Compliance-Management

Als weltweit tätiges Unternehmen stellen wir sehr strenge Anforderungen an ein wirksames Compliance-Management. Compliance bedeutet für uns vor allem: Wir handeln im Einklang mit unseren Unternehmenswerten und sind davon überzeugt, dass profitables Wirtschaften mit höchsten ethischen Ansprüchen einhergehen sollte.

Rollen und Verantwortlichkeiten

Unsere Konzernfunktion Group Compliance ist zuständig für das Rahmenwerk zu folgenden Kernthemen: Merck-Verhaltenskodex, Bekämpfung von Korruption und Bestechung (inklusive Einhaltung von Bestimmungen des Gesundheitswesens, Geschäftspartnerprüfung/Due Diligence, Transparenzberichterstattung), Geldwäschebekämpfung und Interessenkonflikte.

Für diese Themen gelten konzernweite Richtlinien, Standards und Verfahren. Diese sollen gewährleisten, dass unsere geschäftlichen Aktivitäten den geltenden Gesetzen, Vorschriften und internationalen ethischen Standards entsprechen. Andere Themen mit Compliance-Bezug wie Pharmakovigilanz, Export- und Importkontrollen sowie Umwelt, Gesundheit, Sicherheit und Qualität verantworten die jeweils zuständigen Funktionen – einschließlich der jeweiligen internen Vorschriften, Richt- und Leitlinien.

Unsere Compliance-Funktion ist für das Compliance-Portfolio verantwortlich. Das Programm besteht aus folgenden Elementen:

• Risikobewertung: Identifikation interner und externer kritischer Risiken im regulären Geschäftsbetrieb
• Richtlinien und Verfahren: Globale Richtlinien, Verfahren und Standards zur Minderung identifizierter Risiken
• Compliance-Komitees/-Foren: Plattformen für Compliance-bezogene Diskussionen und Entscheidungsfindungen, inklusive relevanter Schlüsselfunktionen
• Schulungen und Awareness: gezielte Schulungen und zusätzliche Maßnahmen zur Aufklärung und Aufrechterhaltung der Awareness
• Programme und Tools: Umfassende Compliance-Programme und unterstützende Tools, die zur internen Kontrolle und Unternehmensführung beitragen
• Monitoring und Berichterstattung: Analyse Compliance-bezogener Daten, sowie Durchführung interner und externer Berichterstattung
• Fallmanagement: Rechtzeitige Reaktion auf Fehlverhalten und Umsetzung von Korrekturmaßnahmen
• Kontinuierliche Verbesserung: basiert auf allen Elementen des Compliance-Programms und ist auf diese anwendbar

Unser Chief Compliance Officer berichtet der Geschäftsleitung und den Aufsichtsorganen mindestens zweimal jährlich den Status unserer Compliance-Aktivitäten, mögliche Risiken und schwerwiegende Verstöße. Wir stellen im Zuge unserer Berichtstätigkeit jährlich einen umfassenden Compliance- und Datenschutzbericht für die Geschäftsleitung zusammen. Darin informieren wir über den Stand unseres Compliance-Programms, anhaltende Verbesserungsinitiativen und Kennzahlen zu Compliance- und Datenschutzfällen. Zur Jahresmitte erscheint darüber hinaus ein Zwischenbericht, in dem wir über aktuelle Entwicklungen und den Status relevanter Projekte und Initiativen berichten.

Unserem Chief Compliance Officer sind weltweit alle Compliance-Abteilungen und Compliance-Fachkräfte unterstellt. Die Compliance Officer setzen unser Compliance-Programm innerhalb ihrer jeweiligen Verantwortungsbereiche um (in Anpassung an lokale Bestimmungen). Angeleitet werden sie von unserem Group Compliance Center of Expertise. Dieses zentrale Gremium gestaltet unser Compliance-Programm in sämtlichen Unternehmensbereichen und Konzernfunktionen und entwickelt es weiter.

Wozu wir uns verpflichten: Richtlinien und Standards

Unser Compliance-Programm baut auf unseren Werten auf und integriert diese in unser Compliance-Rahmenwerk. Dieses enthält konzernweite Richtlinien, Standards und Verfahren für unternehmerisches Handeln, die für unsere Mitarbeitenden bindend sind:

• Merck-Verhaltenskodex
• Menschenrechtscharta (Human Rights Charter)
• Antikorruptionsstandard (Anti-Corruption Standard)
• Konzernstandard zur Geldwäschebekämpfung (Anti-Money Laundering Group Standard)
• Richtlinie zu Interessenkonflikten (Conflict of Interest Policy)
• Richtlinie für das Kartell- und Wettbewerbsrecht (Antitrust and Competition Law Policy)
• Standard zu Whistleblowing und Untersuchungen (Whistleblowing and Investigations Standard)
• Verhaltenskodex für Lieferanten

Risikobewertung

Ein geeignetes Compliance-Risikomanagement ist unerlässlich, um unerkannte Risiken zu erkennen und unser Unternehmen nachhaltig zu schützen. Hierzu haben wir einen Prozess zur Bewertung der Compliance-Risiken in allen unseren Unternehmensbereichen. Die Bewertung basiert auf einer umfassenden Risikomatrix, die mehr Objektivität und einen stärker datenorientierten Risikoansatz ermöglicht. Die Matrix vermittelt ihren Schwerpunkt auf Bestechungs- und Korruptionsrisiken durch eine ausführliche Risikoklassifizierung und detaillierte Risikopräsenzszenarien. Zudem kommt eine länderspezifische Risikosegmentierung zur Anwendung. Dabei werden die Länder, in denen wir aktiv tätig sind, mittels objektiver und einheitlicher Kriterien nach ihrem Bestechungs- und Korruptionsrisiko eingestuft. Anhand der Ergebnisse priorisieren wir anschließend unsere Initiativen und intensivieren die Aktivitäten in Ländern mit einem höheren Risiko.

Umgang mit Interessenkonflikten

Wir nehmen jeden möglichen Interessenkonflikt ernst. Ein solcher liegt vor, wenn das fachliche Urteil eines Mitarbeitenden im Widerspruch zu seinen persönlichen Interessen stehen könnte. Mitarbeitende sind verpflichtet, solche Situationen unbedingt zu vermeiden. Außerdem müssen Beschäftigte ihren Vorgesetzten etwaige Interessenkonflikte melden und diese Meldungen dokumentieren. Interessenkonflikte werden grundsätzlich direkt zwischen den beteiligten Personen und ihren Vorgesetzten geklärt. Sie können aber auch an die Personal-, an die Rechts-, an die Compliance-Abteilung oder an andere einschlägige Funktionen weitergeleitet werden.

Management und Anforderungen an Drittparteien

Ein wirksames Compliance-Management darf nicht an den eigenen Unternehmenstoren haltmachen. Während es bei unseren Lieferantenmanagementprozessen um das regelkonforme Handeln der zuliefernden Unternehmen geht, regelt der weltweite Risikomanagementprozess für Drittparteien (Third Party Risk Management) den Umgang mit Vertriebsunternehmen. Dies betrifft die Bereiche Handelsvertretung, Distribution und Großhandel sowie Lieferanten, denen wir ein hohes Risiko zuschreiben. Wir erwarten von Drittparteien weltweit, dass sie unsere Compliance-Grundsätze einhalten. Wir gehen Geschäftsbeziehungen nur mit Dritten ein, die sich dazu verpflichten, rechtskonform zu handeln, jegliche Form der Bestechung abzulehnen und Umwelt-, Gesundheits- und Sicherheitsrichtlinien zu befolgen.

Bei der Auswahl unserer externen Partnerunternehmen verfolgt unser Unternehmen einen risikobasierten Ansatz. Je größer das geschätzte Risiko in Bezug auf ein bestimmtes Land, eine bestimmte Region oder eine bestimmte Dienstleistung ist, umso gründlicher prüfen wir die externe Partei, bevor eine Geschäftsbeziehung eingegangen wird. Zudem untersuchen wir Hintergrundinformationen aus verschiedenen Datenbanken sowie Informationen, die uns Drittparteien übermitteln.

Stoßen wir auf Compliance-bezogene Bedenken, werden die maßgeblichen Informationen von uns tiefer analysiert. Je nach Ergebnis wird entschieden, ob wir das potenzielle externe Partner­unternehmen ablehnen, Bedingungen zur Minderung der identifizierten Risiken stellen oder eine bestehende Geschäftsbeziehung beenden.

Schulungen zu Compliance-Themen

Wir bieten regelmäßige Compliance-Schulungen in Präsenz oder online an. Die Themen umfassen den Verhaltenskodex, Antikorruption, Kartellrecht, Datenschutz, Geldwäschebekämpfung sowie Compliance im Gesundheitswesen. Je nach Risikostatus fordern wir Mitarbeitende auf, an diesen Schulungen teilzunehmen. An manchen Schulungen nehmen außerdem Auftragnehmende und Zeitarbeitskräfte (beispielsweise aus der Leiharbeit) teil. Seit 2023 bieten wir einen neuen E-Learning-Kurs zum Thema Bekämpfung von Korruption, Bestechung und Geldwäsche an. Die Schulung basiert auf aktualisierten Fassungen der 2022 eingeführten Standards zu Geldwäsche- und Korruptionsbekämpfung.

Geldwäschebekämpfung

Wir verfügen über ein weltweites Programm zur Bekämpfung von Geldwäsche. Neben dem Konzernstandard zur Geldwäschebekämpfung und einer Schulung umfasst es einen speziellen Prozess mit dem Ziel, Warnsignale und Transaktionen mit hohem Risiko zu melden und zu untersuchen. Verdächtige Transaktionen leiten wir, wenn erforderlich, an die deutsche Zentralstelle für Finanztransaktionsuntersuchungen oder andere Behörden weiter. Unser Programm zur Bekämpfung von Geldwäsche entwickeln wir laufend fort. Nach umfassenden Bewertungen des Geldwäscherisikos in Ländern, die strengere regulatorische Anforderungen stellen als unser Programm zur Bekämpfung von Geldwäsche, setzten wir nach Bedarf zusätzliche Programme auf lokaler Ebene um.

Melden möglicher Compliance-Verstöße

Wir halten unsere Beschäftigten weltweit dazu an, mögliche Compliance-Verstöße zu melden. Je nach Art des Fehlverhaltens und der Präferenz der meldenden Person stehen verschiedene Meldekanäle zur Verfügung. Wir empfehlen, einen unserer zentralen Kanäle zu nutzen. Über diese gehen Meldungen direkt bei einem dafür zuständigen, qualifizierten Team von Group Compliance ein, das die Meldungen unabhängig prüft. Je nach Art und Inhalt einer Meldung kann Compliance diese selbst untersuchen oder zur weiteren Prüfung einer anderen zuständigen Funktion zuweisen. Ein zentraler Meldekanal ist unsere konzernweite Whistleblowing-Compliance-Hotline, welche kostenlos und anonym genutzt werden kann, um Verstöße zu melden. Die Hotline ist in mehreren Sprachen telefonisch oder über eine Online-Plattform erreichbar. Auch Externe können die Compliance-Hotline nutzen. Die Abschnitte Kontakt sowie Compliance und Ethik auf unserer Website informieren darüber.

Compliance-relevante Fälle mit einem bestimmten Risikoprofil werden dem Compliance Case Committee vorgestellt. Dieses Komitee besteht aus leitenden Angestellten der Abteilungen Compliance, Recht, Datenschutz, Interne Revision und Personal. Unter anderem bewertet und klassifiziert das Komitee bestimmte Compliance-Fälle und ergreift geeignete Maßnahmen zur Klärung der ermittelten Sachverhalte.

In allen Compliance-relevanten Fällen sind wir bestrebt angemessene Abhilfemaßnahmen basierend auf dem Untersuchungsergebnis und den Empfehlungen von Compliance oder dem Compliance Case Committee zu treffen. Dies beinhaltet unter Umständen auch Disziplinarmaßnahmen gegen Beschäftigte, die einen Compliance-Verstoß begangen haben. Stellen wir bei der Untersuchung tiefer liegende Ursachen fest, die ein Risiko weiterer Compliance-Verstöße darstellen könnten, ergreifen wir zusätzliche Maßnahmen zur Korrektur oder Prävention.

Sowohl die Zahl der neuen Compliance-relevanten Fälle als auch die Zahl der bestätigten Compliance-Verstöße sind im Vergleich zum Vorjahr gestiegen. 2023 wurden über die Compliance-Hotline und andere Kanäle 106 neue Compliance-relevante Fälle gemeldet. In 32 abgeschlossenen Fällen bestätigte sich, dass gegen die Prinzipien des Verhaltenskodex beziehungsweise andere interne oder externe Richtlinien verstoßen worden war.

Compliance-Audits

Die Konzernfunktionen Group Compliance und Group Internal Auditing gewährleisten Compliance auf der zweiten beziehungsweise dritten Verteidigungslinie. Regelmäßig überprüft Group Internal Auditing innerhalb von Audits die weltweiten Funktionen, Prozesse und Gesellschaften. Dabei wird auch bewertet, wie wirkungsvoll die jeweiligen Compliance-Richtlinien, -Prozesse und -Strukturen sind. Zusätzlich ermitteln die Einheiten, ob es Verstöße gegen unseren Verhaltenskodex, den Antikorruptionsstandard, den Konzernstandard zur Geldwäschebekämpfung oder die Richtlinie für das Kartell- und Wettbewerbsrecht gibt.

Ziel unserer Auditplanung ist eine umfassende Risikoabsicherung durch eine bestmögliche Auditabdeckung unserer Prozesse, Märkte und Projekte. Der jährliche Auditplanungsprozess ist risikobasiert. Er bezieht Kennzahlen wie den Umsatz, die Mitarbeiteranzahl, systematisches Feedback relevanter Stakeholdergruppen und den Korruptionswahrungsindex (CPI) der Nichtregierungsorganisation Transparency International mit ein. Für den Fall, dass sich aus der Prüfung Empfehlungen für Verbesserungsmaßnahmen ergeben, verfolgt Group Internal Auditing diese Maßnahmen systematisch und kontrolliert ihre Umsetzung. Im Jahr 2023 führte Group Internal Auditing 80 interne Audits durch, die bestechungs- und korruptionsbezogene Risiken untersuchten (2022: 79). Davon waren 52 betriebliche Audits, 27 IT-Audits und ein spezielles Audit (zur Erfüllung rechtlicher Anforderungen).