Internkontrollforskriften — de 8 kravene og sjekkliste for småbedrifter
En fredag i november ringte en restauranteier i Stavanger til meg. Arbeidstilsynet hadde sendt tilsynsvarsel — og han hadde aldri hørt om internkontrollforskriften. «Elin, vi har jo HMS-bok og alt det der fra da vi startet. Er ikke det nok?» Jeg tok en dyp pust. «Kommer an på hva som står i den,» sa jeg.
HMS-boka viste seg å inneholde et generelt skjema fra bransjeorganisasjonen, utfylt før åpning i 2019, og aldri oppdatert siden. Ingen mål for HMS. Ingen risikovurdering for kjøkkenarbeid. Ingen rutiner for avviksbehandling. Seks av de åtte kravene i internkontrollforskriften § 5 var uoppfylte. Tilsynet endte med føreglæggelse og 67 500 kr i tvangsmulkt.
Etter elleve år som HMS-konsulent i Rogaland har jeg sett dette mønsteret i nesten halvparten av de mellomstore bedriftene jeg har vært inne i. Ikke vond vilje — ganske enkelt manglende oversikt over hva loven faktisk krever, og hva som må dokumenteres skriftlig. Denne artikkelen går gjennom alle 8 kravene, punkt for punkt.
AnvendelsesområdeHvem er forpliktet — og finnes det egentlig unntak?
Internkontrollforskriften § 4 er krystallklar: den gjelder «alle virksomheter som sysselsetter arbeidstakere». Enkeltpersonforetak med én ansatt? Ja. Frivillig organisasjon med lønnede medarbeidere? Ja. Advokatkontor på to etasjer i Stavanger sentrum? Ja. Ingen bransjer er unntatt.
Det eneste reelle unntaket er selvstendige næringsdrivende uten ansatte. De er ikke arbeidstakere i lovens forstand, og faller dermed utenfor. Men det er verdt å merke seg: så snart du ansetter én person — selv i 20 prosent stilling — utløses full IK-plikt.
Et spørsmål jeg får ofte: «Vi er et kontorfellesskap, vi driver ikke med farlig arbeid — gjelder det oss?» Svaret er ja. AML § 3-1 og IK-forskriften skiller ikke mellom kontorvirksomhet og produksjonsbedrift. Risikonivået påvirker hva risikovurderingen inneholder, ikke om du er forpliktet.
— Daglig leder, regnsk ap sbyrå med 7 ansatte, Stavanger 2024
For småbedrifter med lav risiko (kontorarbeid, ingen kjemikalier, ingen maskinbruk) aksepterer Arbeidstilsynet i praksis enklere dokumentasjon. Men de 8 kravene i § 5 må likevel være oppfylt — det er dokumentasjonsnivået som kan tilpasses, ikke kravene i seg selv.
Paragraf 5De 8 kravene — hva de faktisk innebærer
Internkontrollforskriften § 5 lister opp de 8 kravene som punkt 1–8. I denne oversikten brukes bokstav a–h som visuelle etiketter. Kortversjon: krav 4 til og med 8 — her kalt d, e, f, g og h — skal dokumenteres skriftlig. De tre øvrige (a, b, c) må oppfylles, men loven stiller ikke eksplisitt skriftlighetskrav til disse.
Legg merke til at risikovurderingen (f) er det eneste kravet som både må være skriftlig og som eksplisitt krever en tilhørende handlingsplan. De fleste alvorlige tilsynssaker jeg har sett handler nettopp om manglende eller utdatert risikovurdering.
Skriftlig dokumentasjonDe 5 dokumentene du må ha på plass
Internkontrollforskriften § 5 angir nøyaktig hvilke krav som må være skriftlig dokumentert: krav nr. 4 til og med nr. 8. Lovteksten presiserer: «Skriftlig dokumentasjon etter denne forskrift skal minst omfatte annet ledd nr. 4) til og med nr. 8).» Det er kravene her kalt d, e, f, g og h.
De tre kravene som ikke har eksplisitt skriftlighetskrav (a, b, c) bør likevel dokumenteres i praksis. Arbeidstilsynet forventer å se en oversikt over relevant HMS-lovgivning (a), opplæringslogger for ansatte (b) og referat fra HMS-møter der ansatte har medvirket (c). Det er ikke et formelt skriftlighetskrav, men det er slik tilsynsinspektører går frem.
KonsekvenserHva koster det å ikke ha internkontrollen på plass?
Restauranten i Stavanger fikk 67 500 kr i tvangsmulkt. Det er på den lave siden. AML § 18-6 gir Arbeidstilsynet hjemmel til å faste§ette tvangsmulkt som løper til forholdet er rettet. For et mellomstort firma med gjentatte pålegg kan beløpet gå opp mot 150 000–200 000 kr.
| Type konsekvens | Hjemmel | Typisk omfang |
|---|---|---|
| Tvangsmulkt (pålegg ikke fulgt) | AML § 18-6 | 50 000–200 000 kr |
| Stans av virksomhet (akutt fare) | AML § 18-8 | Umiddelbar effekt |
| Politianmeldelse (grov uaktsomhet) | AML § 19-1 | Stråff/bøter, sjeldent |
| Forsikringsavslag ved arbeidsulykke | Forsikringsavtalen | Hele erstatningskravet |
Det siste punktet ser jeg undervurdert. To av mine klienter de siste tre årene fikk avvist forsikringskrav etter arbeidsulykker fordi forsikringsselskapet fastslo at manglende risikovurdering repråsenterte grovt uaktsom HMS-håndtering. Det er ikke et juridisk krav at risikovurderingen eksisterer for at forsikringen skal gjelde — men det er et argument selskapet kan bruke.
- 15 000–40 000 kr for første oppsett
- 5 000–15 000 kr/år for vedlikehold
- Faglig styrke ved kompleks risiko
- Gir deg lite eierskap til systemet
- Avhengig av konsulent ved oppdatering
- Fast pris, ingen årsavgift
- Du eier og oppdaterer selv
- Risikovurdering, avviksskjema og handlingsplan i samme fil
- Passer småbedrifter med lav til middels risiko
- Skriver ut ferdig rapport til Arbeidstilsynet
Spørsmål og svarDet folk flest lurer på
Kan vi bare kopiere en HMS-bok fra bransjeorganisasjonen vår?
Ja, som startpunkt. Men en generisk HMS-bok oppfyller sjelden kravene i § 5 bokstav e) og f) — ansvarsfordelingen og risikovurderingen må tilpasses din spesifikke virksomhet, dine lokaler og dine arbeidsprosesser. Arbeidstilsynet ser med en gang når et dokument er et generisk skjema som aldri er tilpasset.
Hvor ofte må vi oppdatere risikovurderingen?
IK-forskriften sier ikke «minst hvert år», men krever at risikovurderingen er aktuell. Arbeidstilsynet forventer oppdatering ved vesentlige endringer: ny avdeling, nye maskiner, nye kjemikalier, ny arbeidsplass. I tillegg bør den gjennomgås som del av den årlige IK-gjennomgangen (krav h).
Må vi ha verneombud for at IK-kravet skal være oppfylt?
Verneombud er et separat krav i AML § 6-1 (påkrevd når bedriften normalt sysselsetter minst 10 arbeidstakere, eller Arbeidstilsynet bestemmer det). IK-kravene gjelder uavhengig. Men kravet om medvirkning fra ansatte (§ 5 c) er vanskeligere å dokumentere uten verneombud — HMS-møter med protokoll er et minimum.
Hva skjer om tilsynet kommer og vi er midt i prosessen med å sette opp IK-systemet?
Vis hva du har, og vær ærlig om hva som mangler og når det vil være på plass. Arbeidstilsynet pålegger deg å rette opp med en frist. Tvangsmulkt utløses som regel først når fristen er overskredet og du ikke har rettet opp. Det er mye bedre å være i gang enn å ikke ha begynt.
Gjelder de samme kravene i alle bransjer?
Ja, kravene i § 5 er de samme. Men innholdet i risikovurderingen varierer kraftig: et kjemiverksted har helt andre risikoforhold enn et advokatkontor. IK-forskriften er prinsipiell — sektorspesifikke forskrifter (kjemikalier, bygg, helse) legger til ytterligere krav på toppen.
Obs: Denne artikkelen er generell informasjon og erstatter ikke rådgivning tilpasset din virksomhets konkrete situasjon. Kontakt en HMS-konsulent eller Arbeidstilsynet ved spørsmål om spesifikke krav.