FASE 3 AV 4 I IS-SYKLUSEN · AKTIVITETSORGANISERING
Fase 3 går fra krav og risiko til instruks. Fase 1 avklarte hvilke krav som gjelder, og fase 2 besluttet hvilke tiltak risikoen krever. Men kravene binder virksomheten, og tiltakene er bare beslutninger. Først når de er gjort til instrukser, vet hver ansatt hva han eller hun skal gjøre. Det er i fase 3 virksomhetens regler formes og forankres.
Denne artikkelen er fase 3 av 4 i serien «Slik etablerer du et styringssystem med god internkontroll». Serien handler om å omsette krav til faktisk gjennomføring og dokumentert etterlevelse. Metoden gjelder for alle virksomheter. Til slutt viser vi hvordan IS-modellen™ løser den samme oppgaven.
Nøkkelfakta om fase 3
- Styret og daglig leder: Styret skal sørge for forsvarlig organisering, påse at virksomheten er gjenstand for betryggende kontroll, og føre tilsyn med den daglige ledelsen. Daglig leder står for den daglige ledelsen og skal følge styrets retningslinjer og pålegg (aksjeloven). Lovdata: aksjeloven
- Styringsretten: Arbeidsgiver har rett til å organisere, lede, kontrollere og fordele arbeidet innenfor rammen av arbeidsforholdet. Instruksene er måten virksomheten bruker styringsretten på. Instruksene må holde seg innenfor lov, tariffavtale og arbeidsavtalen.
- For HMS-arbeidet gjelder i tillegg: Arbeidstakerne skal ha tilstrekkelige kunnskaper og ferdigheter, også ved endringer, og de skal medvirke i arbeidet med et godt og sikkert arbeidsmiljø. Arbeidet skal gjøres i samarbeid med arbeidstakerne og deres tillitsvalgte (arbeidsmiljøloven og internkontrollforskriften). Lovdata: arbeidsmiljøloven
Svaret på 30 sekunder
Fase 3 gjør kravene fra fase 1 og risikotiltakene fra fase 2 til instrukser. For hvert krav finnes det ut hva kravet konkret pålegger – bestemmelsene – og hver bestemmelse og hvert tiltak får en plass i en instruks. Instruksene er må-krav som gjelder for alle, også daglig leder, og de dekker gjennomføring, kvalitetssikring og kontroll av arbeidet. Internkontrollansvarlig leder prosessen. Styret og daglig leder fastsetter reglene, hver for sitt område. Instruksene tildeles, de ansatte får opplæring, og det registreres hvem som kjenner hvilken versjon. Sporingen går videre til fase 4.
Kort fortalt for ledere
1. Hva fase 3 gjør – her formes og forankres reglene
Fase 3 tar imot to ting: kravene som gjelder, fra fase 1, og risikoregisteret og beslutningsloggen med de risikoreduserende tiltakene fra fase 2. Den leverer innførte instrukser til fase 4.
Det er her virksomhetens regler formes. Gjennom instruksene blir må-kravene bindende for alle: ansatte, ledere og daglig leder. Også daglig leders og styrets egne styringsoppgaver – som behandling av rapporter, fastsettelse av risiko og beslutninger om endringer – skrives som instrukser, slik at de kan verifiseres som alt annet.
Reglene dekker alt arbeid: hvordan det gjennomføres, hvordan det kvalitetssikres i det daglige, og hvordan etterlevelsen kontrolleres. Målet er arbeid i best mulig samsvar med kravene, med målene og med beste praksis. Beste praksis blir en regel når virksomheten beslutter det.
Og det er her reglene forankres. En regel virker bare når den er fastsatt av ledelsen, utformet sammen med dem som skal følge den, og kjent for alle den gjelder for.
2. Instruks = må-krav
En instruks er et må-krav – et arbeidsdirektiv fra virksomheten. Den skal følges av alle den gjelder for, også ledere og daglig leder. Et brudd på en instruks kan få følger for den enkelte ansatte.
Alt som ikke er et må-krav, er ikke en instruks. Veiledninger, maler, sjekklister og anbefalinger er støttemateriell. De blir bindende bare når en instruks sier at de skal brukes, og da er det instruksen som binder.
Derfor skal ordet «instruks» aldri brukes om noe som bare er et råd. Står det «bør» eller «kan», er det ikke en instruks.
Hver instruks har tre deler: gjennomføring (hva som skal gjøres, av hvem og når), kvalitetssikring (hvordan arbeidet sikres i det daglige) og kontroll (hvordan etterlevelsen kontrolleres og rapporteres). Instruksene står på nivå 2 i styringsdokumentene, og støttematerialet på nivå 3. Hvordan en god instruks skrives, står på temasiden om instrukser og maler.
3. Hvem gjør hva
- Internkontrollansvarlig eller internkontrollmiljøet leder og koordinerer prosessen. De holder sporingstabellen og instruksregisteret, sørger for lik form og for at instruksene henger sammen, og sikrer at kontrolldelen kan verifiseres i fase 4.
- Styret og daglig leder fastsetter instruksene, hver for sitt område. Styret fastsetter instruksene for daglig leder og for styrets egne oppgaver. Daglig leder fastsetter instruksene for virksomheten, eller den daglig leder har delegert det til. Delegeringen skal gå fram av fullmaktene.
- Instruksansvarlig eier hver instruks og har myndighet til å foreslå endringer.
- Den som har ansvaret for aktiviteten, utformer innholdet sammen med dem som gjør arbeidet. I HMS-arbeidet deltar verneombudet.
- Prosesseieren sørger for at alle kravene og tiltakene i prosessen blir dekket.
- Styret påser i tillegg at reglene i hele virksomheten finnes og virker.
4. Før du starter
Gi fasen et mandat. Daglig leder setter fasen i gang, bestemmer hvem som deltar, og når arbeidet skal være ferdig, og gir internkontrollansvarlig ansvaret for å lede prosessen.
Sjekk at grunnlaget er på plass. Kravoversikten fra fase 1 og risikoregisteret og beslutningsloggen fra fase 2. Mangler noe, gjøres det først.
Start med reglene for selve systemet. Før de andre instruksene skrives, fastsettes instruksene som styrer styringssystemet: avviksbehandling, fravik, varsling og styring av instruksene. Uten dem kan ikke fase 4 behandle funnene.
Prioriter. Ta først myndighetskravene og risikoen som har fått strakstiltak i fase 2. Resten tas etter en fast plan.
Rydd i det som finnes. Gå gjennom eksisterende rutiner, prosedyrer og retningslinjer. Det som skal følges, blir instruks. Det som bare hjelper, blir støttemateriell. Det som ikke brukes, fjernes.
5. Fra krav og risiko til instruks – i sju trinn
Trinn 1 – Mandat og plan. Internkontrollansvarlig lager en plan med rekkefølge, deltakere og frister, ut fra mandatet fra daglig leder. Resultat: plan.
Trinn 2 – Spor kravene og tiltakene. For hvert krav som gjelder, finner den som har ansvaret for aktiviteten, ut hva kravet konkret pålegger – bestemmelsene. Hver bestemmelse og hvert risikotiltak fra beslutningsloggen føres inn i en sporingstabell, knyttet til aktiviteten der det skal etterleves. Internkontrollansvarlig holder tabellen samlet. Resultat: sporingstabell.
Trinn 3 – Bestem hvilke instrukser som trengs. Ut fra sporingstabellen bestemmes hvilke instrukser som trengs, hva hver av dem skal dekke, og hvem som er instruksansvarlig. Én instruks kan dekke flere bestemmelser, men hver bestemmelse skal ha én plass. Resultat: instruksregister med utkast.
Trinn 4 – Utform instruksene i arbeidsmøter. Den som har ansvaret for aktiviteten, og instruksansvarlig utformer instruksen sammen med dem som skal følge den. Internkontrollansvarlig sørger for at alle tre delene er med, og at kontrolldelen kan verifiseres. Resultat: utkast til instrukser.
Trinn 5 – Fastsett. Daglig leder, eller den daglig leder har delegert til, fastsetter instruksene for virksomheten i et fastsettelsesmøte. Instruksene for daglig leder og for styrets egne oppgaver fastsettes av styret. Hver instruks får versjonsnummer og godkjenningsdato. Resultat: fastsatte instrukser.
Trinn 6 – Innfør. Instruksene tildeles rollene de gjelder for. De ansatte får opplæring, og det registreres hvem som har fått opplæring i hvilken versjon. Sperrer settes i drift. Når en instruks har overtatt et strakstiltak fra fase 2, beslutter daglig leder at strakstiltaket opphører, og beslutningsloggen oppdateres. Resultat: opplæringslogg og oppdatert beslutningslogg.
Trinn 7 – Kontroller dekningen, rapporter og overlever. Internkontrollansvarlig kontrollerer at hver bestemmelse og hvert risikotiltak i sporingstabellen har en instruks. Det som mangler, får en frist. Daglig leder rapporterer status til styret. Sporingstabellen og instruksregisteret går videre til fase 4 som grunnlag for verifiseringen. Resultat: overlevering til fase 4.
Når instruksene skal endres
En instruks endres når kravet endres, når risikoen endres, og når avvik viser at den er uklar eller feil. Virksomheten fastsetter i tillegg når instruksene skal gjennomgås. Ny versjon får nytt nummer og ny dato, og opplæringen gjentas for dem som berøres.
6. Arbeidsmøtet og fastsettelsesmøtet
Arbeidsmøtet – ett per aktivitet eller gruppe av like aktiviteter. Regn med to til tre timer.
- Forberedelse: Internkontrollansvarlig sender ut sporingstabellen for aktiviteten, risikotiltakene og eventuelle eksisterende dokumenter.
- Kravene og tiltakene: Gå gjennom bestemmelsene og tiltakene som skal dekkes.
- Gjennomføringen: Hvem gjør hva, og når? Hvordan dokumenteres det?
- Kvalitetssikringen: Hvordan sikres det i det daglige at arbeidet blir riktig?
- Kontrollen: Hvordan skal etterlevelsen kontrolleres, og av hvem?
- Avslutning: Hvem skriver utkastet, og når går det til fastsettelse?
Fastsettelsesmøtet – daglig leder, internkontrollansvarlig og instruksansvarlige. Daglig leder går gjennom utkastene, sjekker at de holder seg innenfor lov, tariffavtale og arbeidsavtalen, og fastsetter dem.
Medvirkning er ikke godkjenning. De ansatte bidrar med kunnskap om hvordan arbeidet faktisk gjøres, og det skal komme fram i instruksen. Men det er daglig leder, eller styret for sitt område, som fastsetter.
7. Maler du kan bruke
Sporingstabell
| Krav | Bestemmelse (hva kravet konkret pålegger) | Aktivitet | Risikotiltak (fra fase 2) | Instruks | Del (gjennomføring / kvalitetssikring / kontroll) | Status |
|---|---|---|---|---|---|---|
Instruksregister
| Instruks-ID og navn | Gjelder for (roller) | Instruksansvarlig | Versjon | Godkjenningsdato | Neste gjennomgang |
|---|---|---|---|---|---|
Opplæringslogg
| Ansatt | Rolle | Instruks | Versjon | Dato for opplæring | Gitt av |
|---|---|---|---|---|---|
Sjekkliste for fasen
- Daglig leder har gitt mandat, og internkontrollansvarlig leder prosessen
- Instruksene for selve styringssystemet er fastsatt
- Hver bestemmelse og hvert risikotiltak er ført inn i sporingstabellen
- Hver bestemmelse og hvert tiltak har en plass i en instruks
- Hver instruks har gjennomføring, kvalitetssikring og kontroll
- Instruksene bruker «skal», og støttemateriell er skilt ut
- Instruksene er fastsatt av styret eller daglig leder, hver for sitt område
- Opplæringen er registrert per versjon
- Strakstiltak som er overtatt av instrukser, er avsluttet
- Styret har fått rapport, og sporingstabellen er overlevert til fase 4
8. Eksempel fra serien: HMS-04 Arbeid i høyden
I fase 2 vurderte arbeidslederen risikoen for fall langt over akseptkriteriene. Daglig leder besluttet to tiltak: sikker jobbanalyse med fast sjekkliste, og en sperre i prosjektsystemet. Inntil instruksen er innført, kontrollerer arbeidslederen fallsikringen før hver arbeidsstart.
Internkontrollansvarlig fører kravene og tiltakene for aktiviteten inn i sporingstabellen: kravet om sikring mot fall, kundens krav om sikker jobbanalyse og de to tiltakene. Arbeidslederen og fagarbeiderne utformer instruksen sammen med prosjektdirektøren, som er instruksansvarlig. Daglig leder fastsetter den:
> Instruks HMS-04 – Arbeid i høyden > Gjelder for: arbeidsledere og fagarbeidere · Instruksansvarlig: prosjektdirektør · Fastsatt av daglig leder · Versjon 1 · Godkjent [dato] > > Gjennomføring: Før arbeid i høyden skal arbeidslederen gjennomføre sikker jobbanalyse med sjekkliste SJA-01, sammen med dem som skal utføre arbeidet. Fagarbeiderne skal ikke starte arbeidet før de har deltatt i jobbanalysen og sjekklisten er signert. > > Kvalitetssikring: Prosjektsystemet åpner ikke arbeidsordren før signert SJA-01 er lastet opp. Prosjektdirektøren eier sperren og sørger for at den virker. > > Kontroll: Internkontrollansvarlig kontrollerer et utvalg av prosjektene etter verifiseringsplanen: at SJA-01 finnes og er signert før arbeidet startet, og at fallsikringen var på plass ved befaring. Funnene rapporteres til daglig leder. > > Kilde: krav om sikring mot fall · kundekrav om sikker jobbanalyse · risikovurdering og beslutningslogg arbeid i høyden [dato]
Sjekkliste SJA-01 står på nivå 3. Den er bindende fordi HMS-04 sier at den skal brukes. Når opplæringen er registrert, beslutter daglig leder at strakstiltaket opphører. Kravene i de andre aktivitetene i prosjektgjennomføringen spores og instruksjonsfestes på samme måte. HMS-04 går videre til fase 4 som en instruks som ennå ikke er verifisert.
9. Vanlige feil – og hvordan du unngår dem
Instrukser og råd blandes. Må og bør står om hverandre. Da vet ingen hva som gjelder, og et brudd kan ikke følges opp. Bruk «instruks» bare om må-krav.
Kravene spores ikke. Instruksene skrives ut fra hva noen mener er viktig, ikke ut fra bestemmelsene i kravene. Da blir noe dekket to ganger, og noe ikke i det hele tatt.
Risikotiltakene bygges ikke inn. Beslutningene fra fase 2 blir liggende i loggen og blir aldri regler.
Stab skriver alene. Instruksene blir korrekte på papiret, men passer ikke med hvordan arbeidet faktisk gjøres. Utform dem sammen med dem som skal følge dem.
Daglig leder står utenfor. Reglene gjelder bare de ansatte, ikke ledelsen. Daglig leders og styrets styringsoppgaver skal også være instrukser.
Ingen kontrolldel. Instruksen sier hva som skal gjøres, men ikke hvordan det kontrolleres. Da kan den ikke verifiseres i fase 4.
Strakstiltak blir hengende. Ingen beslutter at strakstiltaket opphører når instruksen er innført. Da finnes det to regler for samme arbeid.
Opplæringen registreres ikke. Virksomheten kan ikke vise hvem som kjente hvilken versjon.
Ingen overlevering til fase 4. Instruksene er innført, men ingen vet hva som skal verifiseres. Sporingstabellen og instruksregisteret skal følge med.
10. IKP anbefaler – slik gjør du det med IS-modellen™
Boksen skiller Internkontroll AS' metode fra lovkravene over.
- Fase 3 gjennomfører steg 4 i instruksjonsfilteret™ og tildeling og opplæring i steg 5. Den bygger på kravene fra fase 1 og tiltakene fra fase 2. Oppfølgingen skjer i fase 4.
- Ufravikelighetsprinsippet: Myndighetskrav kan aldri velges bort og skal alltid instruksjonsfestes. Instruksjonsformen er ufravikelig. Manglende instruksjonsfesting er styringssvikt, ikke nøytralitet.
- Et brudd behandles alltid først som avvik, slik at det blir avklart om årsaken ligger i systemet. Om bruddet også skal få følger for den enkelte, vurderes for seg, utenfor AvvikStandard™.
- Unntak er fravik, ikke frihet. Skal noen gjøre noe annet enn instruksen sier, må det godkjennes på forhånd som fravik: tilsiktet, autorisert, begrunnet, skriftlig og tidsavgrenset. Fravik fra et myndighetskrav kan virksomheten aldri gi selv.
- Obligatorisk instruksrevisjon: Instruksen revideres ved fem avvik med samme rotårsak, eller fem like fravik.
- Bevisstatus: En ny instruks går til fase 4 som uverifisert forutsetning, til 2. linje har verifisert den. Uten kontrolldel kan den aldri bli verifisert.
Les mer: IS-modellen™, kap. 2, 5, 6 og 7
Kilder
Lov og forskrift
- Aksjeloven – lovdata.no
- HMS: arbeidsmiljøloven – lovdata.no
- HMS: internkontrollforskriften – lovdata.no
Internkontroll AS' vurdering
- IS-modellen™ 2026, kap. 2, 5, 6 og 7 – internkontrollportalen.no
- AvvikStandard™ 2026 – internkontrollportalen.no
Serien: Slik etablerer du et styringssystem med god internkontroll
IS-syklusen er arbeidsgangen for å etablere et styringssystem med god internkontroll. Funnene i fase 4 starter neste runde i fase 1. Selve modellen står på IS-modellen™-siden.
- Start her Mål, ansvar og myndighet
- Fase 1 av 4 Prosesskartlegging, aktiviteter og krav
- Fase 2 av 4 Fra risiko til tiltak
- Fase 3 av 4 Fra krav og risiko til instruks (du er her)
- Fase 4 av 4 Fra instruks til læring
← Forrige: Fase 2 av 4 – Fra risiko til tiltak · Neste: Fase 4 av 4 – Fra instruks til læring →
Ofte stilte spørsmål om fase 3
Hva tar fase 3 med seg fra fase 1 og 2?
Kravoversikten med kravene som gjelder, og risikoregisteret og beslutningsloggen med de risikoreduserende tiltakene.
Må hvert krav ha sin egen instruks?
Nei. Én instruks kan dekke flere krav. Men hver bestemmelse i et krav og hvert risikotiltak skal ha én plass i en instruks.
Hvem skriver, og hvem fastsetter instruksene?
Den som har ansvaret for aktiviteten, utformer innholdet sammen med dem som gjør arbeidet. Internkontrollansvarlig leder prosessen. Styret og daglig leder fastsetter, hver for sitt område: styret instruksene for daglig leder og for sine egne oppgaver, daglig leder instruksene for virksomheten.
Gjelder instruksene også for daglig leder?
Ja. Reglene gjelder alle i virksomheten. Instruksene for daglig leder fastsettes av styret, og styrets egne styringsoppgaver skrives også som instrukser.
Hva skjer med strakstiltakene fra fase 2?
De gjelder til instruksen som overtar dem, er innført og opplæringen er registrert. Da beslutter daglig leder at strakstiltaket opphører.
Hva går videre til fase 4?
Sporingstabellen og instruksregisteret. Fase 4 verifiserer at instruksene følges og virker, og at ingen bestemmelse mangler instruks.
Om forfatterne
Skaper av IS-modellen™ og AvvikStandard™. Ekspert på strategisk virksomhetsstyring, governance og instruksbasert internkontroll. Har bygget Norges ledende digitale GRC-plattform for SMB og offentlig sektor.
Jurist med spesialisering innen arbeidsrett, kontraktsrett og forretningsjuss. Ekspert på operativ etterlevelse, HR-juss og organisatorisk risikostyring – med særlig fokus på menneskelig faktor og praktisk implementering av styringsverktøy.
Revisjon av instrukser
Juridisk kontroll av styringsdokumentene: er instruksene må-krav, og dekker de kravene?
Bruk verktøyet →Kompetanse-Revisjonen™ PRO
Dokumenter lovpålagt opplæring og hvem som kjenner hvilke instrukser.
Bruk verktøyet →Serien
- Start her: Mål, ansvar og myndighet
- Fase 1 av 4: Prosesskartlegging, aktiviteter og krav
- Fase 2 av 4: Fra risiko til tiltak
- Fase 4 av 4: Fra instruks til læring
Modellene
Temasider
Lovhenvisninger
Trenger du rådgivning?
Vi hjelper deg med virksomhetsstyring, internkontroll, HMS og GDPR.
Ta kontakt med oss →