Die strategischen Ziele von Merck sind nicht ohne IT-Unterstützung zu erreichen. Nur mit einheitlichen Standards, Systemen und Prozessen gelingen die zukünftige Ausrichtung und die Globalisierung von Merck. Zeitnahe und flexible Reaktionen auf geänderte Marktentwicklungen, innovative Forschung, zuverlässige Produktion und rasche Belieferung der Kunden erfordert eine leistungsfähige und zuverlässige IT.
Risiken durch Komplexität interner und externer Anforderungen
IT-Risiken mit Auswirkungen auf das Geschäftsergebnis entstehen, wenn Informationen nicht verfügbar oder fehlerhaft sind, ungewünscht veröffentlicht werden oder die abgebildeten Prozesse zu unflexibel, zu aufwändig oder gesetzeswidrig in IT-Systemen umgesetzt sind. Zu spät oder schlimmstenfalls nicht erkannte Sicherheitslücken oder unzureichende Notfallplanungen können schnell zu Vorfällen werden, die das gesamte Unternehmen betreffen. IT-Systeme, die die Erwartungen der Geschäftseinheiten nicht abbilden, können gegebenenfalls die wirtschaftliche Entwicklung von Unternehmen massiv behindern. Ungewollte Datenschutzverstöße aufgrund falscher oder fehlender Berechtigungsvergabe erzeugen eine negative Außenwirkung. Die immer stärker werdende Abhängigkeit von der IT sowie die zunehmende Vernetzung der IT-Landschaften in internationalen Unternehmen erfordern von Unternehmen hohe Aufwendungen für Wartung, Einbindung neuer Anwendungen oder gar Systeme sowie die Abbildung neuer Prozesse. Diese Entwicklung in Verbindung mit immer neuen nationalen wie internationalen gesetzlichen Anforderungen gestaltet die Datenverarbeitung zeitintensiv und kostspielig. Mit zunehmender Komplexität der IT-Landschaft steigen auch die potenziellen Risiken.
Risiken durch externe Bedrohungen
Die allgemeine Gefährdungslage lässt zudem eine Professionalisierung der Bedrohungen weg von allgemeinen Viren hin zu gezielter Industriespionage und -sabotage erwarten.
Wesentliche potentielle IT-Risiko-Szenarien für Merck stellen der Ausfall der zentralen ERP-Systeme („Enterprise Resource Planning“) die Veröffentlichung von schützenswerten vertraulichen Daten aus der Forschung und Geschäftsentwicklung, die Manipulation von IT-Systemen in der chemischen Prozess-Steuerung sowie die Aberkennung von Medikamentenzulassung aufgrund mangelbehafteter Validierung relevanter IT-Systeme dar.
Die IT-Infrastruktur von Merck wurde zur Verbesserung der Service-Qualität bei gleichzeitiger Kostenoptimierung konsolidiert. Im Nachgang der Akquisition von Millipore erfolgt die Zusammenführung der Millipore-IT-Systeme mit den Merck-IT-Systemen in einem kontrollierten Integrationsprogramm.
Risikominimierungsstrategie
Durch die redundante Auslegung von technischen Komponenten, Netzwerken und Standorten sowie eine geeignete und getestete Notfallvorsorge gewährleistet Merck auch bei Ausfall einzelner Komponenten die erforderliche Verfügbarkeit seiner geschäftskritischen Anwendungssysteme und den Zugriff auf geschäftsrelevante Daten. Für die gesamte Merck-Gruppe existieren Sicherheitsrichtlinien mit geeigneten organisatorischen, technischen und softwareseitigen Vorkehrungen für Zugangskontrolle, Zugriffsrechte, Viren- und Datenschutz. Die Einhaltung und Wirksamkeit dieser Maßnahmen wird kontinuierlich überwacht und durch die interne Revision und externe Auditoren überprüft. Ein dezidierter IT-Risiko-Management-Prozess stellt sicher, dass IT-Risiken evaluiert und angemessene Maßnahmen umgesetzt werden. Basierend auf diesen getroffenen Maßnahmen gehen wir davon aus, dass die Eintrittswahrscheinlichkeit eines schwerwiegenden IT-Risiko-Vorfalls gering ist.