Internkontroll i små bedrifter: de åtte kravene forklart med eksempler

Hvem må ha internkontroll, og gjelder kravene for små bedrifter?

Alle bedrifter med ansatte må ha internkontroll, også de minste (internkontrollforskriften §§ 2 og 4). Kravene er de samme for en restaurant med 15 ansatte som for et konsern. Omfanget tilpasses art, aktiviteter, risikoforhold og størrelse (§ 5 første ledd).

Plikten ligger hos den som er ansvarlig for virksomheten, i praksis daglig leder eller eier (§ 4). Arbeidet skal skje i samarbeid med de ansatte, og de ansatte plikter å medvirke.

Hvor mye dokumentasjon trenger en liten bedrift?

Dokumentasjonen skal ha den formen og det omfanget som bedriftens art, aktiviteter, risiko og størrelse tilsier (§ 5 tredje ledd). Kommentaren til forskriften sier at noen kan nøye seg med en enkel dokumentasjon. Alle i bedriften skal likevel vite hvordan HMS-arbeidet gjøres, og tilsynet skal kunne forstå det.

Krav 4–8 må stå skriftlig (§ 5 fjerde ledd). Instrukser, tillatelser, kompetansebevis og annen dokumentasjon som regelverket krever, skal også inngå.

Hva er de åtte kravene i internkontrollforskriften § 5?

De åtte kravene i § 5 andre ledd dekker regelverk, kunnskap, medvirkning, mål, organisering, risikovurdering, avviksrutiner og en systematisk gjennomgang. Eksemplene under bruker en tenkt restaurant med 15 ansatte, åpent kveld og helg.

1. Hvordan får dere oversikt over regelverket?

Bedriften skal sørge for at HMS-regelverket som gjelder, er tilgjengelig, og ha oversikt over kravene som er særlig viktige (nr. 1). I restauranten holder det med lenker til arbeidsmiljøloven, internkontrollforskriften og reglene for brannvern og elektriske anlegg.

Under lenkene står kravene som betyr mest i praksis: arbeidstid, vold og trusler, kjemikalier og tunge løft.

2. Hvilken kunnskap må de ansatte ha?

De ansatte skal ha nok kunnskap og ferdigheter i HMS-arbeidet, også om endringer (nr. 2). I restauranten går den nyansatte gjennom kniv- og frityrrutinen, rengjøringsmidlene og brannrutinen den første uka. Det er god praksis å notere hvem som har fått hvilken opplæring, og når.

Resten av opplæringen av nyansatte står i artikkelen om opplæringsplikten for nyansatte.

3. Hvordan sikrer dere medvirkning?

De ansatte skal medvirke, slik at samlet kunnskap og erfaring i bedriften blir brukt (nr. 3 og arbeidsmiljøloven § 3-1). I praksis er verneombudet og noen fra kjøkken og sal med når farene kartlegges. Et fast HMS-punkt på personalmøtet, med et kort referat, viser at de ansatte var med.

4. Hvordan setter dere mål for HMS?

Bedriften skal fastsette mål for helse, miljø og sikkerhet (nr. 4). Kommentaren til forskriften sier at målene bør være så konkrete som mulig, og at det også trengs overordnede mål.

Restauranten kan ha ett overordnet mål: ingen skal bli syke eller skadet av jobben. Konkrete mål kan være null kuttskader som trenger legebehandling og to vernerunder i året.

5. Hva må stå om organisering og ansvar?

Bedriften skal ha skriftlig oversikt over hvordan ansvar, oppgaver og myndighet i HMS-arbeidet er fordelt (nr. 5). I en liten bedrift holder ofte én side.

I restauranten har daglig leder det overordnede ansvaret. Kjøkkensjefen følger opp kjøkkenet, og hovmesteren salen. Siden viser også verneombudet og bedriftshelsetjenesten.

6. Hvordan kartlegger dere farer og vurderer risiko?

Bedriften skal kartlegge farer og problemer, vurdere risikoen og lage planer og tiltak som reduserer den (nr. 6). I restauranten kan farene være kutt ved oppvasken, brannskader ved frityren, tunge løft ved varemottaket og truende gjester sent på kvelden.

Hver fare får en vurdering av sannsynlighet og konsekvens, et tiltak, en ansvarlig og en frist. Malen for risikovurdering har feltene som trengs.

7. Hvilke rutiner trengs for avvik?

Bedriften skal ha skriftlige rutiner for å avdekke, rette opp og forebygge brudd på HMS-regelverket (nr. 7). Et avvik er et brudd på krav i regelverket eller i bedriftens egne rutiner. Arbeidstilsynet ber dere også registrere årsaken til nestenulykker som avvik.

Restauranten trenger minst én rutine for å melde skader, nestenulykker og farlige forhold, og én for hvordan meldingen følges opp. Stegene fra melding til lukket avvik, og hvem som må varsles ved en alvorlig ulykke, står i artikkelen om avvikshåndtering steg for steg.

8. Hva er den systematiske gjennomgangen?

Bedriften skal overvåke og gå gjennom internkontrollen, slik at den fungerer som forutsatt (nr. 8). Kommentaren til forskriften beskriver både en løpende vurdering og en fullstendig gjennomgang med jevne mellomrom.

Restauranten kan ta den store gjennomgangen i januar. Da ser daglig leder på om målene ble nådd, om risikovurderingene er oppdatert og hva fjorårets avvik viser. Guiden om HMS-årshjul fordeler resten av oppgavene måned for måned.

Hva endret seg for psykososialt arbeidsmiljø i 2026?

Fra 1. januar 2026 sier arbeidsmiljøloven § 4-3 uttrykkelig at de psykososiale arbeidsmiljøfaktorene skal være fullt forsvarlige. Ifølge Arbeidstilsynet presiserer endringen krav som gjaldt fra før.

Loven gir fire eksempler: uklare eller motstridende krav, emosjonelle belastninger i arbeid med mennesker, arbeidsmengde og tidspress, og støtte og hjelp i arbeidet. Arbeidstilsynet skriver at eksemplene er relevante for svært mange virksomheter. De er likevel ikke et minstekrav til hva alle skal kartlegge.

For restauranten hører fredagsrushet, krevende gjester og alenevakter ved stenging naturlig med i risikovurderingen (krav 6).

Hvilke HMS-roller må en liten bedrift ha på plass?

En liten bedrift må ha verneombud og en daglig leder med HMS-opplæring. Mange servicebransjer må i tillegg ha godkjent bedriftshelsetjeneste, og fra 10 ansatte kan arbeidsmiljøutvalg bli et krav.

Må dere ha verneombud og arbeidsmiljøutvalg?

Alle virksomheter skal ha verneombud (arbeidsmiljøloven § 6-1). Bare virksomheter med færre enn 5 arbeidstakere kan skriftlig avtale en annen ordning. Arbeidsmiljøutvalg (AMU) er påbudt fra 30 arbeidstakere, og fra 10 når en av partene krever det (§ 7-1).

Begge grensene ble senket 1. januar 2024, så eldre HMS-håndbøker kan ha feil tall. Hvem som er verneombud, skal kunngjøres ved oppslag på arbeidsplassen (§ 6-1 fjerde ledd).

Verneombudet skal tas med på råd om internkontrollen (§ 6-2). Arbeidsgiver betaler den nødvendige opplæringen (§ 6-5), som hovedregel minst 40 timer (forskrift om organisering, ledelse og medvirkning § 3-19).

Serveringssteder, renholdsbedrifter og overnattingssteder er også med i ordningen med regionale verneombud. Et regionalt verneombud virker der det ikke er valgt eget verneombud (samme forskrift §§ 6-1 og 6-3).

Hvilken HMS-opplæring må daglig leder ha?

Arbeidsgiver skal selv gjennomgå opplæring i HMS-arbeid (arbeidsmiljøloven § 3-5). Arbeidstilsynet skriver at plikten er personlig og ikke kan delegeres. I en liten bedrift er det som regel daglig leder som tar den.

Ifølge Arbeidstilsynet stilles det ingen krav til omfanget eller til hvem som holder kurset. Opplæringen skal likevel gi reell kunnskap, og den må kunne dokumenteres skriftlig, for eksempel med et kursbevis som viser innholdet.

Kjøkkensjefen og andre som leder arbeidet, skal også ha kompetanse til å kontrollere at arbeidet gjøres forsvarlig (§ 3-2 første ledd bokstav b).

Når må bedriften ha bedriftshelsetjeneste?

Bedriften må knytte seg til en godkjent bedriftshelsetjeneste når risikoforholdene tilsier det (arbeidsmiljøloven § 3-3). Bransjene på lista i forskrift om organisering, ledelse og medvirkning § 13-1 har plikten uansett.

Lista omfatter blant annet restauranter (56.11), barer (56.3), hoteller (55.1), kantiner (56.22), rengjøring (81.2), frisering og barbering (96.21), lege- og tannlegetjenester (86.2) og fysioterapi (86.95). Ifølge Arbeidstilsynet gir de nye næringskodene fra 1. september 2025 særskilte unntak for blant annet cateringvirksomhet og drift av gatekjøkken.

Sjekk derfor næringskoden bedriften er registrert med i Enhetsregisteret. Restauranten i eksempelet, registrert som drift av restauranter, må ha godkjent bedriftshelsetjeneste. En avtale med en lege de ansatte kan gå til, regnes ikke som bedriftshelsetjeneste.

Hva ser Arbeidstilsynet etter ved tilsyn?

Arbeidstilsynet kontrollerer blant annet om bedriften gjør nok for å forebygge at de ansatte blir syke eller skadet, og ser på dokumentasjonen av det arbeidet. Tilsynet kan være meldt, uanmeldt eller et rent dokumenttilsyn.

Før et meldt tilsyn får bedriften et brev om tema og dokumentasjon. Arbeidstilsynet møter minst arbeidsgiver og verneombud. Ved uanmeldt tilsyn snakker inspektørene med dem som er på jobb.

Den vanligste reaksjonen på brudd er et pålegg om å rette forholdet innen en frist. Følges ikke pålegget, kan det bli tvangsmulkt eller stans. Alvorlige eller gjentatte brudd kan gi overtredelsesgebyr.

God praksis, utledet av regelverket: Arbeidstilsynet publiserer ingen fast liste over hva de ber om. Ha derfor klart krav 4–8 i § 5 og beviset for daglig leders HMS-opplæring. Har bransjen BHT-plikt, legg også fram avtalen med bedriftshelsetjenesten.

Hva er forskjellen på HMS-internkontroll og IK-mat?

HMS-internkontrollen handler om de ansattes helse og sikkerhet, og Arbeidstilsynet fører tilsyn med den. IK-mat handler om at maten er trygg for gjestene, og der er Mattilsynet tilsynsmyndighet. En restaurant trenger begge.

IK-mat bygger på forskrift om internkontroll for å oppfylle næringsmiddellovgivningen. Fire rutiner skal være skriftlige (§ 4 fjerde ledd og § 5): avvik, gjentakelse av avvik, gjennomgang og at bare gjeldende rutiner brukes. Mattilsynet skriver at dokumentasjonen kan ligge i en perm, en notatbok, et digitalt dokument eller en app.

For mange er det praktisk med ett samlet system for alle lovene, ifølge kommentaren til internkontrollforskriften. Temperaturlogger, renhold og daglige matkontroller står i guiden om digitale sjekklister for daglige rutiner.

Hvordan kommer dere i gang med internkontrollen på en uke?

Dere kommer i gang ved å skrive en første versjon av hvert krav, fordelt på fem arbeidsdager. Den blir bedre ved første gjennomgang.

1. Dag 1, ansvar og opplæring: Skriv én side om hvem som har ansvar for hva (krav 5). Finn kursbeviset for HMS-opplæringen din, eller meld deg på et kurs.
2. Dag 2, verneombud og bedriftshelsetjeneste: Sjekk at verneombudet er valgt, har fått opplæring og står på oppslag. Sjekk om næringskoden gir BHT-plikt.
3. Dag 3, kartlegging: Gå gjennom arbeidsplassen med verneombudet og 2–3 ansatte, og skriv ned farene (krav 3).
4. Dag 4, risikovurdering, mål og avviksrutine: Vurder hver fare og sett tiltak med ansvarlig og frist. Skriv 2–3 mål og en kort meldingsrutine (krav 4, 6 og 7).
5. Dag 5, regelverk og gjennomgang: Lag lista over regelverket (krav 1). Gå gjennom alt på et personalmøte, og sett dato for neste gjennomgang (krav 2 og 8).

Hvordan de daglige kontrollene kan følges opp digitalt, står i artikkelen om hva en sjekkliste-app bør kunne.

Hvordan kan Operra hjelpe bedriften din?

Med perm og regneark er det vanskelig å se hvem som har lest en ny rutine, og funn fra vernerunden blir lett liggende. HMS-modulen i Operra samler risikovurderinger, vernerunder, rutiner og skaderegister på ett sted.

Risikovurderingene har risikomatrise, restrisiko etter tiltak og revisjoner. Vernerunden gjøres på mobilen, og hvert funn kan bli et tiltak, et avvik eller en ny risikovurdering. Tiltak med frist, vernerunder og revisjoner av risikovurderinger gir påminnelser.

HMS-rutinene publiseres i versjoner, og lesestatusen viser hvem som har lest gjeldende versjon. Skaderegisteret samler personskadene som arbeidsmiljøloven § 5-1 krever registrert. Oversikten «Årets HMS-arbeid» viser fremdriften, og dokumentasjonen kan hentes ut som PDF.

Til krav 7 og de daglige kontrollene finnes modulene Avvik og Sjekklister. Et avvik kan ikke lukkes før effekten av tiltaket er bekreftet, og et kritisk sjekklistepunkt som avviker, blir automatisk et avvik.

I restauranten går verneombudet vernerunden på telefonen, og kjøkkensjefen får påminnelse om tiltakene sine. Ved gjennomgangen i januar ligger vurderingene, rundene og avvikene samlet.

Operra vurderer ikke om internkontrollen oppfyller forskriften. Kartleggingen, medvirkningen og ansvaret er bedriftens egne. Operra er heller ingen godkjent bedriftshelsetjeneste og erstatter ikke daglig leders HMS-opplæring.

Se hva som er med i HMS-modulen i Operra. HMS koster 199 kr/mnd og Avvik 99 kr/mnd, i tillegg til 39 kr/mnd per aktiv ansatt, alt eks. mva. Begge kan testes gratis i 30 dager.

Hvordan modulene passer sammen i en bedrift uten HMS-avdeling, står på siden om HMS-system for små bedrifter.

Artikkelen gir en oversikt over regelverket og er ingen juridisk rådgivning. Les internkontrollforskriften og arbeidsmiljøloven på Lovdata. Er dere usikre på hva som gjelder for bedriften, kan dere spørre Arbeidstilsynet.