Uneinheitliche IT-Systeme und -Prozesse gefährden die optimale Ausrichtung und angemessene Unterstützung der Globalisierung von Merck.
Risiken durch Komplexität interner und externer Anforderungen
IT-Risiken mit Auswirkungen auf das Geschäftsergebnis entstehen, wenn Informationen nicht verfügbar oder fehlerhaft sind, ungewünscht veröffentlicht werden oder die abgebildeten Prozesse zu unflexibel, zu aufwändig oder gesetzeswidrig in IT-Systemen umgesetzt sind. Sicherheitslücken oder unzureichende Notfallplanungen können schnell zu Vorfällen werden, die das gesamte Unternehmen betreffen.
Datenschutzverstöße aufgrund fehlerhafter Berechtigungsvergabe erzeugen eine negative Außenwirkung. Die wachsende Abhängigkeit von der IT sowie die zunehmende Vernetzung der IT-Landschaften erfordern hohe Aufwendungen für deren Wartung und Weiterentwicklung. In Verbindung mit immer neuen gesetzlichen Anforderungen gestaltet sich die Datenverarbeitung zeitintensiv und kostspielig. Mit zunehmender Komplexität der IT-Landschaft steigen auch die potenziellen Risiken.
Risiken durch externe Bedrohungen
Die allgemeine Gefährdungslage lässt eine Professionalisierung der Bedrohungen hin zu gezielter Industriespionage und -sabotage erwarten. Wesentliche Risiko-Szenarien für Merck stellen der Ausfall zentraler IT-Systeme, die Veröffentlichung von vertraulichen Daten aus der Forschung und Geschäftsentwicklung, die Manipulation von IT-Systemen in der chemischen Prozess-Steuerung sowie die Aberkennung von Medikamentenzulassung aufgrund mangelbehafteter Validierung relevanter IT-Systeme dar.
Risikominimierungsstrategie
Durch die redundante Auslegung von technischen Komponenten, Netzwerken und Standorten sowie eine geeignete und getestete Notfallvorsorge gewährleistet Merck die erforderliche Verfügbarkeit seiner geschäftskritischen Anwendungssysteme und den Zugriff auf geschäftsrelevante Daten. Für die gesamte Merck-Gruppe existieren Sicherheitsrichtlinien mit geeigneten organisatorischen und technischen Vorkehrungen für Zugangskontrolle, Zugriffsrechte, Viren- und Datenschutz. Die Wirksamkeit dieser Maßnahmen wird kontinuierlich überwacht und durch die interne Revision und externe Auditoren überprüft. Ein dezidierter Prozess stellt sicher, dass IT-Risiken evaluiert und angemessene Maßnahmen umgesetzt werden. Basierend auf diesen getroffenen Maßnahmen gehen wir davon aus, dass die Eintrittswahrscheinlichkeit eines schwerwiegenden IT-Risiko-Vorfalls gering ist.
zurück
