Begreper og definisjoner – GRC, virksomhetsstyring og internkontroll

Ofte stilte spørsmål

Styret har et lovpålagt ansvar for å påse at virksomheten er forsvarlig organisert og at tilstrekkelige systemer for internkontroll er etablert.

I IS-Modellen™ er en instruks et bindende må-dokument direkte hjemlet i lovverket eller arbeidsavtalen, mens rutiner er mer veiledende.

En felles begrepsforståelse sikrer at alle ledd tolker krav og risiko likt, noe som reduserer faren for systemfeil og avvik.

Å dokumentere alle personopplysninger virksomheten behandler (GDPR Art. 30), slik at etterlevelse kan verifiseres overfor tilsynsmyndigheter.

Aksjeloven § 6-12 pålegger styret å sørge for at virksomheten er forsvarlig organisert. Dette innebærer klare ansvarslinjer, tilstrekkelig kompetanse, hensiktsmessige styringsdokumenter og systemer for internkontroll som faktisk etterleves i den daglige driften.

En policy er et overordnet prinsippdokument som angir virksomhetens verdier, mål og rammer. En instruks er et bindende må-dokument som konkretiserer hvordan en spesifikk oppgave skal utføres, direkte hjemlet i lovverket eller arbeidsavtalen.

GRC står for Governance, Risk and Compliance – virksomhetsstyring, risikostyring og etterlevelse. Begrepet brukes av styrer, daglige ledere, compliance-ansvarlige, DPO-er og risk managere som arbeider systematisk med å integrere disse tre disiplinene i én helhetlig styringsmodell.

COSO er et internasjonalt anerkjent rammeverk for internkontroll og risikostyring med fem komponenter: kontrollmiljø, risikovurdering, kontrollaktiviteter, informasjon og kommunikasjon, samt overvåking. I norsk sammenheng brukes COSO som faglig fundament for å bygge styringssystemer som tilfredsstiller krav i aksjeloven, internkontrollforskriften og GDPR.

Det overordnede ansvaret ligger hos styret. Den daglige lederen er ansvarlig for å implementere og vedlikeholde styringssystemet. I praksis koordineres internkontrollarbeidet av en internkontrollansvarlig, men linjelederne har ansvar for etterlevelse innen sine områder.

Verneombudet er en lovpålagt tillitsvalgt valgt av og blant de ansatte. HMS-ansvarlig er en rolle utpekt av arbeidsgiver med ansvar for å koordinere og følge opp virksomhetens HMS-arbeid. De to rollene utfyller hverandre men har ulike mandat og ansvarsgrunnlag.

En DPO overvåker behandlingsaktiviteter, gir råd om personvernkonsekvenser, fungerer som kontaktpunkt for Datatilsynet og informerer ansatte om deres plikter. Rollen er lovpålagt for offentlige organer og virksomheter som behandler særlige kategorier personopplysninger i stor skala.

Risiko er en vurdering av fremtidig usikkerhet – sannsynligheten for at noe uønsket kan skje multiplisert med konsekvensen. Et avvik er en allerede inntruffet hendelse som bryter med gjeldende krav eller instrukser. Risikostyring er proaktivt, avvikshåndtering er reaktivt.

Restrisiko er risikoen som gjenstår etter at alle planlagte tiltak er iverksatt. Den må vurderes opp mot virksomhetens risikoappetitt og akseptkriterier. Dersom restrisikoen er innenfor akseptable grenser kan den godtas, men beslutningen må dokumenteres og følges opp.

En ROS-analyse er en systematisk gjennomgang av hvilke uønskede hendelser som kan inntreffe, hvor sannsynlig de er og hvilke konsekvenser de kan få. Den bør gjennomføres ved etablering av nye prosesser, ved vesentlige endringer, etter alvorlige avvik og som del av den årlige ledelsesgjennomgangen.

Et risikoregister er en strukturert oversikt over identifiserte risikoer, vurderinger, tiltak og ansvarlige. Ansvaret for å oppdatere registeret ligger hos risikoeiere i linjen, koordinert av internkontrollansvarlig, og gjennomgås jevnlig av ledelsen og styret.

En DPIA er påkrevd når en behandling av personopplysninger sannsynligvis vil medføre høy risiko for de registrertes rettigheter. Typiske situasjoner er systematisk overvåking, behandling av særlige kategorier personopplysninger i stor skala og bruk av ny teknologi.

Behandlingsansvarlig er virksomheten som bestemmer formålet med behandlingen av personopplysninger og har det overordnede GDPR-ansvaret. Databehandler er en ekstern part som behandler personopplysninger på vegne av den behandlingsansvarlige, regulert gjennom en databehandleravtale.

IS-Modellen™ bygger på instruksen som det primære operative styringsdokumentet. Alle må-krav fra lovverk og virksomhetskrav omsettes til konkrete, hjemlete instrukser knyttet til arbeidsavtalen. Dette gir reell styringsevne og etterprøvbar dokumentasjon, i motsetning til modeller som primært baserer seg på veiledende rutiner.

Hjemling er koblingen mellom en instruks og dens rettslige eller avtalemessige grunnlag. I IS-Modellen™ skal hver instruks være hjemlet i lovverket eller i arbeidsavtalen via styringsretten, slik at instruksen er bindende og virksomheten kan dokumentere grunnlaget for sitt krav.

Myndighetskrav er ufravikelige regler fastsatt av lovgiver eller tilsynsmyndigheter, som arbeidsmiljøloven og GDPR. Virksomhetskrav er krav virksomheten selv har fastsatt eller som følger av avtaler med kunder og eiere. Begge typer krav må ivaretas i styringssystemet.

Manglende internkontroll kan medføre pålegg og bøter fra tilsynsmyndigheter, erstatningsansvar for styret og ledelsen, tap av omdømme og kundertillit, redusert operativ effektivitet og i ytterste konsekvens straffansvar.

Internrevisjon er en uavhengig kontrollfunksjon internt i virksomheten som vurderer om styringssystemet fungerer som forutsatt. Ekstern revisjon utføres av en uavhengig tredjepart og fokuserer primært på regnskap og finansiell rapportering.

Kontinuerlig forbedring er en iterativ prosess basert på PDCA-syklusen der virksomheten systematisk identifiserer forbedringsmuligheter gjennom avviksbehandling, samsvarsvurderinger, risikovurderinger og ledelsesgjennomgang.

Internkontrollforskriften § 5 krever at virksomheter dokumenterer HMS-arbeidet i nødvendig grad. Dette inkluderer mål for HMS-arbeidet, oversikt over organisasjon og ansvar, kartlegging av farer, rutiner for å avdekke og rette opp avvik, samt oversikt over hvordan internkontrollen gjennomgås og forbedres.

Arbeidsmiljøutvalg (AMU) er lovpålagt i virksomheter med 50 eller flere ansatte, jf. arbeidsmiljøloven § 7-1. I virksomheter med 20–49 ansatte kan en av partene kreve at det opprettes AMU.

Styret kan delegere det operative arbeidet til daglig leder og internkontrollansvarlig, men kan ikke delegere bort det overordnede tilsynsansvaret. Aksjeloven § 6-13 slår fast at styret skal føre tilsyn med den daglige ledelsen og aktivt etterspørre rapporter om internkontrollens status.

Styringsportalen™ er Norges ledende digitale GRC-plattform for SMB, IKS og DPO-er. Den tilbyr profesjonelle verktøy for virksomhetsstyring, internkontroll, HMS og GDPR basert på IS-Modellen™, utviklet for styreledere, daglige ledere og internkontroll- og risikoansvarlige.

Åpenhetsloven pålegger større norske virksomheter å gjennomføre aktsomhetsvurderinger for å kartlegge risiko for brudd på menneskerettigheter og anstendige arbeidsforhold i egen virksomhet og leverandørkjede. Loven gjelder virksomheter som overskrider to av tre terskelverdier: 50 ansatte, 70 mill. kr i omsetning og 35 mill. kr i balansesum.