Internkontrollforskriften § 5 forklart
Skrevet av Nicolai Bjerknes Slinning, Grunnlegger, Sydera.io Technologies AS. Sist faglig gjennomgått .
Internkontrollforskriften § 5 er punktet der HMS går fra å være en intensjon til å bli noe som skal kunne dokumenteres. Paragrafen sier hva internkontrollen skal inneholde, og hvilke deler av den som må være skriftlig. Her er hva hvert punkt betyr i praksis for et styringsdokument.
Hva paragrafen krever
§ 5 sier at internkontrollen skal tilpasses virksomhetens art, aktiviteter, risikoforhold og størrelse. Deretter listes det som skal dokumenteres skriftlig: mål for helse, miljø og sikkerhet; oversikt over organisasjon, ansvar, oppgaver og myndighet; kartlegging av farer og problemer med vurdering av risiko; planer og tiltak som følger av kartleggingen; rutiner for å avdekke, rette opp og forebygge brudd på regelverket; og systematisk overvåking og gjennomgang av internkontrollen selv. Paragrafen krever også at arbeidstakerne medvirker i innføringen og utøvelsen.
Skriftlig betyr etterprøvbart
Kravet er at en utenforstående skal kunne lese hva virksomheten har bestemt, hvem som har ansvaret, og hva som skjer når noe avdekkes. Små virksomheter med lav risiko kan dekke § 5 på få sider. Det som sjelden holder, er en tekst som beskriver gode hensikter uten å si hvem som gjør hva, og når.
Der dokumenter typisk faller
To punkter er oftest ikke beskrevet. Det ene er rutinen for avvik: hvordan noe faktisk fanges opp, og hva som skjer etterpå. Det andre er gjennomgangen av internkontrollen selv. Det er det siste punktet, og det som gjør systemet til noe som lærer. Uten det siste leddet blir årlig gjennomgang en formalitet, og de samme funnene kommer tilbake år etter år.
Slik sjekker du dokumentet mot § 5
Gå gjennom punktene ett for ett og finn hvor i dokumentet hvert av dem står. Der du ikke finner det, har du et gap. Merk deg særlig hva som må skje før noe skjer: hvis nesten alt i dokumentet utløses av at en ansatt tar initiativ til en sak, er styringen reaktiv i formen selv om målene er proaktive.
Hvem paragrafen gjelder for
Internkontrollforskriften gjelder for virksomheter som omfattes av HMS-lovgivningen, i praksis alle som har ansatte. Det finnes ingen nedre grense i antall ansatte. Det som varierer er omfanget: en virksomhet med to ansatte på kontor har et annet risikobilde enn et verksted med tolv, og internkontrollen skal tilpasses det. Plikten ligger hos arbeidsgiver, også når oppgaver er delegert til en HMS-ansvarlig, verneombud eller ekstern rådgiver. Delegering flytter arbeidet. Ansvaret blir liggende hos arbeidsgiver.
Hva som holder for en liten virksomhet
For en liten virksomhet med lav risiko kan § 5 dekkes på fire til seks sider, pluss noen få rutiner. Mål kan være tre setninger. Ansvarsoversikten kan være en tabell med navn og roller. Kartleggingen kan være en liste på ti punkter hentet fra deres egen arbeidsuke, med en enkel vurdering av hvor sannsynlig og hvor alvorlig hvert punkt er. Avviksrutinen kan være ett avsnitt som sier hvordan noe meldes, hvem som følger opp, og hvor det blir notert.
Typiske feil
Fire feil kommer igjen. Dokumentet er hentet fra en annen bransje, så farene som beskrives finnes ikke hos dem. Ansvaret er skrevet som «ledelsen» uten navn, så ingen eier det. Avvik beskrives som et skjema uten et forløp med oppfølging. Og gjennomgangen har ingen dato, så ingen vet når systemet sist ble lest. En femte feil er å skrive at noe «tilbys ved behov» der behovet er forutsigbart. Da er ordningen reaktiv i formen selv om intensjonen er god.
Hva Arbeidstilsynet ser etter
Ved tilsyn blir dokumentene lest som et spor. Er det samsvar mellom det som står skrevet og det de ansatte forteller? Finnes det eksempler på avvik som er meldt, behandlet og lukket? Kan noen vise hva som ble endret etter forrige gjennomgang? Er verneombud valgt der det kreves, og har de fått opplæring? Et kort dokument med spor av at det brukes, holder bedre ved tilsyn enn et langt dokument uten spor.
Hva du gjør først
Begynn med de to punktene som oftest ikke er beskrevet, og ta målformuleringene etterpå. Skriv avviksrutinen på ett avsnitt, og sett en fast dato for gjennomgang med et sted å notere hva som ble endret. Deretter går du gjennom de øvrige punktene og finner hvor i dokumentet de står. Er du usikker på om håndboken faktisk dekker punktene, kan du få den lest gjennom.
Veilederen er åpen på nett og som PDF. Executive Brief bygges bare på publiserte kilder.
Kilder
Ofte stilte spørsmål
- Hva må dokumenteres skriftlig etter § 5?
- Mål for HMS, oversikt over ansvar og oppgaver, kartlegging av farer med risikovurdering, planer og tiltak, rutiner for avvik, og systematisk overvåking og gjennomgang av internkontrollen.
- Gjelder § 5 også for små virksomheter?
- Ja. Internkontrollen skal tilpasses virksomhetens art, risiko og størrelse, men de skriftlige punktene gjelder uansett antall ansatte.
- Må arbeidstakerne involveres?
- Ja. § 5 krever at arbeidstakerne medvirker i arbeidet med å innføre og utøve internkontrollen.
- Hva ser Arbeidstilsynet etter i internkontrollen?
- At det finnes skriftlige mål og rutiner, at ansvaret er plassert på navngitte roller, at avvik blir håndtert, og at gjennomgangen etterlater spor. Tilsynet ser etter tegn på at systemet er i bruk.
- Hvor begynner vi hvis ingenting er skrevet ned i dag?
- Start med en kartlegging av risikoen i egen drift, skriv ned hvem som gjør hva, og lag én rutine for hvordan avvik meldes og følges opp. Det holder til å komme i gang; resten bygges ut etter risikobildet.