Er internkontroll bare HMS?

Nei, det er en utbredt misforståelse. HMS-internkontroll etter internkontrollforskriften er kun én dimensjon. Det primære grunnlaget for internkontroll i alle aksjeselskaper er aksjelovens krav om forsvarlig organisering og tilsyn. I tillegg har særlover som hvitvaskingsloven, finansforetaksloven, sikkerhetsloven, personvernforordningen og åpenhetsloven egne internkontrollkrav.

Hva sier aksjeloven om internkontroll?

Aksjeloven pålegger styret å sørge for forsvarlig organisering av virksomheten, holde seg orientert om økonomisk stilling, påse at virksomheten, regnskap og formuesforvaltning er gjenstand for betryggende kontroll, og føre tilsyn med daglig leder og selskapets virksomhet. Dette er det primære rettslige grunnlaget for internkontroll i norske aksjeselskaper.

Hva er forskjellen på internkontroll og HMS?

HMS (helse, miljø og sikkerhet) er ett av flere områder som krever internkontroll. Internkontrollforskriften regulerer den HMS-spesifikke delen, men internkontrollen som helhet omfatter også økonomi, personvern, antikorrupsjon, kvalitet, sikkerhet, åpenhetsloven og bransjespesifikke krav. Internkontroll er paraplyen, HMS er ett av flere felt under den.

Hva krever internkontrollforskriften?

Forskriften krever at virksomheten gjør åtte ting: sørger for at lover og forskrifter er tilgjengelige, sørger for at arbeidstakerne har tilstrekkelige kunnskaper, sørger for at arbeidstakerne medvirker, fastsetter mål for HMS, har oversikt over organisasjonen og ansvarsfordelingen, kartlegger farer og vurderer risiko med planer og tiltak, avdekker, retter opp og forebygger overtredelser, og overvåker og gjennomgår internkontrollen. Kravene gjelder HMS. Internkontroll ellers bygger på aksjeloven og særlovene.

Hvilket ansvar har styret for internkontrollen?

Styret har det overordnede ansvaret etter aksjeloven for å sørge for forsvarlig organisering og føre tilsyn. Ansvaret kan ikke delegeres bort. Styret fastsetter risikoappetitten og skal påse at virksomheten har et internkontrollsystem som er tilpasset virksomhetens art, omfang og risikobilde, og at systemet faktisk virker. Daglig leder fastsetter akseptkriterier og instrukser innenfor styrets rammer.

Hva er IS-modellen™ og hvordan henger den sammen med internkontroll?

IS-modellen™ er Internkontroll AS' instruksjonsbaserte tilnærming til internkontroll. Modellen tar utgangspunkt i at virksomheter ikke styres gjennom intensjoner, men gjennom bindende instrukser. Den bruker et femstegs instruksjonsfilter (identifisering, avklaring, beslutning om forpliktelse, instruksjonsfesting og operasjonalisering) for å gjøre alle krav, uansett kilde, til konkrete instrukser som ansatte er forpliktet til å følge.

Hvordan henger internkontroll og avviksbehandling sammen?

Avviksbehandling er den reaktive siden av internkontrollen. AvvikStandard™ er Internkontroll AS' modell for dette. Et avvik er manglende oppfyllelse av krav: enten er instruksen brutt, eller instruksen eller systemet mangler. Modellen skiller avvik fra fravik (forhåndsgodkjente unntak fra interne instrukser, aldri fra myndighetskrav), varsler (som sorteres ut først og følger egen varslingsinstruks), hendelser og observasjoner, og håndterer dem gjennom sju faser fra eksponering til læring og forbedring.

Hva er PDCA-syklusen?

PDCA er et internasjonalt anerkjent prinsipp for kontinuerlig forbedring: Plan (planlegg), Do (utfør), Check (kontroller) og Act (forbedre). Prinsippet er innbakt i internkontrollforskriften, ISO 9001 og IS-modellen™. Det sikrer at internkontrollen ikke er en engangshandling, men en kontinuerlig syklus.

Hva er forskjellen på internkontroll, egenkontroll og revisjon?

Internkontroll er virksomhetens systematiske arbeid for å sikre forsvarlig drift. Egenkontroll er konkrete aktiviteter innenfor internkontrollen, der virksomheten kontrollerer eget arbeid mot fastsatte krav. Revisjon er en uavhengig vurdering av om internkontrollen fungerer som forutsatt. Grunnregelen er at ingen kontrollerer sitt eget arbeid: internrevisjon er tredje linje, mens regnskapsrevisor og tilsyn er eksterne kontroller.

Hva er de vanligste fallgruvene i internkontrollarbeidet?

De seks vanligste er: (1) HMS-perm som «internkontrollsystem», (2) policyer uten konkrete instrukser, (3) standardsystem som ikke er tilpasset virksomhetens art, (4) mangelfull dokumentasjon, (5) avviksbehandling som rituale uten reell rotårsaksanalyse, og (6) ledelsens gjennomgang som formalia uten kritisk vurdering. Hver av disse undergraver internkontrollens reelle virkning.

Hvordan hjelper god internkontroll styret?

Et velfungerende internkontrollsystem flytter vurderingen ved tilsyn fra «har dere tenkt på dette?» til «kan dere vise at dette ble gjort?». Når styret kan dokumentere at krav er identifisert, gjort til konkrete instrukser, at opplæring er gjennomført og at etterlevelse følges opp, kan styret vise at det har sørget for forsvarlig organisering og ført tilsyn.

Internkontroll – Aksjelovens krav til forsvarlig organisering og tilsyn

Mer enn HMS – det helhetlige systemet for styringsmessig kontroll over drift, risiko og etterlevelse

Forfattere: Svein Roar Holt & Maria Zahlsen – Internkontroll AS | Sist oppdatert: oktober 2026 | Juridisk forankring: Aksjeloven · for HMS: internkontrollforskriften og arbeidsmiljøloven · særlover for enkelte bransjer

Nøkkelfakta om internkontroll

Aksjeloven – det primære rettslige grunnlaget for internkontroll i alle aksjeselskap
Internkontroll ≠ HMS – HMS-internkontroll etter forskriften er kun én av flere dimensjoner
Særlovgivning – hvitvaskingsloven, finansforetaksloven, sikkerhetsloven og personvernforordningen har egne internkontrollkrav
Styrets ansvar – kan ikke delegeres bort. Styret fastsetter risikoappetitten og påser at systemet virker
IS-modellen™ – Internkontroll AS' instruksjonsbaserte modell gjør kravene operative

Kort fortalt for ledere og styremedlemmer

Internkontroll er ikke det samme som HMS. Det er en utbredt misforståelse i norske virksomheter at internkontroll handler primært om internkontrollforskriften av 1996. Men forskriften regulerer kun den HMS-spesifikke delen av virksomhetens internkontroll. Den primære kilden til kravet om internkontroll er aksjeloven, som pålegger styret å sørge for forsvarlig organisering av virksomheten og å føre tilsyn med den.

I tillegg har en rekke særlover egne internkontrollkrav: hvitvaskingsloven, finansforetaksloven, sikkerhetsloven, personvernforordningen, åpenhetsloven og bransjespesifikk lovgivning. Et velfungerende internkontrollsystem må håndtere alle disse lagene samtidig. IS-modellen™ er Internkontroll AS' metode for å gjøre dette systematisk: kravene gjøres til bindende instrukser, og etterlevelsen verifiseres.

Internkontroll er det systematiske arbeidet en virksomhet utfører for å sikre at drift, risiko og etterlevelse er under kontroll – og at det kan dokumenteres at det er det. Det er en grunnleggende styringsfunksjon som alle virksomheter må ha, men som ofte misforstås som et HMS-tema alene.

I denne pillaren forklarer vi internkontrollens fulle juridiske og styringsmessige bredde: fra aksjelovens overordnede krav om forsvarlig organisering, gjennom internkontrollforskriftens HMS-spesifikke regler, til særlovgivningens bransjekrav. Vi viser også hvordan IS-modellen™ og AvvikStandard™ sammen utgjør Internkontroll AS' helhetlige tilnærming.

1. Hva er internkontroll?

Internkontroll kan defineres som virksomhetens systematiske arbeid for å sikre forsvarlig drift, etterlevelse av krav og styring av risiko. Det handler om å organisere driften slik at virksomheten med rimelig sikkerhet når sine mål, overholder lover og forskrifter, og kan dokumentere at det gjøres.

Internkontroll har fire grunnleggende kjennetegn:

Systematisk – ikke tilfeldig, men strukturert og planmessig
Forebyggende – orientert mot å unngå feil og avvik før de oppstår
Etterprøvbart – dokumentert slik at det kan vurderes utenfra
Integrert – en del av den daglige driften, ikke et parallelt system

Internkontroll er ikke en «ting» i seg selv – det er måten en virksomhet organiserer seg på for å holde kontroll over det den gjør. Et godt internkontrollsystem er nesten usynlig fordi det er innbakt i hvordan arbeidet utføres.

2. Den utbredte misforståelsen: «Internkontroll = HMS»

⚠ En misforståelse som koster virksomheter dyrt

Mange tror at «internkontroll» er et HMS-begrep, og at internkontrollforskriften av 1996 er den primære kilden til kravet. Dette er feil – og misforståelsen er kostbar.

Internkontrollforskriften regulerer kun HMS-internkontroll. Den er én av flere kilder til virksomhetens samlede internkontrollplikt, men den er ikke den primære. Virksomheter som lar HMS-permen være eneste «internkontrollsystem», dekker bare en liten del av sine plikter.

Misforståelsen oppstår fordi internkontrollforskriften ble innført i 1996 som en velkjent norsk forskrift, og fordi mange HMS-rådgivere fokuserer kun på dette regelverket. Men aksjeloven, hvitvaskingsloven, sikkerhetsloven, personvernforordningen og en rekke andre lover har sine egne, langt videre internkontrollkrav.

Resultatet er at mange virksomheter har et godt HMS-system, men mangelfullt internkontrollsystem på områder som personvern, økonomi, kontraktsstyring, antikorrupsjon og bærekraft.

3. Aksjeloven – det primære grunnlaget

For alle aksjeselskaper i Norge er aksjeloven det primære rettslige grunnlaget for kravet om internkontroll. Loven pålegger styret å sørge for «forsvarlig organisering av virksomheten» og at det føres «nødvendig tilsyn» med virksomhetens drift.

Dette innebærer i praksis at styret skal:

Holde seg orientert om selskapets økonomiske stilling
Påse at virksomheten, regnskap og formuesforvaltning er gjenstand for betryggende kontroll
Sørge for forsvarlig organisering av virksomheten
Føre tilsyn med daglig leder og selskapets virksomhet for øvrig

Styret kan delegere oppgaver, men ikke ansvaret. Styret fastsetter strategier, mål og risikoappetitt, og påser at virksomheten er organisert slik at etterlevelse er mulig, sannsynlig og dokumenterbar. Daglig leder fastsetter akseptkriterier og instrukser innenfor rammene styret har satt.

Sentralt poeng Aksjeloven gjelder ALLE aksjeselskaper, uavhengig av størrelse, bransje eller om virksomheten har ansatte. Selv et lite selskap med kun styre og daglig leder må ha et internkontrollsystem som tilfredsstiller kravet om forsvarlig organisering og tilsyn.

Aksjelovens krav er rammepreget – loven sier ikke nøyaktig hvordan internkontrollen skal utformes, men hva den skal oppnå. Det er virksomhetens ansvar å etablere et system som er tilpasset virksomhetens art, omfang og risikobilde. Dette er nettopp det IS-modellen™ er konstruert for å løse.

4. Internkontrollforskriften – HMS-spesifikk plikt

Internkontrollforskriften av 6. desember 1996 regulerer den HMS-spesifikke delen av internkontrollen. Den hjemles i en rekke HMS-lover (arbeidsmiljøloven, brann- og eksplosjonsvernloven, forurensningsloven, m.fl.) og pålegger virksomheten å etablere et systematisk arbeid for å sikre at HMS-kravene etterleves.

Forskriften krever at virksomheten gjør åtte ting. De er grunnmuren i HMS-internkontrollen:

Sørge for at lover og forskrifter er tilgjengelige

Virksomheten skal ha oversikt over kravene som gjelder for sin drift, og sørge for at de viktigste kravene er kjent for ansatte og ledelse.

Sørge for at arbeidstakerne har tilstrekkelige kunnskaper

Ansatte skal ha den kompetansen som kreves for å utføre arbeidet forsvarlig og etterleve instruksene.

Sørge for at arbeidstakerne medvirker

Internkontrollen skal innføres og utøves i samarbeid med arbeidstakerne og deres representanter, jf. arbeidstakernes medvirkning.

Fastsette mål for helse, miljø og sikkerhet

Målene skal være skriftlige og forankret i ledelsen.

Ha oversikt over organisasjonen

Det skal gå fram hvordan ansvar, oppgaver og myndighet for HMS-arbeidet er fordelt.

Kartlegge farer, vurdere risiko og lage planer og tiltak

Systematisk kartlegging av risiko, med tiltak der risikoen ikke er akseptabel.

Avdekke, rette opp og forebygge overtredelser

Virksomheten skal ha et system for avviksbehandling som retter opp og forhindrer gjentakelse.

Overvåke og gjennomgå internkontrollen

Internkontrollen skal selv overvåkes og gjennomgås systematisk, for eksempel gjennom verifisering og ledelsens gjennomgang.

Punktene skal dokumenteres skriftlig. Forskriften understreker at internkontrollen skal være tilpasset virksomhetens art, aktiviteter, risikoforhold og størrelse – det er ikke en standardløsning som passer alle.

5. Særlovers krav til internkontroll

Utover aksjeloven og internkontrollforskriften har en rekke særlover egne, ofte detaljerte, krav til internkontroll. Disse må håndteres parallelt med de generelle kravene:

Lov / Forskrift	Hva det krever	Hvem det gjelder
Aksjeloven	Forsvarlig organisering og tilsyn	Alle aksjeselskaper
Internkontrollforskriften	Systematisk HMS-internkontroll	Virksomheter med HMS-pliktig aktivitet
Hvitvaskingsloven	Risikobasert tilnærming og egne tiltak mot hvitvasking	Rapporteringspliktige (banker, revisorer, eiendomsmeglere mfl.)
Finansforetaksloven	Forsvarlig risikostyring og internkontroll	Banker, forsikringsforetak, kredittforetak
Sikkerhetsloven	Sikkerhetsstyring av nasjonale sikkerhetsverdier	Virksomheter underlagt loven
Personvernforordningen (GDPR)	Tekniske og organisatoriske tiltak for personvern	Alle som behandler personopplysninger
Åpenhetsloven	Aktsomhetsvurderinger og redegjørelse	Større virksomheter etter lovens terskler
Bokføringsloven	Forsvarlig bokføring og dokumentasjon	Bokføringspliktige

For mange virksomheter gjelder flere av disse lovene samtidig. Kompleksiteten i regelverkslandskapet er en hovedgrunn til at internkontroll bør være instruksjonsbasert – fordi bare et instruksbasert system kan håndtere kravene fra mange lover på en samlet måte. Dette er nøyaktig kjernen i IS-modellen™.

6. Internkontrollens fem kjerneelementer

Uavhengig av hvilket regelverk som er kilden, har et godt internkontrollsystem fem grunnleggende elementer som henger sammen. Disse fem elementene gjenspeiles i COSO-rammeverket internasjonalt, og de går også igjen i internkontrollforskriften:

Kontrollmiljø – «tone from the top», kultur, etiske retningslinjer, organisasjonsstruktur og kompetanse
Risikovurdering – systematisk identifisering, analyse og prioritering av risiko, jf. kartlegging av risiko
Kontrollaktiviteter – konkrete tiltak (instrukser, sperringer, godkjenninger og kontroller) som reduserer risiko
Informasjon og kommunikasjon – tilstrekkelig informasjonsflyt opp, ned og på tvers i organisasjonen
Overvåking og forbedring – systematisk gjennomgang, avviksbehandling og kontinuerlig forbedring

Disse fem elementene er ikke uavhengige – de bygger på hverandre. Et svakt kontrollmiljø undergraver alle de andre. En grundig risikovurdering uten kontrollaktiviteter er bare papirarbeid. Kontrollaktiviteter uten overvåking blir ikke kontinuerlig forbedret.

7. PDCA-syklusen – kontinuerlig forbedring

Internkontroll er ikke en engangshandling, men en kontinuerlig syklus. Det internasjonalt anerkjente PDCA-prinsippet (Plan-Do-Check-Act) er innbakt i både internkontrollforskriften, ISO 9001 og IS-modellen™:

Plan

Identifiser krav, vurder risiko, fastsett mål, lag instrukser

Implementer instrukser, opplæring, daglig drift i tråd med planen

Check

Overvåk, mål, rapporter avvik, gjennomgå ledelsens vurderinger

Act

Implementer korrigerende tiltak, oppdater instrukser, forbedring

I AvvikStandard™ er PDCA-prinsippet operasjonalisert gjennom sju faser, fra eksponering til læring og forbedring. Sammen sikrer IS-modellen™ og AvvikStandard™ at PDCA-syklusen ikke bare er en idé, men en praktisk virkelighet.

8. IS-modellen™ – fra lovkrav til operativ handling

IS-modellen™ er Internkontroll AS' instruksjonsbaserte tilnærming til internkontroll. Modellen tar utgangspunkt i at virksomheter ikke styres gjennom intensjoner eller dokumentmengder, men gjennom bindende instrukser som ansatte er rettslig forpliktet til å følge gjennom arbeidsavtalen og styringsretten.

IS-modellen™ håndterer regelverkskompleksiteten gjennom et femstegs instruksjonsfilter:

Identifisering – krav avdekkes fra alle relevante kilder (aksjeloven, internkontrollforskriften, særlovgivning, virksomhetens egne beslutninger)
Avklaring – gjelder kravet for oss? Ja eller nei, med begrunnelse
Beslutning om forpliktelse – ledelsen beslutter at virksomheten forplikter seg til kravet
Instruksjonsfesting – kravet skrives som konkret, bindende instruks (må-krav)
Operasjonalisering – tildeling, opplæring, maler og sjekklister som støtter instruksen, og oppfølging

Resultatet er at alle krav, fra alle kilder, behandles i én sammenhengende metodisk ramme. Dette er hva som gjør internkontrollsystemet etterprøvbart og bevisbart overfor tilsyn, revisjon eller rettslig vurdering.

I praksis skjer dette i IS-syklusen, fire faser som går igjen år etter år: aktivitetsidentifisering, prosess- og risikovurdering, aktivitetsorganisering og kontroll og overvåking.

9. AvvikStandard™ – avvik som læringsmekanisme

AvvikStandard™ er Internkontroll AS' helhetlige modell for avviksstyring. Den dekker reaksjonssiden av internkontrollen – det som skjer når noe går galt, eller når noen bevisst og autorisert avviker fra fastsatte instrukser.

Modellen skiller mellom fem distinkte kategorier:

Avvik – manglende oppfyllelse av krav: enten er instruksen brutt (etterlevelsesavvik), eller instruksen eller systemet mangler (systemavvik)
Fravik – forhåndsgodkjent unntak fra en intern instruks. Fravik fra myndighetskrav er aldri tillatt
Varsel – melding om kritikkverdige forhold. Sorteres ut først og følger egen varslingsinstruks
Hendelse og nesten-uhell – uønsket situasjon, eller situasjon som kunne ført til skade
Observasjon – forbedringspunkter uten normbrudd

AvvikStandard™ håndterer hver kategori riktig, gjennom sju faser fra eksponering til læring og forbedring. Kritikaliteten (grønn, gul, rød, svart) avgjør hvem som varsles og hvor raskt. Læringen mater tilbake i IS-modellen™ – sløyfen lukker seg.

Sammenhengen mellom modellene

IS-modellen™ etablerer styring gjennom instrukser. AvvikStandard™ håndterer brudd og fravik fra instrukser. Sammen utgjør de en komplett ramme for virksomhetens internkontroll – fra forebyggende styring til reaktiv læring.

10. Internkontroll vs. egenkontroll vs. revisjon

Tre relaterte begreper blandes ofte. Det er viktig å skille:

Internkontroll

Det systematiske arbeidet virksomheten selv gjør for å sikre forsvarlig drift, etterlevelse og risikohåndtering.

Kontinuerlig · System

Egenkontroll

Konkret aktivitet hvor virksomheten kontrollerer eget arbeid mot fastsatte krav. En komponent i internkontrollen.

Aktivitet · Komponent

Revisjon

Uavhengig vurdering av om internkontrollen fungerer som forutsatt. Ingen kontrollerer sitt eget arbeid. Internrevisjon er tredje linje. Regnskapsrevisor og tilsyn er eksterne kontroller, ikke tredje linje.

Verifikasjon · Uavhengig

Internkontroll er paraplyen. Egenkontroll er en aktivitet innenfor internkontrollen. Revisjon er en uavhengig vurdering av om internkontrollen fungerer.

11. Roller og ansvar i internkontrollen

Internkontroll fungerer ikke uten tydelig ansvarsfordeling. De sentrale rollene er:

Styret – overordnet ansvar for forsvarlig organisering og tilsyn. Fastsetter risikoappetitten
Virksomhetsledelsen – daglig leder har operativt ansvar. Fastsetter akseptkriterier og instrukser innenfor styrets rammer
Instruksansvarlig – eier sin instruks, holder den oppdatert og følger opp etterlevelsen
Internkontrollansvarlig – fagressurs for systematisk arbeid og koordinering
Arbeidstakerne – medvirkningsplikt og etterlevelse i daglig arbeid
Verneombud – ansattes representant i HMS-saker
Arbeidsmiljøutvalg – formelt forum for HMS-saker i større virksomheter
Bedriftshelsetjenesten – ekstern fagstøtte i HMS-spørsmål

12. Verdiskaping for interessegrupper

Internkontroll er ikke kun lovpålagt arbeid – det skaper reell verdi for alle interessenter:

For eierne

Et robust internkontrollsystem reduserer risikoen for økonomisk tap, omdømmekriser og juridiske problemer. Det øker virksomhetens verdi, gir tryggere investering og bidrar til langsiktig bærekraft. Ved due diligence-prosesser er kvaliteten på internkontrollen ofte avgjørende for verdsettelsen.

For styret

Internkontrollarbeidet er styrets viktigste virkemiddel for å oppfylle sin lovpålagte plikt etter aksjeloven. Et velfungerende system gir styret dokumentasjon på at det har gjort jobben sin, og trygghet i beslutninger som tas på grunnlag av god styringsinformasjon.

For virksomhetsledelsen

Klare instrukser og strukturerte rapporteringslinjer gjør det lettere å lede. Ledelsen kan fokusere på strategi og utvikling fremfor å slukke branner. Avviksinformasjon gir læring som forbedrer driften kontinuerlig.

For ansatte

Klare instrukser gir trygghet og forutsigbarhet i arbeidshverdagen. Ansatte vet hva som forventes, hvordan oppgaver skal utføres, og at de blir hørt når de melder fra om avvik. Et godt internkontrollsystem skaper psykologisk trygghet.

For eksterne interessenter

Kunder, leverandører, myndigheter og samfunnet får trygghet for at virksomheten opererer forsvarlig. Dette er særlig viktig i bransjer med høy regulatorisk eksponering, eller hvor virksomheten er underlagt åpenhetsloven og bærekraftsrapportering.

13. Vanlige fallgruver

Ut fra vår erfaring ser vi de samme fallgruvene igjen og igjen:

HMS-perm som «internkontrollsystem» Mange tror at en HMS-perm dekker hele internkontrollkravet. Den dekker kun HMS-internkontrollen – ikke aksjelovens, personvernregelverkets eller særlovgivningens krav.

Policyer uten instrukser Policyer beskriver hva virksomheten ønsker, men er ikke bindende handlingsregler. Uten konkrete, instruksjonsfestede krav blir internkontrollen ikke operativ.

Systemet er ikke tilpasset størrelse og risiko Et standardsystem kjøpt fra hyllen passer sjelden. Internkontrollen skal være tilpasset virksomhetens art, omfang og risikobilde, jf. både aksjeloven og internkontrollforskriften.

Mangel på dokumentasjon Dersom det ikke er dokumentert, har det «ikke skjedd» fra et tilsynsperspektiv. Dette gjelder særlig styreprotokoller, ledelsens gjennomgang og oppfølging av avvik.

Avviksbehandling som rituale Avvik registreres, men det skjer ingen reell rotårsaksanalyse, og tiltakene er ofte påminnelser (C-tiltak) i stedet for systemiske endringer (A-tiltak).

Ledelsens gjennomgang som formalia Møtet holdes fordi det skal holdes, men det er ingen reell vurdering av systemets virkemåte. Styret får rapporter de ikke leser kritisk.

14. Strategisk verdi og styrets bevisposisjon

Et velfungerende internkontrollsystem er ikke kun et juridisk verneapparat – det er strategisk infrastruktur. Det gir styret og ledelsen bevisbar etterlevelse overfor tilsyn, revisjon og rettslig vurdering.

Når en tilsynsleder spør «Kan dere vise hvordan dere har instruert og fulgt opp dette?», er det det instruksjonsbaserte internkontrollsystemet som gir svaret. Vurderingen flyttes fra «har dere tenkt på dette?» til «kan dere vise at dette ble gjort?».

For styret betyr dette at det kan dokumentere forsvarlig organisering og tilsyn. For virksomheten betyr det redusert sårbarhet ved sanksjoner, omdømmekriser og rettstvister.

Strategisk konklusjon Internkontroll er ikke et nødvendig onde – det er virksomhetens viktigste forsvarsverk mot tilfeldighet, svikt og rettslig eksponering. Investering i godt internkontrollsystem gir avkastning gjennom redusert risiko, økt produktivitet og styrket markedsposisjon.

Avsluttende vurdering

Internkontroll er fundamentet for forsvarlig virksomhetsstyring i alle aksjeselskaper. Det er ikke et HMS-tema alene – det er styrets primære verktøy for å oppfylle aksjelovens krav om forsvarlig organisering og tilsyn.

Internkontroll AS har gjennom IS-modellen™ og AvvikStandard™ utviklet en helhetlig metodikk som håndterer regelverkskompleksiteten i moderne virksomheter, fra aksjeloven og internkontrollforskriften til særlovgivningens krav. Vår tilnærming gjør internkontrollen operativ, etterprøvbar og bevisbar – og dermed strategisk verdifull, ikke bare lovpålagt.

Ofte stilte spørsmål om internkontroll

Er internkontroll bare HMS?: Nei, det er en utbredt misforståelse. HMS-internkontroll etter internkontrollforskriften er kun én dimensjon. Det primære grunnlaget for internkontroll i alle aksjeselskaper er aksjelovens krav om forsvarlig organisering og tilsyn. I tillegg har særlover som hvitvaskingsloven, finansforetaksloven, sikkerhetsloven, personvernforordningen og åpenhetsloven egne internkontrollkrav.
Hva sier aksjeloven om internkontroll?: Aksjeloven pålegger styret å sørge for forsvarlig organisering av virksomheten, holde seg orientert om økonomisk stilling, påse at virksomheten, regnskap og formuesforvaltning er gjenstand for betryggende kontroll, og føre tilsyn med daglig leder og selskapets virksomhet. Dette er det primære rettslige grunnlaget for internkontroll i norske aksjeselskaper.
Hva er forskjellen på internkontroll og HMS?: HMS (helse, miljø og sikkerhet) er ett av flere områder som krever internkontroll. Internkontrollforskriften regulerer den HMS-spesifikke delen, men internkontrollen som helhet omfatter også økonomi, personvern, antikorrupsjon, kvalitet, sikkerhet, åpenhetsloven og bransjespesifikke krav. Internkontroll er paraplyen, HMS er ett av flere felt under den.
Hva krever internkontrollforskriften?: Forskriften krever at virksomheten gjør åtte ting: sørger for at lover og forskrifter er tilgjengelige, sørger for at arbeidstakerne har tilstrekkelige kunnskaper, sørger for at arbeidstakerne medvirker, fastsetter mål for HMS, har oversikt over organisasjonen og ansvarsfordelingen, kartlegger farer og vurderer risiko med planer og tiltak, avdekker, retter opp og forebygger overtredelser, og overvåker og gjennomgår internkontrollen. Kravene gjelder HMS. Internkontroll ellers bygger på aksjeloven og særlovene.
Hvilket ansvar har styret for internkontrollen?: Styret har det overordnede ansvaret etter aksjeloven for å sørge for forsvarlig organisering og føre tilsyn. Ansvaret kan ikke delegeres bort. Styret fastsetter risikoappetitten og skal påse at virksomheten har et internkontrollsystem som er tilpasset virksomhetens art, omfang og risikobilde, og at systemet faktisk virker. Daglig leder fastsetter akseptkriterier og instrukser innenfor styrets rammer.
Hva er IS-modellen™ og hvordan henger den sammen med internkontroll?: IS-modellen™ er Internkontroll AS' instruksjonsbaserte tilnærming til internkontroll. Modellen tar utgangspunkt i at virksomheter ikke styres gjennom intensjoner, men gjennom bindende instrukser. Den bruker et femstegs instruksjonsfilter (identifisering, avklaring, beslutning om forpliktelse, instruksjonsfesting og operasjonalisering) for å gjøre alle krav, uansett kilde, til konkrete instrukser som ansatte er forpliktet til å følge.
Hvordan henger internkontroll og avviksbehandling sammen?: Avviksbehandling er den reaktive siden av internkontrollen. AvvikStandard™ er Internkontroll AS' modell for dette. Et avvik er manglende oppfyllelse av krav: enten er instruksen brutt, eller instruksen eller systemet mangler. Modellen skiller avvik fra fravik (forhåndsgodkjente unntak fra interne instrukser, aldri fra myndighetskrav), varsler (som sorteres ut først og følger egen varslingsinstruks), hendelser og observasjoner, og håndterer dem gjennom sju faser fra eksponering til læring og forbedring.
Hva er PDCA-syklusen?: PDCA er et internasjonalt anerkjent prinsipp for kontinuerlig forbedring: Plan (planlegg), Do (utfør), Check (kontroller) og Act (forbedre). Prinsippet er innbakt i internkontrollforskriften, ISO 9001 og IS-modellen™. Det sikrer at internkontrollen ikke er en engangshandling, men en kontinuerlig syklus.
Trenger en liten virksomhet internkontroll?: Ja. Aksjelovens krav gjelder ALLE aksjeselskaper, uavhengig av størrelse. Også et lite selskap med kun styre og daglig leder må ha et internkontrollsystem som tilfredsstiller kravet om forsvarlig organisering og tilsyn. Internkontrollen skal imidlertid være tilpasset virksomhetens art, omfang og risikobilde – det finnes ingen «one size fits all».
Hva er forskjellen på internkontroll, egenkontroll og revisjon?: Internkontroll er virksomhetens systematiske arbeid for å sikre forsvarlig drift. Egenkontroll er konkrete aktiviteter innenfor internkontrollen, der virksomheten kontrollerer eget arbeid mot fastsatte krav. Revisjon er en uavhengig vurdering av om internkontrollen fungerer som forutsatt. Grunnregelen er at ingen kontrollerer sitt eget arbeid: internrevisjon er tredje linje, mens regnskapsrevisor og tilsyn er eksterne kontroller.
Hva er de vanligste fallgruvene i internkontrollarbeidet?: De seks vanligste er: (1) HMS-perm som «internkontrollsystem», (2) policyer uten konkrete instrukser, (3) standardsystem som ikke er tilpasset virksomhetens art, (4) mangelfull dokumentasjon, (5) avviksbehandling som rituale uten reell rotårsaksanalyse, og (6) ledelsens gjennomgang som formalia uten kritisk vurdering. Hver av disse undergraver internkontrollens reelle virkning.
Hvordan hjelper god internkontroll styret?: Et velfungerende internkontrollsystem flytter vurderingen ved tilsyn fra «har dere tenkt på dette?» til «kan dere vise at dette ble gjort?». Når styret kan dokumentere at krav er identifisert, gjort til konkrete instrukser, at opplæring er gjennomført og at etterlevelse følges opp, kan styret vise at det har sørget for forsvarlig organisering og ført tilsyn.

Om forfatterne

Svein Roar Holt – grunnlegger av Internkontroll AS og skaper av IS-modellen™

Svein Roar Holt Grunnlegger – Internkontroll AS & Internkontrollportalen.no

Skaper av IS-modellen™ og AvvikStandard™. Ekspert på strategisk virksomhetsstyring, governance og instruksbasert internkontroll. Har bygget Norges ledende digitale GRC-plattform for SMB og offentlig sektor.

Om Svein Roar → LinkedIn →

Maria Zahlsen – grunnlegger av Internkontroll AS, jurist med arbeidsrett og forretningsjuss

Maria Zahlsen Grunnlegger – Internkontroll AS & Internkontrollportalen.no

Jurist med spesialisering innen arbeidsrett, kontraktsrett og forretningsjuss. Ekspert på operativ etterlevelse, HR-juss og organisatorisk risikostyring – med særlig fokus på menneskelig faktor og praktisk implementering av styringsverktøy.

Om Maria → LinkedIn →

Internkontroll – aksjelovens krav til forsvarlig organisering og tilsyn | Internkontroll AS — Internkontroll – fra aksjelovens krav til operativ kontroll | Internkontroll AS

Hva dekker denne siden?

Hva er internkontroll?
Misforståelsen «internkontroll = HMS»
Aksjeloven som primært grunnlag
Internkontrollforskriften – åtte HMS-krav
Særlovers internkontrollkrav
Fem kjerneelementer + COSO
PDCA-syklusen
IS-modellen™, IS-syklusen og AvvikStandard™
Internkontroll vs. egenkontroll vs. revisjon
Roller og ansvar
Verdiskaping for interessegrupper
Vanlige fallgruver
Strategisk verdi for styret

For: Styremedlemmer, daglige ledere, internkontrollansvarlige og rådgivere

Våre kjernemodeller

IS-modellen™
Instruksjonsbasert virksomhetsstyring (2026)

AvvikStandard™
Helhetlig avviksstyring (2026)

Undersider og fagsider

Roller og ansvar

Sentrale lover

Trenger din virksomhet et helhetlig internkontrollsystem?

Vi bistår med implementering av IS-modellen™ og AvvikStandard™ tilpasset virksomhetens størrelse, bransje og risikobilde – fra aksjelovens generelle krav til særlovgivningens spesifikke plikter.

KONTAKT INTERNKONTROLL AS →