Internkontrollforskriften (IK-forskriften) er selve ryggraden i norsk HMS-lovgivning. Den pålegger alle virksomheter som sysselsetter arbeidstakere å jobbe systematisk med helse, miljø og sikkerhet. Likevel er det mange bedrifter som sliter med å forstå hva forskriften faktisk krever — og enda flere som ikke har et fungerende internkontrollsystem.
I denne guiden gir vi deg en grundig gjennomgang av Internkontrollforskriften: hva den er, hvem den gjelder for, hvilke krav den stiller, og hvordan du i praksis kan bygge et system som oppfyller alle kravene. Vi refererer til konkrete lovparagrafer og gir deg praktiske tips du kan bruke med en gang.
Hva er Internkontrollforskriften?
Internkontrollforskriften, formelt kalt Forskrift om systematisk helse-, miljø- og sikkerhetsarbeid i virksomheter, trådte i kraft 1. januar 1997. Den er hjemlet i en rekke lover, deriblant arbeidsmiljøloven (AML), forurensningsloven, brann- og eksplosjonsvernloven, produktkontrolloven og flere.
Formålet er beskrevet i §1: Forskriften skal fremme et forbedringsarbeid innen helse, miljø og sikkerhet (HMS) i virksomhetene. Gjennom krav om systematisk gjennomføring av tiltak skal den sikre at problemer oppdages og tas hånd om i tide.
I praksis betyr dette at arbeidsgivere ikke bare må følge HMS-regelverket — de må også kunne dokumentere at de gjør det, og at de har et system for å fange opp og løse problemer fortløpende.
Hvem gjelder forskriften for?
Internkontrollforskriften gjelder for alle virksomheter som er omfattet av de lovene forskriften er hjemlet i. I praksis betyr dette tilnærmet alle norske bedrifter som har ansatte. Det spiller ingen rolle om du har 2 eller 2000 ansatte — plikten til internkontroll gjelder.
Noen viktige presiseringer:
- Enkeltpersonforetak uten ansatte er formelt unntatt, men dersom du leier inn arbeidskraft eller har underentreprenører, gjelder forskriften likevel.
- Små bedrifter (1–4 ansatte) har noe enklere dokumentasjonskrav, men selve plikten til systematisk HMS-arbeid er den samme.
- Utleie av arbeidskraft: Både utleiebedriften og innleiebedriften har ansvar etter forskriften.
- Offentlige virksomheter er også omfattet.
De 8 kravene i §5 — hjertet av forskriften
§5 i Internkontrollforskriften er den viktigste paragrafen for deg som arbeidsgiver. Den lister opp åtte konkrete krav til hva internkontrollen skal inneholde. Kravene 1–4 er aktivitetskrav (noe du skal gjøre), mens kravene 5–8 er dokumentasjonskrav (noe du skal kunne vise frem skriftlig).
Krav 1: Sørge for at lover og forskrifter er tilgjengelige
Du skal ha oversikt over hvilke HMS-krav som gjelder for din virksomhet, og disse skal være tilgjengelige for de ansatte. Det betyr at du må kartlegge relevant regelverk for din bransje — for eksempel arbeidsmiljøloven, byggherreforskriften, forskrift om utførelse av arbeid, eller forskrift om organisering, ledelse og medvirkning.
Krav 2: Sørge for at arbeidstakerne har tilstrekkelig kunnskap
Alle ansatte skal ha den kunnskapen og de ferdighetene som trengs for å utføre arbeidet på en forsvarlig måte. Dette inkluderer HMS-opplæring tilpasset arbeidsoppgavene, opplæring i bruk av arbeidsutstyr, og kjennskap til virksomhetens rutiner for avvikshåndtering og varsling.
Arbeidsmiljøloven §3-2 presiserer at opplæringen skal gis ved tilsetting, ved endringer i arbeidsoppgaver, og ved innføring av ny teknologi. HMS-opplæring for ledere er lovpålagt etter AML §3-5.
Krav 3: Sørge for at arbeidstakerne medvirker
Medvirkning er et grunnleggende prinsipp i norsk arbeidsmiljølov. Arbeidstakerne skal delta aktivt i HMS-arbeidet — gjennom verneombud, arbeidsmiljøutvalg (AMU) der det er krav om dette, eller andre former for medvirkning. De ansatte skal ha reell mulighet til å påvirke HMS-arbeidet i bedriften.
Krav 4: Kartlegge farer og problemer, vurdere risiko
Dette er selve kjernen i HMS-arbeidet: du skal systematisk kartlegge hvilke farer og problemer som finnes i virksomheten, vurdere sannsynligheten for at noe kan gå galt og konsekvensene dersom det skjer, og iverksette tiltak for å redusere risikoen. Risikovurderinger skal gjennomføres regelmessig og ved endringer i virksomheten.
Krav 5: Ha en oversikt over virksomhetens organisasjon (dokumentert)
Du skal ha dokumentasjon som viser hvordan virksomheten er organisert med tanke på HMS — hvem som har ansvar for hva, organisasjonskart, og hvordan HMS-oppgavene er fordelt. Dette skal foreligge skriftlig.
Krav 6: Kartlegge farer og problemer — dokumentert
Risikovurderingene du gjør under krav 4 skal også dokumenteres skriftlig. Du skal kunne vise frem kartlegging av farer, risikovurderinger med sannsynlighet og konsekvens, og de tiltakene du har besluttet å iverksette.
Krav 7: Ha handlingsplaner (dokumentert)
Basert på risikovurderingene skal du utarbeide handlingsplaner som beskriver konkrete tiltak, frister, ansvarlige personer og status. Handlingsplanene skal være levende dokumenter som oppdateres løpende.
Krav 8: Systematisk overvåking og gjennomgang (dokumentert)
Du skal ha rutiner for å overvåke og gjennomgå internkontrollen for å sikre at den fungerer som forutsatt. Dette inkluderer vernerunder, medarbeiderundersøkelser, gjennomgang av avviksrapporter, og ledelsens gjennomgang av HMS-systemet.
Forholdet til arbeidsmiljøloven
Internkontrollforskriften og arbeidsmiljøloven henger tett sammen. AML §3-1 er den sentrale bestemmelsen om systematisk HMS-arbeid. Den fastslår at arbeidsgiveren skal:
- Sørge for at virksomheten har et systematisk HMS-arbeid på alle plan
- Samarbeide med arbeidstakerne og verneombud/AMU
- Fastsette mål for HMS-arbeidet
- Ha oversikt over krav fra HMS-lovgivningen
- Kartlegge farer og iverksette tiltak
- Gjennomgå om HMS-tiltakene fungerer
IK-forskriften konkretiserer og operasjonaliserer disse overordnede kravene. Der AML sier «du skal ha systematisk HMS-arbeid», sier IK-forskriften nøyaktig hva det skal inneholde.
Konsekvenser av manglende internkontroll
Å ikke ha internkontroll på plass kan få alvorlige konsekvenser:
- Pålegg fra Arbeidstilsynet: Ved tilsyn kan du få pålegg om å rette opp mangler innen en gitt frist. Påleggene er offentlige og kan skade bedriftens omdømme.
- Tvangsmulkt: Dersom pålegg ikke følges opp, kan Arbeidstilsynet ilegge løpende tvangsmulkt — dagbøter som løper til forholdene er rettet.
- Stansing av virksomheten: I alvorlige tilfeller kan Arbeidstilsynet stanse driften helt eller delvis.
- Overtredelsesgebyr: Arbeidstilsynet kan ilegge overtredelsesgebyr på opptil 15 G (per 2026 tilsvarer dette over 1,8 millioner kroner).
- Straffeansvar: Ved grove eller gjentatte brudd kan daglig leder og/eller styret straffes med bøter eller fengsel i inntil ett år etter AML §19-1.
- Erstatningsansvar: Dersom manglende HMS-arbeid fører til skade på ansatte, kan bedriften bli erstatningsansvarlig.
Praktiske tips for å komme i gang
Mange bedrifter opplever internkontroll som overveldende, men det trenger ikke å være det. Her er en steg-for-steg tilnærming:
Steg 1: Forankre ansvaret
Daglig leder har det overordnede ansvaret, men du bør delegere konkrete HMS-oppgaver til personer med rett kompetanse. Dokumenter hvem som har ansvar for hva i et organisasjonskart med HMS-roller.
Steg 2: Kartlegg gjeldende regelverk
Identifiser hvilke lover og forskrifter som gjelder for akkurat din virksomhet. Arbeidstilsynet har bransjespesifikke veiledninger som er et godt utgangspunkt. Lag en oversikt og gjør den tilgjengelig for de ansatte.
Steg 3: Gjennomfør risikovurdering
Start med å kartlegge farene i virksomheten. Involver de ansatte — de kjenner arbeidsplassen best. Vurder sannsynlighet og konsekvens for hver fare, og prioriter tiltak der risikoen er høyest.
Steg 4: Lag handlingsplan
For hvert identifisert tiltak: beskriv hva som skal gjøres, hvem som er ansvarlig, og når det skal være ferdig. Bruk handlingsplanen som et aktivt styringsverktøy, ikke et dokument som samler støv.
Steg 5: Etabler rutiner for avvikshåndtering
Lag en enkel prosedyre for hvordan ansatte skal rapportere avvik, uønskede hendelser og forbedringsforslag. Viktigst: sørg for at rapporterte avvik faktisk følges opp og lukkes.
Steg 6: Gjennomfør opplæring
Sørg for at alle ansatte får HMS-opplæring tilpasset sine arbeidsoppgaver. Dokumenter hvem som har fått opplæring, når, og i hva. Husk at ledere har et eget lovpålagt krav om HMS-opplæring etter AML §3-5.
Steg 7: Planlegg vernerunder og gjennomganger
Sett opp en årsplan for vernerunder, medarbeidersamtaler og ledelsens gjennomgang av HMS-systemet. Regelmessighet er nøkkelen — det holder ikke å gjøre dette én gang i året rett før tilsyn.
Steg 8: Gjennomgå og forbedre
Internkontroll er ikke noe du blir ferdig med. Sett av tid minst årlig til å gjennomgå hele HMS-systemet: Fungerer rutinene? Blir avvik fulgt opp? Er risikovurderingene oppdaterte? Har det skjedd endringer i virksomheten som krever nye tiltak?
Digitale verktøy gjør jobben enklere
Mange bedrifter bruker fortsatt regneark, Word-dokumenter og permer til HMS-arbeidet. Det fungerer — men det er tungvint, vanskelig å holde oppdatert, og gjør det krevende å holde oversikt over frister og ansvar.
Et digitalt HMS-system som Komplio samler all internkontrolldokumentasjon på ett sted: risikovurderinger, handlingsplaner, avviksmeldinger, opplæringslogg, vernerunder og mer. Du får automatiske påminnelser om frister, og kan generere komplett dokumentasjon for Arbeidstilsynet med ett klikk.
Komplio er bygget spesifikt for norske SMB-bedrifter og dekker alle de 8 kravene i IK-forskriften §5. Du kan prøve plattformen gratis i 14 dager uten å oppgi kredittkortinformasjon.