Vår metode – styring som tåler ansvar, kontroll og bevis

Problemet vi arbeider med

De fleste virksomheter mangler ikke krav. De har lover og forskrifter, kundeavtaler, sertifiseringer og styrevedtak – ofte flere enn noen har oversikt over. Problemet er sjelden kravene. Det er å omsette dem til arbeid som faktisk blir gjort, og til dokumentasjon som viser at det er gjort.

Vi ser det samme mønsteret igjen og igjen. Når tilsynet spør «kan dere vise hvordan dere har instruert de ansatte, og hvordan dere har kontrollert at det etterleves?», blir det stille. Ikke fordi ingenting er gjort, men fordi koblingen mellom krav og faktisk etterlevelse aldri ble gjort bindende.

Denne siden forklarer hvordan vi i Internkontroll AS ser på virksomhetsstyring og internkontroll, hvilke metodiske valg vi har tatt, og hvordan modellene våre utfyller de anerkjente rammeverkene. Vi beskriver også hva dere sitter igjen med etter å ha samarbeidet med oss. Til slutt beskriver vi internkontrollportalen.no, der metoden er gjort tilgjengelig.

1. Vår metode – IS-modellen™ og AvvikStandard™

Vårt grunnsyn: virksomheter styres gjennom instrukser

Virksomheter styres ikke gjennom intensjoner, dokumentmengde eller ambisjoner. De styres gjennom bindende instrukser som de ansatte er forpliktet til å følge. Det er vårt grunnsyn, og alt annet vi gjør bygger på det.

Utgangspunktet er mål og risiko. Styringen starter med det virksomheten skal oppnå, og risikoen for at den ikke når det. Med risiko mener vi virkningen av usikkerhet på målene. Det omfatter mer enn fare for liv og helse: brudd på lover og avtaler, misligheter, sykefravær, naturhendelser og økonomisk tap er også risiko. Risikobasert virksomhetsstyring betyr å styre etter alt som kan hindre måloppnåelsen.

Risiko reduseres gjennom må-krav. Må-kravene fastsettes i instrukser, etterleves i det daglige arbeidet og verifiseres av andre enn dem som utfører det. Hver instruks skal kunne føres tilbake til risikoen den håndterer, og til kravet der det finnes.

En instruks er et må-krav. Den er et arbeidsdirektiv for alle den er rettet til, også for daglig leder. Brudd er ikke en kulturforseelse, men brudd på en plikt som følger av arbeidsavtalen. Alt annet – veiledninger, maler og sjekklister – er støttemateriell. Støttemateriellet blir bindende bare når en instruks sier at det skal brukes. Navnet på dokumentet avgjør ikke. Det gjør plikten.

Plikt og kultur trenger hverandre. Plikten er grunnmuren. Kulturen avgjør om plikten blir fulgt i praksis, og om avvik og kritikkverdige forhold blir meldt. En virksomhet som takker den som sier fra, lærer. En som straffer det, slutter å få vite.

Aksjeloven er premisset – rammeverkene sier hva, vi viser hvordan

Aksjeloven er det overordnede rettslige grunnlaget for vår metode. Loven pålegger styret å sørge for forsvarlig organisering av virksomheten og å føre tilsyn med den daglige ledelsen. Pliktene er rammepregede. De forutsetter at virksomheten selv bygger et styringssystem tilpasset sin art, sitt omfang og sin risiko. Våre modeller er laget for å fylle dette rommet.

Internkontrollforskriften stiller utfyllende krav til arbeidet med helse, miljø og sikkerhet. Den er viktig, men den dekker bare HMS-delen. Virksomhetsstyring er bredere: økonomi, personvern, informasjonssikkerhet, kvalitet, avtaler og bærekraft hører med.

De anerkjente rammeverkene – COSO, ISO-standardene og modellen for tre linjer fra The Institute of Internal Auditors – beskriver hva god styring og internkontroll skal oppnå. I mars 2026 kom COSO i tillegg med tolv prinsipper for styrets tilsyn, utviklet sammen med PwC. Rammeverkene er retningsgivende og overlater mange valg til virksomheten.

Våre modeller erstatter ikke rammeverkene. De bygger bro mellom dem og den daglige driften, og viser hvordan kravene i dem kan gjennomføres i praksis.

IS-modellen™ – fra krav til bindende instruks

IS-modellen™ er en instruksjonsbasert styringsmodell. Den dekker veien fra mål til verifisert etterlevelse: mål → risiko → krav → instruks → etterlevelse → verifisering. Modellen er utviklet av Svein Roar Holt og Maria Zahlsen i Internkontroll AS.

Tre nivåer som skiller må fra bør

• Nivå 1 – styring og eierskap. Styrets føringer: strategier, målbare mål, risikoappetitt og ansvar.
• Nivå 2 – må-krav. Instruksene som oversetter mål og risiko til plikter for de ansatte. Dette er hjertet i modellen.
• Nivå 3 – støtte. Veiledninger, maler og sjekklister som hjelper de ansatte å etterleve instruksene.

Instruksjonsfilteret™

Alle krav må gjennom fem steg før de får operativ kraft: identifisering, avklaring av om kravet gjelder, beslutning om hvordan de ansatte skal forpliktes, instruksjonsfesting og operasjonalisering med tildeling, opplæring og oppfølging. Myndighetskrav binder virksomheten, ikke den enkelte ansatte. De ansatte blir først forpliktet gjennom instruks. Derfor kan myndighetskrav aldri velges bort. Risikoen avgjør hvordan etterlevelsen sikres, ikke om kravet gjelder.

Hver instruks har tre deler: gjennomføring, kvalitetssikring og kontroll. Hver instruks har også en instruksansvarlig, et versjonsnummer og en dato for godkjenning, og det skal gå fram hvem som har fått opplæring i hvilken versjon.

Tre linjer – ingen verifiserer sitt eget arbeid

Første linje utfører og kvalitetssikrer arbeidet og bærer det primære ansvaret for etterlevelse. Andre linje, internkontrollen, verifiserer at første linje etterlever kravene. Tredje linje er uavhengig revisjon, og den etableres når styret vedtar det. Styret er ikke en kontrollinje. Styret påser at virksomheten er organisert slik at etterlevelse er mulig, sannsynlig og dokumenterbar.

Bevisstatus – hva styret kan stole på

Et styringssystem kan se komplett ut og likevel hvile på forutsetninger ingen har kontrollert. Derfor gir modellen hver instruks en bevisstatus: verifisert, uverifisert, uverifisert bærende forutsetning, ukjent udekket krav eller dokumentert akseptert restrisiko. Styret får fem faste nøkkeltall som viser hva som er bevist, og hva som ikke er det.

AvvikStandard™ – fra avvik til læring

AvvikStandard™ dekker veien fra avvik til forbedring og tilbake til instruksene: avvik → læring → forbedring. IS-modellen™ etablerer det som skal gjelde. AvvikStandard™ håndterer det når etterlevelsen svikter.

Avvik er manglende oppfyllelse av et krav. Vi skiller mellom to typer. Et etterlevelsesavvik er at en instruks er brutt, og årsaken må finnes. Et systemavvik er at instruks eller system for etterlevelse av et identifisert krav mangler, og da må selve styringssystemet rettes.

Avvik er ikke det samme som fravik. Et fravik er en bevisst, dokumentert avgjørelse, godkjent på forhånd, om å gjøre noe annet enn instruksen sier. Virksomheten kan aldri selv gi fravik fra et myndighetskrav.

Kritikaliteten avgjør tempo og eskalering. Avvik får fargen grønn, gul, rød eller svart ut fra den verste konsekvensen forholdet kunne ha fått. Svikt i etterlevelsen av et myndighetskrav er aldri akseptabelt og minst rødt til det er rettet. Systemavvik krever alltid systemiske tiltak, uansett farge.

Sju faser fra melding til læring: eksponering og umiddelbar respons, klassifisering og kritikalitet, ansvarsetting, rotårsaksanalyse etter MTO (menneske, teknologi, organisasjon), tiltak etter styrke, effektmåling etter 1, 3 og 6 måneder, og læring. Funnene speiles i risikoregisteret, og gjentatte årsaker utløser obligatorisk revisjon av instruksen.

Varsling er en egen og positiv kanal. Varsel om kritikkverdige forhold sorteres ut først og behandles etter virksomhetens egen instruks for varsling, ikke som avvik. Den som varsler, avdekker noe virksomheten trenger å vite.

2. Slik jobber vi – IS-syklusen, i samsvar med COSO, ISO og modellen for tre linjer

IS-syklusen – slik etableres et styringssystem med god internkontroll

Modellene beskriver hva som skal gjelde. IS-syklusen beskriver arbeidsgangen for å få det på plass: fire faser rundt et nav, der funnene i fase 4 starter neste runde i fase 1. Metoden gjelder for alle virksomheter, store og små. Omfanget tilpasses virksomhetens art, størrelse og risiko, men prinsippene kan ikke skaleres ned.

Navet – mål, ansvar og myndighet

Navet er ikke en fase. Det er rammen fasene virker innenfor, og det kommer først. Styret fastsetter målbare mål, strategier og risikoappetitt. Ledelsen fastsetter akseptkriterier innenfor risikoappetitten. Ansvar og myndighet følger hverandre: den som har ansvar for en prosess, må ha myndighet til å endre den. Uten mål vet ingen hvilken risiko som skal vurderes. Uten fordelt ansvar har ingen plikt til å gjøre noe med den.

De fire fasene

1. Fase 1 – Prosesskartlegging, aktiviteter og krav. Prosessene og aktivitetene kartlegges. Hver aktivitet får en ansvarlig og en utførende rolle, og det avklares hvilke krav som gjelder for den.
2. Fase 2 – Fra risiko til tiltak. Den som er ansvarlig for aktiviteten, vurderer risikoen mot akseptkriteriene og risikoappetitten. Fasen ender i besluttede tiltak og fastsatt restrisiko. Restrisikoen er en forventning til den er prøvd i drift.
3. Fase 3 – Fra krav og risiko til instruks. Kravene og risikotiltakene spores til instrukser. Her formes og forankres reglene. Internkontrollansvarlig leder arbeidet, styret og daglig leder fastsetter instruksene for hvert sitt område, og instruksansvarlig eier den enkelte instruksen.
4. Fase 4 – Fra instruks til læring. Etterlevelsen verifiseres, en samsvarsvurdering kontrollerer at ingen krav mangler instruks, avvik behandles etter AvvikStandard™, og varsler tas imot. Restrisikoen bekreftes eller justeres, og styret får rapport om hva som er verifisert.

Læringen går tilbake dit den hører hjemme: til fase 1 når krav eller aktiviteter har endret seg, til fase 2 når risikoen er annerledes enn antatt, til fase 3 når en instruks mangler eller ikke virker, og til navet når ansvaret er uklart.

Slik utfyller modellene rammeverkene

Tabellen viser hvor kravene i de anerkjente rammeverkene og standardene blir gjennomført i praksis. Koblingen er vår vurdering.

Rammeverk og standard	Hva det krever	Slik gjennomføres det hos oss
COSO, prinsipper for styrets tilsyn	Ansvar, formål og verdier, kultur, strategi og mål, risikotilsyn	Nivå 1: strategier, mål, risikoappetitt og ansvar. Styret får bevisstatus og rapport fra 2. og 3. linje
COSO internkontroll	Kontrollmiljø, risikovurdering, kontrollaktiviteter, informasjon og kommunikasjon, overvåking	Nivå 1 og tre linjer. Risikovurdering bak hver instruks. Instruksene er kontrollaktivitetene. Verifisering i 2. og 3. linje
COSO virksomhetsrisikostyring	Risiko knyttet til strategi og mål	Risikoappetitt fra styret, akseptkriterier fra ledelsen, skriftlig aksept av restrisiko
ISO-standardenes felles struktur (ISO 9001, 14001, 45001, 27001 og 37301)	Kontekst, lederskap, planlegging, støtte, drift, evaluering, forbedring	Kravidentifisering, nivå 1, mål og risiko, opplæring og støttemateriell, instruksene, verifisering og bevisstatus, AvvikStandard™
ISO 37301 (etterlevelse)	Forpliktelser identifiseres og etterleves	Instruksjonsfilteret og andre linje
ISO 31000 og NS 5814 (risiko)	Identifisere, analysere, evaluere og behandle risiko	Instruksene er risikobehandlingen. Restrisiko dokumenteres og aksepteres
Modellen for tre linjer (IIA)	Roller for ledelse, kontroll og uavhengig revisjon	Trelinjeperspektivet, der ingen verifiserer sitt eget arbeid
Internkontrollforskriften (HMS)	Krav, kompetanse, medvirkning, mål, ansvar, risiko, avvik og overvåking	Hele kjeden fra krav til verifisering, med AvvikStandard™

Den fullstendige sammenstillingen står i IS-modellen™, kapittelet «Fra rammeverk til praksis».

Hvor vi står – strengere der rammeverkene overlater valget

Prinsippene i modellene er våre metodiske valg. De bygger på rammeverkene, men er strengere der rammeverkene lar virksomheten velge selv. Dette er standpunktene som skiller oss ut:

• Myndighetskrav instruksjonsfestes alltid. Manglende instruksjonsfesting er ikke nøytralitet, men styringssvikt.
• Instruks eller støttemateriell. Det som skal følges, er et må-krav og en instruks. Det som bare hjelper, er støttemateriell. Vi bruker ingen mellomting.
• Etterlevelse skal være verifisert, ikke antatt. Kvalitetssikring i det daglige arbeidet sikrer etterlevelse, men bare andre og tredje linje verifiserer.
• Ingen verifiserer sitt eget arbeid – heller ikke i små virksomheter. Der daglig leder selv utfører arbeidet, verifiseres det av styret eller av en styret utpeker.
• Over risikoappetitten kan bare styret akseptere risiko. Akseptert restrisiko er alltid skriftlig og begrunnet, med dato for ny vurdering. Den kan aldri brukes til å akseptere manglende etterlevelse av myndighetskrav.
• Systemavvik rapporteres for seg. Et avvik der instruksen mangler, er ikke den ansattes feil, og det skal ikke skjules i statistikken over brudd.
• Varsling er en positiv kanal. Den som avdekker kritikkverdige forhold, gjør virksomheten en tjeneste.
• Vi fastsetter ikke intervaller. Virksomheten fastsetter selv metode, utvalg og hyppighet ut fra størrelse, risiko og avvikshistorikk. Vi krever at valgene er gjort og dokumentert.
• Nye styringskrav, som bærekraft, menneskerettigheter i leverandørkjeden og rapportering, behandles på samme måte som alle andre krav. De går gjennom instruksjonsfilteret og gjøres til bindende instrukser. Modellen trenger ikke endres for å ta dem inn.

3. Dette får dere etter å ha samarbeidet med oss

Målet er et styringssystem som virker i det daglige og tåler et spørsmål fra tilsynet, revisoren eller styret. Konkret sitter dere igjen med:

Dere får	Det betyr i praksis
Et kravregister	Oversikt over kravene som gjelder virksomheten, og hvem som eier dem
Risikovurderinger knyttet til instruksene	Hver instruks kan føres tilbake til risikoen den håndterer
Instrukser med tre deler	Gjennomføring, kvalitetssikring og kontroll – samlet i et instruksregister med opplæringsoversikt
Avviksbehandling etter AvvikStandard™	Avvik meldes, klassifiseres og følges opp til effekten er målt
Verifiseringsplan og bevisstatus	Styret får fem faste nøkkeltall som viser hva som er bevist, og hva som ikke er det
Et styre og en ledelse som kan vise hva de har gjort	Mål og risiko er fastsatt, krav er gjort til instrukser, opplæring er gjennomført, etterlevelsen er verifisert, og avvik er fulgt opp

Gevinsten kommer ikke av dokumentene, men av mekanismene de setter i gang: målene nås oftere, de samme feilene kommer ikke igjen, og beslutningene bygger på bevis. Les mer om hva god virksomhetsstyring gir, og hvordan gevinsten måles.

4. Internkontrollportalen.no – metoden gjort tilgjengelig

Internkontrollportalen.no er vår fagportal og verktøysamling for virksomhetsstyring, internkontroll og HMS. Den henvender seg til styrer, daglige ledere, internkontrollansvarlige og alle som har ansvar for at krav blir etterlevd i praksis.

Portalen har fire hoveddeler:

• Modellene. IS-modellen™ og AvvikStandard™ er bærebjelkene. Alt annet innhold skal stemme med dem.
• Artikkelserien om IS-syklusen. «Slik etablerer du et styringssystem med god internkontroll» leder leseren fra navet gjennom de fire fasene.
• Fagsider og artikler. Temasider og fagartikler om virksomhetsstyring, internkontroll, HMS, roller og ansvar, avvik og varsling, personvern, arbeidsrett og bærekraft, samlet i artikkelarkivet, og et oppslagsverk med begreper og definisjoner.
• Styringsportalen. Digitale verktøy som gjør metoden praktisk: blant annet for identifisering av myndighetskrav, samsvarsmatrise, risikovurdering, barrierestyring, revisjon av instrukser, lovpålagt opplæring, avviksregistrering og styrets egenevaluering.

Styring som tåler ansvar, kontroll og bevis

Når tilsynet, revisoren eller retten spør hvordan virksomheten har instruert og fulgt opp, er det ikke et urimelig spørsmål. Det er et grunnleggende styringsansvar. Vår metode gir et svar som kan dokumenteres: mål er fastsatt og risiko vurdert, krav er identifisert og gjort til instrukser, opplæring er gjennomført, etterlevelsen er verifisert, avvik er fulgt opp, og styret ser hva som er bevist.

Dette er ikke dokumentasjon for dokumentasjonens skyld. Det er styring.

Kilder

Lov og forskrift

• Aksjeloven og internkontrollforskriften (HMS)

Rammeverk og veiledning

• COSO: Corporate Governance – Guiding Principles for Board Oversight (2026), Internal Control – Integrated Framework og Enterprise Risk Management
• The Institute of Internal Auditors (IIA): Three Lines Model (Statement of Position)
• ISO 9001, 14001, 45001, 27001, 37301 og 31000, og NS 5814

Internkontroll AS sin vurdering

• IS-modellen™ 2026 og AvvikStandard™ 2026, utviklet av Svein Roar Holt og Maria Zahlsen. Modellene er Internkontroll AS sine metodiske valg og er opphavsrettslig beskyttet.