Kort oppsummert
- § 5 stiller åtte krav til innholdet i internkontrollen.
- Punkt 4 til 8 skal dokumenteres skriftlig. De tre første trenger ikke være skriftlige, men må være oppfylt.
- Omfanget skal tilpasses virksomhetens art, aktiviteter, risikoforhold og størrelse.
- Kravet er ikke en perm. Det er at arbeidet faktisk gjøres — og at det kan dokumenteres.
- De fleste virksomheter har deler på plass allerede. Jobben er som regel å tette hullene, ikke å begynne på null.
Hva forskriften faktisk krever
Internkontrollforskriften — formelt «forskrift om systematisk helse-, miljø- og sikkerhetsarbeid i virksomheter» — gjelder for alle som sysselsetter arbeidstakere. Den er hjemlet i blant annet arbeidsmiljøloven, brann- og eksplosjonsvernloven, forurensningsloven og el-tilsynsloven.
§ 5 er kjernen. Den lister åtte krav til hva internkontrollen skal inneholde, og angir hvilke av dem som må dokumenteres skriftlig.
Et viktig prinsipp står i samme paragraf: internkontrollen skal tilpasses virksomhetens art, aktiviteter, risikoforhold og størrelse. En frisørsalong og et prosessanlegg skal ikke ha samme omfang.
De åtte kravene
Slik lyder de, omskrevet til klarspråk. De fem siste er merket med at de skal foreligge skriftlig.
1. Ha regelverket tilgjengelig
Virksomheten skal sørge for at de lovene og forskriftene som gjelder for den er tilgjengelige, og ha oversikt over de kravene som er særlig viktige. Ikke skriftlighetskrav, men i praksis vanskelig uten en oversikt.
2. Sørge for kunnskap og ferdigheter
De ansatte skal ha tilstrekkelig kunnskap og ferdigheter i det systematiske HMS-arbeidet, og de skal informeres om endringer.
3. Sikre medvirkning
Arbeidstakerne skal medvirke, slik at samlet kunnskap og erfaring utnyttes. Dette er ikke en formalitet — det er ofte de som står i arbeidet som ser risikoen først.
4. Fastsette mål for HMS — skriftlig
Virksomheten skal ha mål for HMS-arbeidet, på samme måte som for andre driftsområder. Målene bør være så konkrete som mulig, og de skal dokumenteres skriftlig.
5. Ha oversikt over organisasjonen — skriftlig
Det skal foreligge oversikt over hvordan ansvar, oppgaver og myndighet for HMS-arbeidet er fordelt. Hvem gjør hva, og hvem har myndighet til å beslutte.
6. Kartlegging og risikovurdering — skriftlig
Farer og problemer skal kartlegges og risikovurderes, og det skal utarbeides planer og tiltak for å redusere risikoforholdene. Risikovurderingen skal være skriftlig.
7. Iverksette rutiner for avvik — skriftlig
Virksomheten skal iverksette rutiner for å avdekke, rette opp og forebygge overtredelser av HMS-lovgivningen. Merk de tre verbene: å melde avvik er bare det første.
8. Overvåke og gjennomgå internkontrollen — skriftlig
Til slutt skal internkontrollen overvåkes og gjennomgås systematisk, for å sikre at den fungerer som forutsatt. I praksis betyr det en jevnlig gjennomgang — typisk årlig.
Kravene i § 5 andre ledd nr. 4 til og med nr. 8 skal dokumenteres skriftlig. Dokumentasjonen skal ha den form og det omfang som er nødvendig ut fra virksomhetens art, aktiviteter, risikoforhold og størrelse.
Hva dette betyr i praksis
Erfaringen er at de fleste virksomheter har mer på plass enn de tror — og mindre dokumentert enn de tror.
Rutinene finnes ofte, men muntlig. Risikoen er vurdert, men i hodet til noen. Avvik håndteres, men uten spor. Og den årlige gjennomgangen blir et møte uten referat.
Det er nettopp der forskjellen mellom «vi gjør dette» og «vi kan vise at vi gjør dette» ligger. Ved tilsyn er det den andre varianten som teller.
Et nyttig kontrollspørsmål: hvis noen ba om å se hvordan dere jobber med hvert av punktene 4 til 8 — hvor lang tid ville det tatt å finne fram?
Der det typisk glipper
Fem mønstre går igjen:
- Mål som aldri ble satt. Punkt 4 er det enkleste å hoppe over, fordi ingen etterspør det i hverdagen.
- Risikovurdering som ble gjort én gang. Den skal oppdateres når driften endrer seg.
- Avvik uten oppfølging. Punkt 7 krever både å avdekke, rette opp og forebygge — ikke bare å registrere.
- Ingen årlig gjennomgang. Punkt 8 er det som oftest mangler helt.
- Dokumentasjon spredt. Alt finnes, men i permer, regneark og e-post — og ingen vet hvor.
Hvordan et system hjelper
Et system oppfyller ikke forskriften for dere. Mål må settes av ledelsen, risikoen må vurderes av folk som kjenner driften, og medvirkning må skje mellom mennesker.
Det systemet gjør, er å gjøre dokumentasjonen til et biprodukt av arbeidet i stedet for en egen jobb. Rutiner blir sjekklister med frister og purring. Avvik får ansvarlig og historikk i saksbehandlingen. Prosedyrer ligger i filarkivet i gjeldende versjon. Og gjennomgangen har noe å bygge på, fordi året er dokumentert underveis.
Continua er modulbasert, og settes opp etter hvor dere faktisk har hull. Har dere risikovurderingen på plass, men mangler sporbar avviksbehandling, bygger vi den delen. Trenger dere noe vi ikke har i dag, tilpasser vi løsningen til behovet.
Vær skeptisk til leverandører som hevder at systemet deres «oppfyller internkontrollforskriften». Ingen programvare kan sette målene deres eller gjøre risikovurderingen for dere.
Ofte stilte spørsmål
Hvor mange krav er det i internkontrollforskriften § 5?
Åtte. De omfatter regelverkstilgang, kunnskap, medvirkning, mål, organisering, risikovurdering, avviksrutiner og systematisk gjennomgang.
Hvilke punkter må dokumenteres skriftlig?
Punkt 4 til og med 8: mål, oversikt over organisasjonen, kartlegging og risikovurdering, rutiner for å avdekke og rette opp avvik, og systematisk overvåking og gjennomgang av internkontrollen.
Gjelder forskriften for små virksomheter?
Ja. Den gjelder alle som sysselsetter arbeidstakere. Men omfanget skal tilpasses virksomhetens art, aktiviteter, risikoforhold og størrelse, så en liten virksomhet med lav risiko trenger langt mindre enn et industrianlegg.
Holder det å ha en HMS-perm?
Kravet gjelder at arbeidet faktisk gjøres og kan dokumenteres. En perm kan oppfylle det, men i praksis er utfordringen å holde den oppdatert og å finne fram i den når noen spør.
Oppfyller et HMS-system forskriften?
Nei, ikke alene. Mål, risikovurdering og medvirkning er virksomhetens ansvar. Et system gjør dokumentasjonen og oppfølgingen enklere, og reduserer sjansen for at noe glipper.
Hva ser Arbeidstilsynet etter?
Typisk om det systematiske arbeidet faktisk skjer: om det finnes mål, risikovurdering, avviksrutiner med oppfølging, og en gjennomgang av om internkontrollen fungerer.