COSO, ISO-standardene og modellen for tre linjer (Three Lines Model) beskriver hva god internkontroll og virksomhetsstyring skal oppnå. IS-modellen™ og AvvikStandard™ beskriver hvordan det gjøres i praksis. IS-modellen™ gjør krav til bindende instrukser for å redusere risikoen for at virksomheten ikke når målene sine. AvvikStandard™ håndterer og lærer av manglende etterlevelse, slik at risikoen holdes på et akseptabelt nivå. Modellene erstatter ikke rammeverkene og standardene, men bygger bro mellom dem og den daglige driften. Prinsippene i modellene er Internkontroll AS sine metodiske valg. De bygger på rammeverkene, men er strengere der rammeverkene overlater valget til virksomheten. Hvor kravene i de enkelte rammeverkene og standardene gjennomføres, står i IS-modellen™, kap. 13 «Fra rammeverk til praksis».
Modellen gjelder for virksomheter av alle størrelser. En liten virksomhet kan samle flere roller hos samme person og forenkle registrering og rapportering. Skillet mellom avvik og fravik, klassifiseringen og kravet om årsak og tiltak gjelder alltid. Der saksbehandler og godkjenner ikke kan være ulike personer, godkjenner styreleder. Er daglig leder også styreleder, legges saken fram for hele styret. Er det ingen andre å legge den fram for, dokumenteres beslutningen særskilt med begrunnelse.
AvvikStandard™ er en helhetlig modell for identifisering, klassifisering, analyse, behandling og læring av avvik og fravik i virksomhetsstyring og internkontroll.
Formålet med AvvikStandard™ er å sikre at virksomheten:
- etterlever myndighetskrav og virksomhetskrav
- etterlever instruksene som gjør kravene bindende for de ansatte
- skiller tydelig mellom manglende oppfyllelse av krav (avvik) og autoriserte unntak (fravik)
- identifiserer systemsvikt på en tidlig og strukturert måte
- gjennomfører korrigerende og forebyggende tiltak med dokumentert effekt
- sikrer kontinuerlig forbedring av instruksene og styringssystemet, og reduserer risikoen for gjentakelse
- gir styret og ledelsen kvantifiserbare styringsindikatorer
- behandler tredjepartsrelaterte avvik etter samme metodikk
- behandler personopplysninger i avviksregisteret i samsvar med personvernforordningen (GDPR)
- bygger en kultur der det er trygt å melde fra
Modellen kan benyttes på tvers av fagområder, herunder HMS, kvalitet, personvern, informasjonssikkerhet, arbeidsmiljø, økonomi og øvrig virksomhetsstyring.
AvvikStandard™ etablerer ingen nye materielle krav, men er en metodisk ramme for etterlevelse. Følgende normhierarki gjelder alltid:
- Myndighetskrav (lov, forskrift og vedtak fra myndighetene) – ufravikelig minimum
- Virksomhetskrav (krav virksomheten selv har fastsatt eller påtatt seg) – kan gå lenger enn myndighetskravene, men aldri kortere
- Instrukser – styringsrettens uttrykk. Gjør myndighetskrav og virksomhetskrav bindende for de ansatte
- AvvikStandard™ som metode for identifikasjon, klassifisering, analyse, korrigering og forbedring
AvvikStandard™ erstatter ikke instrukser, overstyrer ikke myndighetskrav, og benyttes for å avdekke, analysere og korrigere manglende eller utilstrekkelig etterlevelse – samt for å skille slike brudd fra autoriserte fravik.
Virksomhetens krav er myndighetskrav og virksomhetskrav. Myndighetskrav er lov, forskrift og vedtak fra myndighetene, som pålegg og konsesjoner. Virksomhetskrav er krav virksomheten selv har fastsatt eller påtatt seg, som virksomhetsbeslutninger, avtaler, sertifiseringer og beste praksis som er gjort bindende. Kravene binder virksomheten. De binder de ansatte først når de er overført til instruks. Sammen med instruksene utgjør kravene virksomhetens normative sannhetspunkter. All praksis, adferd og beslutning vurderes direkte opp mot disse. Manglende etterlevelse innebærer at det foreligger et avvik – med mindre forholdet er et autorisert fravik (se 3.7 og seksjon 4).
Definisjon: Manglende oppfyllelse av et krav, enten ved brudd på en instruks eller ved at instruks eller system for etterlevelse av et identifisert krav mangler.
Avvik har to typer:
- Etterlevelsesavvik: en instruks er brutt.
- Systemavvik: instruks eller system for etterlevelse av et identifisert krav mangler.
Alle avvik registreres, får årsak og tiltak og inngår i avviksstatistikken, også grønne. Det skiller et avvik fra en hendelse. Hvor mye oppfølging avviket krever ut over dette, avgjøres av kritikaliteten.
Definisjon: Et uhell eller en tilfeldig uønsket situasjon som ikke kan tilbakeføres til manglende oppfyllelse av myndighetskrav eller virksomhetskrav, og som ikke skyldes svikt i virksomhetens styringssystem. Forholdet rettes der og da.
Hendelser skal ikke underlegges rotårsaksanalyse, inngå i avviksstatistikk eller belaste avviksrapportering. Men en hendelse som gjentar seg, er ikke lenger tilfeldig, og behandles som avvik. Har en hendelse ført til eller kunnet føre til alvorlig skade, vurderes det alltid om den likevel skyldes svikt i systemet.
Definisjon: En situasjon som under marginalt endrede omstendigheter kunne ha medført skade, tap eller alvorlige konsekvenser.
Er et krav brutt, behandles nesten-uhellet som avvik, og kritikaliteten settes etter hva som kunne ha skjedd. Er ingen krav brutt, følges det opp som hendelse, og det vurderes alltid om risikovurderingen må oppdateres.
Definisjon: Et forbedringspunkt uten påvist manglende oppfyllelse av myndighetskrav eller virksomhetskrav.
Kun forhold som innebærer manglende oppfyllelse av et krav – brudd på myndighetskrav eller interne instrukser, eller manglende instruks eller system for etterlevelse av et identifisert krav – skal behandles som avvik.
Manglende eller uklar utskilling fører til dokumentkvelning, redusert kvalitet i avviksbehandlingen, og økt risiko for at alvorlige avvik ikke behandles korrekt.
Korrekt klassifisering er en lederoppgave. Feilklassifisering anses som svikt i styringsprosessen.
Definisjon: En bevisst og dokumentert avgjørelse, autorisert på forhånd, om å gjøre noe annerledes enn det som er fastsatt i en instruks. Fravik fra et myndighetskrav krever dispensasjon fra myndighetene. Virksomheten kan aldri selv gi fravik fra et myndighetskrav (se 4.2).
Et fravik er en lovlig styringshandling der den som har myndighet over en instruks bevisst velger å gjøre noe annerledes enn det instruksen pålegger. Det er det motsatte av et avvik: i stedet for å være manglende oppfyllelse av et krav, er det en tilsiktet beslutning, autorisert på forhånd.
Begrepet er kritisk fordi det beskytter to ting:
- Ledelsens reelle styringsrett – uten fravikskonseptet vil enhver bevisst avgjørelse om å avvike fra en instruks bli klassifisert som «avvik»
- Avvikssystemets integritet – et system som behandler både manglende etterlevelse og lovlige styringsvedtak som «avvik», mister evnen til å skille systemsvikt fra normal styring
Et forhold kvalifiserer som fravik kun når alle fem vilkår er oppfylt samtidig:
- Tilsiktet: Beslutningen er tatt med vilje og full kunnskap om instruksen/kravet
- Autorisert: Vedtatt på forhånd av noen med uttrykt myndighet til å avvike
- Begrunnet: Saklig styringsmessig grunn er dokumentert
- Skriftlig dokumentert: Vedtak er nedtegnet med dato, ansvarlig, begrunnelse og varighet
- Tidsavgrenset: Gjelder konkret situasjon/periode, ikke som vedvarende praksis
Mangler ett vilkår, er forholdet et avvik – uansett hva det kalles. Et «fravik» uten hjemmel er bare et avvik med pent navn.
Fravik får ikke kritikalitetsfarge, men før et fravik godkjennes, vurderes risikoen det medfører. Fraviket kan bare godkjennes av den som har myndighet til å akseptere den risikoen etter akseptkriteriene. Ligger risikoen over risikoappetitten, kan bare styret godkjenne fraviket. Et fravik kan aldri gjelde et myndighetskrav uten dispensasjon (se 4.2).
Systemsvikt skjules som «lovlig avgjørelse», rotårsak avdekkes ikke, risiko for gjentakelse. I grove tilfeller kan det være brudd på styrets og daglig leders plikter, med mulig personlig ansvar.
Ledere straffes for å utøve sin lovlige styringsrett, statistikk forvrenges, kultur skades, tillit til avvikssystemet smuldrer.
Korrekt klassifisering krever en eksplisitt fraviksinstruks som angir hvem som kan godkjenne, hvordan dokumentasjon skjer, og et fraviksregister separat fra avviksregisteret.
Dokumentert akseptert restrisiko er et begrep i IS-modellen™: risiko som står igjen etter at kravet er dekket. Akseptert restrisiko er ikke et fravik.
• Ja, men det gjenstår usikkerhet som ikke kan eller bør reduseres videre → dokumentert akseptert restrisiko (IS-modellen™)
• Nei, med godkjenning på forhånd → fravik
• Nei, uten godkjenning → avvik
Akseptert restrisiko forutsetter at instruksen følges, og kan aldri brukes til å akseptere manglende etterlevelse av myndighetskrav.
For at modellen skal være entydig og etterprøvbar, definerer AvvikStandard™ ni distinkte roller. En person kan inneha flere roller, men hver rolle må alltid fylles.
| Aktivitet | Melder | Klass. | Saksb. | Anal. | Tilt. | Godkj. | Instruks. |
|---|---|---|---|---|---|---|---|
| Melding mottas | R | I | I | – | – | – | – |
| Klassifisering | I | R | C | – | – | A | – |
| Rotårsaksanalyse | C | I | C | R | I | A | C |
| A-tiltak | – | I | C | C | C | A | R |
| B/C-tiltak | – | I | C | C | R | A | I |
| Implementering | – | I | C | I | R | A | C |
| 1-3-6 effektkontroll | – | I | R | C | I | A | C |
| Lukking | – | I | C | I | I | R | I |
R = utfører, A = har det endelige ansvaret, C = rådføres, I = informeres
• Hver rolle må alltid være tildelt før saksbehandling starter
• Saksbehandler og godkjenner kan aldri være samme person
• Analyseansvarlig bør være uavhengig av tiltaksansvarlig
• Instruksansvarlig involveres alltid ved A-tiltak
• Ingen behandler eller godkjenner en sak der de selv er part
• Saker der daglig leder er part, går til styreleder. Er daglig leder også styreleder, går saken til hele styret
Fristene i matrisen er modellens minstekrav. Frister og meldeplikter i lov og forskrift går alltid foran og tas inn i instruksene.
| Kritikalitet | Eskaleringsterskel | Tidsfrist | Skal informeres |
|---|---|---|---|
| 🟢 Grønn | Linjeleder behandler lokalt | 7 dager til vedtak | Avd.leder ved månedsrapport |
| 🟡 Gul | Linjeleder → avdelingsleder | 24 timer til involvering | Avdelingsleder skriftlig |
| 🔴 Rød | Avd.leder → daglig leder | 8 timer til involvering | Daglig leder + IK-ansvarlig |
| ⚫ Svart | Daglig leder → styret | Umiddelbart (samme dag) | Styreleder, IK-ansvarlig, og myndighetene der loven krever melding |
| Kritikalitet | Initialvurd. | Rotårsak | Tiltak iverksatt | 1-3-6 ferdig |
|---|---|---|---|---|
| 🟢 Grønn | 7 dager | 14 dager | 30 dager | Ikke påkrevd |
| 🟡 Gul | 24 timer | 7 dager | 14 dager | 6 mnd |
| 🔴 Rød | 8 timer | 72 timer | 7 dager | 6 mnd |
| ⚫ Svart | Umiddelbart | 24 timer | 24-72 timer | 6 mnd |
| Type fravik | Hvem godkjenner | Maks varighet | Rapportering |
|---|---|---|---|
| Type 1 punkt | Instruksansvarlig / daglig leder | Dager | Linjeleder informeres |
| Type 1 periode | Daglig leder | Maks 3 måneder | Ledergruppen |
| Type 1 struktur | Daglig leder + instruksrevisjon | 3 mnd uten revisjon = avvik | Styret ved kvartal |
| Type 2 (myndighet) | Forvaltningsmyndigheten (dispensasjon) | Etter dispensasjon | Styret + IK-ansvarlig |
Tabellen er et minimum. Risikoen ved fraviket avgjør hvem som må godkjenne. Et fravik som går utover risikoappetitten, kan bare godkjennes av styret, som kan akseptere utvidet risiko i enkeltsaker (se 4.3).
Manglende eskalering eller feilklassifisering anses som systemsvikt og kan i seg selv klassifiseres som avvik.
Kritikaliteten settes ut fra den verste konsekvensen forholdet kunne ha fått, vurdert mot virksomhetens akseptkriterier.
| Nivå | Kriterium |
|---|---|
| 🟢 Grønn | Akseptabel, med eller uten de styringstiltakene som finnes. Rettes uten ytterligere oppfølging |
| 🟡 Gul | Akseptabel med de styringstiltakene som finnes, men krever oppfølging |
| 🔴 Rød | Ikke akseptabel. Må elimineres eller reduseres gjennom nye tiltak og oppfølging |
| ⚫ Svart | Ikke akseptabel, og en svært alvorlig konsekvens har inntruffet eller kunne lett ha inntruffet, eller myndighetene må varsles |
Når virksomheten ikke oppfyller et myndighetskrav, er forholdet aldri akseptabelt og minst rødt til det er rettet. Et enkeltbrudd på en instruks, der myndighetskravet likevel er oppfylt eller blir rettet straks, gis kritikalitet etter konsekvensen.
Systemavvik krever alltid A-tiltak og involvering av instruksansvarlig, uansett farge. Fargen avgjør frister og eskalering, ikke om systemet skal rettes.
| Metode | Anvendes ved | Styrke |
|---|---|---|
| 5-Hvorfor | Enkle, lineære årsaker (🟢🟡) | Rask, lett å lære |
| Sløyfediagram (Bow-tie) | Sikkerhet med klare barrierer (🔴⚫) | Visualiserer barrierer |
| Fiskebeinsdiagram (Ishikawa) | Komplekse saker med flere årsaker | Avdekker parallelle årsaker |
| SCAT | Sikkerhet med personskade | Strukturert, mye brukt i industri og HMS |
Hver effektkontroll (1-3-6 måneder) skal munne ut i en entydig JA/NEI-bekreftelse på om tiltaket eller barrieren fungerer som forutsatt. Manglende gjentakelse alene er ikke tilstrekkelig.
| Nivå | Definisjon | Læringsterskel |
|---|---|---|
| Mikro | Innen én enhet | Lokal behandling og lukking |
| Meso | På tvers av enheter i samme virksomhet | 3 like avvik = tverrgående gjennomgang |
| Makro | På tvers av virksomheter (konsern, bransje) | Identifisert mønster med systemisk relevans |
| Meta | Påvirker AvvikStandard™ selv | Modellrevisjon ved gjentatte gap |
• 5 avvik på samme rotårsak → instruksrevisjon obligatorisk
• 5 like fravik → instruksrevisjon obligatorisk
• Strukturfravik > 3 mnd uten revisjon → reklassifiseres som avvik
Tersklene i AvvikStandard™ er minstekrav. Virksomheten kan fastsette strengere terskler ut fra risiko og størrelse, men ikke svakere.
AvvikStandard™ er reaktiv – avviket har skjedd. Men hver avviksbehandling skal også oppdatere virksomhetens forebyggende risikostyring.
Funn fra rotårsaksanalysen skal alltid speiles i risikoregisteret. Før tiltak: oppdatert sannsynlighet og konsekvens. Etter effektkontroll, eller ved lukking for grønne avvik: restrisiko vurderes på nytt.
For å støtte styrets tilsyn og daglig leders rapportering til styret skal AvvikStandard™ produsere kvantifiserbare målepunkter.
Stigende avviksrate er ikke automatisk negativt – det kan tvert imot bety bedre meldekultur. Det som er negativt: stigende repetisjonsrate på samme rotårsak, lav 1-3-6-lukkegrad, eller stigende C-tiltaksandel. Funn som gjøres av tilsyn eller andre eksterne, og som en samsvarsvurdering burde ha fanget, er et tegn på at virksomhetens egne samsvarsvurderinger ikke virker.
AvvikStandard™ behandler avvik forårsaket av tredjepart (leverandør, underleverandør, kontraktspartner) etter samme metodikk, med tilleggssteg:
- Kontraktsmessig oppfølging mot tredjepart
- Sanksjonsvurdering etter kontraktens bestemmelser
- Læringskobling til leverandørevaluering
Styrets ansvar for risiko omfatter også risiko hos leverandører og andre tredjeparter. Krav som gjelder leverandørkjeden, tas inn i instruksene på samme måte som andre krav.
Avviksregisteret inneholder ofte personopplysninger, og personvernforordningen (GDPR) gjelder. Virksomheten skal ha et rettslig grunnlag for behandlingen, begrense opplysningene til det som trengs, fastsette lagringstid for hver type avvik og slette eller anonymisere når tiden er ute. Dette tas inn i instruksen for avviksbehandling.
Linjeleder kun til egen enhet. Ledergruppen til virksomheten. Styret til aggregert statistikk. Anonymisering ved deling i fase 7. Tilgangslogg skal kunne dokumentere hvem som har sett hvilke avviksopplysninger.
AvvikStandard™ kan ikke fungere uten en støttende kultur. Modellen stiller fire operative kulturkrav:
Det skal være mulig å melde avvik anonymt. Anonymitet kan ikke alltid garanteres der saksbehandlingen forutsetter dialog, men terskelen for å melde må være lav. Varsler behandles etter virksomhetens instruks for varsling.
Den som melder, skal innen 5 arbeidsdager motta bekreftelse, klassifisering og forventet behandlingstid.
Statistikk skal være tilgjengelig for ansatte. Hvis flere enn 30 % av meldingene lukkes uten tiltak, signaliserer det enten feilklassifisering eller manglende læring.
- «Jeg vet hvor jeg melder fra om avvik»
- «Jeg er trygg på at meldinger får oppfølging»
- «Jeg har ikke opplevd negative konsekvenser av å melde»
- «Jeg har tillit til ledelsens håndtering av avvik»
AvvikStandard™ skal ikke brukes:
- som sanksjonsverktøy
- til å avgjøre personalsaker (avviksbehandlingen avklarer systemet, ikke den enkeltes ansvar)
- som krise- eller beredskapsplan
- som tvisteløsningsverktøy uten systemdimensjon
- som forsøk på å konvertere systemsvikt til fravik i ettertid
- som erstatning for risikostyring
Et brudd på en instruks registreres og behandles alltid først som avvik, slik at det blir avklart om årsaken ligger i systemet. Om bruddet også skal få arbeidsrettslige følger for den enkelte, vurderes for seg, utenfor AvvikStandard™.
AvvikStandard™ er et verktøy for systemforbedring og styringsmessig læring, ikke skyldplassering. Fravikskonseptet er ikke en bakdør for å skjule avvik – det er en formalisering av legitim styringsrett.
| Versjon | Dato | Endringer |
|---|---|---|
| v1.0 | 2025 | Første utkast |
| v1.1 | 2026 | Juridisk forankring, MTO-rammeverk |
| v1.2 | april 2026 | A-B-C-tiltak, 1-3-6 effektmåling, hub-læring |
| v2.0 | mai 2026 | Hovedrevisjon: fravikskonseptet, RACI-roller, eskaleringsmatrise, utvidet rotårsakspark, KPI-er, tredjepart, GDPR, kulturkrav |
| 2026 | oktober 2026 | Ny avviksdefinisjon (manglende oppfyllelse av krav), kobling til bevisstatus i IS-modellen™, effektkontroll i stedet for verifikasjon, KPI nr. 9, årstall som versjonsbetegnelse |
AvvikStandard™ gjennomgås hvert år i 4. kvartal. Ved endringer utgis ny versjon med utgivelsesåret som versjonsbetegnelse, og den gjelder fra publisering. Uten endringer bekreftes gjeldende versjon som fortsatt gyldig, med dato for gjennomgangen.
| Endringstype | Godkjenning |
|---|---|
| Mindre presiseringer | Forfatter |
| Tillegg uten endring av eksisterende | Begge forfatterne i fellesskap |
| Substansielle endringer | Begge forfatterne i fellesskap |
Pågående saker behandles ferdig etter den versjon som var gjeldende ved oppstart. Tre måneder etter ny versjon fases gammel versjon ut.
Trenger din virksomhet å implementere AvvikStandard™?
Vi bistår med opplæring, implementering og kvalitetssikring av AvvikStandard™ tilpasset din virksomhets størrelse, bransje og risikobilde.
KONTAKT INTERNKONTROLL AS →- Hvordan henger avvik sammen med mål og risiko?
- Et avvik er manglende oppfyllelse av et krav. Kravene finnes for å redusere risikoen for at virksomheten ikke når målene sine, og for å sikre at myndighetskravene etterleves. Hvert avvik viser derfor at en risiko ikke er så godt håndtert som forutsatt. AvvikStandard™ finner årsaken, setter inn tiltak og måler effekten der kritikaliteten krever det, slik at risikoen igjen kommer ned på et akseptabelt nivå. Avvikene viser også hvor instruksene eller risikovurderingen må forbedres.
- Hva er forskjellen mellom avvik og fravik?
- Et avvik er manglende oppfyllelse av et krav, enten ved brudd på en instruks eller ved at instruks eller system for etterlevelse av et identifisert krav mangler. Et fravik er en bevisst og dokumentert avgjørelse, autorisert på forhånd, om å gjøre noe annerledes enn det fastsatte, innenfor styringsrettens rammer eller på grunnlag av innvilget dispensasjon. Avvik er svikt; fravik er styring.
- Hva er de to typene fravik?
- Type 1: Fravik fra instruks – hjemlet i styringsretten. Den som har myndighet over en instruks, kan velge å avvike fra den, så lenge avgjørelsen er innenfor myndighetskrav og de virksomhetskravene virksomheten er bundet av utad, som avtaler og sertifiseringer. Type 2: Fravik fra myndighetskrav – hjemlet i en konkret dispensasjonshjemmel i lov eller forskrift, innvilget skriftlig av rette myndighet før handlingen utføres.
- Når er en handling et fravik og ikke et avvik?
- Når alle fem vilkår er oppfylt: tilsiktet, autorisert på forhånd, begrunnet, skriftlig dokumentert, og tidsavgrenset. Mangler ett vilkår, er forholdet et avvik – uansett hva det kalles. Et «fravik» uten hjemmel er bare et avvik med pent navn.
- Hva er forskjellen mellom fravik og akseptert restrisiko?
- Et fravik er et unntak fra en instruks, godkjent på forhånd, eller et unntak fra et myndighetskrav etter dispensasjon fra myndighetene. Dokumentert akseptert restrisiko er et begrep i IS-modellen™: risiko som står igjen når instruksen følges, og som den som har myndighet etter akseptkriteriene, har akseptert skriftlig. Spør om instruksen følges. Følges den, kan det være akseptert restrisiko. Følges den ikke, er det et fravik eller et avvik. Akseptert restrisiko kan aldri brukes til å akseptere manglende etterlevelse av myndighetskrav.
- Hva skjer hvis et fravik feilklassifiseres som avvik?
- Lederen som har utøvd sin lovlige styringsrett, blir straffet i avvikssystemet, kulturen skades, og over tid tør ikke ledere ta autoriserte beslutninger. Dette undergraver virksomhetens styringsrett og forvrenger avviksstatistikken.
- Hva skjer hvis et avvik feilklassifiseres som fravik?
- Systemsvikt skjules som «lovlig avgjørelse», rotårsaken avdekkes ikke, og risikoen for gjentakelse vedvarer. I grove tilfeller kan det være brudd på styrets og daglig leders plikter, med mulig personlig ansvar.
- Hva er forskjellen mellom avvik og hendelse?
- Et avvik er manglende oppfyllelse av et krav – brudd på en instruks, eller manglende instruks eller system for et identifisert krav. Det registreres, får årsak og tiltak og inngår i avviksstatistikken. En hendelse er et uhell eller en tilfeldig uønsket situasjon som ikke skyldes manglende oppfyllelse av myndighetskrav eller virksomhetskrav, og som rettes der og da. En hendelse som gjentar seg, behandles som avvik.
- Hva er forskjellen mellom avvik og observasjon?
- En observasjon er et forbedringspunkt uten påvist manglende oppfyllelse av myndighetskrav eller virksomhetskrav. Et avvik er manglende oppfyllelse av et krav. Observasjoner håndteres i forbedringssystemet uten rotårsaksanalyse.
- Når er et nesten-uhell et avvik?
- Når et krav er brutt. Da behandles nesten-uhellet som avvik, og kritikaliteten settes etter hva som kunne ha skjedd, ikke etter hva som skjedde. Er ingen krav brutt, følges det opp som hendelse, og det vurderes alltid om risikovurderingen må oppdateres. Et nesten-uhell viser en risiko som ikke ble realisert denne gangen.
- Hva er «dokumentkvelning»?
- Dokumentkvelning oppstår når avvikssystemet fylles med hendelser, observasjoner og fravik som ikke er reelle avvik. Ledelsen drukner i saker uten reell systemrisiko, mens de faktiske avvikene forsvinner i mengden.
- Hvilke ni roller definerer AvvikStandard™?
- Melder, klassifisør, saksbehandler, analyseansvarlig, tiltaksansvarlig, godkjenner, instruksansvarlig, fravikssøker og fraviksgodkjenner. En person kan inneha flere roller, men hver rolle må alltid fylles, og saksbehandler og godkjenner kan aldri være samme person.
- Hva er et A-tiltak og hvorfor er det viktigst?
- A-tiltak er systemiske tiltak som endrer instrukser, innfører tekniske barrierer eller automatiserer kontroll. De er viktigst fordi de reduserer risikoen for gjentakelse mest – i motsetning til B- og C-tiltak som er avhengige av at den enkelte husker og velger å handle riktig. Ved rød og svart kritikalitet og ved alle systemavvik er A-tiltak obligatorisk.
- Hva er 1-3-6 effektmåling?
- 1-3-6 effektmåling betyr at effekten av tiltak kontrolleres etter 1 måned, 3 måneder og 6 måneder. Hver kontroll skal munne ut i en entydig JA/NEI-bekreftelse på om tiltaket fungerer som forutsatt. Manglende gjentakelse av avviket alene er ikke tilstrekkelig bevis. Effektmålingen gjelder gule, røde og svarte avvik. Ved NEI gjenåpnes saken.
- Hvilke styringsindikatorer (KPI) gir AvvikStandard™?
- Modellen krever ni obligatoriske styringsindikatorer: avviksrate per enhet, avviksrate per kritikalitet, lukketid, tiltaksfordeling A/B/C, 1-3-6 lukkegrad, fraviksrate, repeterte avvik, mønster-fravik, og systemavvik. Disse støtter styrets tilsyn.
- Hvordan henger AvvikStandard™ og IS-modellen™ sammen?
- IS-modellen™ definerer at all virksomhetsstyring baseres på skriftlige instrukser som oversetter myndighetskrav og virksomhetskrav til forpliktende handlingsregler. AvvikStandard™ oppdager når instruksene ikke etterleves eller mangler for et identifisert krav (avvik), når de bevisst og autorisert avvikes (fravik), eller når de bør revideres på grunn av mønstre i begge. De to modellene er gjensidig avhengige. Når et avvik er lukket, får forutsetningen ny bevisstatus i IS-modellen™.
- Kan AvvikStandard™ brukes i personalsaker?
- Nei. AvvikStandard™ er et verktøy for systemforbedring, ikke skyldplassering. Et brudd på en instruks behandles likevel alltid først som avvik. Om bruddet også skal få arbeidsrettslige følger, vurderes for seg, utenfor AvvikStandard™.
Modellen er gjennomgått mot gjeldende utgaver av regelverk, rammeverk og standarder per oktober 2026. Rammeverkene og standardene står i kildelisten i IS-modellen™. I tillegg bygger AvvikStandard™ på:
- Personvernforordningen (GDPR)
- Arbeidsmiljøloven kapittel 2 A (varsling)
- James Reason: Managing the Risks of Organizational Accidents (1997) – systemperspektivet og barrierene i MTO-analysen
- W. Edwards Deming: Out of the Crisis (1986) – kontinuerlig forbedring (Plan–Do–Check–Act)
Grunnlegger av Internkontroll AS og arkitekt bak IS-modellen™ og AvvikStandard™. Spesialrådgiver innen virksomhetsstyring, regulatorisk etterlevelse og styrets personlige ansvar.
Om Svein Roar → LinkedIn →
Jurist med spesialisering innen arbeidsrett, kontraktsrett og forretningsjuss. Medarkitekt bak IS-modellen™ og AvvikStandard™. Ekspert på operativ etterlevelse og organisatorisk risikostyring.
Om Maria → LinkedIn →Opphavsrett og lisens – AvvikStandard™
AvvikStandard™ versjon 2026 er utviklet av Svein Roar Holt og Maria Zahlsen, Internkontroll AS, og er beskyttet iht. åndsverkloven av 15. juni 2018 nr. 40.
Varemerker: AvvikStandard™, IS-modellen™, Instruksjonsfilteret™ og Styringsportalen™ tilhører Internkontroll AS, org.nr. 933 241 475.
Søstermodell
IS-modellen™ etablerer styring; AvvikStandard™ oppdager og lærer av manglende etterlevelse. Modellene virker sammen.
Innhold
- Modellens plass og utgangspunkt
- 1. Formål
- 2. Normativt hierarki
- 3. Begreper
- 4. Fravik vs. avvik
- 5. Aktører og roller
- 6. Eskaleringsmatrisen
- 7. De sju fasene
- 8. Læring og forbedring
- 9. Risikostyring
- 10. Styringsindikatorer
- 11. Tredjepart
- 12. Personopplysninger (GDPR)
- 13. Kulturkrav
- 14. Avgrensning
- 15. Versjonshistorikk
- FAQ
- Kilder
Støtteverktøy
Relaterte fagsider
Trenger du rådgivning?
Vi hjelper deg med virksomhetsstyring, internkontroll, HMS og GDPR.
Ta kontakt med oss →