Hva skal et internkontrollsystem inneholde?

Hva skal et internkontrollsystem inneholde?: Krav og oversikt

Å forstå hva skal et internkontrollsystem inneholde er essensielt for å sikre et forsvarlig arbeidsmiljø og unngå brudd på regelverket. Riktig kartlegging av risiko og gode skriftlige rutiner beskytter virksomheten mot alvorlige mangler.

Grunnleggende krav til hva et internkontrollsystem skal inneholde

Et velfungerende internkontrollsystem skal inneholde skriftlige mål for helse, miljø og sikkerhet, en tydelig oversikt over organisasjonens ansvarsfordeling, og dokumenterte rutiner for å avdekke og rette opp avvik. Formålet er å sikre at virksomheten driver systematisk forebygging av skader og miljøbetingede problemer. Spørsmålet om innhold kan virke komplekst fordi kravene avhenger sterkt av virksomhetens størrelse og risikoprofil.

Da jeg startet å jobbe med HMS-systemer, trodde jeg at en ferdigkjøpt mal var nok. Det var en stor misforståelse. Tall fra gjennomførte kontroller viser at det ble avdekket brudd på regelverket i hele 72 prosent av alle offisielle tilsyn på norske arbeidsplasser i 2024. Dette betyr at de fleste systemer på papiret ikke fungerer i praksis. Det finnes imidlertid en kritisk feil som svært mange bedrifter gjør når de utarbeider rutinene sine - jeg vil forklare denne feilen og hvordan du unngår den i avsnittet om risikokartlegging nedenfor. God internkontroll handler om levende rutiner, ikke støvete permer.

De åtte lovpålagte kravene til systematisk HMS-arbeid

Internkontrollforskriften stiller åtte konkrete krav til internkontroll på arbeidsplassen. Virksomheten må ha oversikt over gjeldende lover, sikre tilstrekkelig kompetanse hos de ansatte, og involvere arbeidstakerne aktivt i utformingen av systemet. Videre må det settes skriftlige mål, defineres roller, kartlegges risiko, iverksettes tiltak og foretas regelmessige gjennomganger av selve systemet.

For mindre bedrifter kan dette virke som unødvendig byråkrati. Men sannheten er brutal. Nyere undersøkelser fra 2026 i serveringsbransjen viser at over 80 prosent av bedriftene hadde alvorlige mangler i det systematiske HMS-arbeidet sitt. De manglet ofte helt grunnleggende forståelse for hva er internkontroll og hvordan risiko skal håndteres. Det krever innsats å holde oversikten. Min erfaring er at de bedriftene som lykkes, er de som gjør kravene til en naturlig del av den daglige driften i stedet for å behandle det som et skippertak før kontrollørene kommer.

Medvirkning fra de ansatte er en forutsetning

Du kan ikke lage et internkontrollsystem hms krav alene på et lukket kontor. Lovverket krever at tillitsvalgte og verneombud deltar aktivt. Ansatte sitter med den reelle kunnskapen om hvor skoen trykker i hverdagen.

Skriftlig dokumentasjon av mål og ansvarsfordeling

De fem siste punktene i lovverket krever ufravikelig skriftlig dokumentasjon for alle bedrifter med ansatte. Dette betyr at bedriften må dokumentere hms mål skriftlig dokumentasjon, og ha et organisasjonskart som viser nøyaktig hvordan ansvar, oppgaver og myndighet er fordelt. Målene skal være konkrete, slik som å redusere sykefraværet eller unngå fysiske belastningsskader.

Mange ledere tror at ansvaret kan delegeres bort til en HMS-ansvarlig. Det er feil. Det overordnede ansvaret ligger alltid hos øverste leder, uansett hvor mye av det praktiske arbeidet som settes ut til andre. Hvis rutinene svikter, især når det kommer til spørsmålet om hva skal et internkontrollsystem inneholde, er det daglig leder som må svare for det. Skriftliggjøring hindrer misforståelser når uhell først skjer.

Kartlegging av risiko og handlingsplan for tiltak

Hjertet i ethvert internkontrollsystem er risikovurderingen og de tilhørende rutinene for avviksbehandling. Virksomheten må kartlegge farer, vurdere sannsynlighet og alvorlighetsgrad, og lage en konkret handlingsplan med frister og ansvarlige personer for å redusere risikoen. Systemet må også fange opp uønskede hendelser raskt.

Her er den kritiske feilen jeg nevnte tidligere: Mange bedrifter kopierer generiske lister fra internett i stedet for å gjøre en reell vurdering av sin egen hverdag. De laster ned standarddokumenter som ikke passer til deres unike arbeidsmiljø. Kontroller viser at nærmere 40 prosent av bedrifter har direkte brudd knyttet til håndtering og registrering av avviksrutiner. De vet rett og slett ikke hva de skal gjøre når noe går galt. Å overse dette kan koste dyrt. En god risikovurdering krever at du ser på dine egne ansatte, dine egne maskiner og dine egne lokaler.

Valg av løsning for internkontroll

Når du skal utforme og lagre bedriftens internkontrollsystem, står valget vanligvis mellom tre ulike metoder. Hver tilnærming har sine klare fordeler og ulemper avhengig av bedriftens størrelse.

Fysisk HMS-perm på kontoret

- Krever mye manuelt arbeid med utskrifter og fysisk signering av dokumenter

- Risiko for at dokumenter forsvinner eller at utdaterte versjoner blir liggende

- Enkel å sette opp i starten, men svært vanskelig å holde oppdatert for de ansatte

- Laveste oppstartskostnad, men kan bli dyrt ved manglende effektivitet

Digital lagring i skyen (Dokumentarkiv)

- Moderat tidsbruk ettersom filer må struktureres og oppdateres manuelt

- God kontroll på versjoner og enkel fremvisning ved inspeksjon

- Enkelt tilgjengelig fra PC og mobil for alle i bedriften

- Ofte inkludert i eksisterende programvareløsninger eller skytjenester

Spesialisert HMS-programvare

- Minimerer tidsbruk på administrasjon gjennom automatiske påminnelser

- Beste løsning for dokumentasjon da alt loggføres og lagres automatisk

- Svært høy med automatiserte varsler, digitale avviksskjema og ferdige moduler

- Høyere månedlig lisenskostnad, men sparer arbeidstimer over tid

Hanna sin reise med HMS: Fra kaos til kontroll

Hanna, en daglig leder for en kafé med ti ansatte i Oslo, slet med å forstå kravene til internkontroll. Hun følte seg overveldet av regler og fryktet tilsyn.

Første forsøk var å kjøpe en tykk perm med standardmaler og sette den i hylla. Resultatet ble at ingen ansatte leste den, og rutinene ble aldri brukt i hverdagen.

Gjennombruddet kom da hun innså at systemet må speile den faktiske hverdagen deres. Hun involverte verneombudet og laget enkle, digitale sjekklister for de ansatte.

Etter fire uker var alle avvik rapportert digitalt, sykefraværet sank betydelig, og kafeen besto et uanmeldt tilsyn uten en eneste merknad.