Virksomhetsstyring – fra mål og risiko til bevist kontroll

Kort fortalt

• Virksomhetsstyring er hvordan eiere, styre og ledelse sørger for at virksomheten når målene sine – gjennom tydelige mål, kjent risiko, bindende instrukser og kontroll med at de følges.
• Gevinsten er bedre evne til å lykkes: målene nås oftere, beslutningene bygger på bevis, de samme feilene kommer ikke igjen, og ledelsen får tid til å lede.
• Lovkravet er gulvet. Aksjeloven krever forsvarlig organisering og betryggende kontroll. Den sier lite om hvordan – det er virksomhetens eget valg.
• IS-modellen™ gir svaret på hvordan: mål og risiko blir til krav, krav blir til instrukser, og etterlevelsen verifiseres i tre linjer. AvvikStandard™ sørger for at virksomheten lærer når noe svikter.
• Styret skal kunne se hva det kan stole på. Bevisstatus viser hva som er verifisert, og hva som ikke er det.

1. Hva er virksomhetsstyring?

Virksomhetsstyring er måten eiere, styre og ledelse styrer og kontrollerer virksomheten på, slik at den når målene sine innenfor de rammene som gjelder. Det omfatter hvem som bestemmer hva, hvordan målene settes, hvordan risiko håndteres, hvordan de ansatte vet hva de skal gjøre, og hvordan ledelsen og styret får vite om det virker.

Kort sagt: styring er å bestemme retning og regler, og kontroll er å vite at reglene følges og virker. Virksomhetsstyring er begge deler, satt i system.

I IS-modellen™ er utgangspunktet alltid virksomhetens mål og risikoen for at de ikke nås. Med risiko menes virkningen av usikkerhet på målene. Det gjelder både risikoen for at krav ikke blir oppfylt, og annen risiko som skade, uhell, sykefravær og økonomisk tap. Risikoen reduseres gjennom må-krav i bindende instrukser, som etterleves i første linje og verifiseres i andre og tredje linje.

Virksomhetsstyring er derfor ikke en perm, et dataprogram eller et prosjekt med sluttdato. Det er den løpende evnen til å styre etter mål, vite hvor risikoen ligger, og rette opp når noe går galt.

2. Hva god virksomhetsstyring gir

Virksomheter som investerer i god styring, gjør det fordi det lønner seg. Gevinsten kommer ikke av dokumentene, men av mekanismene de setter i gang. Tabellen viser hver gevinst, hvordan den oppstår, og hvordan den kan måles – slik at gevinsten kan dokumenteres og ikke bare påstås.

Det motsatte er like tydelig. Virksomheter uten styring betaler for det i tid og penger: de samme feilene rettes igjen og igjen, ledelsen bruker dagene på å slukke branner, og styret får vite om problemene når det er for sent å påvirke dem.

3. Virksomhetsstyring, eierstyring, internkontroll, risikostyring og etterlevelse

Begrepene brukes om hverandre, men har hver sin plass. Virksomhetsstyring er helheten. De andre er deler av den.

Den vanligste misforståelsen er at internkontroll er det samme som HMS. Internkontroll gjelder hele virksomheten: økonomi, kvalitet, personvern, informasjonssikkerhet, leverandører og HMS. HMS er ett av områdene.

4. Lovkravet er gulvet

For aksjeselskaper er aksjeloven hovedgrunnlaget. Styret har ansvaret for forvaltningen av selskapet og skal sørge for forsvarlig organisering av virksomheten. Styret skal holde seg orientert om selskapets økonomiske stilling, påse at virksomheten, regnskapet og formuesforvaltningen er gjenstand for betryggende kontroll, og føre tilsyn med daglig leder. Daglig leder står for den daglige ledelsen og skal følge retningslinjene og påleggene fra styret. For allmennaksjeselskaper gjelder tilsvarende plikter etter allmennaksjeloven.

Hva loven krever – og hva den ikke krever

Loven krever at virksomheten er forsvarlig organisert og under betryggende kontroll. Den krever ikke at alt alltid går riktig, og den gir ingen oppskrift. Pliktene er rammepregede: Det er opp til styret og ledelsen å etablere et styringssystem som passer virksomhetens art, omfang og risiko. Det er nettopp dette rommet IS-modellen™ er laget for å fylle.

I tillegg kommer særlovene, som stiller krav til bestemte områder:

Hvilke krav som gjelder akkurat din virksomhet, avklares i instruksjonsfilteret (kapittel 7) og på siden om regelverk.

5. Styringskjeden i ni ledd

All virksomhetsstyring kan beskrives som én kjede. IS-modellen™ dekker veien fra mål til verifisert etterlevelse. AvvikStandard™ dekker veien fra avvik til forbedring – og tilbake til instruksene.

1. Mål. Styret fastsetter målbare mål på nivå 1.
2. Risiko. Risikoen for at målene ikke nås, vurderes – for krav, for mål, for liv og helse, og for misligheter.
3. Krav. Myndighetskrav og virksomhetskrav identifiseres og knyttes til aktivitetene de gjelder.
4. Instruks. Krav og risiko blir til bindende instrukser med gjennomføring, kvalitetssikring og kontroll.
5. Etterlevelse. Første linje utfører arbeidet etter instruksene og kvalitetssikrer det.
6. Verifisering. Andre og tredje linje kontrollerer at instruksene følges og virker.
7. Avvik. Manglende oppfyllelse av et krav fanges opp og behandles etter AvvikStandard™.
8. Læring. Rotårsaken finnes, og tiltakene effektkontrolleres.
9. Forbedring. Instruksene og risikovurderingen oppdateres. Kjeden starter på nytt.

Kjeden er bare så sterk som det svakeste leddet. En virksomhet med gode mål, men uten instrukser, styrer på intensjoner. En virksomhet med instrukser, men uten verifisering, vet ikke om de følges. Og en virksomhet uten læring gjør de samme feilene igjen.

6. Tre nivåer i styringsdokumentene

IS-modellen™ skiller tydelig mellom hva man må og hva man bør gjøre:

Navnet på dokumentet avgjør ikke hvor det hører hjemme – det gjør plikten. Det andre kaller prosedyre eller retningslinje, er en instruks hvis det skal følges i seg selv. Instruksene må også styres. Hver instruks har en instruksansvarlig, et versjonsnummer og en dato for godkjenning, og det skal gå fram hvem som har fått opplæring i hvilken versjon. Bare slik kan virksomheten vise hvilken instruks som gjaldt da noe skjedde, og at den ansatte kjente til den.

Les mer om oppbyggingen på siden om styringssystem og om instrukser og maler på instrukser og maler.

7. Instruksjonsfilteret™ – fra krav til instruks

Et krav har ingen virkning i driften før det er gjort til instruks. Myndighetskrav binder virksomheten, ikke den enkelte ansatte. De ansatte blir først forpliktet gjennom instruks. Derfor går alle krav gjennom instruksjonsfilteret i fem steg:

1. Identifisering: Kravene avdekkes og knyttes til aktivitetene de gjelder.
2. Avklaring: Det fastslås – ja eller nei, med begrunnelse – om kravet gjelder virksomheten.
3. Beslutning om forpliktelse: Styret eller ledelsen bestemmer hvordan de ansatte skal forpliktes, ut fra risikovurderingen.
4. Instruksjonsfesting: Kravet skrives som konkret, bindende instruks med krav til hvordan etterlevelsen verifiseres.
5. Operasjonalisering: Instruksen tildeles, de ansatte får opplæring, og etterlevelsen følges opp.

Myndighetskrav kan aldri velges bort. Risikoen avgjør hvordan etterlevelsen sikres, aldri om kravet gjelder.

8. IS-syklusen: fire faser og navet

I praksis bygges og drives virksomhetsstyringen i en syklus med fire faser rundt et nav. Hver fase har sin egen fagside:

Syklusen går rundt hele tiden. Endringer i virksomheten, nye krav og funn fra fase 4 sender arbeidet tilbake til fase 1 eller 2.

9. Roller og ansvar

God virksomhetsstyring forutsetter at alle vet hva de har ansvar for. Tabellen viser hovedrollene. Ansvaret kan delegeres i oppgaver, men styrets og daglig leders ansvar for at det skjer, kan ikke delegeres bort.

Ansvar, myndighet og fullmakter

Det må være klart hvem som kan beslutte hva. Styret fastsetter hvilke saker det skal behandle selv, og hva daglig leder kan avgjøre. Daglig leder delegerer videre til lederne med tydelige fullmakter – for eksempel hvor store innkjøp, avtaler og ansettelser en leder kan godkjenne. Det som delegeres, er oppgaven og myndigheten. Ansvaret for at det skjer, blir værende hos den som delegerer.

Fullmaktene er også en viktig kontroll mot misligheter, som er en av risikopilarene. Typiske instrukser er attestasjon og godkjenning av betalinger, to-personskontroll der én person ellers kunne både bestille, godkjenne og betale, regler for habilitet, og krav om at vesentlige beslutninger dokumenteres med begrunnelse. Organisasjonsstruktur, ansvar og myndighet er utdypet på navet i IS-syklusen.

Kultur, medvirkning og varsling

Kulturen avgjør om reglene følges i praksis. Etterlevelse er en plikt, men det er kulturen – tonen fra toppen og tryggheten for å melde fra – som avgjør om plikten blir fulgt og om avvik blir meldt.

De som gjør arbeidet, skal medvirke i risikovurderingen. De kjenner risikoen best. Men medvirkning er ikke godkjenning: Instruksen gjelder selv om ikke alle er enige. Det skal være trygt og enkelt å melde fra om avvik, også anonymt. Varsling om kritikkverdige forhold følger en egen instruks og behandles ikke som avvik. Les mer om varsling av kritikkverdige forhold.

10. Tre linjer – og hvorfor styret ikke er en av dem

IS-modellen™ bruker trelinjeperspektivet, som bygger på modellen for tre linjer fra The Institute of Internal Auditors (IIA):

Styret er ikke en kontrollinje. Styrets rolle er å påse at virksomheten er organisert og styrt slik at etterlevelse er mulig, sannsynlig og dokumenterbar. Regnskapsrevisor, tilsynsmyndigheter og sertifiseringsorganer er heller ikke tredje linje – funnene deres er innspill til styringssystemet.

I en liten virksomhet kan daglig leder ivareta andre linje, og tredje linje kan sløyfes. Men ingen verifiserer sitt eget arbeid. Les mer om COSO og modellen for tre linjer.

11. Avvik og læring med AvvikStandard™

Ingen styring er feilfri. Forskjellen på god og dårlig virksomhetsstyring er hva som skjer når noe går galt. I AvvikStandard™ er et avvik manglende oppfyllelse av et krav – enten ved at en instruks er brutt (etterlevelsesavvik), eller ved at instruks eller system for et identifisert krav mangler (systemavvik).

Avvik behandles i sju faser: umiddelbar respons, klassifisering og kritikalitet, ansvarsetting, rotårsaksanalyse, tiltak etter styrke (A-B-C), effektkontroll etter 1, 3 og 6 måneder, og læring. Kritikaliteten – grønn, gul, rød eller svart – avgjør hvor raskt saken skal eskaleres, og om styret skal varsles.

For virksomhetsstyringen er avvikene den viktigste kilden til forbedring. Systemavvik viser hvor styringssystemet har hull. Mange avvik på samme instruks viser at instruksen ikke virker. Les hele metoden på avviksbehandling.

Fravik og akseptert restrisiko – lovlig styring

Ikke alt som avviker fra en instruks, er et avvik. Den som har myndighet over en instruks, kan bevisst bestemme at noe skal gjøres annerledes i en konkret situasjon. Det er et fravik, og det er lovlig styring – forutsatt at det er tilsiktet, godkjent på forhånd, begrunnet, skriftlig dokumentert og tidsavgrenset. Virksomheten kan aldri selv gi fravik fra et myndighetskrav. Fravik som gjentar seg, viser at instruksen bør endres.

Begge modellene bruker samme enkle test – spør om instruksen følges:

Ligger risikoen over risikoappetitten, kan bare styret godkjenne fraviket eller akseptere restrisikoen.

Avvik og endringer oppdaterer risikovurderingen

Funn fra rotårsaksanalysen skal alltid speiles i risikovurderingen: Sannsynlighet og konsekvens oppdateres før tiltak, og restrisikoen vurderes på nytt etter effektkontrollen. På samme måte utløser endringer i virksomheten – omstilling, nye aktiviteter, nye systemer eller nye krav – ny risikovurdering og gjennomgang av instruksene som berøres. Slik henger avvik, risiko og instrukser sammen i én sløyfe.

12. Bevisstatus – hva styret kan stole på

Et styringssystem kan se komplett ut og likevel hvile på forutsetninger ingen har kontrollert. Bevisstatus viser hvor godt styringssystemet selv er bevist. Hver instruks får én av fem statuser:

Styret får bevisstatusen med fem faste nøkkeltall: andel verifiserte forutsetninger, antall uverifiserte bærende forutsetninger, samsvarsstatus, aksepterte restrisikoer og systemavvik. Alle tall er telling, ikke vekting, og de vises med endring siden forrige rapport. Les mer på IS-modellen™.

13. Rapportering: fra organisasjonen til styret

Styret kan bare føre tilsyn med det det får vite, og ledelsen kan bare styre etter det den ser. Rapporteringen er det som binder styringskjeden sammen: Den viser om målene nås, om risikoen er innenfor rammene, om instruksene følges og virker, og hva som er gjort når de ikke gjør det. Uten faste regler for rapportering blir styringen tilfeldig – og det som ikke virker, blir ofte borte på veien opp.

Seks rapporteringsstrømmer

Rapporteringen fra organisasjonen har seks strømmer. Fristene for avvik og fravik er minstekravene i AvvikStandard™. Hyppigheten ellers fastsetter virksomheten selv ut fra størrelse og risiko.

Fra mål til rapport

Et mål kan bare følges opp hvis det er bestemt hvordan det måles. Hvert mål på nivå 1 får derfor en målparameter (hva som måles – i staten kalt styringsparameter), en målverdi (hva som er godt nok), en toleranse (hvor langt fra målverdien resultatet kan ligge før det må rapporteres straks), en eier og en fast hyppighet.

Det samme gjelder risiko. Styret fastsetter risikoappetitten, og ledelsen fastsetter akseptkriteriene innenfor den. Rapporteringen viser risikoprofilen mot disse rammene – ikke bare en liste over risikoer. Les mer om rammene på risikostyring.

Et viktig skille: Et mål som ikke nås, er ikke et avvik i AvvikStandard™ sin forstand. Det blir først et avvik når et krav ikke er oppfylt – når en instruks er brutt, eller instruks eller system mangler. Måloppnåelse og avviksstatistikk rapporteres derfor hver for seg, slik at de ikke blandes.

Rapporteringskjeden – og den uavhengige veien

Rapporteringen går i linjen: fra medarbeider til linjeleder, fra linjeleder til daglig leder, og fra daglig leder til styret. I tillegg går det en uavhengig vei. Andre linje rapporterer til daglig leder, med rett til å gå direkte til styret ved alvorlige funn. Tredje linje rapporterer til styret. Den uavhengige veien sikrer at det som ikke virker, når fram – også når det er ubehagelig for linjen.

Rapporteringen er en instruks

Rapporteringen skal ikke bero på vane eller enkeltpersoner. Den fastsettes i en instruks på nivå 2 som angir hva som rapporteres, av hvem, til hvem, når og i hvilket format, og hvilke terskler som utløser rapportering straks i stedet for ved neste faste rapport. Som alle instrukser har den en kontrolldel og får bevisstatus.

Også styrets egen behandling er instruksfestet. At styret faktisk behandler rapportene, vurderer risikoen og fatter beslutninger om endringer, får bevisstatus på samme måte som instruksene i organisasjonen.

Årshjul for styret

Hyppigheten tilpasses virksomhetens størrelse og risiko. Det viktigste er at rapporteringen faktisk skjer, og at styret bruker den til beslutninger.

Slik ser en god styrerapport ut

• Det som ikke virker, står først – med eier, tiltak og frist.
• Måloppnåelse mot målene styret har vedtatt, ikke mot nye mål ledelsen har valgt.
• Fem nøkkeltall for bevisstatus med endring siden forrige rapport.
• Avvik etter kritikalitet, med røde og svarte avvik omtalt enkeltvis.
• Resultater fra verifiseringen i andre og tredje linje – hva som er kontrollert, hva som ble funnet, og hva som gjenstår.
• Endringer i risiko og krav som kan påvirke målene.
• Saker til beslutning tydelig skilt fra saker til orientering.

En god rapport er kort. To til fire sider er nok når tallene er de samme hver gang. Styret skal kunne se på et minutt om noe har blitt verre siden sist, og hvem som eier det.

14. Fra skjønnmaling til bevis

Mange rapporter til styret er grønne fordi ingen har sjekket om de burde være røde. God virksomhetsstyring snur dette: Det som ikke virker, kommer først.

• Ingen påstand uten kilde. Hvert punkt i rapporten viser til det som er gjort, målt, dokumentert, avviksregistrert eller overvåket.
• Grønt må bevises. En instruks er ikke i orden fordi ingen har meldt avvik. Den er i orden når andre eller tredje linje har verifisert den.
• Tre kategorier. Det som virker, det som virker med redusert kraft, og det som ikke virker – i den rekkefølgen styret trenger dem: det som ikke virker, først.

Prinsippet er utdypet på siden om ledelsens gjennomgang.

15. Virksomhetsstyring i en liten virksomhet

Prinsippene er de samme for alle, men omfanget tilpasses. En liten virksomhet kan:

• ha færre og enklere instrukser – ofte 10–20 er nok til å dekke de viktigste kravene
• samle flere roller hos samme person
• la daglig leder ivareta andre linje og la være å etablere tredje linje
• rapportere til styret i et fast punkt på hvert styremøte i stedet for egne rapporter

Det som ikke kan skaleres ned: Myndighetskrav instruksjonsfestes alltid, hver instruks har gjennomføring, kvalitetssikring og kontroll, etterlevelsen verifiseres, og avvik behandles. Der daglig leder selv utfører arbeidet, verifiseres det av styret eller av noen styret utpeker.

Gevinsten er ofte størst i små virksomheter, fordi én feil eller én nøkkelperson som slutter, rammer hele virksomheten.

Slik kommer dere i gang

1. Sett tre til fem mål. Hva skal virksomheten oppnå det neste året? Målene skal være målbare, og styret vedtar dem.
2. Finn risikoen. Hva kan hindre at målene nås? Tenk på kunder, leveranser, økonomi, folk, personvern, sikkerhet og krav fra myndighetene.
3. Kartlegg kravene. Hvilke lover, forskrifter, avtaler og sertifiseringer gjelder for aktivitetene dere driver?
4. Lag instrukser for det viktigste først. Start med kravene fra myndighetene og den største risikoen. Gi hver instruks en ansvarlig rolle og en kontrolldel.
5. Registrer og behandle avvik. Fra første dag. Avvikene viser raskt hvor instruksene mangler eller ikke virker.

Typiske første instrukser i en liten virksomhet er instruks for avviksbehandling, varsling, HMS og risikovurdering, attestasjon og betaling, personvern og tilganger, innkjøp og avtaler, og sluttkontroll av leveranser. Resten bygges ut etter hvert som risikoen tilsier det. Les mer om instrukser og maler på instrukser og maler.

16. To eksempler

Eksemplene er konstruert for å vise sammenhengen mellom styring og gevinst.

17. Slik gjennomfører IS-modellen™ styrets tilsyn

COSO beskriver hva god styring skal oppnå. IS-modellen™ og AvvikStandard™ beskriver hvordan det gjøres i praksis. I 2026 ga COSO ut tolv prinsipper for styrets tilsyn. Prinsippene er en anbefaling, ikke lov, og skal utfylle gjeldende lov og annen veiledning. Tabellen viser hvordan IS-modellen™ gjennomfører dem, med prinsippene omtalt med egne ord:

IS-modellen™ er Internkontroll AS sine metodiske valg. Den bygger på rammeverkene, men er strengere der de overlater valget til virksomheten. Hvordan modellen forholder seg til COSO, ISO-standardene og modellen for tre linjer, står i IS-modellen™, kapittel 13.

18. Nye styringskrav

Nye krav kommer stadig: bærekraft og ESG, menneskerettigheter i leverandørkjeden, personvern, informasjonssikkerhet og bruk av kunstig intelligens. Noen er myndighetskrav, andre er virksomhetskrav fordi virksomheten har påtatt seg dem gjennom avtaler, sertifiseringer eller forventninger fra eiere og kunder.

I IS-modellen™ behandles de som alle andre krav: De går gjennom instruksjonsfilteret, risikovurderes og blir bindende instrukser. Virksomheten trenger ikke et nytt system for hvert nytt krav – og det er en av de største gevinstene ved å ha ett styringssystem. Se også ESG.

Leverandører og tredjeparter

Mye av risikoen ligger utenfor egen virksomhet: hos leverandører, underleverandører, databehandlere og samarbeidspartnere. Styrets ansvar for risiko omfatter også risikoen hos tredjeparter. Krav som gjelder leverandørkjeden, tas inn i instruksene på samme måte som andre krav – ved valg av leverandør, i avtalene og i oppfølgingen. Avvik som skyldes en leverandør, behandles etter AvvikStandard™, med kontraktsmessig oppfølging i tillegg. Les mer om leverandøroppfølging og tredjepartsrisiko.

19. Virksomhetsstyring i offentlig sektor og finans

Begrepet virksomhetsstyring brukes mye i offentlig sektor, og der har det et eget regelverk og en egen fagtradisjon. Prinsippene er de samme som for private virksomheter: mål, risiko, krav, instrukser, kontroll og læring. Det som skiller, er lovgrunnlaget og hvem det rapporteres til.

Det som i staten kalles styringsparameter, er det samme som målparameteren i kapittel 13: det som måles for å vise om målet nås. IS-modellen™ kan brukes i alle sektorer. Kravene fra økonomiregelverket, kommuneloven eller finansregelverket går gjennom instruksjonsfilteret som alle andre myndighetskrav, og blir bindende instrukser med kontroll og bevisstatus.

20. Hvor moden er virksomhetsstyringen?

De fleste virksomheter starter på nivå 1 eller 2. Gevinstene i kapittel 2 kommer allerede fra nivå 2, når de viktigste instruksene er på plass og avvikene behandles.

21. Vanlige feil

• Styring for tilsynets skyld. Systemet bygges for å bestå tilsyn, ikke for å nå målene. Resultatet blir permer ingen bruker.
• Retningslinjer i stedet for instrukser. Dokumenter som «bør» følges, gir ingen plikt og ingen kontroll.
• Instrukser uten kontrolldel. Ingen vet om de følges.
• Internkontroll som HMS-prosjekt. Økonomi, personvern, kvalitet og leverandører faller utenfor.
• Grønne rapporter uten bevis. Fravær av avvik tolkes som at alt virker.
• Påminnelser som tiltak. Samme avvik kommer igjen fordi årsaken ikke er rettet.
• Styret får bare økonomitall. Risiko, avvik og bevisstatus når aldri styrebordet.
• Én person bærer systemet. Når hun eller han slutter, forsvinner styringen.

22. Sjekkliste for styret og daglig leder

1. Har styret fastsatt målbare mål og risikoappetitt?
2. Har hvert mål målparameter, målverdi, toleranse og eier?
3. Er ansvar, myndighet og fullmakter beskrevet for styret, daglig leder og lederne?
4. Er kravene som gjelder virksomheten, identifisert og avklart?
5. Har hvert myndighetskrav en instruks med ansvarlig rolle?
6. Har hver instruks gjennomføring, kvalitetssikring og kontroll?
7. Har de ansatte fått opplæring i gjeldende versjon av instruksene?
8. Er risikovurderingen oppdatert etter siste endring i virksomheten?
9. Er det klart hvem som utgjør andre linje, og verifiserer den første linje?
10. Registreres alle avvik med årsak og tiltak?
11. Effektkontrolleres tiltak etter 1, 3 og 6 måneder?
12. Er rapporteringen fastsatt i en instruks, med terskler for når noe skal rapporteres straks?
13. Rapporterer andre og tredje linje resultatene fra overvåking og verifisering av etterlevelsen?
14. Får styret bevisstatus med fem nøkkeltall?
15. Kommer det som ikke virker, først i rapportene?
16. Gjennomføres ledelsens gjennomgang med fast hyppighet?
17. Evaluerer styret sitt eget arbeid hvert år?
18. Vet de ansatte hvor og hvordan de melder fra?

23. Våre verktøy for virksomhetsstyring

Alle verktøyene finnes i Styringsportalen™.

Kilder

Lov og forskrift

• Aksjeloven og allmennaksjeloven
• Arbeidsmiljøloven og internkontrollforskriften
• Regnskapsloven, bokføringsloven, personopplysningsloven, hvitvaskingsloven og åpenhetsloven
• Kommuneloven og finansforetaksloven

Rammeverk og veiledning

• COSO: Corporate Governance – Guiding Principles for Board Oversight (2026), Internal Control – Integrated Framework og Enterprise Risk Management
• The Institute of Internal Auditors (IIA): Three Lines Model (Statement of Position)
• ISO 31000 (risikostyring) og ISO 37301 (etterlevelse)
• DFØ: Økonomiregelverket og mål- og resultatstyring
• Finanstilsynet: Modul for intern virksomhetsstyring

Internkontroll AS sin vurdering

• IS-modellen™ 2026 og AvvikStandard™ 2026. Modellene er Internkontroll AS sine metodiske valg. De bygger på rammeverkene over, men er strengere der rammeverkene overlater valget til virksomheten.

Mer om virksomhetsstyring på Internkontrollportalen

Ofte stilte spørsmål om virksomhetsstyring