Compliance und Verantwortung

Neben eindeutigen Richtlinien gibt es ein großes Angebot an Informationen, Beratungsleistungen und Schulungen. Durch die Arbeit der Compliance-Officer und -Representatives stellt STILL sicher, dass die Belegschaft jederzeit aktuell und vollumfänglich über alle Fragen der Compliance informiert und sich der hohen Bedeutung des werteorientierten Handelns bewusst ist. Für alle neuen Beschäftigten der KION Group ist die Teilnahme an der Schulung zum KION Group Code of Compliance verpflichtend – entweder über E-Learning oder für Beschäftigte ohne PC als Arbeitsmittel im Rahmen einer Präsenzschulung. Darüber hinaus erhalten Beschäftigte mit compliancekritischen Aufgaben, beispielsweise aus dem Vertrieb, regelmäßig zielgerichtete Live-Schulungen.

Ziel ist es, alle Beschäftigten der KION Group regelmäßig zu den wichtigsten Themen (Antikorruption, Vermeidung von Interessenskonflikten, Kartell- und Wettbewerbsrecht, Antigeldwäsche, Datenschutz, IT-Sicherheit und Menschenrechte) zu schulen. Änderungen bei der Gesetzgebung oder bei internen Regelungen fließen ebenso in die Präsenzschulungen ein, wie weiterführende Erkenntnisse aus dem Compliance-Management-System. 2021 wurde das Weiterbildungsprogramm um ein E-Learning zum respektvollen Umgang am Arbeitsplatz (Antidiskriminierung), zu Interessenskonflikten, zum Hinweisgeberschutz sowie zu Betrug mit Fokus auf Geldwäsche erweitert. Ebenfalls neu sind E-Learnings zu den Themen Cyber Security und Kartellrecht.

Bevor KION eine neue geschäftliche Beziehung eingeht, müssen externe Geschäftspartner überprüft und entsprechende Unterlagen hinterlegt werden. Dabei wird der wirtschaftliche Hintergrund des Geschäftspartners geprüft und festgestellt, ob es darüber hinaus weitere Gründe gibt, die gegen die Aufnahme der Geschäftsbeziehung sprechen, etwa weil der Geschäftspartner auf einer Sanktionsliste steht oder es negative Berichte über ihn gibt. Falls sich Zweifel ergeben, wird KION möglicherweise von Geschäften mit diesem Partner absehen. Auch bei externen Partnern ist KION bestrebt, Audits auf der Grundlage einer Risikobewertung durchzuführen.

Die Basisprüfung erfolgt mit dem Geschäftspartner-Tool, das von Corporate Compliance verwaltet wird. Hierbei werden Kunden und Lieferanten anhand von Compliance-Listen auf Hinweise überprüft. Der Abgleich mit solchen Listen, deren Bewertung und die Einleitung gegebenenfalls erforderlicher Maßnahmen erfolgt durch Corporate Compliance. Bei externen Vertriebspartnern mit erhöhtem Korruptionsrisiko, wie z. B. Händlern, Importeuren, Distributoren, Agenten oder Integratoren, wird vor Aufnahme der Geschäftsbeziehung eine mehrstufige Due-Diligence-Prüfung durch den zuständigen Compliance Officer durchgeführt. Dabei werden Informationen von den Vertriebspartnern über Due-Diligence-Fragebögen, Prüfungen mit dem Geschäftspartner-Tool und/oder über externe Due-Diligence-Anbieter eingeholt. Die Ergebnisse der Due-Diligence-Prüfung werden den verantwortlichen Stellen, wie z. B. der Geschäftsführung, zusammen mit empfohlenen Maßnahmen, wie z. B. verschärften Vertragsklauseln mit Prüfungsrechten oder einer zusätzlichen Überwachung der Zahlungsströme, übermittelt.

Im Zuge einer systematischen Analyse erfasst und bewertet die KION Group in einem regelmäßigen Turnus im gesamten Konzern die Korruptions- und Bestechungsrisiken. Außerdem werden Geldwäsche-, wettbewerbsrechtliche, steuerrechtliche und Menschenrechts-Risiken erhoben. Laufend aufkommende nichtfinanzielle Risiken werden gescreent, bewertet und gesteuert. In der Folge werden adäquate Maßnahmen zur Beseitigung von Prozess- und Regelungsschwächen abgeleitet. Bei der Risikobetrachtung spielen die Ausprägung des Korruptionswahrnehmungsindex für das jeweilige Land, die Größe und Struktur der Einkaufs- oder Vertriebsorganisation vor Ort sowie die Kontakte zu Amtsträgern eine wesentliche Rolle. Für alle STILL Tochtergesellschaften ist die Analyse bereits abgeschlossen. Dabei zeigten sich weiterhin keine erheblichen Compliance-Risiken.

Datenschutz und Informationssicherheit haben bei STILL höchste Priorität und sind in für die gesamte KION Group geltenden Richtlinien geregelt. Während die Datenschutzrichtlinie auf die Umsetzung technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten zielt, hat die KION Informationssicherheitsleitlinie die Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen – und damit den Schutz der KION Group vor entsprechenden Angriffen – im Fokus. Zu Themen wie IT-Sicherheit am Arbeitsplatz oder Management von IT-Systemen, E-Mail und Internet gibt es verschiedene Konzernbetriebsvereinbarungen und verpflichtende Standards. Darüber hinaus gibt es Muster und Vorlagen für den täglichen Umgang mit personenbezogenen Daten und sensiblen Geschäftsdaten. Für die Umsetzung der zentralen Vorgaben sind die Operating Units zuständig. Verantwortliche für Datenschutz und dessen Koordination in den einzelnen Gesellschaften berichten an die jeweilige Geschäftsführung. Auf Konzernebene berichtet der Konzerndatenschutzbeauftragte an den Chief Compliance Officer und der Chief Information Security Officer der KION Group an den dem Vorstand der KION GROUP AG unterstellten Chief Information Officer der KION Group.

Der Schutz sensibler, personenbezogener Daten ist eine große Verantwortung. Daher wurden geeignete und sichere Prozesse und Maßnahmen definiert, um diese Daten zu schützen und die gesetzlichen Vorschriften einzuhalten. Mit Schulungen und regelmäßigen Meldungen im Social-Intranet wird die gesamte Belegschaft mit den Grundlagen des Datenschutzes, den Meldepflichten und dem konzernweiten Compliance-Meldesystem vertraut gemacht und kontinuierlich weitergebildet.

Jedes Jahr erfolgen rund 100 Millionen Angriffe auf das IT-Netzwerk der KION Group, die bislang alle abgewehrt werden konnten. Ein wichtiger Faktor für diesen Erfolg ist die kontinuierliche Überprüfung auf Schwachstellen in der gesamten Infrastruktur für IT und operative Technologie. Regelmäßige Schulungen zur IT-Sicherheit, globale Anti-Phishing-Kampagnen, eine monatliche Videoserie im Social-Intranet und Anweisungen zur Sicherung der IT-Infrastruktur tragen ebenfalls zur IT-Sicherheit bei.

Informationssicherheit-Managementsystem

Ende 2022 startete KION mit der Einführung eines Informationssicherheits-Managementsystems (ISMS), um sicherzustellen, dass sensible Informationen weiterhin geschützt und die Wettbewerbsfähigkeit in der Branche erhalten bleiben. Das ISMS der KION Group beruht auf den Vorgaben von ISO 27001 (Einrichtung, Implementierung, Aufrechterhaltung, kontinuierliche Verbesserung dokumentierter Sicherheitsmanagementprozesse) für den gesamten Konzern. Es wurde ein Regelwerk für die Dokumentation erarbeitet, das die Anforderungen für die Informationssicherheit darlegt.

Die KION Group analysiert in diesem Zusammenhang regelmäßig potenzielle oder bestehende Risiken für die Informationssicherheit. Wird bei den Risikoanalysen ein IT-Sicherheitsrisiko oder eine Abweichung von einem Sicherheitsstandard der KION Group festgestellt, wird das Risiko beschrieben und entsprechende Maßnahmen werden festgelegt. Nach der Bewertung des Restrisikos entscheidet der Risikoeigner über die Akzeptanz des Restrisikos, das regelmäßig neu bewertet und durch eine erneute Risikoakzeptanz abgesichert werden muss.

Konzernrevision führt regelmäßig spezielle IT-Audits durch, die auch die Informationssicherheit berücksichtigen.

Im April und Mai 2023 durchliefen das KION Group Headquarter in Frankfurt am Main und das Linde Material Handling Headquarter in Aschaffenburg als erste zwei Standorte das TISAX¹ Assessment. Beide Standorte haben das Audit erfolgreich bestanden und sind nun offiziell für die nächsten drei Jahre TISAX-zertifiziert.

Beim Audit wurde ein Reifegrad von 2,8 (2,1 ist erforderlich, um ein vorläufiges Label zu erhalten, und 2,7, um ein dauerhaftes Label zu erhalten) erreicht. Im Rahmen der Bewertung mussten dem Prüfer rund 200 verschiedene Nachweise vorgelegt werden, z. B. Informationssicherheitsstandards, Standardarbeitsanweisungen, Sicherheitskonzepte, KPIs und mehr. 

Neben der Arbeit an weiteren Standorten, die im Laufe des Jahres in einen ISMS-Umfang aufgenommen werden sollen, wird der Schwerpunkt nun auch auf der Aufrechterhaltung dieses etablierten, hohen Niveaus der Informationssicherheit liegen und darauf, dass die Bausteine des Systems im Tagesgeschäft reibungslos funktionieren: zum Beispiel die Durchführung regelmäßiger interner Audits und Überprüfungen, Informationssicherheits-Risikomanagement, Planung und Umsetzung von Verbesserungen usw.

[1] TISAX® ist ein unternehmensübergreifendes Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie. Dabei geht es um den Schutz der Daten, ihrer Integrität und Verfügbarkeit im Herstellungsprozess sowie im Betrieb von Fahrzeugen.