Verantwortungsvolles unternehmerisches Handeln heißt vor allem rechtmäßiges Handeln, auch Compliance genannt. Weltweit müssen all unsere Aktivitäten Recht und Gesetz entsprechen. Denn Compliance-Verstöße können nicht nur eine strafrechtliche Verfolgung nach sich ziehen, sondern auch unser Ansehen als Arbeitgeber oder Geschäftspartner erheblich schädigen.
Unsere Grundsätze
Höchste Anforderungen an wirksame Compliance
Rechtmäßiges Handeln hat für uns weltweit höchste Priorität. Gerade als internationales Unternehmen, das auch in Entwicklungs- und Schwellenländern tätig ist, stellen wir sehr hohe Anforderungen an ein wirksames Compliance-Management. Doch Compliance ist für uns mehr als die Einhaltung gesetzlicher Bestimmungen. Wir haben den Anspruch, stets nach den ethischen Prinzipien zu handeln, die in unseren Unternehmenswerten festgelegt sind: Profitables Wirtschaften soll mit höchsten ethischen Ansprüchen Hand in Hand gehen.
Verbindliche Richtlinien
Unsere Richtlinien für unternehmerisches Handeln sind für unsere Mitarbeiter weltweit verbindlich:
- Der Merck-Verhaltenskodex unterstützt unsere Mitarbeiter dabei, ethisch einwandfrei zu handeln. Er wird allen Mitarbeitern ausgehändigt und erläutert die Grundsätze des Umgangs mit Geschäftspartnern, Gesellschaftern, Mitarbeitern und dem gesellschaftlichen Umfeld.
- Die Merck-Menschenrechtscharta ergänzt den Verhaltenskodex durch weltweit gültige Menschenrechtsprinzipien sowie die Kernarbeitsnormen der Internationalen Arbeitsorganisation (ILO).
- Laut unserer Antikorruptionsrichtlinie müssen alle geschäftlichen Aktivitäten in Übereinstimmung mit geltenden Antikorruptionsvorgaben durchgeführt werden. Jegliche Form von Korruption – sei es als Geber oder Nehmer – ist strikt untersagt. Im Jahr 2016 überarbeiteten wir unsere Antikorruptionsrichtlinie, um die erfolgte Verschärfung des deutschen Strafgesetzbuches aufzunehmen.
- Unser Pharma Code (für verschreibungspflichtige Medikamente) und unser Consumer Health Code (für das Selbstmedikationsgeschäft) legen wichtige Grundsätze für den Umgang mit unseren Partnern im Gesundheitswesen fest.
- 2016 haben wir die Grundsätze im Bereich Kartell-und Wettbewerbsrecht, die bereits im Merck-Verhaltenskodex und in geschäftsspezifischen Richtlinien verankert waren, auf Konzernebene konsolidiert. Unsere weltweite Richtlinie für das Kartell- und Wettbewerbsrecht regelt nun für unseren gesamten Konzern, dass alle Geschäftstätigkeiten stets im Einklang mit geltenden Wettbewerbsvorgaben durchzuführen sind. Wir erkennen die Bedeutung eines fairen Wettbewerbs an. Dies erwarten wir auch von Vertragspartnern, die in unserem Auftrag handeln.
Umbau der Compliance-Organisation
Unser Group Compliance Officer und weitere Spezialisten unserer Konzernfunktion Compliance definieren unser Compliance-Programm. Es wird fortlaufend weiterentwickelt, um neue Anforderungen – beispielsweise durch Gesetzesänderungen – aufzugreifen.
2016 haben wir die Konzernfunktion Compliance neu strukturiert, um sie noch stärker auf die spezifischen Compliance-Anforderungen unserer Geschäfte auszurichten. Für jeden der Unternehmensbereiche Healthcare, Life Science und Performance Materials wurde ein Compliance Officer benannt, dem jeweils regionale Teams zugeordnet sind. Auch für unsere Konzernfunktionen sind Compliance Officer benannt. Ihre Aufgabe ist es, die Maßnahmen des Compliance-Programms in ihrem Verantwortungsbereich umzusetzen.
Außerdem verbesserten wir 2016 unsere internen Prozesse. Richtlinien werden nun konzernweit über einen Online-Bestätigungsprozess dem jeweiligen Management, der Compliance-Organisation und der Rechtsabteilung zugewiesen. Diese bestätigen dann nicht nur den Erhalt der Richtlinie, sondern auch deren Einhaltung und die entsprechende Umsetzung vor Ort.
Datenschutz als Teil des Compliance Managements
Im Zuge der Neustrukturierung unserer Compliance-Organisation integrierten wir die Einheit Datenschutz in die Konzernfunktion Compliance. Wie gesetzlich vorgeschrieben agiert diese Einheit auch weiterhin weisungsfrei und berichtet direkt an die Geschäftsleitung sowie den Aufsichtsrat. Das Datenschutzteam umfasst vier Mitarbeiter in Darmstadt und wird durch etwa 80 Datenschutzbeauftragte an unseren Standorten verstärkt.
Regelmäßige Berichterstattung zur Compliance
Unsere weltweit 85 Compliance Officer sind dem Group Compliance Officer unterstellt. Er informiert die Geschäftsleitung mindestens zweimal jährlich über den Status der Compliance-Aktivitäten, mögliche Risiken und schwerwiegende Verstöße. Die Geschäftsleitung informiert ihrerseits mindestens zweimal jährlich die Aufsichtsgremien über die wesentlichen Sachverhalte.
Compliance-Audits der Standorte
Die Konzernfunktion Internal Auditing prüft in regelmäßigen Abständen die für Compliance relevanten Sachverhalte an unseren Standorten. Dabei untersucht sie, welche Compliance-Richtlinien, -Prozesse und -Strukturen dort etabliert sind und wie wirksam diese sind. Zusätzlich ermittelt sie, ob es Verstöße gegen den Verhaltenskodex und die Arbeitsplatzanforderungen unserer Menschenrechtscharta gibt. Auch das Thema Korruption ist Bestandteil unseres Standard-Auditprogramms. Anfang 2015 führte ein Wirtschaftsprüfungsunternehmen zusätzlich ein externes Assessment durch. Demnach entspricht die Konzeption des Compliance-Management-Systems den wesentlichen Mindestanforderungen des IDW PS 980 beziehungsweise geht in weiten Teilen über diese Anforderungen hinaus.
Schulungen zu Compliance-Themen
Wir führen regelmäßig Compliance-Schulungen als Präsenzveranstaltungen und Online-Trainings durch. Wir schulen zu Inhalten des Verhaltenskodex wie Korruption, Umgang mit Interessenkonflikten und Wettbewerbsrecht. Teilnehmer sind Beschäftigte aller Hierarchieebenen sowie Auftragnehmer und beaufsichtigte Arbeitnehmer (zum Beispiel Leiharbeiter). Wir überarbeiten den Schulungsplan regelmäßig und passen ihn an neue Entwicklungen an.
Zentrale SpeakUp Line zur Meldung von Verstößen
Alle Konzernangehörigen sind aufgerufen, Compliance-Verstöße gegenüber ihren Vorgesetzten, der Rechts- oder Personalabteilung oder anderen Fachstellen anzusprechen. Über ein zentrales Meldesystem, die sogenannte SpeakUp Line, können Mitarbeiter darüber hinaus weltweit telefonisch oder über eine webbasierte Anwendung Verstöße melden – kostenlos, in ihrer jeweiligen Landessprache und auf Wunsch auch anonym. Auch Geschäftspartner können Fehlverhalten über unsere SpeakUp Line anzeigen.
Die eingegangenen Meldungen werden im Group Compliance Office geprüft und anschließend dem Group Compliance Case Committee vorgelegt. Das Gremium setzt sich aus leitenden Vertretern der Einheiten Interne Revision, Compliance, Konzernsicherheit, Datenschutz und Personalwesen zusammen. Es koordiniert die Bearbeitung von gemeldeten Verstößen und veranlasst falls erforderlich entsprechende Korrekturmaßnahmen. Gegebenenfalls werden auch disziplinarische Maßnahmen gegen Beschäftigte eingeleitet, die einen Compliance-Verstoß begangen haben. Sie können je nach Schwere des Verstoßes von der einfachen Ermahnung bis hin zur Entlassung des jeweiligen Mitarbeiters reichen.
Neben der SpeakUp Line gibt es außerdem eine zentrale Telefonnummer im Group Compliance Office. Hier können sich unsere Mitarbeiter beraten lassen, wie sie sich ethisch und gesetzeskonform verhalten.
Lieferanten und Geschäftspartner in der Pflicht
Ein Compliance-Management darf nicht an den eigenen Unternehmenstoren haltmachen, wenn es wirksam sein soll. Deshalb erwarten wir auch von unseren Geschäftspartnern weltweit, dass sie unseren Compliance-Grundsätzen folgen. Während es beim Lieferantenmanagement um das regelkonforme Handeln der Zulieferer geht, regelt die Richtlinie Global Business Partner Risk Management die Beziehungen mit vertriebsnahen Geschäftspartnern wie Distributoren oder Großhändlern. Wir gehen Geschäftsbeziehungen nur mit Partnern ein, die rechtskonform handeln, jegliche Form der Bestechung ablehnen, Umwelt-, Gesundheits- und Sicherheitsrichtlinien befolgen und Diskriminierung nicht tolerieren. Außerdem fordern wir ein, dass sich unsere Geschäftspartner sowohl zu international anerkannten Menschenrechts- und Arbeitsstandards bekennen, als auch zu unseren Compliance-Standards. Auch bei bereits bestehenden Geschäftsbeziehungen prüfen wir dies – meistens dann, wenn eine Vertragsverlängerung ansteht.
Risikoprüfung bei Geschäftspartnern
Die Auswahl vertriebsnaher Geschäftspartner folgt einem risiko-orientierten Ansatz. Je größer das Risiko bezüglich eines bestimmten Landes, einer Region oder einer Dienstleistungsart eingeschätzt wird, desto umfangreicher und sorgfältiger ist die Prüfung, die wir vor der Aufnahme einer Geschäftsbeziehung durchführen. Für die Risikobewertung nutzen wir beispielsweise den Korruptionswahrnehmungsindex (Corruption Perceptions Index, CPI) von Transparency International, Hintergrundinformationen aus Datenbanken sowie Selbstauskünfte des Geschäftspartners, etwa zu eigenen Compliance-Programmen.
Falls wir auf Compliance-Probleme stoßen, prüfen wir, ob wir den potenziellen Geschäftspartner ablehnen oder die Geschäftsbeziehung auflösen. Häufig sind unsere Partner jedoch bereit, ihre Strukturen und Prozesse so zu ändern, dass sie unseren strengen Compliance-Anforderungen genügen. Seit Einführung des Prozesses im Jahr 2013 haben fast 2.000 Geschäftspartner diese Prüfung durchlaufen.
Transparenz-Initiative der EFPIA
In Europa werden seit 2016 alle Zuwendungen an die Ärzteschaft und Organisationen des Gesundheitswesens, die nicht im Zusammenhang mit Forschungstätigkeiten stehen, individuell unter Nennung des Empfängers veröffentlicht. Dies legt die Transparenz-Initiative der European Federation of Pharmaceutical Industries and Associations (EFPIA) fest. Die EFPIA hat diese Veröffentlichungsvorgaben 2016 weiter konkretisiert. Außerdem haben einige Länder in demselben Jahr Gesetze zur Transparenz in der Pharmaindustrie eingeführt. Wir werden diese geänderten Anforderungen in unserem EFPIA-Report für das Jahr 2016 berücksichtigen.
Aktiv in der Allianz für Integrität
Im Oktober 2015 sind wir der Allianz für Integrität beigetreten. Die Initiative wurde von der Deutschen Gesellschaft für Internationale Zusammenarbeit (GIZ), dem Deutschen Global Compact Netzwerk (DGCN) sowie dem Bundesverband der Deutschen Industrie (BDI) ins Leben gerufen. Sie hat das Ziel, Korruption in Entwicklungs- und Schwellenländern zu bekämpfen. Dabei konzentriert sich die Initiative zunächst auf Aktivitäten in Ghana, Indien, Indonesien, Brasilien und Argentinien.
Wir sind Mitglied des Steuerungskreises der Allianz für Integrität, der das Rahmenkonzept für die Maßnahmen in den genannten Ländern entwickelt. Vor Ort organisieren sogenannte Advisory Groups die lokale Umsetzung. Auch unsere lokalen Compliance-Organisationen arbeiten in diesen Gruppen mit und beteiligen sich an Schulungen, die für kleinere und mittlere Unternehmen angeboten werden. Außerdem setzt sich unser Unternehmen auf Konferenzen für Korruptionsbekämpfung ein, beispielsweise auf der Weltkonferenz der Deutschen Außenhandelskammer im Mai 2016 in Berlin.
Konzernweit einheitliches Datenschutz-Management
Konzernweit betreiben wir ein einheitliches Datenschutz-Management-System. Unsere Leitlinie Policy for Data Protection and Personal Data Privacy definiert die Standards, nach denen wir Daten verarbeiten, speichern, nutzen und übermitteln. So erreichen wir einen hohen Schutz der Daten sowohl unserer Mitarbeiter, Vertragspartner, Kunden und Lieferanten als auch von Patienten und Teilnehmern klinischer Studien.
Das konzernweite Datenschutzniveau basiert auf der europäischen beziehungsweise deutschen Gesetzgebung. Gleichzeitig passen wir unseren Datenschutz immer auch an die Gegebenheiten vor Ort an, denn sie werden von den europäischen Standards nicht immer abgedeckt. Wir achten grundsätzlich die Rechte der Betroffenen.
Maßnahmen für die Datensicherheit
Um Informationsdiebstahl und Manipulationen unserer Daten zu verhindern, schützen wir diese durch technische wie organisatorische Maßnahmen. Grundlage dafür ist die Norm ISO 27001, der Standard für Informationssicherheit. Zu den technischen Maßnahmen gehören beispielsweise Vorkehrungen bei der Hard- und Software, beispielsweise verschiedene Benutzerkonten. Zu den organisatorischen Maßnahmen zählen formale Prüf- und Freigaberegeln für sämtliche Daten, die wir verarbeiten. Aber auch klare Zugangsregeln zu unseren Standorten sowie die Anmeldung und Erfassung von Besuchern gehören dazu. Die Umsetzung und Einhaltung unserer Datensicherheits-Policy wird auch im Rahmen unserer Konzernrevision geprüft.
Datenschutz extern überprüfen
Unser Datenschutz-Management-System wird jährlich im Rahmen der Wirtschaftsprüfung begutachtet. Bei einem Branchenvergleich, den das Unternehmen Ernst & Young 2015 durchführte, erzielte unser Konzern ein überdurchschnittliches Ergebnis. Positiv bewertet wurde vor allem der hohe Reifegrad der Datenschutzkultur und der Datenschutzorganisation.
Fortschritt
Interne Prüfungen
In den Jahren 2015 und 2016 fanden 49 beziehungsweise 55 interne Audits zum Thema Korruption statt.
Im Jahr 2015 haben wir bei 41 dieser Audits in 31 Ländern zusätzlich die Arbeitsplatzanforderungen der Menschenrechtscharta geprüft. Im Jahr 2016 beinhalteten 47 Audits in 19 Ländern diese Themen, darunter 22 Audits in der Konzernzentrale in Darmstadt. Es wurden keine Verstöße festgestellt.
Die Prüfungsplanung ist risikobasiert und bezieht Kennzahlen wie zum Beispiel den Umsatz, die Mitarbeiteranzahl und das Korruptionsrisiko ein, das wir dem Corruption Perceptions Index von Transparency International entnehmen.
Die Standorte des Unternehmens AZ Electronic Materials, das 2014 akquiriert wurde, sind bereits seit Januar 2015 vollständig in den Auditprozess eingebunden. Die Gesellschaften des US-amerikanischen Life-Science-Unternehmens Sigma-Aldrich, die 2015 übernommen wurden, sind seit 2016 Teil des Auditplans.
Schulungen zum Verhaltenskodex und zur Antikorruptionsrichtlinie
2015 und 2016 haben wir 8.673 beziehungsweise 18.697 Personen über unser E-Learning-System zum Verhaltenskodex geschult und für die Folgen von Compliance-Verstößen sensibilisiert. In den Schulungen haben wir auch aufgezeigt, wie Compliance-Verstöße vermieden werden können.
Über neue Compliance-Anforderungen informieren wir unsere Mitarbeiter ebenfalls regelmäßig. 2015 nahmen insgesamt 20.404 Personen an Schulungen mit Antikorruptionsinhalten teil. 2016 wurden dazu 29.764 Personen geschult. Einen Online-Kurs zur Antikorruptionsrichtlinie ließen wir 2015 in 15 Sprachen übersetzen. So können zirka 96 % unserer Mitarbeiter den Kurs in ihrer Muttersprache absolvieren. 2015 entwarfen wir außerdem einen speziellen Online-Kurs für das Pharmageschäft, der die spezifischen Richtlinien für diesen Bereich erläutert. Auch die Einführung unserer neuen Richtlinie zum Kartell- und Wettbewerbsrecht unterstützten wir 2016 durch eine Online-Schulung; ab 2017 soll sie in 13 Sprachen zur Verfügung stehen.
Einige Schulungen zu Spezialthemen werden gezielt für Fachkräfte in bestimmten Funktionen entwickelt. Dazu gehören beispielsweise die Schulungsmaßnahmen zum Wettbewerbsrecht, die wir mit der Einführung der Konzernrichtlinie 2016 aktualisiert haben. In Ergänzung zu den Online-Kursen finden darüber hinaus weltweit zahlreiche Präsenzveranstaltungen zu Compliance-Themen statt, in denen wir die Mitarbeiter insbesondere zu lokalen Themen schulen.
Meldungen an die SpeakUp Line
Sowohl die Zahl der Meldungen, die einen möglichen Compliance-Verstoß vermuten ließen, als auch die Zahl tatsächlicher Compliance-Fälle ist in den vergangenen Jahren weitgehend konstant geblieben. 2015 und 2016 gingen 33 beziehungsweise 36 Meldungen über die SpeakUp Line und andere Informationskanäle ein, die eine entsprechende Ermittlung des Sachverhalts auslösten. Im Jahr 2015 bestätigte sich in 8 Fällen, dass gegen die Verhaltensregeln verstoßen worden war. Im Jahr 2016 waren es 12 Fälle. Diese Verstöße stellten mehrheitlich minderschwere isolierte Vorfälle dar, die aus dem Fehlverhalten einzelner Personen resultierten und angemessene disziplinarische Maßnahmen nach sich zogen.
In den Jahren 2015 und 2016 gab es zwei Fälle von missbräuchlichen Geschäftspraktiken, in denen Führungskräfte involviert waren. Diese Fälle beinhalteten regelwidrige Begünstigungen an unseren Außendienst, um den Umsatz zu steigern, und ähnliche Praktiken bei beteiligten Parteien (Distributoren). Bei beiden Fällen kamen umfassende Aktionspläne zum Einsatz und es erfolgte eine unabhängige Prüfung seitens der Compliance-Abteilung und internen Revision. Es gab einen Fall von sexueller Belästigung, der die Entlassung des Mitarbeiters zur Folge hatte.
Erster EFPIA-Transparenz-Report veröffentlicht
2015 lag ein Schwerpunkt unserer Arbeit darauf, unsere Partner im Gesundheitswesen darüber zu informieren, welchen hohen Stellenwert die Transparenz-Initiative der EFPIA für uns hat. Außerdem ergriffen wir Maßnahmen, die die Datenqualität und den Datenschutz sicherstellen. Mitte 2016 veröffentlichten wir auf dieser Basis den ersten EFPIA Report für alle betroffenen Konzerngesellschaften auf einer zentralen Website.
Geschäftspartner zu Compliance geschult
2015 haben wir ein Compliance-Training für das Personal unserer Geschäftspartner eingeführt. Dieses Training ist für all jene verbindlich, die in ihrer Arbeit mit unserem Unternehmen oder mit unseren Produkten in Kontakt kommen. Es ist in acht Sprachen verfügbar und konzentriert sich auf folgende Themenbereiche: allgemeine Compliance, Korruptionsprävention und Wettbewerbsrecht. Im Jahr 2016 hatten 3.875 Beschäftigte unserer Partnerfirmen dieses Training durchlaufen, 2015 waren es 3.026 Beschäftigte.