Die Globalisierung von Merck erfordert eine optimale Ausrichtung und angemessene Unterstützung durch die Nutzung einer Vielzahl von IT-Systemen und -Prozessen. Damit ist eine Reihe von möglichen Risiken verbunden.
Risiken durch Komplexität interner und externer Anforderungen
IT-Risiken mit Auswirkungen auf das Geschäftsergebnis entstehen, wenn Informationen nicht rechtzeitig verfügbar oder fehlerhaft sind, ungewünscht veröffentlicht werden oder die abgebildeten Prozesse zu unflexibel, zu aufwendig oder gar gesetzeswidrig in IT-Systemen umgesetzt sind. Sicherheitslücken in IT-Lösungen oder unzureichende Notfallplanungen können schnell zu Vorfällen werden, die das gesamte Unternehmen betreffen.
Datenschutzverstöße aufgrund fehlerhafter Berechtigungsvergabe können eine negative Außenwirkung erzeugen. Die zunehmende Vernetzung der IT-Landschaften und die wachsende Abhängigkeit von der IT erfordern hohe Aufwendungen für Wartung und Weiterentwicklung. In Verbindung mit immer neuen gesetzlichen Anforderungen gestaltet sich die Datenverarbeitung immer zeitintensiver und kostspieliger. Mit zunehmender Komplexität der IT-Landschaft steigen auch die potenziellen Risiken.
Risiken durch externe Bedrohungen
Weltweit ist eine Professionalisierung der externen Bedrohungen hin zu gezielter Industriespionage und -sabotage zu erkennen. Zusätzlich werden Cyberattacken als Mittel der Gewinnung von Aufmerksamkeit und als Protestmaßnahmen benutzt. Daraus ergeben sich als Risiko-Szenarien für Merck der Ausfall zentraler IT-Systeme, die Preisgabe von vertraulichen Daten aus der Forschung und Geschäftsentwicklung, die Manipulation von IT-Systemen in der chemischen Prozess-Steuerung, eine erhöhte Belastung oder Beeinträchtigung von IT-Systemen durch Virusattacken, die vorübergehende Übernahme von exponierten Systemen durch Hacker sowie daraus folgend der mögliche Widerruf von Medikamentenzulassungen aufgrund mangelbehafteter Validierung relevanter IT-Systeme.
Risikominimierungsstrategie
Die generelle Behandlung und Minimierung dieser Risiken werden bei Merck seit mehreren Jahren durch ein zertifiziertes Informationsschutz-Managementsystem auf Basis von ISO 27001 unterstützt. Dieses umfasst die redundante Auslegung von technischen Komponenten, Netzwerken und Standorten sowie eine geeignete und getestete Notfallvorsorge. Damit gewährleistet Merck die erforderliche Verfügbarkeit seiner geschäftskritischen Anwendungssysteme und den Zugriff auf geschäftsrelevante Daten. Für die gesamte Merck-Gruppe existieren weltweit gültige Sicherheitsrichtlinien mit geeigneten organisatorischen und technischen Vorkehrungen für Zugangskontrolle, Zugriffsrechte, Viren- und Datenschutz. Die Wirksamkeiten dieser Maßnahmen werden im Zusammenhang mit dem Informationsschutz Managementsystem kontinuierlich überwacht und durch die interne Revision und externe Auditoren überprüft. Ein weiterer Prozess stellt sicher, dass IT-Risiken evaluiert und angemessene Maßnahmen umgesetzt werden. Basierend auf diesen getroffenen Maßnahmen gehen wir davon aus, dass die Eintrittswahrscheinlichkeit eines schwerwiegenden IT-Risiko-Vorfalls gering ist.