Grundvoraussetzung für eine verantwortungsvolle Unternehmensführung ist die Einhaltung von Gesetzen – auch Compliance genannt. Alle unsere Aktivitäten müssen weltweit Gesetzen, Regulierungen und internationalen ethischen Standards entsprechen. Denn Compliance-Verstöße ziehen nicht nur mögliche Strafverfahren nach sich, sondern können auch unseren Ruf als Arbeitgeber und Geschäftspartner ernsthaft schädigen.
Unser Compliance-Ansatz
Compliance ist weltweit eines unserer Hauptanliegen. Als internationales Unternehmen, das auch in Ländern mit geringem oder mittlerem Einkommen tätig ist, stellen wir sehr strenge Anforderungen an ein wirksames Compliance-Management. Dabei bedeutet Compliance für uns mehr, als nur gesetzliche Bestimmungen einzuhalten: Wir haben den Anspruch, stets nach den Prinzipien zu handeln, die in unseren Unternehmenswerten festgelegt sind. Zudem sind wir überzeugt, dass profitables Wirtschaften mit höchsten ethischen Ansprüchen einhergehen sollte.
Wie wir Compliance gewährleisten
Unsere Konzernfunktion „Group Compliance“ ist zuständig für die Kernthemen Antikorruption, Kartellrecht, Anti-Geldwäsche, Geschäftspartnerprüfung, Datenschutz und Transparenzvorgaben sowie für die Einhaltung von Bestimmungen des Gesundheitswesens und unangekündigte Behördenbesuche. Für diese wichtigen Compliance-Themen gelten konzernweite Richtlinien, Verfahren und Prozesse. So gewährleisten wir, dass unsere geschäftlichen Aktivitäten in Einklang mit den geltenden Gesetzen, Vorschriften und internationalen ethischen Standards stehen. Andere Themen mit Compliance-Bezug, wie Pharmakovigilanz, Export- und Importkontrollen sowie Umwelt, Gesundheit, Sicherheit und Qualität verantworten die zuständigen Funktionen – einschließlich der jeweiligen internen Vorschriften und Richtlinien.
Für das Compliance-Programm ist unser Group Compliance Officer verantwortlich, unterstützt von der Funktion „Group Compliance“. Das Programm besteht aus folgenden Elementen:
- Risikobewertung
- Richtlinien und Verfahren
- Compliance-Komitees/-Foren
- Schulungen und Bewusstseinsbildung
- Programme und Tools
- Monitoring und Berichterstattung
- Fallmanagement
- Kontinuierliche Verbesserung
- Whistleblowing-Hotline (unsere „SpeakUp Line“ für anonyme und nicht anonyme Meldungen von möglichem Verstoß gegen Regeln und Richtlinien)
Unser Compliance-Programm aktualisieren wir regelmäßig, um neuen Anforderungen zu genügen. Diese ergeben sich beispielsweise, wenn Gesetze oder Branchenstandards aktualisiert werden oder wenn es Veränderungen innerhalb unseres Unternehmens gibt.
Unser Group Compliance Officer berichtet der Geschäftsleitung alle sechs Monate über den Status unserer Compliance-Aktivitäten, mögliche Risiken und schwerwiegende Verstöße. Die Geschäftsleitung wiederum informiert ihrerseits mindestens zweimal jährlich die Aufsichtsgremien über wesentliche Sachverhalte. Wir stellen im Zuge unserer Berichtstätigkeit jährlich einen umfassenden Compliance- und Datenschutzbericht für die Geschäftsleitung zusammen. Darin informieren wir über den Status unseres Compliance-Programms, Aktualisierungen, Compliance- und Datenschutzfälle sowie Schulungszahlen. Zur Jahresmitte erscheint darüber hinaus ein Zwischenbericht, in dem wir über aktuelle Entwicklungen und den Status relevanter Projekte und Initiativen berichten.
Unserem Group Compliance Officer sind weltweit rund 85 Compliance Officer unterstellt. Sie setzen unser Compliance-Programm innerhalb ihrer jeweiligen Verantwortungsbereiche um. Unsere Einheit „Group Compliance Programs and Support“ unterstützt die Compliance Officer. Sie treibt in sämtlichen Unternehmensbereichen und Konzernfunktionen die Gestaltung und Weiterentwicklung unseres Compliance-Programms voran und stößt notwendige Maßnahmen an.
Unser konzernweites Team „Transparency Operations“ soll gewährleisten, dass wir geltende und künftige Transparenzvorschriften im Gesundheitswesen berücksichtigen und einhalten. Dazu gehören beispielsweise die Vorgaben des Europäischen Pharmaverbands (European Federation of Pharmaceutical Industries and Associations, EFPIA) und des US-amerikanischen Gesetzes über die Zusammenarbeit zwischen der Pharmaindustrie und Gesundheitsdienstleistern (United States Physician Payments Sunshine Act).
In allen Regionen gibt es Compliance-Ambassadors-Programme, die den verschiedenen Bedürfnissen und Kulturen in unserem Unternehmen Rechnung tragen. Das oberste Ziel dieser Programme ist es, die Compliance-Kultur in allen lokalen Organisationen zu verbreiten. Die Compliance Ambassadors sind bei Compliance-Themen der erste Ansprechpartner für ihre Teams. Sie sind keine Compliance-Vertreter und ersetzen nicht die Arbeit der Compliance Officer. Stattdessen sollen die Compliance Ambassadors täglich und mit Nachdruck das Verhalten ihrer Kollegen beeinflussen. Dazu setzen sie verschiedene Aktivitäten mit Compliance-Bezug um, die speziell für ihre Teams ausgelegt sind. Solche Programme regen dazu an, im geschäftlichen Alltag in unseren Unternehmensbereichen und Konzernfunktionen mehr Eigenverantwortung für ethisch korrekten Umgang zu übernehmen. Unsere weltweiten Compliance Officer fördern und unterstützen die Entwicklung dieser Programme.
Klare Meldewege für Verstöße
Meldungen über mögliche Compliance-Verstöße, die über unser Meldesystem „SpeakUp Line“ eingehen, prüft zunächst unsere Einheit „Compliance Investigations and Case Management“. Sie leitet angemessene Untersuchungsschritte ein. Je nach Risiko stellt sie aufgedeckte Fälle dem „Compliance Case Committee“ vor. Dieses Komitee besteht aus Vertretern der Bereiche Compliance, Datenschutz, Interne Revision, Konzernsicherheit, Personal und Recht. Unter anderem bewertet und klassifiziert das Komitee ethische Fragestellungen, untersucht deren Hintergründe und ergreift geeignete Maßnahmen zu ihrer Lösung. Stellt es dabei tieferliegende Ursachen fest, die zu weiteren Compliance-Verstößen führen könnten, lässt sie diese kontinuierlich überwachen und entsprechende Maßnahmen zur Korrektur oder Prävention ergreifen. Eine Unterkommission empfiehlt gegebenenfalls notwendige Disziplinarmaßnahmen.
Unser Umgang mit Interessenkonflikten
Wir nehmen jeden möglichen Interessenkonflikt ernst. Ein solcher liegt vor, wenn das fachliche Urteil eines Mitarbeiters im Widerspruch zu seinen persönlichen Interessen stehen könnte. Unsere Mitarbeiter müssen solche Situationen unbedingt vermeiden. Außerdem sollen sie ihrem Vorgesetzten etwaige Interessenkonflikte melden und solche Meldungen dokumentieren. Interessenkonflikte werden in der Regel direkt zwischen dem beteiligten Mitarbeiter und seinem Vorgesetzten geklärt. Sie können aber auch an HR oder andere einschlägige Funktionen weitergeleitet werden. Wir nutzen einen Prozess, der auch die Geschäftsleitung einbindet. Er sieht vor, Aktionären und anderen relevanten Stakeholdern regelmäßig Auskunft über mögliche Interessenkonflikte zu erteilen.
Darüber hinaus dokumentieren wir in unserem Geschäftsbericht unsere Prozesse zum angemessenen Umgang mit potenziellen Interessenkonflikten.
Eingliederung der Datenschutzeinheit in den Bereich Group Compliance
Unsere Datenschutzeinheit ist organisatorisch in unsere Group-Compliance-Organisation integriert. Wie gesetzlich vorgeschrieben, agiert diese Abteilung unabhängig. Sie erstellt im Zuge unserer übergeordneten Compliance-Berichterstattung regelmäßige Datenschutz-Updates sowie einen regelmäßigen umfassenden Datenschutzbericht. Neben einem zentralen Konzerndatenschutzbeauftragten gibt es an verschiedenen Standorten weltweit lokale Datenschutzbeauftragte.
Integration von Versum Materials und Intermolecular
Sowohl Versum Materials als auch Intermolecular verfügen über stabile Compliance-Programme. Unser eigenes Compliance-Programm inklusive der entsprechenden Prozesse führen wir bei diesen Firmen schrittweise bis Dezember 2020 ein.
Wozu wir uns verpflichten: Richtlinien und Standards
Unser Compliance-Programm baut auf unseren Werten auf. Es integriert diese in unser Compliance-Rahmenwerk. Darin enthalten sind Richtlinien für das unternehmerische Handeln, die für alle Mitarbeiter des gesamten Konzerns bindend sind:
- Der Merck-Verhaltenskodex unterstützt unsere Mitarbeiter dabei, ethisch einwandfrei zu handeln – gesetzeskonform und im Einklang mit unseren Werten. Der Kodex steht allen Konzernangehörigen sowohl digital als auch gedruckt in 22 Sprachen zur Verfügung.
- Unsere Menschenrechtscharta ergänzt den Verhaltenskodex durch weltweit anerkannte Prinzipien der Menschenrechte.
- Laut unserer Antikorruptionsrichtlinie (Anti-Corruption Policy) müssen alle geschäftlichen Aktivitäten in Übereinstimmung mit rechtlich geltenden Antikorruptionsvorgaben stehen. Jegliche Form von Korruption – sei es „aktive“ oder „passive“ Korruption – ist strikt untersagt.
- Kernprinzipien für den Umgang mit unseren Partnern im Gesundheitswesen sind in unserem „Pharma Code“ (für verschreibungspflichtige Medikamente) sowie in den zugrunde liegenden Richtlinien und zusätzlichen Leitfäden festgelegt.
- Unsere konzernweite Richtlinie für das Kartell- und Wettbewerbsrecht (Antitrust and Competition Law Policy) gibt vor, dass sämtliche Geschäftstätigkeiten im gesamten Konzern stets in Einklang mit geltenden Wettbewerbsvorgaben auszuüben sind. Wir erkennen die Bedeutung eines fairen Wettbewerbs an und erwarten dies auch von Vertragspartnern, die in unserem Auftrag handeln.
- Unsere Richtlinie über Compliance-Berichterstattung und die Untersuchung von Vorfällen (Compliance Reporting and Investigation Policy) regelt die wesentlichen Schritte interner Compliance-Untersuchungen. Die Richtlinie soll eine angemessene, rechtzeitige und umfassende Antwort auf Compliance-bezogene Berichte über mutmaßliches Fehlverhalten im Zusammenhang mit internen oder externen Richtlinien und Vorschriften gewährleisten.
- Unsere Konzernrichtlinie zur Geldwäscheprävention (Money Laundering Prevention Policy) definiert und beschreibt konzernweite Prozesse und Sicherheitsvorkehrungen. Sie sollen unser Unternehmen davor schützen, von Dritten zu Geldwäschezwecken missbraucht zu werden.
Über einen digitalen Bestätigungsprozess erhalten die betreffenden Führungskräfte und Mitarbeiter – einschließlich der Kollegen der Group-Compliance-Organisation und der Rechtsabteilung – unsere konzernweiten Richtlinien. Die Empfänger bestätigen den Erhalt der Richtlinien und verpflichten sich zu deren Einhaltung und der entsprechenden Umsetzung vor Ort.
Regeln für die Bereitstellung von medizinischen Produkten
Unser Unternehmen stellt medizinischen Fachkräften gelegentlich Artikel mit medizinischem Nutzen oder Informations- und Lehrmaterial zur Verfügung. Wir verfolgen damit ausschließlich berechtigte und rechtmäßige Zwecke – gemäß unserem Verhaltenskodex und den geltenden Richtlinien, Gesetzen und Kodizes. Es gilt unsere Richtlinie über die Bereitstellung von medizinischen Artikeln (Healthcare Items Policy), die wir 2019 aktualisierten. Der Geltungsbereich der Richtlinie umfasst nun auch EMD Serono, Allergopharma und die Merck Foundation.
Anforderungen an unsere Geschäftspartner
Compliance-Management darf nicht an den eigenen Unternehmenstoren haltmachen, wenn es wirksam sein soll. Während es beim Lieferantenmanagement um das regelkonforme Handeln der Zulieferer geht, regelt der weltweite Risikomanagementprozess für Geschäftspartner (Business Partner Risk Management) den Umgang mit vertriebsnahen Geschäftspartnern wie Vertriebsagenten, Distributoren, Händlern und Großhändlern. Wir erwarten von allen unseren Geschäftspartnern weltweit, dass sie unsere Compliance-Grundsätze einhalten. Wir gehen Geschäftsbeziehungen nur mit Partnern ein, die sich dazu verpflichten, rechtskonform zu handeln, jegliche Form der Bestechung abzulehnen und Umwelt-, Gesundheits- und Sicherheitsrichtlinien zu befolgen. Außerdem verpflichten wir unsere Vertragspartner, sich sowohl zu international anerkannten Menschenrechts- und Arbeitsstandards als auch zu unseren Compliance-Standards zu bekennen. Bei bereits bestehenden Geschäftsbeziehungen mit einem bestimmten Risikograd überprüfen wir die Einhaltung unserer Standards durch unseren Risikomanagementprozess für Geschäftspartner – mindestens alle drei Jahre oder aber dann, wenn wir neue Risiken identifizieren.
Anforderungen durch Geschäftspartner
Anfragen zur Anerkennung von Verhaltenskodizes unserer Geschäftspartner bearbeiten wir nach einem weltweit einheitlichen Ansatz. Das entsprechende Rahmenwerk erläutert unser interner „Merck Corporate Responsibility Letter“, den wir 2019 überarbeitet und aktualisiert haben.
Konzernweite Harmonisierung des Datenschutzes
Unsere Richtlinie zu Datenschutz und personenbezogenen Daten (Policy for Data Protection and Personal Data Privacy) definiert die Standards, nach denen wir Daten verarbeiten, speichern, nutzen und übermitteln. So erreichen wir ein hohes Datenschutzniveau für die Daten unserer Mitarbeiter, Vertragspartner, Kunden und Lieferanten sowie auch für die Daten von Patienten und Teilnehmern an klinischen Studien. Unser konzernweites Datenschutzverständnis basiert auf der europäischen Gesetzgebung, die auch die Vorschriften der EU-Datenschutz-Grundverordnung (EU-DSGVO) beinhaltet. Gleichzeitig beachten wir aber auch die vor Ort geltenden Datenschutzvorschriften, da diese nicht immer von den europäischen Standards abgedeckt sind.
Compliance-Audits
Unsere Konzernfunktion „Group Internal Auditing“ prüft bei betrieblichen Audits regelmäßig relevante Compliance-Sachverhalte an unseren Standorten. So stellt sie fest, wie wirkungsvoll die geltenden Compliance-Richtlinien, -Prozesse und -Strukturen sind. Zusätzlich ermittelt „Group Internal Auditing“, ob es Verstöße gegen unseren Verhaltenskodex oder die Antikorruptionsrichtlinie gibt, und überprüft die Arbeitsplatzanforderungen gemäß unserer Menschenrechtscharta.
Ziel unserer Auditplanung ist eine umfassende Risikoabsicherung durch eine bestmögliche Auditabdeckung unserer Prozesse. Der jährliche Auditplanungsprozess ist risikobasiert. Er bezieht Kennzahlen wie den Umsatz, die Mitarbeiterzahl, systematisches Feedback relevanter Stakeholder und den Korruptionswahrnehmungsindex (CPI) der Nichtregierungsorganisation Transparency International ein. Für den Fall, dass sich aus der Prüfung Empfehlungen für Verbesserungsmaßnahmen ergeben, verfolgt die Abteilung „Group Internal Auditing“ diese Maßnahmen systematisch nach und kontrolliert ihre Umsetzung. 2019 führten wir 50 Audits zu korruptionsbezogenen Risiken durch.
Ab 2020 ist Versum Materials Teil des jährlichen Auditplans von „Group Internal Auditing“. Im Januar führten wir ein Post-Day-1-Audit durch. Weitere Audits, etwa von Versum Materials Korea oder der Einheit „Delivery Systems and Services“, sind ebenfalls Bestandteil des internen Auditplans 2020, der von der Geschäftsleitung unseres Unternehmens genehmigt wurde.
Schulungen zu Compliance-Themen
Wir bieten regelmäßige Compliance-Schulungen als Präsenzveranstaltungen und Online-Kurse an. Sie behandeln die Themen Verhaltenskodex, Antikorruption, Kartellrecht, Datenschutz sowie Compliance im Gesundheitswesen. Je nach Risikostatus fordern wir Mitarbeiter auf, an diesen Schulungen teilzunehmen. An manchen Schulungen nehmen außerdem Auftragnehmer und Zeitarbeitskräfte (beispielsweise Leiharbeiter) teil.
Im Juni 2019 schlossen wir die umfassende weltweite Einführung unseres unternehmensbereichsspezifischen E-Learning-Programms zum Verhaltenskodex ab. 2018 hatten wir das Programm bereits auf Englisch und Deutsch bereitgestellt. Jetzt ist es in zwanzig weiteren Sprachen verfügbar. Die Schulung vermittelt praktische Informationen zu ethisch einwandfreiem Verhalten am Arbeitsplatz. Damit ergänzt sie unsere Broschüre zum Verhaltenskodex, die den Titel „Was uns leitet“ trägt. Im Jahr 2019 schulten wir 50.461 Mitarbeiter und Auftragnehmer im Rahmen des Programms. Diese Schulung führen wir regelmäßig auch für alle neuen Mitarbeiter und für Auftragnehmer durch.
Wir aktualisieren den Schulungsplan fortlaufend und passen ihn an neue Entwicklungen an. So bilden wir unsere Mitarbeiter kontinuierlich zu neuen Compliance-Anforderungen, -Richtlinien und -Projekten fort. Auch bieten wir beispielsweise einen Online-Kurs zu unserer Antikorruptionsrichtlinie in 15 verschiedenen Sprachen an. Im Jahr 2019 nahmen insgesamt 35.425 Mitarbeiter und extern Beschäftigte daran teil. Zurzeit aktualisieren wir die Inhalte für den Schulungszyklus 2020.
Vor dem Hintergrund der europäischen Datenschutz-Grundverordnung (EU-DSGVO) überarbeiteten wir unsere regelmäßige E-Learning-Schulung zum Datenschutz. Ende 2018 wurde diese Schulung in 17 Sprachen eingeführt. Insgesamt 47.650 Mitarbeiter und Auftragnehmer nahmen 2019 an dieser Schulung teil. Darüber hinaus bieten die Compliance Officer verpflichtende lokale und unternehmensbereichsspezifische Online-Schulungen an und unterstützen so die Umsetzung unseres konzernweiten Schulungsplans.
„SpeakUp Line“ für mögliche Compliance-Verstöße
Wir rufen alle Konzernangehörigen dazu auf, mögliche Compliance-Verstöße zu melden – ihrem Vorgesetzten, der Rechts- oder Personalabteilung oder anderen relevanten Abteilungen. Sie können außerdem weltweit kostenlos, anonym und in ihrer eigenen Sprache unser Meldesystem „SpeakUp Line“ nutzen, um per Telefon oder über das Internet Verstöße anzuzeigen. Auf Basis der Empfehlungen des Teams „Compliance Investigation“ oder des „Compliance Case Committee“ können gegebenenfalls auch disziplinarische Maßnahmen gegenüber denjenigen Beschäftigten eingeleitet werden, die einen Compliance-Verstoß begangen haben. Diese Maßnahmen können je nach Schwere des Verstoßes von einer einfachen Verwarnung bis hin zur Kündigung reichen. Seit Mai 2019 können auch Externe unsere „SpeakUp Line“ nutzen. Der Abschnitt „Compliance und Ethik“ auf unserer Unternehmenswebseite enthält die relevanten Informationen. Dort stellen wir wichtige Informationen zu Compliance-Themen vor. Dazu gehören unsere Werte und unser Verhaltenskodex sowie Transparenzangaben und Datenschutz.
Wir wollen unsere Mitarbeiter auf die „SpeakUp Line“ regelmäßig aufmerksam machen. Deshalb starteten wir im Mai 2019 auf digitalen Kanälen und mit internen Printmedien eine konzernweite Kommunikationskampagne.
Sowohl die Zahl der Meldungen, die einen möglichen Compliance-Verstoß vermuten ließen, als auch die Zahl tatsächlicher Compliance-Fälle blieb im Vergleich zum vergangenen Jahr stabil. 2019 erhielten wir 75 Compliance-relevante Meldungen über die „SpeakUp Line“ und andere Informationskanäle, die eine entsprechende Untersuchung des Sachverhalts auslösten. In 30 Fällen bestätigte sich, dass gegen die Prinzipien des Verhaltenskodex beziehungsweise andere interne oder externe Richtlinien verstoßen worden war.
Risikoanalyse: Compliance Risk Reporting und Self-Monitoring
2019 führte das Team „Compliance Programs and Support“ einen überarbeiteten Prozess für die Steuerung von Compliance-Risiken ein. Wir passten den Risikobewertungsprozess an und ergänzten ihn um eine neue Komponente der Eigenkontrolle (Self-Monitoring). Der Risikomanagementprozess für Compliance-Themen besteht nun aus zwei wesentlichen Elementen: Compliance Risk Reporting und Self-Monitoring.
Compliance Risk Reporting:
Mit dem Prozess „Compliance Risk Reporting“ bewertet der Compliance Officer der jeweiligen Gesellschaft oder Abteilung die identifizierten Compliance-Risiken für den Unternehmensbereich. Bei der Risikobewertung geht es darum, finanzielle Folgen zu ermitteln und zu beurteilen, mit welcher Wahrscheinlichkeit ein Risiko eintritt. Bei der Bewertung des Bruttorisikos und des Nettorisikos wenden die Compliance Officer Best Practices der Risikobewertung an.
Self-Monitoring:
Mit der neu eingeführten Eigenkontrolle (Self-Monitoring) können wir die Wirksamkeit unseres Compliance-Programms in einem Unternehmensbereich überprüfen. Der jeweilige Managing Director einer Gesellschaft beziehungsweise der Business Head einer Abteilung muss dabei mithilfe einer Zustimmungsskala spezifische risikomindernde Aussagen beurteilen.
Die erhobenen Daten analysieren wir nach Abschluss des Prozesses weiter. Spezifische Risiko- und Kontrollberichte werden erzeugt. Auf Grundlage der Ergebnisse ergreifen wir Folgemaßnahmen, um unser Compliance-Managementsystem zu verbessern.
Management unserer Geschäftspartner
Bei der Auswahl vertriebsnaher Geschäftspartner wenden wir einen risikobasierten Ansatz an. Je größer wir das Risiko für ein bestimmtes Land, eine Region oder eine Dienstleistungsart einschätzen, desto umfassender ist die Prüfung, die wir vor der Aufnahme einer Geschäftsbeziehung durchführen. Für die Risikobewertung nutzen wir den Korruptionswahrnehmungsindex (CPI) von Transparency International und bewerten potenzielle Partner anhand weiterer Parameter, beispielsweise anhand der Art der vorgesehenen Dienstleistung und des Umsatzes. Wir nutzen auch andere Hintergrundinformationen aus verschiedenen Datenbanken sowie Selbstauskünfte des Geschäftspartners – beispielsweise zu eigenen Compliance-Programmen.
Falls wir auf Compliance-Probleme stoßen, prüfen wir, ob wir einen potenziellen Geschäftspartner ablehnen, eine bestehende Geschäftsbeziehung beenden oder Bedingungen festlegen, um die festgestellten Risiken zu reduzieren. Häufig sind unsere Partner bereit, ihre Strukturen und Prozesse so zu verändern, dass sie unseren strengen Compliance-Anforderungen entsprechen. Seit Einführung des Prozesses im Jahr 2013 durchliefen mehr als 3.700 Geschäftspartner diese Prüfung. Im Jahr 2019 beurteilten wir mithilfe des Prozesses mehr als 300 Geschäftspartner.
Gewährleistung von Datenschutz und Datensicherheit
Wir betreiben ein Datenschutz-Managementsystem als Teil unserer konzernweiten Group-Compliance-Funktion. Dieses System funktioniert innerhalb des gesamten Konzerns einheitlich. Zusätzlich gilt es auch, unsere Informationssysteme und deren Inhalte sowie unsere Kommunikationskanäle gegen kriminelle Aktivitäten wie e-Crime und Cyber-Angriffe zu schützen. Hierzu zählen auch unberechtigter Zugang, Informationsabfluss oder Missbrauch von Daten oder Systemen. Unsere Einheiten „Group Security“ und „IT Security“ führen organisatorische, prozessorientierte und technische Maßnahmen zum Schutz der Informationssicherheit ein, die auf anerkannten internationalen Standards basieren. Eine umfassende Harmonisierung elektronischer und physischer Sicherheitsmaßnahmen (beispielsweise bei der Zugangskontrolle) stärkt unsere Position beim Umgang mit sensiblen Daten, etwa mit Betriebsgeheimnissen. Neben der aktiven Sicherheitsüberwachung prüft die Einheit „Group Internal Auditing“ außerdem, ob wir unsere Datenschutzrichtlinie und Datensicherheitsprogramme umsetzen und einhalten.
Unser Datenschutz-Managementsystem wendet das PDCA-Prinzip (Plan, Do, Check, Act – Planen, Umsetzen, Überprüfen, Handeln) an. Auf diese Weise wollen wir sicherstellen, dass Datenschutzrichtlinien und Datenschutztools („Plan“), Datenschutzschulungen („Do“), Inspektionen und Bewertungen („Check“) sowie Managementprozesse für Zwischenfälle und Probleme („Act“) vorhanden sind.
Zur Unterstützung der Datenschutzbeauftragten an unseren Standorten verfügen wir über standardisierte Datenschutz-Beratungsdienste. Sie können bei Bedarf von verantwortlichen Stellen und Datenverarbeitern angefordert werden. Wir haben außerdem ein zentrales IT-Tool eingerichtet, das alle unsere Datenschutzprozesse bündelt. Dazu gehören beispielsweise Fragen zum Datenschutz, die Erfassung von Datenverarbeitungstätigkeiten oder Meldungen möglicher Datenschutzverstöße. Im Berichtsjahr wurden keine Beschwerden oder Vorfälle geahndet, die sich auf Verletzungen der Privatsphäre von Kunden beziehungsweise Diebstahl oder Verlust von Kundendaten beziehen. Einen Fall einer geringfügigen Verletzung des Schutzes personenbezogener Daten meldeten wir der Aufsichtsbehörde. Er wurde nicht geahndet.
Transparenz-Initiative der EFPIA
Mitglieder der Transparenz-Initiative der „European Federation of Pharmaceutical Industries and Associations“ (EFPIA) müssen alle Zuwendungen an Angehörige der medizinischen Fachkreise und Organisationen des Gesundheitswesens veröffentlichen. Zu nennen sind dabei Namen und Adressen der einzelnen Empfänger. Zusätzlich zu dieser Initiative haben einige Länder Gesetze verabschiedet, um die Transparenz in der Pharmaindustrie weiter zu erhöhen. Wir befolgen diese Vorschriften sowie zusätzliche Standards für Interaktionen im Gesundheitswesen und berücksichtigen sie bei unseren Transparenzangaben.
Allianz für Integrität
Wir sind Mitglied des Steuerungskreises der Alliance for Integrity (Allianz für Integrität). Die Initiative wurde von der Deutschen Gesellschaft für Internationale Zusammenarbeit (GIZ), dem Deutschen Global Compact Netzwerk (DGCN) und dem Bundesverband der Deutschen Industrie (BDI) ins Leben gerufen. Sie setzt sich für eine korruptionsfreie Geschäftstätigkeit in Ländern mit geringem oder mittlerem Einkommen sowie Schwellenländern ein. Dabei konzentriert sich die Initiative auf Aktivitäten in Lateinamerika, in asiatischen Ländern (insbesondere Indien und Indonesien) sowie in Ghana. Der Steuerungskreis steht an der Spitze des Entscheidungsprozesses und entwickelt Maßnahmen für diese Länder. Die Umsetzung auf Landesebene begleiten sogenannte „Advisory Groups“. Seit 2018 hat ein Vertreter unseres Unternehmens den Vorsitz der „Advisory Group“ in Ghana inne. Auch unsere Compliance-Organisationen vor Ort arbeiten in diesen Gruppen mit und bieten Schulungen für kleinere und mittlere Unternehmen an. Darüber hinaus unterstützen wir die Allianz für Integrität mit verschiedenen kontinuierlichen Maßnahmen: Wir veranstalten Business-to-Business-Workshops und Schulungen und tauschen Best-Practice-Beispiele zur Entwicklung und Umsetzung wirkungsvoller Systeme zur Korruptionsprävention aus.
Stakeholder-Dialoge
Im Berichtsjahr führten wir Stakeholder-Dialoge hauptsächlich im Rahmen unserer Verbandsmitgliedschaften. Unter anderem sind wir Mitglied des Verbands der Chemischen Industrie e. V. (VCI), des Deutschen Instituts für Compliance e. V. (DICO), des Europäischen Pharmaverbands (European Federation of Pharmaceutical Industries and Associations, EFPIA), des Vereins Freiwillige Selbstkontrolle für die Arzneimittelindustrie e. V. (FSA), des Internationalen Verbands der pharmazeutischen Industrie (International Federation of Pharmaceutical Manufacturers and Associations, IFPMA), der Allianz für Integrität, des Bundesverbands Materialwirtschaft, Einkauf und Logistik e. V. (BME) und der Internationalen Vereinigung der Datenschutzbeauftragten (International Association of Privacy Professionals, IAPP).