Środki publiczne na systemy IT, które nie działały – NIK skontrolowała lubelskie uczelnie

Istotne nieprawidłowości we wdrożeniu systemów informatycznych i zarządzaniu systemem bezpieczeństwa informacji, zmiany w umowie z naruszeniem prawa zamówień publicznych oraz przypadki ewidencjonowania praw majątkowych z naruszeniem ustawy o rachunkowości wykazała kontrola NIK w dwóch publicznych uczelniach lubelskich.

Kontrola została przeprowadzona w okresie od kwietnia do października 2025 r. w dwóch publicznych uczelniach w Lublinie: Politechnice Lubelskiej (PL) i Uniwersytecie Medycznym (UML). Celem kontroli było dokonanie oceny, czy w latach 2020-2025 uczelnie prawidłowo i efektywnie wydatkowały środki publiczne na systemy informatyczne i teleinformatyczne służące usprawnieniu ich działalności. Zbadano realizację umów na wdrożenie i utrzymanie dwóch systemów teleinformatycznych w każdej ze skontrolowanych uczelni.

System, który kosztował 15 mln zł, nie został wdrożony

Kontrola w Uniwersytecie Medycznym w Lublinie wykazała, iż Zintegrowany System Informatyczny do zarządzania Uczelnią (ZSI), przyjęty odbiorem końcowym we wrześniu 2024 r., za który zapłacono łącznie 15,9 mln zł (w tym 12,1 mln zł z dwóch projektów dofinansowanych ze środków UE), nie został uruchomiony do zakończenia czynności kontrolnych w październiku 2025 r. W harmonogramie wdrożenia ZSI przewidziano do końca 2023 r. wdrożenie trzech niezbędnych dla funkcjonowania komponentów systemu oraz dokonanie za nie zapłaty ze środków UE. Z powodu niskiego zaawansowania prac w tym okresie, wynikających z przyczyn zależnych od wykonawcy i uczelni, w związku z koniecznością wydatkowania – pod rygorem utraty dofinansowania – do końca 2023 r. środków UE z dwóch projektów Programu Operacyjnego Wiedza Edukacja Rozwój 2014-2020 (POWER), dokonano istotnych zmian umowy na wdrożenie z naruszeniem przepisów Prawa zamówień publicznych (Pzp), po czym odebrano te trzy komponenty ZSI i zapłacono za nie wykonawcy wynagrodzenie (w tym 12,1 mln zł ze środków UE), mimo ich faktycznego nieuruchomienia.

Następnie, mimo iż wykonawca nie uruchomił ZSI w zakładanym terminie, we wrześniu 2024 r. dokonano odbioru końcowego systemu, potwierdzając poprawność wykonania prac oraz wykonanie przedmiotu umowy. Nie rozpoczęto wykorzystywania systemu w pracy rzeczywistej (nie został on wdrożony do zakończenia kontroli NIK w październiku 2025 r.), skutkiem czego było realizowanie prac wdrożeniowych w trakcie trwania gwarancji, konieczność prowadzenia ksiąg rachunkowych w dotychczasowym systemie i przedłużenia usługi jego asysty technicznej za wynagrodzeniem oraz niewykorzystanie zakupionego osprzętu do ZSI. Oprócz nierzetelnego koordynowania i nadzorowania wdrożenia, uczelnia niewystarczająco rzetelnie wyegzekwowała od wykonawcy informację i dokumentację dotyczącą zainstalowanego oprogramowania, wchodzącego w skład ZSI.

W przypadku drugiego systemu (do zarządzania badaniami klinicznymi) stwierdzono, iż mimo jego wdrożenia i wykorzystywania zgodnie z założonymi celami, dopuszczono do opóźnień w udostępnieniu wykonawcy środowiska informatycznego i dostępu do serwerów, skutkujących przedłużeniem okresu realizacji umowy i skróceniem z 32 do 28 miesięcy terminu świadczenia przez wykonawcę usługi serwisu utrzymaniowego oraz opieki powdrożeniowej, przy niezmienionych kosztach w kwocie 190 tys. zł. W związku z opóźnieniami uczelnia dokonała także istotnych zmian umowy z naruszeniem Pzp.

Aplikacja za 571 tys. zł niespełniająca wymagań dostępności cyfrowej

W Politechnice Lubelskiej przyjęta odbiorem końcowym aplikacja mobilna, której celem było zwiększenie dostępności kampusu uczelni dla osób z niepełnosprawnościami i za którą zapłacono 571,9 tys. zł, w całości ze środków UE w projekcie POWER, nie spełniała części wymagań określonych w opisie przedmiotu zamówienia. Niespełnione zostały wymagania w zakresie postrzegalności, funkcjonalności i zrozumiałości, co stanowiło naruszenie ustawy o dostępności cyfrowej. Nie funkcjonował w aplikacji moduł wyświetlający plan zajęć i nie została ona zamieszczona w sklepach internetowych. Pomimo odbioru aplikacji, nie sporządzono i nie opublikowano deklaracji jej dostępności cyfrowej dla osób z niepełnosprawnościami, co było także niezgodne z przepisami ww. ustawy. Nierzetelnie sprawowany był także nadzór nad przebiegiem realizacji wdrożenia dwóch systemów (aplikacji mobilnej i systemu bezpieczeństwa) przez zespoły powołane przez Rektora.

Bezpieczeństwo informatyczne i ewidencja księgowa

W obydwu uczelniach ujawniono nieprawidłowości, dotyczące zarządzania systemem bezpieczeństwa informacji. Polegały na niezgodnym z przepisami okresie przechowywania logów w dziennikach systemowych (obydwie uczelnie), braku kontroli administratorów infrastruktury informatycznej nad zasobami serwerowymi i maszynami wirtualnymi zlokalizowanymi w infrastrukturze uczelni oraz niezgodnym z przepisami i niewystarczająco rzetelnym zarządzaniu uprawnieniami użytkownika w badanych systemach (Uniwersytet Medyczny).

W Politechnice Lubelskiej stwierdzono przypadki naruszenia ustawy o rachunkowości w zakresie prowadzenia ewidencji księgowej wartości niematerialnych i prawnych. Polegały one na nieujęciu zakupionych praw majątkowych w ewidencji, ujmowaniu tych praw w ewidencji pomimo niewykorzystywania lub upływu okresu, na który zostały zakupione, zawyżeniu wartości licencji, przyjęciu niezgodnej z przepisami stawki amortyzacyjnej, ujmowaniu w księgach operacji gospodarczych na podstawie niezatwierdzonych dowodów księgowych, nieudokumentowaniu inwentaryzacji na koniec roku.

Wnioski i rekomendacje

W wystąpieniach pokontrolnych NIK skierowała do rektorów obu uczelni 14 wniosków mających na celu poprawę zapewnienia prawidłowego i rzetelnego wdrażania i utrzymania nowych systemów teleinformatycznych, a w przypadku Politechniki Lubelskiej także przestrzegania zasad rachunkowości przy ewidencjonowaniu wartości niematerialnych i prawnych. Siedem z nich zostało zrealizowanych, a kolejnych siedem jest w trakcie realizacji. Kwoty wydatkowane na ZSI i aplikację mobilną z naruszeniem zasad należytego zarządzania finansami wyniosły ogółem 16,5 mln zł, a przypadki ewidencjonowania w Politechnice Lubelskiej praw do systemów informatycznych z naruszeniem ustawy o rachunkowości 3,1 mln zł.

Kontrolerzy NIK zwracali uwagę na konieczność wzmocnienia nadzoru wewnętrznego i ulepszenia skuteczności wewnętrznych procedur dotyczących m.in rzetelnej weryfikacji wypełniania przez wykonawców wymagań określonych w zamówieniu i umowie w trakcie odbioru systemów informatycznych i teleinformatycznych oraz koordynowania prac związanych z ich wdrożeniem. Wnioskowali także m.in. o podjęcie działań pozwalających na weryfikację wniosków o płatność w kontekście kwalifikowalności wydatków poniesionych na wdrożenie systemów.

W przypadku Uniwersytetu Medycznego wnioski dotyczyły także podjęcia działań zmierzających do wdrożenia ZSI zgodnie z umową, w tym przeprowadzenia analizy sposobu realizacji umowy pod kątem zasadności ewentualnych roszczeń względem wykonawcy i wyegzekwowania od niego pełnej dokumentacji powdrożeniowej oraz dotyczącej udzielonych licencji.

W związku z wynikami kontroli skierowano do Prokuratury Okręgowej w Lublinie dwa zawiadomienia o uzasadnionym podejrzeniu popełnienia przestępstwa polegającego na poświadczeniu nieprawdy przez osoby, które podpisały protokoły odbioru w obu uczelniach.