Grundvoraussetzung für eine verantwortungsvolle Unternehmensführung ist die Einhaltung von Gesetzen – im Unternehmenskontext auch Compliance genannt. Alle unsere Aktivitäten müssen weltweit Gesetzen, Regulierungen und internationalen ethischen Standards entsprechen. Denn Compliance-Verstöße können nicht nur mögliche Strafverfahren nach sich ziehen, sondern auch unseren Ruf als Arbeitgeber und Geschäftspartner ernsthaft schädigen.
Unser Compliance-Ansatz
Compliance ist weltweit eines unserer Hauptanliegen. Als internationales Unternehmen, das auch in Entwicklungs- und Schwellenländern tätig ist, stellen wir außerordentlich strenge Anforderungen an ein wirksames Compliance-Management. Dabei bedeutet Compliance für uns mehr, als nur gesetzliche Bestimmungen einzuhalten: Wir haben den Anspruch, stets nach den Prinzipien zu handeln, die in unseren Unternehmenswerten festgelegt sind. Zudem sind wir überzeugt, dass profitables Wirtschaften mit höchsten ethischen Ansprüchen einhergehen sollte.
Wie wir Compliance gewährleisten
Unsere Konzernfunktion „Group Compliance“ ist für die Kernthemen Antikorruption, Kartellrecht, Anti-Geldwäsche, Betrugsbekämpfung, Geschäftspartnerprüfung, Datenschutz, Transparenzvorgaben sowie für die Einhaltung von Bestimmungen des Gesundheitswesens und unangekündigte Behördenbesuche zuständig. Für diese wichtigen Compliance-Themen gelten konzernweite Richtlinien, Verfahren und Prozesse. So gewährleisten wir, dass unsere geschäftlichen Aktivitäten im Einklang mit den geltenden Gesetzen, Vorschriften und internationalen ethischen Standards stehen. Andere Themen mit Compliance-Bezug, wie Pharmakovigilanz, Export- und Importkontrollen sowie Umwelt, Gesundheit, Sicherheit und Qualität, bearbeiten die zuständigen Funktionen – einschließlich der jeweiligen internen Vorschriften und Richtlinien.
Mit Unterstützung der Funktion „Group Compliance“ ist unser Group Compliance Officer für das Compliance-Programm verantwortlich. Es besteht aus folgenden Elementen:
- Effiziente, lösungsorientierte Systeme und Prozesse
- Nutzerorientierte Richtlinien
- Überwachungs- und Steuerungsmechanismen
- Untersuchungen und Fallmanagement
- Whistleblowing-Hotline (SpeakUp Line für anonyme und nicht anonyme Meldungen)
- Kontinuierliche Verbesserung unter Berücksichtigung der Geschäftsrisiken
- Zielgruppenorientierte Schulungen und Trainings
Unser Compliance-Programm aktualisieren wir regelmäßig, um neuen Anforderungen zu genügen. Diese ergeben sich beispielsweise, wenn Gesetze oder Branchenstandards aktualisiert werden oder wenn es Veränderungen innerhalb unseres Unternehmens gibt.
Unser Group Compliance Officer berichtet der Geschäftsleitung alle sechs Monate über den Status unserer Compliance-Aktivitäten, mögliche Risiken und schwerwiegende Verstöße. Die Geschäftsleitung wiederum informiert ihrerseits mindestens zweimal jährlich die Aufsichtsgremien über wesentliche Sachverhalte. Wir stellen im Zuge unserer Berichtstätigkeit jährlich einen umfassenden Compliance- und Datenschutzbericht für die Geschäftsleitung zusammen. In diesem informieren wir über den Status unseres Compliance-Programms, Aktualisierungen, Compliance- und Datenschutzfälle sowie Schulungszahlen. Zur Jahresmitte erscheint darüber hinaus ein Update, in dem wir über aktuelle Entwicklungen und den Status relevanter Projekte und Initiativen berichten.
Unserem Group Compliance Officer sind weltweit 77 Compliance Officer unterstellt. Diese sind den Geschäftsbereichsteams zugeordnet. Sie setzen die Maßnahmen unseres Compliance-Programms innerhalb ihrer jeweiligen Verantwortungsbereiche um. Unsere Einheit „Group Compliance Programs and Support“ unterstützt die Compliance Officer. Dieses zentrale Team ist dafür verantwortlich, unser Compliance-Programm in sämtlichen Geschäftsbereichen und Konzernfunktionen zu konzipieren und weiterzuentwickeln sowie notwendige Umsetzungen anzustoßen.
Unser konzernweites Team für mehr Transparenz – das „Transparency Operations Team“ – soll gewährleisten, dass wir geltende und künftige Transparenzvorschriften im Gesundheitswesen berücksichtigen und einhalten. Dazu gehören beispielsweise die Vorgaben des Europäischen Pharmaverbands (European Federation of Pharmaceutical Industries and Associations, EFPIA) und des US-amerikanischen Gesetzes über die Zusammenarbeit zwischen der Pharmaindustrie und Gesundheitsdienstleistern (United States Physician Payments Sunshine Act).
Wir haben unser Compliance-Programm erfolgreich weiter in unsere Unternehmensbereiche integriert. Beispielsweise entwickeln wir derzeit ein neues Konzept, indem wir die bestehenden Kontrollen in einem einzigen System bündeln: Dieses ermöglicht einen Überblick über potenzielle Compliance-Risiken für die gesamte Organisation. Außerdem arbeiten wir Compliance-Anforderungen der einzelnen Unternehmensbereiche in Mitarbeiterschulungen ein.
Designierte Ansprechpartner für Compliance-Fragen (Compliance Ambassadors) unterstützen die Compliance-Umsetzung vor Ort. Sie agieren unabhängig von unserer Compliance-Organisation. Die Compliance Ambassadors vertreten Compliance-Themen in den Regionen und unterstützen weltweit geschäftsbereichs- und funktionsübergreifende Compliance-Projekte. Auf diese Weise regen sie dazu an, mehr Eigenverantwortung für ethisch korrekten Umgang im geschäftlichen Alltag zu übernehmen.
Wir haben in folgenden Regionen Compliance Ambassadors.
- Europa: Deutschland, Österreich, Schweiz
- Afrika: Ägypten, Algerien, Angola, Botswana, Ghana, Kenia, Marokko, Mauritius, Mosambik, Namibia, Nigeria, Südafrika, Tansania, Tunesien, Uganda
- Naher Osten: Bahrain, Irak, Iran, Jemen, Jordanien, Katar, Kuwait, Libanon, Oman, Palästina, Saudi-Arabien, Syrien, Vereinigte Arabische Emirate
- Asien-Pazifik: China, Japan, Korea
- Lateinamerika: Argentinien, Chile
Klare Meldewege für Verstöße
Etwaige Meldungen über mögliche Compliance-Verstöße, die über unser Hinweisgebersystem „SpeakUp Line“ eingehen, prüft zunächst unsere Einheit „Compliance Investigations and Case Management“ und leitet angemessene Untersuchungsschritte ein. Risikobasiert werden exponierte Fälle dem „Compliance Case Committee“ vorgestellt. Dieses Komitee besteht aus Vertretern der Bereiche Compliance, Datenschutz, Interne Revision, Konzernsicherheit, Personal und Recht. Unter anderem bewertet und klassifiziert das Komitee ethische Fragestellungen, untersucht deren Hintergründe und ergreift geeignete Maßnahmen zu ihrer Lösung. Stellt es dabei Ursachen fest, die zu weiteren Compliance-Verstößen führen könnten, lässt sie diese kontinuierlich überwachen und entsprechende Maßnahmen zur Korrektur oder Prävention ergreifen. Eine Unterkommission empfiehlt gegebenenfalls notwendige Disziplinarmaßnahmen.
Unser Umgang mit Interessenkonflikten
Wir nehmen jeden potenziellen Interessenkonflikt ernst. Darum haben wir diesem Thema ein Kapitel unserer Antikorruptionsrichtlinie gewidmet. Ein Interessenkonflikt liegt vor, wenn das fachmännische Urteil eines Mitarbeiters im Widerspruch zu seinen persönlichen Interessen stehen könnte. Die Antikorruptionsrichtlinie regelt, dass Mitarbeiter solche Situationen unbedingt vermeiden müssen. Außerdem sollen sie ihrem Vorgesetzten etwaige Interessenkonflikte melden und solche Meldungen dokumentieren. Interessenkonflikte werden in der Regel direkt zwischen dem beteiligten Mitarbeiter und seinem Vorgesetzten geklärt. Sie können aber auch an übergeordnete HR- oder Arbeitsrechtsfunktionen weitergeleitet werden. Wir haben dafür einen Prozess eingerichtet, der auch die Geschäftsleitung einbindet. Er sieht vor, Aktionären und anderen relevanten Parteien regelmäßig Auskunft über mögliche Interessenkonflikte zu erteilen.
Darüber hinaus dokumentieren wir in unserem Geschäftsbericht unsere Prozesse zum angemessenen Umgang mit potenziellen Interessenkonflikten.
Eingliederung des Datenschutzes in den Bereich Group Compliance
Unsere Datenschutzeinheit ist organisatorisch in unsere Group-Compliance-Organisation integriert. Wie gesetzlich vorgeschrieben, agiert diese Abteilung unabhängig. Sie erstellt im Zuge unserer übergeordneten Compliance-Berichterstattung regelmäßige Datenschutz-Updates sowie einen regelmäßigen umfassenden Datenschutzbericht. Neben einem zentralen Konzerndatenschutzbeauftragten gibt es an verschiedenen Standorten weltweit lokale Datenschutzbeauftragte.
Wozu wir uns verpflichten: Richtlinien und Standards
Unser Compliance-Programm baut auf unseren Werten auf. Es integriert diese in unser Compliance-Rahmenwerk. Darin enthalten sind Richtlinien für das unternehmerische Handeln, die für alle Mitarbeiter des gesamten Konzerns bindend sind:
- Der Merck-Verhaltenskodex unterstützt unsere Mitarbeiter dabei, ethisch einwandfrei zu handeln. Im Berichtsjahr haben wir eine aktualisierte Fassung mit dem Titel „Was uns leitet“ eingeführt. Diese neue Version stellt einen engen Bezug zu den Werten unseres Unternehmens her. Darin enthalten sind auch neuere Themen wie Datenschutz, Lieferantenrisikomanagement und Bioethik. Der Kodex wurde allen Konzernangehörigen sowohl digital als auch gedruckt als Broschüre zur Verfügung gestellt. Er erläutert unsere Prinzipien für den Umgang mit Geschäftspartnern, Mitarbeitern sowie dem gesellschaftlichen Umfeld, in dem wir tätig sind. Der Kodex ist in 22 Sprachen verfügbar.
- Unsere Menschenrechtscharta ergänzt den Verhaltenskodex durch weltweit gültige Prinzipien der Menschenrechte sowie die grundlegenden Arbeitsnormen der Internationalen Arbeitsorganisation (ILO).
- Laut unserer Antikorruptionsrichtlinie müssen alle geschäftlichen Aktivitäten in Übereinstimmung mit rechtlich geltenden Antikorruptionsvorgaben stehen. Jegliche Form von Korruption – sei es „aktive“ oder „passive“ Korruption – ist strikt untersagt. Wir haben unsere Richtlinie optimiert und Bestimmungen zur Korruptionsprävention hinzugefügt beziehungsweise aktualisiert. Ein Beispiel sind Änderungen der Regelungen im Umgang mit Geschenken und Einladungen. Zusätzlich definierten wir lokale Grenzwerte für die Vergabe oder Annahme von Geschenken und Einladungen (insbesondere Kosten für Beförderung und Unterkunft) an Dritte oder von Dritten (beispielsweise Amtsträger oder Geschäftspartner).
- Kernprinzipien für den Umgang mit unseren Partnern im Gesundheitswesen sind in unserem „Pharma Code“ (für verschreibungspflichtige Medikamente) sowie in den zugrunde liegenden Richtlinien und zusätzlichen Leitfäden festgelegt.
- Unsere konzernweite Richtlinie für das Kartell- und Wettbewerbsrecht gibt vor, dass sämtliche Geschäftstätigkeiten im gesamten Konzern stets im Einklang mit geltenden Wettbewerbsvorgaben auszuüben sind. Wir erkennen die Bedeutung eines fairen Wettbewerbs an und erwarten dies auch von Vertragspartnern, die in unserem Auftrag handeln.
Über einen digitalen Bestätigungsprozess erhalten die betreffenden Manager, die Group-Compliance-Organisation und die Rechtsabteilung unsere konzernweiten Richtlinien. Die Empfänger bestätigen dabei nicht nur den Erhalt der Richtlinie, sondern auch deren Einhaltung und die entsprechende Umsetzung vor Ort. Diesen Bestätigungsprozess nutzten wir 2018 auch beim aktualisierten Verhaltenskodex. So machen wir alle unsere Manager und Mitarbeiter auf den überarbeiteten Verhaltenskodex aufmerksam.
Leitfaden für neue Geschäftsbereiche
Unsere Einheit „Medical Devices and Services“ fällt in den Geltungsbereich der bestehenden Biopharma-Compliance-Richtlinien. Für juristische und Compliance-bezogene Fragen bei Geschäftsbeziehungen mit wichtigen Stakeholdern gibt es einen detaillierten Leitfaden. Wir passen unsere Richtlinien dort, wo es notwendig ist, an externe Anforderungen an. Wir tragen der Tatsache Rechnung, dass wir in zunehmendem Maße mit Patienten und Patientenorganisationen in Kontakt stehen: Unsere Compliance-Richtlinie überarbeiteten wir dementsprechend. Weitere Informationen dazu, wie wir unseren Verpflichtungen gemäß unserem Verhaltenskodex und den Compliance-Vorschriften im Gesundheitswesen nachkommen, finden sich im Kapitel „Verantwortungsvolles Marketing“.
Anforderungen an unsere Geschäftspartner
Compliance-Management darf nicht an den eigenen Unternehmenstoren haltmachen, wenn es wirksam sein soll. Deshalb erwarten wir auch von unseren Geschäftspartnern weltweit, dass sie unsere Compliance-Grundsätze einhalten. Wir gehen Geschäftsbeziehungen nur mit Partnern ein, die sich zu Folgendem verpflichten: rechtskonform zu handeln, jegliche Form der Bestechung abzulehnen, Umwelt-, Gesundheits- und Sicherheitsrichtlinien zu befolgen und Diskriminierung nicht zu tolerieren. Außerdem verpflichten wir unsere Vertragspartner, sich sowohl zu international anerkannten Menschenrechts- und Arbeitsstandards als auch zu unseren Compliance-Standards zu bekennen. Bei bereits bestehenden Geschäftsbeziehungen überprüfen wir die Einhaltung unserer Standards durch unseren Risikomanagementprozess für Geschäftspartner – mindestens alle drei Jahre oder aber dann, wenn wir neue Risiken identifizieren.
Während es beim Lieferantenmanagement um das regelkonforme Handeln der Zulieferer geht, regelt der weltweite Risikomanagementprozess für Geschäftspartner (Business Partner Risk Management) den Umgang mit vertriebsnahen Geschäftspartnern wie Vetriebsagenten, Distributoren und Großhändlern. Unser Risikomanagementansatz für Geschäftspartner ist in unsere Antikorruptionsrichtlinie integriert.
Wir können Vereinbarungen zu sozialer Verantwortung, Umweltbewusstsein, Compliance und Integrität nicht mit jedem einzelnen unserer Kunden verhandeln. Daher haben wir einen weltweiten Ansatz entwickelt, der regelt, wie wir Anfragen beantworten, die sich auf die vertragliche Anerkennung von externen Verhaltenskodizes beziehen. Hierzu führten wir bereits 2017 den „Merck Corporate Responsibility Letter“ und eine Entsprechungsklausel ein.
Konzernweite Harmonisierung des Datenschutzes
Unsere Richtlinie zu Datenschutz und personenbezogenen Daten („Policy for Data Protection and Personal Data Privacy“) definiert die Standards, nach denen wir Daten verarbeiten, speichern, nutzen und übermitteln. So erreichen wir ein hohes Datenschutzniveau für die Daten unserer Mitarbeiter, Vertragspartner, Kunden und Lieferanten sowie auch für die Daten von Patienten und Teilnehmern an klinischen Studien. Unser konzernweites Datenschutzverständnis basiert auf der europäischen Gesetzgebung, die auch die Vorschriften der seit Mai 2018 geltenden EU-Datenschutzgrundverordnung (EU-DSGVO) beinhaltet. Gleichzeitig beachten wir aber auch die vor Ort geltenden Datenschutzvorschriften, da diese nicht immer von den europäischen Standards abgedeckt sind. Im Zweifelsfall gelten die nationalen gesetzlichen Bestimmungen.
Compliance-Audits
Unsere Konzernfunktion „Group Internal Auditing“ prüft im Rahmen betrieblicher Audits auch Compliance-Sachverhalte an unseren Standorten. So stellt sie fest, welche Compliance-Richtlinien, -Prozesse und -Strukturen gelten und wie wirkungsvoll diese sind. Zusätzlich ermittelt "Group Internal Auditing", ob es Verstöße gegen den Verhaltenskodex, die Antikorruptionsrichtlinie oder die Arbeitsplatzanforderungen gemäß unserer Menschenrechtscharta gibt.
Ziel unserer Auditplanung ist eine umfassende Risikoabsicherung durch eine bestmögliche Auditabdeckung unserer Prozesse. Der jährliche Auditplanungsprozess ist risikobasiert. Er bezieht Kennzahlen wie den Umsatz, die Mitarbeiterzahl, systematisches Feedback relevanter Stakeholder und den Korruptionswahrnehmungsindex (CPI) der Nichtregierungsorganisation Transparency International ein. Für den Fall, dass sich aus der Prüfung Empfehlungen für Verbesserungsmaßnahmen ergeben, verfolgt die Abteilung "Group Internal Auditing" diese Maßnahmen systematisch nach und kontrolliert ihre Umsetzung. 2018 wurden 54 Audits zu korruptionsbezogenen Risiken durchgeführt.
Schulungen zu Compliance-Themen
Wir bieten regelmäßige Schulungen in Form von Präsenzveranstaltungen und Online-Kursen an. Sie behandeln die Themen Verhaltenskodex, Antikorruption, Kartellrecht, Datenschutz sowie Compliance im Gesundheitswesen. Mitarbeiter werden je nach Risikostatus aufgefordert, an diesen Schulungen teilzunehmen. Teilweise nehmen außerdem Auftragnehmer und Zeitarbeitskräfte (zum Beispiel Leiharbeiter) teil. Wir aktualisieren den Schulungsplan regelmäßig und passen ihn an neue Entwicklungen an. Im Berichtsjahr überarbeiteten wir unser Schulungskonzept grundlegend. Dabei lag besonderes Augenmerk auf Formaten, Mediennutzung, Zielgruppen und Häufigkeit. Außerdem führten wir Auffrischungskurse ein, um die Wirksamkeit der Weiterbildungsmaßnahmen zu intensivieren. Wir haben außerdem viele Schulungsunterlagen überarbeitet. Damit wollten wir sicherstellen, dass Compliance-Themen so aufbereitet werden, dass unsere Mitarbeiter sie besser in ihren Arbeitsalltag einbeziehen können.
2018 startete unser geschäftsbereichsspezifischer E-Learning-Kurs für unseren Verhaltenskodex. Mit dem Kurs wollen wir unsere Mitarbeiter auf die Konsequenzen von Compliance-Verstößen aufmerksam machen. Bisher haben 10.421 Mitarbeiter an dem Kurs teilgenommen. Wir teilen diesen Kurs allen neuen Mitarbeitern ebenfalls zu.
Unsere Compliance-Beauftragten vor Ort führen zusätzlich Präsenzschulungen zum Verhaltenskodex durch. Dabei setzen sie Trainingsunterlagen ein, die sie flexibel an geschäftsbereichs- und länderspezifische Vorschriften und Situationen anpassen können. Einige Schulungen zu Spezialthemen entwickeln wir gezielt für bestimmte Funktionen. Wenn Mitarbeiter des Healthcare-Geschäftsbereichs an einer pharmaspezifischen Schulung teilnehmen, werden diese beispielsweise auch zu relevanten Compliance-Themen unterrichtet.
Wir bilden unsere Mitarbeiter kontinuierlich zu neuen Compliance-Anforderungen, -Richtlinien und -Projekten fort. So bieten wir beispielsweise einen Online-Kurs zu unserer Antikorruptionsrichtlinie in 15 verschiedenen Sprachen an. Im Jahr 2018 nahmen insgesamt 11.404 Mitarbeiter und extern Beschäftigte an einem Antikorruptionstraining teil.
Vor dem Hintergrund der europäischen Datenschutz-Grundverordnung (EU-DSGVO) überarbeiteten wir im Berichtsjahr unsere regelmäßige E-Learning-Schulung zum Datenschutz. Die Einführung in 17 verschiedenen Sprachen läuft.
„Compliance. Because We Care“
Unsere interne Initiative „Compliance. Because We Care“ zielt darauf ab, das Bewusstsein für Compliance im gesamten Konzern zu erhöhen. Die Kommunikationskampagne spricht unsere Mitarbeiter emotional an und behandelt dabei die wichtigsten Compliance-Aspekte. So wollen wir unsere Mitarbeiter besser informieren und noch stärker für diese Themen sensibilisieren. Die Initiative startete 2017 und wird schrittweise im gesamten Konzern umgesetzt. Dieser Kommunikationsstil ist auch Bestandteil des Verhaltenskodex. 2018 entwickelten wir unsere Unterlagen für Compliance-Schulungen in Anlehnung an diese Initiative weiter.
Zusätzlich zu Webinaren, Skype-Besprechungen und Veranstaltungen vor Ort informieren wir unsere Mitarbeiter über verschiedene andere Formate zu Compliance-Themen. Dies geschieht beispielsweise per Intranet oder Newsletter, durch Poster oder mit unserem Mitarbeitermagazin „pro“. 2018 haben wir zudem Videos zu Compliance-Themen mit allen Vorstandsmitgliedern veröffentlicht. Die Videos unterstreichen die Vorbildfunktion der Geschäftsleitungsmitglieder. 2018 verbreiteten wir sie über unterschiedliche Kanäle – beispielsweise über unsere „Compliance Learning Management Plattform“.
„SpeakUp Line“ für potenzielle Compliance-Verstöße
Alle Konzernangehörigen sind aufgerufen, potenzielle Compliance-Verstöße an ihre Vorgesetzten, der Rechts- oder Personalabteilung oder andere relevante Abteilungen zu melden. Sie können außerdem weltweit kostenlos, anonym und in ihrer eigenen Sprache unser Hinweisgebersystem „SpeakUp Line“ nutzen, um per Telefon oder über das Internet Verstöße anzuzeigen. Auf Basis der Empfehlungen des Untersuchungsteams von Compliance oder des „Compliance Case Committee“ leiten die verantwortlichen Vorgesetzten gegebenenfalls auch disziplinarische Maßnahmen gegenüber denjenigen Beschäftigten ein, die einen Compliance-Verstoß begangen haben. Diese Maßnahmen können je nach Schwere des Verstoßes von einer einfachen Verwarnung bis hin zur Kündigung reichen. Geschäftspartner, die den Risikomanagementprozess durchlaufen haben, können die „SpeakUp Line“ ebenfalls nutzen, um Verstöße gegen interne oder externe Vorschriften zu melden.
Sowohl die Zahl der Meldungen, die einen möglichen Compliance-Verstoß vermuten ließen, als auch die Zahl tatsächlicher Compliance-Fälle ist im vergangenen Jahr angestiegen. 2018 gingen 72 Compliance-relevante Meldungen über die „SpeakUp Line“ und andere Informationskanäle ein, die eine entsprechende Untersuchung des Sachverhalts auslösten. In 19 Fällen bestätigte sich 2018, dass gegen die Prinzipien des Verhaltenskodexes verstoßen worden war.
Risikoanalyse und Management von Geschäftspartnern
Die Auswahl vertriebsnaher Geschäftspartner folgt einem risikobasierten Ansatz: Je größer das Risiko für ein bestimmtes Land, eine Region oder eine Dienstleistungsart eingeschätzt wird, desto umfangreicher und sorgfältiger ist die Prüfung, die wir vor der Aufnahme einer Geschäftsbeziehung durchführen. Für die Risikobewertung nutzen wir den Korruptionswahrnehmungsindex (CPI) von Transparency International und bewerten potenzielle Partner anhand weiterer Parameter wie der Art der vorgesehenen Dienstleistung und dem Umsatz. Wir nutzen auch andere Hintergrundinformationen aus verschiedenen Datenbanken sowie Selbstauskünfte des Geschäftspartners, beispielsweise zu eigenen Compliance-Programmen.
Falls wir auf Compliance-Probleme stoßen, prüfen wir, ob wir einen potenziellen Geschäftspartner ablehnen, eine bestehende Geschäftsbeziehung beenden oder Bedingungen festlegen, um die festgestellten Risiken zu reduzieren. Häufig sind unsere Partner jedoch bereit, ihre Strukturen und Prozesse so zu ändern, dass sie unseren strengen Compliance-Anforderungen entsprechen. Seit Einführung des Prozesses im Jahr 2013 durchliefen mehr als 3.500 Geschäftspartner diese Prüfung. Im Jahr 2018 haben wir mithilfe des Prozesses 335 Geschäftspartner beurteilt.
Gewährleistung von Datenschutz und Datensicherheit
Wir betreiben ein Datenschutz-Managementsystem als Teil unserer konzernweiten Group-Compliance-Funktion. Dieses System haben wir innerhalb des gesamten Konzerns vereinheitlicht. Zusätzlich gilt es auch, unsere Informationssysteme und deren Inhalte sowie unsere Kommunikationskanäle gegen kriminelle Aktivitäten (zum Beispiel eCrime und Cyber-Angriffe) zu schützen, beispielsweise gegen unberechtigten Zugang, Informationsabfluss oder Missbrauch von Daten oder Systemen. Unsere Einheiten „Group Security“ und „IT Security“ führen organisatorische, prozessorientierte und technische Maßnahmen zum Schutz der Informationssicherheit ein, die auf anerkannten internationalen Standards basieren. Eine umfassende Harmonisierung elektronischer und physischer Sicherheitsmaßnahmen (beispielsweise bei der Zugangskontrolle) stärkt unsere Position beim Umgang mit sensiblen Daten, etwa mit Betriebsgeheimnissen. Neben der aktiven Sicherheitsüberwachung prüft die Einheit „Group Internal Auditing“ außerdem, ob wir unsere Datenschutzrichtlinie und Sicherheitsprogramme umsetzen und einhalten.
Unser Datenschutz-Managementsystem wendet das PDCA-Prinzip (Plan, Do, Check, Act – Planen, Umsetzen, Überprüfen, Handeln) an. Auf diese Weise wollen wir sicherstellen, dass Datenschutzrichtlinien und Datenschutztools („Plan“), Datenschutzschulungen („Do“), Inspektionen und Bewertungen („Check“) sowie Managementprozesse für Zwischenfälle und Probleme („Act“) vorhanden sind.
Zur Unterstützung der Datenschutzbeauftragten an unseren Standorten führten wir standardisierte Datenschutz-Beratungsdienste ein, die von verantwortlichen Stellen und Datenverarbeitern bei Bedarf angefordert werden. Wir haben außerdem ein zentrales IT-Tool eingerichtet. Mit diesem Tool schaffen wir eine gemeinsame Quelle für Datenschutzprozesse. Diese umfassen beispielsweise Fragen zum Datenschutz, die Erfassung von Datenverarbeitungstätigkeiten oder Meldungen möglicher Datenschutzverstöße. Im Berichtsjahr wurden keine Beschwerden oder Vorfälle geahndet, die sich auf Verletzungen der Privatsphäre von Kunden oder Diebstahl oder Verlust von Kundendaten beziehen. Ein einziger Fall einer geringfügigen Verletzung des Schutzes personenbezogener Daten wurde der Aufsichtsbehörde gemeldet; dieser wurde nicht geahndet.
EFPIA und andere Transparenz-Initiativen
Mitglieder der Transparenz-Initiative der „European Federation of Pharmaceutical Industries and Associations“ (EFPIA) müssen alle Zuwendungen an Angehörige der medizinischen Fachkreise und Organisationen des Gesundheitswesens veröffentlichen. Zu nennen sind dabei Namen und Adressen der einzelnen Empfänger. Zusätzlich zu dieser Initiative haben einige Länder Gesetze verabschiedet, um die Transparenz in der Pharmaindustrie weiter zu erhöhen. Wir befolgen diese Vorschriften sowie zusätzliche Standards für Interaktionen im Gesundheitswesen und berücksichtigen sie bei unseren Transparenzangaben.
Aktiv in der Allianz für Integrität
Wir sind Mitglied des Steuerungskreises der Allianz für Integrität. Die Initiative wurde von der Deutschen Gesellschaft für Internationale Zusammenarbeit (GIZ), dem Deutschen Global Compact Netzwerk (DGCN) und dem Bundesverband der Deutschen Industrie (BDI) ins Leben gerufen. Sie setzt sich für eine korruptionsfreie Geschäftstätigkeit in Entwicklungs- und Schwellenländern ein. Dabei konzentriert sich die Initiative auf Aktivitäten in Argentinien, Brasilien, Ghana und Indien. Der Steuerungskreis steht an der Spitze des Entscheidungsprozesses und entwickelt Maßnahmen für diese Länder. Die Umsetzung auf Landesebene begleiten sogenannte Advisory Groups. 2018 wurde ein Vertreter unseres Unternehmens zum Vorsitzenden der Advisory Group in Ghana gewählt. Auch unsere Compliance-Organisationen vor Ort arbeiten in diesen Gruppen mit und bieten Schulungen für kleinere und mittlere Unternehmen an. Außerdem setzten wir uns auf Konferenzen für Korruptionsbekämpfung ein, beispielsweise auf der Globalen Konferenz der Allianz für Integrität, die einmal jährlich stattfindet. Darüber hinaus unterstützen wir die Allianz für Integrität mit verschiedenen kontinuierlichen Maßnahmen: Wir veranstalten Business-to-Business-Workshops, vermitteln Schulungen, zeigen Best-Practice-Beispiele und informieren über die Entwicklung sowie Umsetzung wirkungsvoller Systeme für die Korruptionsprävention.
Stakeholder-Dialoge
Im Berichtsjahr führten wir Stakeholder-Dialoge hauptsächlich im Rahmen unserer Verbandsmitgliedschaften. Unter anderem sind wir Mitglied des Verbands der Chemischen Industrie e. V. (VCI), des Deutschen Instituts für Compliance e. V. (DICO), des Europäischen Pharmaverbands (European Federation of Pharmaceutical Industries and Associations, EFPIA), des Vereins Freiwillige Selbstkontrolle für die Arzneimittelindustrie e. V. (FSA), des Internationalen Verbands der pharmazeutischen Industrie (International Federation of Pharmaceutical Manufacturers and Associations, IFPMA), der Allianz für Integrität, des Bundesverbands Materialwirtschaft, Einkauf und Logistik e. V. (BME) und der Internationalen Vereinigung der Datenschutzbeauftragten (International Association of Privacy Professionals, IAPP).