim ve iç kontrol sistemleri oluşturmaktadır. Bu hususlarla ilgili denetim sonucunda denetim görüşü oluşturmak üzere yeterli ve uygun denetim kanıtı elde edilmiştir.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 46 5. DENETİM GÖRÜŞÜ Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi'nin 2020 yılına ilişkin yukarıda belirtilen ve kamu idaresi tarafından sunulan, geçerli finansal raporlama çerçevesi kapsamındaki mali rapor ve tablolarının tüm önemli yönleriyle doğru ve güvenilir bilgi içerdiği kanaatine varılmıştır.

T.C. Sayıştay Başkanlığı Zonguldak Bülent Ecevit Üniversitesi Döner Sermaye İşletmesi 2020 Yılı Sayıştay Düzenlilik Denetim Raporu 47 T.C. SAYIŞTAY BAŞKANLIĞI 06520 Balgat / ANKARA Tel: 0 312 295 30 00; Faks: 0 312 295 48 00 e-posta: sayistay@sayistay.gov.tr https://www.sayistay.gov.tr