Regelverk i virksomhetsstyring og internkontroll

Hva menes med regelverk i styringsøyemed?

Innenfor virksomhetsstyring og internkontroll må regelverk forstås som summen av alle bindende krav virksomheten er forpliktet til å etterleve, og som derfor må inngå i virksomhetens styringssystem. Dette omfatter både eksterne og interne normer, og det er først når disse instruksjonsfestes at virksomheten faktisk kan sies å være styrt.

Regelverket i styringsøyemed omfatter fire hovedkategorier:

Aksjeloven – plikten til virksomhetsstyring og internkontroll

Utgangspunktet for all virksomhetsstyring er aksjeloven. Aksjeloven pålegger styret å sørge for forsvarlig organisering av virksomheten, forsvarlig forvaltning av selskapets verdier og forsvarlig håndtering av risiko.

Disse pliktene forutsetter at styret etablerer et styringssystem som gir oversikt over hvilke krav virksomheten er underlagt, hvordan kravene er instruksjonsfestet, hvordan etterlevelse følges opp, og hvordan styringen kan dokumenteres og etterprøves. Internkontrollarbeid er dermed ikke et frivillig tillegg, men en nødvendig konsekvens av aksjelovens styringsplikt.

Myndighetskrav – det ufravikelige minimum

Myndighetskrav utgjør den ufravikelige delen av regelverket. Disse kravene gjelder uavhengig av virksomhetens egne valg, og kan aldri velges bort. For de fleste virksomheter omfatter dette:

• Arbeidsmiljøloven – krav til fullt forsvarlig arbeidsmiljø, systematisk HMS-arbeid, risikovurdering, medvirkning og opplæring
• Internkontrollforskriften – krav til systematisk styring av helse, miljø og sikkerhet
• Ferieloven – regler om ferie, feriepenger og arbeidstakers rettigheter
• Regnskaps- og bokføringslovgivning – krav til dokumentasjon, sporbarhet og korrekt rapportering
• Personvernregelverket (GDPR) – krav til behandling av personopplysninger, informasjonssikkerhet og internkontroll
• Diskriminerings- og likestillingslovgivning – krav til likebehandling, forebygging og aktivitetsplikt
• Sektor- og bransjelovgivning – avhengig av virksomhetens art og risiko

Virksomhetskrav – styrets og ledelsens egne instrukser

I tillegg til myndighetskrav fastsetter styre og ledelse egne krav for virksomheten. Disse virksomhetskravene er ikke frivillige, men normative instrukser fastsatt innenfor styringsretten. De kan bestå av interne policyer og styringsbeslutninger, krav til kvalitet og sikkerhet, organisatoriske instrukser og ansvarsfordeling, samt interne kontroll- og rapporteringsinstrukser.

Når virksomhetskrav er besluttet, er de en del av virksomhetens regelverk og skal etterleves på lik linje med eksterne krav. De gir virksomheten anledning til å gå ut over lovens minimum der risiko, strategi eller verdigrunnlag tilsier det.

Forpliktende avtaler som del av regelverket

Regelverket omfatter også avtaler som pålegger virksomheten bindende plikter – kundekontrakter, leverandøravtaler, offentlige kontrakter, forsikringsvilkår og leieavtaler. Manglende etterlevelse kan medføre alvorlige konsekvenser, eksempelvis bortfall av forsikringsdekning eller kontraktsrettslige sanksjoner. I styringsøyemed er dette regelverk som må instruksjonsfestes og følges opp.

Beste praksis – når det gjøres bindende

Beste praksis og standarder er i utgangspunktet ikke rettslig bindende. De blir en del av regelverket først når virksomheten velger å gjøre dem bindende gjennom instruks. Dermed gjelder samme etterlevelseslogikk uavhengig av kravets opprinnelse:

• Beste praksis → virksomhetskrav
• Virksomhetskrav → instruks
• Instruks → plikt til etterlevelse

Regelverk og instruksjon – fra krav til handling

Ingen krav etterleves i kraft av sin eksistens alene. Regelverk må transformeres til handling. I IS-modellen™ kaller vi denne transformasjonen Instruksjons-filteret – prosessen der råmateriale fra regelverket omformes til kjørbare, forståelige og etterprøvbare instrukser.

IS-matrisen – fra oppslagsverk til styringsmotor

For å håndtere regelverk på en enkel, effektiv og hensiktsmessig måte har vi etablert en omfattende database – IS-matrisen™. I IS-matrisen har vi registrert om lag 1 700 lover og forskrifter, strukturert etter tema, bransje og risikoområde.

Matrisen er utviklet for å hjelpe virksomheter med å identifisere hvilke myndighetskrav som gjelder, strukturere kravene som del av eget regelverk, koble krav til virksomhetskrav og instrukser, og sikre helhetlig og konsistent styring. IS-matrisen™ er ikke et statisk arkiv, men en dynamisk motor som varsler ved endringer i regelverket og sikrer at virksomhetens instrukser til enhver tid er harmonisert med siste revisjon av lov- og forskriftskrav.