ESG - Gobierno corporativo

Crear valor de forma sostenible y a largo plazo a través de un gobierno corporativo sólido y estratégico. Evolucionamos comprometidos con las mejores practicas de gobierno corporativo.

NUESTRA HOJA DE RUTA. Agenda Grifols 2030

• Evaluación de proveedores por criterios ESG
• Mantener ratio de reclamaciones en Biopharma
• Sin deficiencias críticas identificadas por auditorías externas

NUESTRAS PRIORIDADES

• Ética

• Transparencia

• Derechos
  humanos

• Honestidad

• Sostenibilidad

• Seguridad y
  calidad

• Integridad

• Independencia

• Cumplimiento
  de normas

Alineados con el Pacto Mundial de la ONU

Incorporamos diversos principios

Principio 1. Apoyamos y respetamos la protección de los derechos humanos fundamentales reconocidos internacionalmente dentro de nuestro ámbito de influencia.

Principio 2. Nos aseguramos de no ser cómplices en la vulneración de los derechos humanos.

Principio 10. Trabajamos contra la corrupción en todas sus formas, incluida la extorsión y soborno.

Gobernanza sólida

La Junta General de Accionistas es el órgano soberano de gobierno de la compañía. Grifols fomenta la asistencia a la junta general y no establece un número mínimo de acciones para asistir. Grifols celebró su Junta General Ordinaria de Accionistas el 16 de junio de 2023 y, con una participación del 75,5% del capital con derecho a voto, los accionistas aprobaron todas las propuestas sometidas a votación.

El Consejo de Administración es el máximo órgano de decisión de Grifols y, desde febrero de 2023, está compuesto por 11 miembros. No obstante, existe una vacante en su seno.

Con posterioridad al cierre del ejercicio, Grifols ha anunciado la incorporación de un nuevo miembro al consejo con fecha 26 de febrero de 2024 que tendrá la categoría de consejero ejecutivo a partir del 1 de abril de 2024.

Los miembros del Consejo ejercen su cargo por un plazo de cuatro años, sin perjuicio de su reelección indefinida por tales periodos.

Existe un consejero independiente coordinador (CIC o Lead Independent Director). Todas las comisiones y comités están integradas por consejeros no ejecutivos de los que, al menos, dos son independientes. Esto aplica a la Comisión de Nombramientos y Retribuciones, al Comité de Auditoría y a la Comisión de Sostenibilidad.

Grifols publica una vez al año el Informe Anual de Gobierno Corporativo que, aprobado por su Consejo de Administración detalla, entre otros, información relativa a su estructura de propiedad y de administración.

Impulso del desempeño y remuneraciones

La compañía está comprometida con promover una cultura del desempeño centrada en la ejecución, la eficiencia, la eficacia y la responsabilidad. Para ello, ha introducido nuevos planes de incentivos a corto y largo plazo más alineados con los intereses de sus accionistas.

El Plan de incentivos a largo plazo está basado en la concesión de opciones sobre acciones para aproximadamente 220 empleados de Grifols, entre ellas el CCO y el COO y la concesión de opciones sobre acciones al presidente ejecutivo, Thomas Glanzmann.

Como condición para la consolidación de las opciones concedidas, cada beneficiario deberá haber permanecido empleado de forma continua por Grifols en cada fecha de consolidación y, además, la consolidación está sujeta a que cada beneficiario:

• Alcance durante los dos años anteriores una media del 90% de los dos objetivos establecidos para el cobro de su correspondiente retribución anual a corto plazo: (i) métrica económica: vinculada a la evolución del grupo de la Sociedad en su conjunto, referenciada al EBITDA (con un peso del 90%) y (ii) métrica ESG (con un peso del 10%);
• Supere su correspondiente evaluación de desempeño.

Los beneficiarios que sean miembros del consejo de administración deberán superar con éxito cada año la evaluación de la Comisión de Nombramientos y Retribuciones y el resto de beneficiarios deberán alcanzar cada año de forma continua una calificación de desempeño igual o superior a 3 en una escala de valoración del 1 al 5, siendo 5 la máxima puntuación posible.

Esta calificación del desempeño se realiza a través del Grifols Performance System (GPS), herramienta estandarizada de evaluación del desempeño para evaluar el rendimiento y el potencial y asegurar el feedback respecto del desempeño y los comportamientos.

Dicho plan ha sido sometido a votación y aprobado en la Junta General Ordinaria de Accionistas del ejercicio.

Remuneración variable a largo plazo

Revisión y actualización de la Política de remuneraciones

La política de remuneraciones de los consejeros de Grifols fue aprobada por última vez por la Junta General Ordinaria de Accionistas el 10 de junio de 2022 para su aplicación durante los ejercicios 2022, 2023 y 2024. En 2023, la Comisión de Nombramientos y Retribuciones realizó una revisión profunda de dicha política de remuneraciones y del sistema retributivo que se aplica en la Sociedad en su conjunto, considerando asimismo los comentarios recibidos por parte de los accionistas, inversores y otros grupos de interés, así como los resultados de la votación consultiva del informe anual de remuneraciones en cada Junta General de Accionistas.

Tras dicha revisión y análisis, la Comisión de Nombramientos y Retribuciones, con el asesoramiento recibido del asesor externo e independiente Mercer LLC, concluyó que era necesario realizar modificaciones a la política de remuneraciones de la Sociedad en aras de asegurar su contribución a la estrategia empresarial y a los intereses y la sostenibilidad a largo plazo de Grifols. También para garantizar la alineación de los sistemas retributivos con el plan estratégico, los intereses de los accionistas y la sostenibilidad a largo plazo de la Sociedad, así como con los valores de Grifols. Todo ello con una gestión prudente del riesgo, así como evitando la existencia de conflictos de interés.

Las principales novedades respecto a la anterior política de remuneraciones son:

• En cuanto a la remuneración variable a corto plazo a percibir por los consejeros ejecutivos de la Sociedad en efectivo, las métricas y su peso han sido modificados para reforzar los objetivos de la organización en su conjunto, vinculando de forma directa dicha retribución variable con los resultados del Grupo, tanto financieros como no financieros, y con una gestión adecuada y prudente de los riesgos. Ahora su cobro es íntegramente en efectivo.
• Se incluye, como novedad, un plan de incentivos a largo plazo para el Chief Operating Officer (COO), que es consejero ejecutivo y para el Chief Corporate Officer (CCO), consejero ejecutivo también. Consiste en la concesión de opciones sobre acciones de Clase A de la Sociedad. Sujeto a términos y condiciones distintas, también incluye la concesión de opciones sobre acciones de Clase A para el Presidente Ejecutivo, con el objetivo de incentivar el cumplimiento de las prioridades estratégicas del Grupo a largo plazo, la sostenibilidad de los resultados en el tiempo y la creación de valor sostenible para los accionistas.
• Se establecen las condiciones principales del contrato suscrito con el Presidente Ejecutivo de la Sociedad.
• Se fija la remuneración del Presidente de Honor de la Sociedad.

Más información y detalle sobre remuneraciones:
Política de remuneraciones de los consejeros
Informe anual sobre remuneraciones de los Consejeros.

Ciberseguridad, privacidad y protección de datos

Ciberseguridad

El Consejo de Administración de Grifols, a través del Comité de Auditoría, es responsable de supervisar y evaluar la eficiencia de los controles y gestión en materia de ciberseguridad. La Dirección de Auditoría Interna y Gestión de Riesgos Corporativos apoya al Comité de Auditoría en el cumplimiento de esta responsabilidad. Para ello, el responsable de auditoría interna informa, al menos dos veces al año, al Comité de Auditoría sobre el control y gestión en materia de ciberseguridad.

El gobierno y los principales compromisos de Grifols de gestión de la ciberseguridad están definidos en la Política de Ciberseguridad, aprobada en 2023 por el Consejo de Administración.

El responsable de la Oficina de Seguridad de la Información (ISEC, por sus siglas en inglés), que depende del Chief Digital Information Officer, tiene la autoridad de desarrollar e implementar las políticas, estándares y procedimientos de ciberseguridad en la empresa, así como de supervisar la implementación y eficacia del sistema de gestión de la seguridad de la información. Para apoyarlo en estas funciones, Grifols constituirá el Comité Global de Ciberseguridad, que estará integrado por representantes de las unidades de negocio, tecnologías de la información, legal, áreas de operaciones y servicios. El objetivo del Comité será facilitar la alineación de las iniciativas de ciberseguridad con los objetivos y estrategia de negocio; asegurar la cobertura global del sistema de gestión de la seguridad de la información; colaborar en la priorización y ejecución de iniciativas y proyectos de seguridad; y promover una cultura de protección frente a las amenazas de ciberseguridad en todo el grupo.

Grifols dispone de los recursos necesarios para que la organización disponga de un entorno alineado con los objetivos de negocio y los objetivos de ciberseguridad establecidos.

Todas las iniciativas de ciberseguridad que Grifols realiza están alineadas con el marco internacional del Instituto Nacional de Estándares y Tecnología (NIST) de EE.UU. y con la ISO27001.

En 2023, Grifols no registró ninguna incidencia relevante relacionada con ciberataques, robos y/o pérdidas de datos sensibles o daños en activos físicos que afectaran al desarrollo normal de sus operaciones.

Entre las principales acciones realizadas en 2023 destacan:

Identificación y protección

La estrategia de seguridad de la información de la compañía se establece teniendo en cuenta un enfoque basado en el riesgo, y se implementa mediante los procedimientos y herramientas necesarias para asegurar que los riesgos de ciberseguridad son identificados, monitorizados y gestionados adecuadamente.

La ISEC identifica las iniciativas y proyectos de seguridad que se deben implementar para alcanzar el nivel de riesgo aprobado por la compañía. Dichas iniciativas se recogen en el Plan Director de Seguridad, que se actualiza periódicamente.

Detección

La compañía cuenta con un Centro de Operaciones de Seguridad (SOC) que funciona 24 horas todos los días de la semana y da cobertura a los eventos de seguridad que se producen en sus centros de datos, perímetros y puestos de trabajo. Estos servicios actúan cuando reciben alertas generadas por las herramientas de información de seguridad y gestión de eventos (SIEM) definidas por la Oficina de Seguridad de la Información. Grifols dispone de capacidades de ciberinteligencia que proporcionan información de los agentes de las amenazas y sus técnicas y herramientas, lo que permite el despliegue de controles para evitar el éxito de los ataques.

Respuesta y recuperación

La compañía cuenta con equipo de respuesta a incidentes (ERI) que interviene cuando los eventos detectados por el SOC son susceptibles de convertirse en incidentes de seguridad. Integra capacidades de análisis forense digital y respuesta a incidentes (DFIR) que permiten analizar los eventos para contenerlos, mitigarlos y evitar que se repitan. Se realizan testeos periódicos para poner a prueba las capacidades de respuesta y recuperación de herramientas, procedimientos y equipos.

Controles adicionales

Para fortalecer el sistema de gestión de seguridad de la información y asegurar que toda la plantilla está sensibilizada, Grifols dispone de un plan de formación y concienciación anual. Este plan se actualiza según las nuevas tendencias de amenazas y las necesidades específicas de las áreas de negocio. Las formaciones son obligatorias y, además, se realizan ejercicios de simulacro de phishing, entre otros, para poner a prueba los conocimientos del personal.

En 2023, el 95% de los usuarios dados de alta en Grifols Training Platform (GTP) han realizado la formación global en ciberseguridad.

La compañía cuenta con certificaciones específicas de seguridad de la información para determinados procesos de determinadas sociedades,como la ISO27001 y el Esquema Nacional de Seguridad (ENS).

Derecho a la privacidad y protección de datos

Cuando Grifols procesa datos personales de sus grupos de interés como parte de su actividad diaria, su objetivo final es construir relaciones de confianza, con dos propósitos: garantizar la salvaguarda de la privacidad y prevenir las violaciones de datos. Grifols cumple con todas las leyes y regulaciones de protección de datos aplicables y trabaja con proveedores que ofrecen garantías y salvaguardas suficientes para la protección de los datos personales que trata. La compañía cuenta con una Política global de privacidad y protección de datos de obligado cumplimiento para todas las personas empleadas, que establece el marco de tratamiento de los datos personales y recoge los principios relevantes en materia de protección y seguridad.

La formación y la concienciación son fundamentales para la privacidad, por lo que toda la plantilla recibe formación sobre la Política global de privacidad y protección de datos y, adicionalmente, los equipos que tratan datos personales regularmente realizan formaciones específicas. En 2023, Grifols se aseguró de que todas las personas empleadas susceptibles de procesar datos personales tuvieran acceso a formación y sensibilización. En concreto, más del 70% de las personas empleadas tuvieron acceso a la formación sobre la protección de datos.

La compañía dispone de rigurosas medidas de seguridad, técnicas y organizativas para proteger los activos de la organización y a los usuarios en el ciberentorno, además de mantener la confidencialidad de los datos personales de todos nuestros grupos de interés incluyendo la información médica recopilada en los centros de donación de plasma y durante la realización de ensayos clínicos.

Para más detalle sobre privacidad en los ensayos clínicos consultar el capítulo Innovación.

Para más detalle sobre privacidad de los donantes consultar el capítulo Compromiso con donantes y pacientes.

Somos transparentes

Relaciones con organizaciones y profesionales sanitarios

Las interacciones con profesionales de la salud y organizaciones sanitarias contribuyen a ampliar el conocimiento y la experiencia de Grifols sobre el comportamiento de los pacientes y la gestión de enfermedades. Este conocimiento es crucial para guiar los esfuerzos de la industria y mejorar la calidad del cuidado del paciente y sus opciones de tratamiento. Todas estas interacciones se realizan con integridad y transparencia y están reguladas en el Programa global de cumplimiento normativo (Compliance).

La Política de obsequios y hospitalidad de Grifols guía a las personas empleadas sobre los estándares apropiados y los límites establecidos para gestionar las transferencias de valor y hospitalidad con profesionales de la salud, funcionarios públicos y otras personas sujetas.

EE.UU.

En EE.UU., la Ley Sunshine (PPS Act) obliga a los fabricantes y centrales de compra (GPO, por sus siglas en inglés) de productos farmacéuticos, biológicos y dispositivos y suministros médicos a desglosar toda la información relativa a pagos y transferencias de valor que realicen a ciertos profesionales y organizaciones sanitarias, incluyendo médicos, profesionales de nivel medio y hospitales docentes. El Centers for Medicare and Medicaid Services (CMS) publica información anual en junio extraída de estos informes.

Grifols dispone de una política y un procedimiento en vigor que describe el modo en que lleva a cabo su programa de transparencia para cumplir con las obligaciones de información necesarias que imponen las agencias de los gobiernos estatales y federales de EE.UU.

En EE.UU., Grifols se adhiere a los Códigos de Interacción con los Proveedores de Atención Médica de la Pharmaceutical Research and Manufacturers of America (PhRMA) y de la Advanced Medical Technology Association (AdvaMed), y actualiza y desarrolla su programa de cumplimiento a medida que se actualizan los códigos AdvaMed (junio 2023) y PhRMA (enero 2022). El espíritu de ambos códigos se centra en reforzar las normas y los principios éticos en las interacciones que se realizan con la comunidad sanitaria.

Conforme a sus principios, compañías como Grifols pueden contratar a profesionales de la salud como consultores o asesores siempre que la selección se realice atendiendo a su cualificación y experiencia y para una necesidad específica, la contraprestación económica esté en línea con el valor justo de mercado establecido para esos servicios y se formalice mediante un contrato por escrito.

Grifols mantiene un plan global de formación en transparencia en EE.UU. para todo su personal cuyas responsabilidades incluyan interacciones con organizaciones y profesionales de la salud. En total, 78 personas empleadas recibieron formación sobre la presentación de informes de transparencia en EE.UU.

Europa

En Europa¹, Grifols adoptó voluntariamente en 2015 las prácticas de transparencia hoy definidas en el capítulo 5 del Código de la Federación Europea de Industrias y Asociaciones Farmacéuticas (EFPIA, por sus siglas en inglés), haciendo extensible estos principios a todas sus divisiones y actividades.

En el año 2023, por octavo año consecutivo, Grifols ha informado detalladamente de los pagos y transferencias de valor relacionadas con medicamentos y tecnología sanitaria destinadas a profesionales y a organizaciones del sector en aquellos países europeos incluidos en el ámbito definido por EFPIA. Además, la organización dispone de procedimientos que componen su programa de Transparencia y que describen los procesos a seguir para cumplir con esta iniciativa.

Como miembro de MedTech Europe, Grifols también aplica las directrices de transparencia que dicta esta asociación a través de su Code of Ethical Business Practice reportando, adicionalmente, las ‘Ayudas a la Formación’ realizadas en 2022. Asimismo, la compañía publica toda la información relativa a transferencias de valor desglosada por país de acuerdo con la regulación local.

1. En concreto, los países europeos en los que se aplica son: Alemania, Austria, Bélgica, Bosnia y Herzegovina, Bulgaria, Chipre, Croacia, Dinamarca, Eslovaquia, Eslovenia, España, Estonia, Finlandia, Francia, Grecia, Hungría, Irlanda, Islandia, Italia, Letonia, Lituania, Luxemburgo, Macedonia del Norte, Malta, Noruega, Países Bajos, Polonia, Portugal, Reino Unido, República Checa, Rumania, Rusia, Serbia, Suecia, Suiza, Turquía y Ucrania.

Grifols ha publicado en su página web corporativa la nota metodológica e informes específicos para cada país sobre las transferencias de valor realizadas a profesionales y organizaciones sanitarias. Esta información es pública y está disponible.

1. Transferencias de valor en Europa de acuerdo con la definición del código de divulgación EFPIA. Se incluyen las TdV con un año de decalaje.
2. Incluye becas de investigación. Los datos de la investigación se incluyen de acuerdo con la definición del Código de divulgación de EFPIA, no reflejan la cantidad total invertida en I+D.
Los datos de Biotest incluyen información del grupo Biotest AG bajo supervisión de Compliance Biotest.

Gestión de asuntos públicos

La defensa de los intereses (advocacy) es una actividad legítima y un aspecto importante del proceso democrático que brinda la oportunidad de compartir perspectivas y puntos de vista con los responsables políticos. Para Grifols significa dar a conocer y educar a los responsables políticos sobre la naturaleza única de los medicamentos plasmáticos y sobre la importancia para los pacientes de tener acceso a estos tratamientos sin restricciones en los centros sanitarios. El código de conducta de Grifols y la Política anticorrupción marcan las directrices y los estándares apropiados de conducta para la interacción de Grifols con funcionarios públicos.

Grifols está comprometida con el cumplimiento de los más altos estándares éticos en sus interacciones con los funcionarios públicos, incluyendo la obligación de actuar con integridad y de aportar la máxima transparencia en las interacciones. En EE.UU., la compañía cumple con todas las regulaciones federales, estatales y locales, incluyendo la presentación periódica de informes de transparencia al Congreso de EE.UU., tal como exige la “Lobbying Disclosure Act” (LDA). En dichos informes se aportan los gastos asociados a los grupos de influencia, que hacen referencia a las actividades de lobbying. Los requisitos de información sobre lobbying de la compañía se rigen por procedimientos operativos estándar que cubren las actividades en EE.UU. y la UE. La compañía no realiza contribuciones a campañas políticas a ningún candidato o funcionario del gobierno, de forma directa o indirecta.

Grifols también forma parte del Registro de transparencia de Lobbies de la Unión Europea desde 2019 y suscribe los principios que rigen las reglas de comportamiento en las relaciones con las instituciones de la Unión Europea, que se articulan a través de su código de conducta. A través de este registro, Grifols está habilitada para interaccionar con las instituciones europeas y dar a conocer su actividad y posición respecto a las políticas de la UE. Grifols también participa activamente en las consultas públicas relacionadas con políticas sanitarias e industriales.

Asimismo, la compañía forma parte de tres organizaciones que también están inscritas en el registro de la Unión Europea: la Plasma Protein Therapeutics Association (PPTA), la European Confederation of Pharmaceutical Entrepreneurs (EUCOPE) y MedTech Europe.

Los datos de 2020 y 2021 incluyen únicamente en EE.UU. las contribuciones a nivel federal mientras que 2022 incluye también las contribuciones estatales.

Principales acciones en 2023

Involucrados en Europa

Grifols participa en debates sobre políticas sanitarias con una amplia red de grupos de interés de la UE con el objetivo de mejorar el acceso de los pacientes a la atención sanitaria. En 2023, Grifols participó activamente en la presentación de respuestas a las siguientes consultas públicas:

• Propuesta de Reglamento sobre Sustancias de Origen Humano - SoHO
• Propuesta de Reglamento y Directiva de la Legislación Farmacéutica

Revisión de la legislación farmacéutica de la UE

En 2023, la Comisión Europea publicó una propuesta para actualizar la legislación farmacéutica general que debe seguir su proceso legislativo en el Parlamento y el Consejo de la UE. Grifols trabaja con las distintas instituciones y stakeholders involucrados para garantizar que la revisión de esta importante legislación promueva el acceso de los pacientes a la atención sanitaria, potencie la inversión en I+D de la industria farmacéutica europea y reconozca en sus propuestas la naturaleza única y las especificidades de los medicamentos plasmáticos.

SoHO: propuesta de reglamento sobre sustancias de origen humano

El 14 de diciembre de 2023 el Parlamento Europeo y el Consejo de la UE alcanzaron un acuerdo político sobre el nuevo reglamento SoHO que conducirá a aumentar la seguridad y la calidad de las sustancias de origen humano, siguiendo la propuesta de la Comisión Europea de julio de 2022. El nuevo reglamento persigue incrementar la protección de los ciudadanos cuando donen o reciban este tipo de sustancias como sangre, tejidos o células o los productos que deriven de ellos. En el caso del plasma, busca también contribuir a asegurar su disponibilidad, ya que es una sustancia esencial para la elaboración de medicamentos plasmáticos de los que dependen cerca de 300.000 ciudadanos europeos.

Los próximos pasos incluyen la adopción formal del reglamento SoHO por parte del Parlamento y el Consejo, momento desde el cual, los países miembros de la UE tendrán un plazo de 3 años para su aplicación. Una vez adoptado en implementado en todos los países el reglamento sustituirá las normas de seguridad y calidad establecidas en dos directivas (2002/98/CE sobre sangre y componentes sanguíneos y 2004/23/CE sobre tejidos y células) y en sus actas de aplicación.

Para más información:

• Proposal for a Regulation on substances of human origin
• Substances of human origin - ECDC
• Substances of human origin - European Directorate for the Quality of Medicines & HealthCare

Gestión y control de riesgos

La gestión de riesgos en Grifols

La Política de Control y Gestión de riesgos establece los principios básicos y el marco general de actuación para la identificación, evaluación, control y gestión de los riesgos, de toda naturaleza, a los que se enfrenta Grifols. Su objetivo es proporcionar mayor seguridad a pacientes, donantes, personas empleadas, accionistas, clientes y proveedores, entre otros grupos de interés, a través de la anticipación, control y gestión de los riesgos a los que Grifols está expuesta. La política se implementa mediante un sistema integral de control y gestión de riesgos basado en los principios enunciados por el “Committee of Sponsoring Organizations of the Treadway Commission” (COSO), que incluyen: gobierno y cultura, estrategia y establecimiento de objetivos, desempeño, revisión y monitorización, información, comunicación y reporte

Gobernanza

El Consejo de Administración de Grifols propone la Política de control y gestión de riesgos para asegurar que la compañía alcance sus objetivos y satisfaga las expectativas de sus grupos de interés, delegando la supervisión de la eficacia del sistema de gestión de riesgos en el Comité de Auditoría, en coordinación con el Comité Corporativo de Riesgos.

El Comité de Auditoría, compuesto por consejeros independientes, supervisa la eficacia del sistema de gestión de riesgos de Grifols, garantizando que los principales riesgos estén adecuadamente identificados, gestionados y comunicados. Para llevar a cabo estas actividades de supervisión, el Comité de Auditoría cuenta con la asistencia de las funciones independientes de Internal Audit y de Enterprise Risk Management, que reportan al Chief Internal Audit & Enterprise Risk Management.

Adicionalmente, tanto el Consejo de Administración como el Comité de Auditoría se reúnen periódicamente con los principales responsables de las áreas de negocio, funciones de aseguramiento, equipo jurídico externo y auditor externo para discutir cuestiones relacionadas con la gestión de riesgos de la compañía.

El Comité Corporativo de Riesgos está compuesto por un equipo multidisciplinar y multifuncional, que incluye miembros del equipo directivo y otros altos ejecutivos, así como al secretario del Comité de Auditoría. El Comité Corporativo de Riesgos es responsable de supervisar la evaluación, gestión y seguimiento de los riesgos y de asegurar la integración de la gestión de riesgos en los procesos de negocio.

La función de Enterprise Risk Management asiste al Comité Corporativo de Riesgos en el desarrollo e implementación de las políticas y procedimientos de gestión de riesgos.

Marco interno de gestión

• Política de control y gestión de riesgos
• Procedimiento de gestión de riesgos
• Procedimiento de riesgos emergentes
• Modelo de valoración de riesgos

Procedimiento de gestión de riesgos en Grifols

Grifols ha establecido un proceso integral y continuo de control y gestión de riesgos diseñado para identificar, evaluar y gestionar todos los riesgos relevantes a los que se enfrenta o pueda enfrentarse Grifols, así como para garantizar que las consideraciones de riesgo estén integradas a todos los niveles de la organización.

El procedimiento aplica a Grifols, S.A., filiales y participadas y cubre todas las categorías de riesgos definidas en la Política de Control y Gestión de Riesgos.

El Procedimiento de Gestión de Riesgos de Grifols integra las siguientes actividades recurrentes:

Identificación y evaluación de riesgos

Trimestralmente, el Departamento de Enterprise Risk Management (ERM) realiza un análisis de riesgos para identificar los riesgos emergentes que afectan a Grifols. Para ello, lleva a cabo revisiones de fuentes de información externas creíbles (ej. informe trimestral de riesgos emergentes de Gartner, informe de riesgos globales del Foro Económico Mundial, etc.); impulsa conversaciones individuales con miembros del equipo directivo, altos ejecutivos, responsables de riesgos, funciones de aseguramientos y otras personas empleadas, según sea necesario; y realiza un seguimiento de los principales riesgos en función de la evolución de las métricas seleccionadas como indicadores de riesgo.

Dos veces al año, además, realiza encuestas a un grupo seleccionado de personas empleadas (“risk liaisons”) con cargos y experiencia relacionados con riesgos (responsables de riesgos, funciones de aseguramiento, etc.) para evaluar los principales riesgos de la empresa y los riesgos emergentes, e identificar planes de respuesta y oportunidades potenciales. El departamento ERM utiliza estas encuestas, junto con otros análisis de riesgos internos y externos, para actualizar el mapa de riesgos de la empresa.

Los riesgos se evalúan en términos de impacto y probabilidad de ocurrencia, siguiendo el Modelo de Valoración de Riesgos de ERM. Para clasificar los riesgos por orden de prioridad, ERM completa la puntuación de los riesgos teniendo en cuenta la velocidad y las interdependencias de los riesgos. La clasificación de riesgos propuesta por ERM se somete a la revisión y aprobación del Comité de Riesgos Corporativo, que prioriza aquellos riesgos que requieren una respuesta inmediata y/o una mayor supervisión.

Respuesta al riesgo

Para los riesgos priorizados, el departamento de ERM identifica y evalúa los controles existentes. Los riesgos con riesgo residual fuera del apetito de riesgo definido con una estrategia de riesgo asignada más allá de “aceptar el riesgo”, requieren que los responsables de dichos riesgos desarrollen un plan para su mitigación que ha de ser validado por el departamento ERM y por la función de aseguramiento correspondiente. Los avances en la aplicación de los planes de mitigación se comunican periódicamente al Comité Corporativo de Riesgos.

Seguimiento ycomunicación de riesgos

Los responsables de los riesgos y las funciones de aseguramiento realizan un seguimiento continuo de los riesgos para identificar cambios en el entorno externo e interno que puedan aumentar el impacto o la probabilidad del riesgo por encima de niveles aceptables, dentro del apetito de riesgo definido.

El departamento ERM supervisa los cambios en la exposición a los principales riesgos (mayor puntuación de riesgo) a través de indicadores clave de riesgo (KRI) desarrollados por los responsables de los riesgos, y los comunica trimestralmente al Comité de Riesgos Corporativo.

Los resultados del proceso de gestión de riesgos también se comunican al Comité de Auditoría dos veces al año.

Clasificación y priorización de riesgos de Grifols

La descripción completa de los riesgos de Grifols es pública y está disponible en el último 20F correspondiente al ejercicio 2022, presentado y aprobado en abril de 2023.

Resumen de principales riesgos

Riesgo 1: Nivel de endeudamiento financiero

Un alto nivel de endeudamiento puede tener efectos adversos significativos en el negocio, aumentando la vulnerabilidad de la compañía ante recesiones económicas y limitando sus capacidades para realizar adquisiciones estratégicas o aprovechar otras oportunidades de negocio (entre otros impactos).

Para abordar estos desafíos Grifols ha implementado un plan de mejoras operativas, orientado a reforzar la competitividad, y construir una organización más ágil, eficiente y rentable. Este plan se enfoca en tres áreas clave: la optimización de costes y operaciones de plasma, la racionalización de funciones corporativas y la mejora de eficiencias en toda la organización.

Riesgo 2: Ciberseguridad

Los riesgos de seguridad de la información han aumentado en los últimos años debido a un incremento de los ciberataques y los robos y/o pérdidas de datos causados por ciberdelincuentes, personas empleadas, o terceros afectados, y tienen el potencial de provocar interrupciones del negocio y/o exponer datos sensibles.

Para mitigar este riesgo, la compañía ha implementado un sistema integral de gestión de la seguridad de la información, alineado con los estándares internacionales y las mejores prácticas, que establece objetivos claros, roles y responsabilidades, así como políticas y procedimientos para: (i) identificar y evaluar las amenazas de ciberseguridad; (ii) proteger los activos críticos; (iii) detectar y responder a las amenazas de ciberataques; y (iv) recuperar los procesos de negocio afectados por un incidente de ciberseguridad.

Riesgo 3: Competencia y cambios tecnológicos

Grifols se enfrenta a una fuerte competencia en el mercado. Sus competidores actuales y futuros pueden aumentar sus ventas, bajar sus precios, cambiar su modelo de distribución o mejorar sus productos, socavando las ventas y la cuota de mercado de la compañía.

Riesgo 4: Investigación y desarrollo de productos

La investigación y el desarrollo representan un aspecto significativo del negocio de Grifols, cuyos objetivos principales de I+D son (i) descubrir y desarrollar nuevos productos, (ii) investigar nuevas aplicaciones para los productos existentes y (iii) mejorar los procesos de fabricación para aumentar los rendimientos, la seguridad y la eficiencia.
Sin embargo, se enfrentan a varios desafíos para transformar estos esfuerzos en productos rentables. Estos obstáculos incluyen, pero no se limitan a, el desarrollo exitoso de un producto experimental para su uso en ensayos clínicos, el diseño de protocolos de estudios clínicos que sean aceptables para la FDA y otras agencias reguladoras, el éxito en los resultados de los ensayos clínicos o la capacidad para escalar los procesos de fabricación a fin de producir cantidades comerciales.

Riesgo 5: Retención y atracción de talentos

El éxito futuro de Grifols está ligado a su capacidad para retener a los miembros de su alta dirección y para atraer, desarrollar y motivar a personal cualificado. La compañía depende considerablemente de los principales integrantes de sus equipos ejecutivos y científicos. Por esta razón, la contratación y retención de personal cualificado en áreas como operaciones, finanzas y contabilidad, así como en los sectores científico, clínico, de ventas y marketing, son esenciales para el éxito de la compañía.

Riesgo 6: Ética e integridad

La actividad de Grifols está sujeta a una amplia regulación y supervisión gubernamental en los diversos países donde opera. Específicamente, la promoción, comercialización y venta de productos sanitarios y dispositivos médicos están altamente reguladas, y todos los actores del mercado están sujetos a una supervisión cada vez mayor por parte de las autoridades gubernamentales a nivel mundial. La compañía espera que esta tendencia de regulación y supervisión se mantendrá en el futuro.

Riesgo 7: Cadena de suministro

Una interrupción significativa en el suministro de plasma podría tener un impacto material adverso en el negocio y en los planes de crecimiento de la compañía. La mayoría de los ingresos de Grifols dependen del acceso al plasma de EE.UU. (obtenido mediante plasmaférisis), que es la materia prima esencial para la producción de los medicamentos plasmáticos de Grifols.

Riesgo 8: Innovación y transformación digital

La inversión de Grifols en nuevas tecnologías, procesos y modelos de negocio implica superar diversos obstáculos y riesgos, incluyendo discrepancias con su visión y objetivos, barreras culturales, deficiencias de habilidades, limitaciones de recursos y alteraciones externas. Estos desafíos tienen el potencial de socavar los beneficios esperados de la transformación digital y disminuir la competitividad de la empresa dentro de la industria.

Riesgo 9: Mercado de Biopharma en EE.UU.

La presencia de controles de precios, tanto directos como indirectos, y las presiones sobre los productos, han impactado y podrían continuar afectando la capacidad de Grifols para mantener o incrementar sus márgenes.

En Estados Unidos, las propuestas de legislación a nivel federal y estatal se han enfocado en los precios de los medicamentos, abarcando aspectos como negociaciones directas sobre precios, reembolsos y descuentos con los fabricantes. Aunque las terapias con proteínas plasmáticas han sido excluidas de algunos aspectos de estas legislaciones, persiste el riesgo de que los productos de la empresa puedan estar sujetos a futuras restricciones de precios.

Riesgo 10: Seguridad y calidad de los productos

El incumplimiento de las normas de calidad y seguridad podría poner en riesgo la salud y la seguridad de los pacientes, donantes y/o participantes en ensayos clínicos, provocar reclamaciones por responsabilidad de producto o retiradas de producto, resultando en pérdidas financieras significativas y afectando negativamente a la reputación.

Resumen de principales riesgos conforme al 20F del ejercicio cerrado a 2022 público y accesible a través de este enlace.

Riesgos Emergentes

Como se ha indicado con anterioridad, el proceso de gestión de riesgos de Grifols incluye la identificación y evaluación de riesgos emergentes. Entendemos por riesgo emergente un riesgo nuevo o que siendo conocido se presente en un contexto nuevo o poco familiar, con impacto potencial sobre Grifols a largo plazo.

Riesgo 1: inestabilidad geopolítica

Descripción del Riesgo:

El riesgo de posibles interrupciones e incertidumbres derivadas de decisiones, acontecimientos o condiciones políticas en regiones o países específicos ha aumentado en el último periodo, incrementando la posibilidad de impactos adversos en las operaciones de la compañía, la cadena de suministro, el entorno regulatorio y el acceso al mercado debido a tensiones geopolíticas, cambios políticos, disputas comerciales u otros factores geopolíticos.

Impactos potenciales:

• Limitaciones de acceso al mercado: los acontecimientos geopolíticos, tales como los cambios en las relaciones diplomáticas o en los acuerdos comerciales, podrían limitar el acceso de la compañía a mercados clave, lo que repercutiría en las ventas y el crecimiento de los ingresos.
• Interrupciones en la cadena de suministro: la inestabilidad geopolítica, como los conflictos regionales o los disturbios políticos, o la escalada de tensiones comerciales entre regiones o bloques que conduzcan a un aumento de los aranceles o las barreras comerciales, pueden interrumpir la cadena de suministro global, afectando a la estructura de costes y la competitividad de la empresa.
• Desafíos regulatorios: los cambios en las regulaciones farmacéuticas o los cambios en las prácticas de aplicación de la regulación en mercados clave como Estados Unidos y China podrían crear obstáculos para la compañía en términos de aprobación de productos, conformindad de la fabricación y acceso al mercado.

Planes de mitigación:

• Seguimiento y análisis de la evolución geopolítica.
• Diversificación de la fabricación y de la cadena de suministro en diferentes regiones, reduciendo la dependencia de un solo país o región y mejorando la resistencia frente a las interrupciones de la cadena de suministro.
• Supervisión exhaustiva del cumplimiento normativo para vigilar de cerca y adaptarse a los cambios de la normativa farmacéutica en los mercados clave.

Riesgo 2: Sofisticación de la ciberdelincuencia

Descripción del Riesgo:

El riesgo de que el nivel de complejidad, avance e innovación de los ciberataques explote vulnerabilidades en la infraestructura digital de la compañía. La convergencia de la inteligencia artificial (IA) y la computación cuántica con las ciberamenazas tradicionales puede amplificar significativamente el potencial de ataques altamente sofisticados y disruptivos.

Impactos potenciales:

• La interrupción de las operaciones de negocio críticas, incluyendo sistemas interconectados y socios puede provocar efectos en cascada.
• Filtración de datos personales sensibles, incluidos los datos sanitarios de donantes y pacientes.
• Amenazas deepfake de los líderes de Grifols y en las comunicaciones: la tecnología deepfake generada por IA puede emplearse para crear vídeos o grabaciones de audio falsos pero convincentes, provocando daños por desinformación y desconfianza dentro de la organización, perjudicando la credibilidad y la reputación de la compañía.

Planes de acción de mitigación:

• Identificación y evaluación continua de los riesgos de ciberseguridad, incluidos los riesgos de terceros.
• Medidas de seguridad para proteger la confidencialidad, integridad y disponibilidad de los sistemas de información y procesos asociados (incluidos los sistemas de información gestionados por terceros) y supervisión continua de su eficacia.
• Programas eficaces de respuesta y recuperación, que abarcan a las personas, los procesos, los sistemas de información y la tecnología.
• Equipo de ciberseguridad altamente cualificado, compuesto por personal directivo, informático y jurídico.
• Formación a personas empleadas, ejecutivos y directivos sobre riesgos de ciberseguridad y protección de datos sensibles y personales.

Impulso de una cultura de riesgos

Una cultura de riesgo sólida es esencial para que una organización identifique, evalúe y gestione de manera efectiva los riesgos a los que se enfrenta. Grifols anima a las personas empleadas en todos los niveles de la organización a identificar riesgos y a participar activamente en su mitigación mediante programas de formación y concienciación, además de promover una comunicación transparente con los responsables de los riesgos.

Actualmente, tres miembros no ejecutivos del Consejo de Administración de Grifols, además del secretario de la Comisión de Auditoría, cuentan con experiencia contrastada en la gestión y control de riesgos y, desde sus funciones de liderazgo, contribuyen a fomentar una cultura de gestión de riesgos en toda la organización.

Formación: Grifols desarrolla e implementa planes de capacitación y concienciación que garantizan a las personas trabajadoras los conocimientos teóricos y la formación práctica y adecuada en ámbitos como medioambiente, salud y seguridad, cumplimiento, ciberseguridad, prevención de delitos, farmacovigilancia o calidad, entre otros.

Además, el Departamento de ERM está actualizando el plan de formación sobre los principios generales de la gestión de riesgos, metodologías, mejores prácticas de buen gobierno y riesgos emergentes para a los miembros del Consejo de Administración, Comisión de Auditoría, Comité Corporativo de Riesgos y a los empleados que participan en la evaluación semestral de riesgos (“risk liaisons”).

Los miembros del Comité de Riesgos Corporativos reciben formación periódica sobre los nuevos requisitos y tendencias en materia de gobernanza y participan dos veces al año en foros y talleres para evaluar los riesgos, incluidos los riesgos emergentes. Esta formación se extiende a los miembros de la Comisión de Auditoría (consejeros no ejecutivos) a través de las reuniones periódicas que se celebran cada año.

Comunicación transparente: Grifols fomenta la comunicación transparente en relación con los riesgos mediante reuniones periódicas con los responsables de riesgos y talleres de trabajo y encuestas con otras personas empleadas.

Integración de criterios de riesgo en el desarrollo de productos: los criterios de riesgo están integrados en los requerimientos de propiedad intelectual y calidad que se siguen durante todo el proceso de desarrollo y aprobación de producto.