Bilişim Sistemlerinde Gerekli Yetkilendirme ve Kontrol Mekanizmalarının Bulunmaması (Sayıştay)

BULGU: Bilişim Sistemlerinde Gerekli Yetkilendirme ve Kontrol Mekanizmalarının Bulunmaması

2021 Yılı Sayıştay Denetim Raporları – İl Özel İdaresi

İdarenin, İnsan Kaynakları ve Eğitim Müdürlüğünde kullanılan bordro hazırlama, Destek Hizmetleri Müdürlüğünde kullanılan amortisman ayırma ve Strateji Geliştirme Müdürlüğüne bağlı Gelir Şefliğinde gelir takibi amaçlarıyla kullandığı bilişim sistemlerine erişimde, personele mevzuatta öngörülen yetkilendirilmelerin yapılmadığı, ayrıca Gelir Şefliğinde gelir takibi yapmak amacıyla kullanılan bilişim sisteminin gerekli kontrol mekanizmalarını içermediği görülmüştür.
5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu’nun “İç kontrolün tanımı” başlıklı 55’inci maddesinde iç kontrol; idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünü şeklinde tanımlanmıştır.
Bu kapsamda iç kontrol özetle, idarenin sağlıklı çalışmasını etkileme ihtimali olan risklerin tanımlanması, bu risklerin gerçekleşme düzeylerine göre önceliklendirilmesi ve bu riskleri ortadan kaldıracak eylem ve süreçlerin oluşturulması ile izlenmesidir. Kurumların faaliyetlerinin büyük ölçüde bilişim sistemleri desteğiyle yürütülmesi sebebiyle, iç kontrollerin önemli bir kısmının bilişim ortamında oluşturulması gerekmektedir. Nitekim Maliye Bakanlığı tarafından 5018 sayılı Kanun’a dayanılarak 2007 yılında yayınlanan Kamu İç Kontrol Standartları Tebliği’nde bu husus standarda bağlanmıştır. Tebliğ’de yer alan 12 numaralı “Bilgi sistemleri kontrolleri” standardında, idarelerin, bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmalarını geliştirmeleri gerektiği vurgulanmış ve bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmelerin yapılması, hata ve usulsüzlüklerin önlenmesi, tespit edilmesi ve düzeltilmesini sağlayacak mekanizmalar oluşturulması gerektiği ifade edilmiş, buna ilişkin olarak idarelerin bilişim yönetişimini sağlayacak mekanizmalar geliştirmeleri hüküm altına alınmıştır.
Bilişim sistemleri kontrolleri arasında yer alan yönetişim kontrollerinin amacı, güvenli ve yeterli bir bilişim ortamının sağlanması için kurumsal strateji ve amaçlara uygun yönetim, karar alma, yönlendirme ve izleme mekanizmalarının oluşturulmasını sağlamaktır. Bu kontroller kuruma, alt düzeydeki ayrıntılı kontrollerin varlığı ve etkinliği konusunda makul bir güvence sağlamaktadır.
Yapılan incelemede, Gelir Şefliği tarafından kullanılan bilişim sisteminde, veri ve bilgi girişi hata ve usulsüzlüklerinin önlemesini, tespit edilmesini ve düzeltilmesini sağlayacak mekanizmaların bulunmadığı, personelin bilişim sistemine erişimlerine ilişkin yetkilendirmelerin yazılı yönergelerle düzenlenmediği, yazılı olmayan yetkiler ile sisteme erişimi bulunan birden fazla personelin aynı kullanıcı adı ve parolayı kullandığı, girilmiş olan bilgi ve veriler üzerinde, herhangi bir kontrol mekanizması olmadan değişiklik yapma ve silme gibi işlemler gerçekleştirebildiği, aynı yazılımın İnsan Kaynakları ve Eğitim Müdürlüğünde bordro hazırlama, Destek Hizmetleri Müdürlüğünde amortisman ayırma işlemleri için kullanılan modüllerine erişimde de yazılı yetkilendirmelerin olmadığı tespit edilmiştir.
Her ne kadar İdare, bulguya konu edilen tespit üzerine sisteme erişimi olan her personel için ayrı kullanıcı adı ve parola alınması ile görevlendirmelerin yazılı olarak yapılması tedbirlerini gerçekleştirmiş ise de, bilişim sistemleri üzerinde gerekli kontrol mekanizmaları kurulmadan yapılan iş ve işlemler nedeniyle bilgi ve veri güvenliği ile iş sürekliliği halen risk altındadır. Kamu İç Kontrol Standartları çerçevesinde bilişim sistemlerinde gerekli kontrol mekanizmalarının kurulması gereklidir.