Internkontrollforskriften – hva kreves konkret?

Denne artikkelen forklarer hva internkontrollforskriften faktisk krever i praksis.
Den er relevant for virksomheter som er usikre på hva som er et krav – og hva som bare er anbefalinger.

Internkontrollforskriften stiller ikke krav om bestemte systemer eller løsninger. Den stiller krav til resultat: at virksomheten jobber systematisk med HMS og kan vise at dette faktisk fungerer i praksis.

Hva er formålet med internkontrollforskriften?

Formålet med internkontrollforskriften er å sikre at virksomheter:

• har oversikt over risiko i egen drift
• forebygger skade på mennesker, miljø og materiell
• oppdager og håndterer avvik
• forbedrer HMS-arbeidet over tid

Forskriften er bevisst overordnet. Den gir virksomheten ansvar for å vurdere hvordan kravene løses, basert på virksomhetens størrelse, risiko og aktivitet.

Hva krever forskriften at virksomheten faktisk gjør?

I praksis forventes det at virksomheten kan vise at den:

• kjenner til hvilke HMS-krav som gjelder for egen virksomhet
• har fastsatt mål for HMS-arbeidet
• har avklart ansvar og roller
• har kartlagt risiko og vurdert konsekvenser
• har besluttet og gjennomført nødvendige tiltak
• følger opp avvik og uønskede hendelser
• evaluerer og forbedrer HMS-arbeidet

Dette er ikke en sjekkliste for dokumenter, men en beskrivelse av et fungerende system.

Hva må dokumenteres skriftlig?

Internkontrollforskriften krever ikke at alt dokumenteres skriftlig.
Arbeidstilsynets veiledning presiserer likevel at enkelte forhold skal kunne dokumenteres.

Virksomheten må kunne vise skriftlig dokumentasjon på:

• mål for HMS-arbeidet
• ansvar og organisering
• kartlegging og risikovurdering
• beslutning og oppfølging av tiltak
• håndtering av avvik og uønskede hendelser

Dokumentasjonen kan lagres på papir, som PDF-filer i en sky-løsning eller i et digitalt system. Regelverket skiller ikke på format, så lenge informasjonen er tilgjengelig og oppdatert.

Hva er forventningen ved tilsyn?

Ved tilsyn vurderer myndighetene først og fremst om HMS-arbeidet fungerer i praksis.

Det legges vekt på om:

• systemet er tilpasset virksomhetens størrelse og risiko
• ansatte kjenner rutinene og vet hvordan de brukes
• avvik faktisk meldes og følges opp
• tiltak gjennomføres og evalueres
• dokumentasjonen stemmer med virkeligheten

Et enkelt, men brukt system vurderes ofte bedre enn et omfattende system som ikke etterleves.

Hva forskriften ikke krever

Internkontrollforskriften krever ikke:

• bestemte digitale løsninger
• sertifisering eller eksterne revisjoner
• avanserte risikomodeller
• omfattende dokumentasjon uten praktisk bruk

Dette er valg virksomheten selv kan ta, men de er ikke forskriftskrav.

Kort oppsummert

Internkontrollforskriften krever at virksomheten:

• jobber systematisk med HMS
• har oversikt over risiko og ansvar
• kan dokumentere sentrale deler av HMS-arbeidet
• følger opp og forbedrer systemet over tid

Hvordan dette løses er virksomhetens ansvar, så lenge løsningen er forståelig, brukt og tilpasset risikoen i egen drift.

→ Hva vurderer Arbeidstilsynet ved tilsyn?