📋 Et scenario du kanskje kjenner igjen
Arbeidstilsynet varsler tilsyn. Styret samles raskt. HMS-permen hentes frem. Dokumentene er der – risikovurderinger, retningslinjer, policyer. Alt ser bra ut på papiret.
Så stiller tilsynslederen det enkle spørsmålet: «Kan dere vise oss hvordan dere har instruert de ansatte om dette, og hvordan dere har kontrollert at det faktisk etterleves?»
Stillhet. Ingen kan svare – ikke fordi ingenting er gjort, men fordi koblingen mellom krav og faktisk etterlevelse aldri ble gjort bindende. Kravene eksisterer, men de er aldri blitt til instrukser. De er aldri blitt til noe de ansatte er rettslig forpliktet til å følge.
Dette er ikke et uvanlig scenario. Det er et strukturproblem som rammer virksomheter på tvers av bransjer og størrelser – og det er nøyaktig dette problemet IS‑modellen™ er konstruert for å løse.
IS‑modellen™ er derfor ikke primært en kravmodell, men en instruksjonsbasert styringsmodell. Den er konstruert for å gjøre aksjelovens krav til forsvarlig organisering, styring og kontroll operativ, etterprøvbar og bevisbar.
Aksjeloven som overordnet premiss for styringssystemet
Aksjeloven utgjør det overordnede rettslige fundamentet for IS‑modellen™. Loven pålegger styret å sørge for forsvarlig organisering av virksomheten og forsvarlig håndtering av risiko. Disse pliktene er rammepregede og forutsetter at virksomheten selv etablerer et styringssystem som er tilpasset virksomhetens art, omfang og risikobilde.
IS‑modellen™ er utviklet nettopp for å fylle dette rommet. Den gir styret og ledelsen en konkret metode for å:
- Identifisere relevante krav
- Gjøre kravene styrbare
- Instruere organisasjonen
- Følge opp etterlevelse
- Dokumentere faktisk styring
Modellen er dermed ikke et tillegg til aksjeloven, men et operativt uttrykk for hvordan aksjelovens styringsansvar faktisk kan og bør utøves.
Styringssystemet som virksomhetens samlede regelverk
Et bærende prinsipp i IS‑modellen™ er forståelsen av styringssystemet som virksomhetens samlede, nedtegnede regelverk. Dette regelverket består av summen av:
- Eksterne myndighetskrav virksomheten er underlagt
- Interne virksomhetskrav fastsatt av styre og ledelse
- Valgt beste praksis som virksomheten har besluttet å gjøre bindende
Dette regelverket er normativt. Det beskriver ikke hva virksomheten ønsker, men hva som skal gjelde for virksomheten og dens ansatte. IS‑modellen™ sikrer at dette regelverket ikke forblir abstrakt, men omformes til en sammenhengende instruksjonsstruktur.
Styring, kontroll og etterlevelse
Hva er egentlig etterlevelse?
For å forstå begrepene styring, kontroll og etterlevelse, er det avgjørende å ta utgangspunkt i at etterlevelse ikke er begrenset til å følge lover og myndighetskrav alene. Etterlevelse omfatter alle krav virksomheten er bundet av, uavhengig av hvor disse kravene har sitt opphav.
Dette inkluderer krav som følger av lover og forskrifter, men også krav fastsatt av eiere, styret og ledelsen, samt forpliktelser som følger av inngåtte avtaler, samarbeidsrelasjoner og kommersielle betingelser. Disse kravene utgjør samlet det som kan omtales som virksomhetskrav.
Virksomhetskravene som styringssystemets reelle grunnlag
I et styringsperspektiv representerer virksomhetskravene det reelle grunnlaget for virksomhetens styringssystem. Eksterne myndighetskrav får først praktisk betydning når de er vurdert, oversatt og gjort operative som virksomhetskrav gjennom interne beslutninger, instrukser og rutiner.
Det samme gjelder krav fra eiere, styret og ledelsen, samt avtaler som virksomheten har forpliktet seg til. Styringssystemet representerer dermed ikke bare myndighetskraven, men virksomhetens samlede forventninger til egen praksis.
Internkontroll som middel – etterlevelse som mål
Når etterlevelse forstås på denne måten, blir internkontroll et middel for å sikre at virksomhetskravene faktisk etterleves i praksis. Internkontroll handler ikke om et parallelt system ved siden av driften, men om hvordan virksomheten er organisert, styrt og fulgt opp slik at kravene blir rettmessig lagt til grunn for det daglige arbeidet.
Etterlevelse er resultatet man ønsker å oppnå, mens internkontroll er den samlede strukturen og metodikken som gjør dette mulig.
Trelinjeperspektivet – klarhet i roller og ansvar
I denne sammenhengen er det nyttig å se styring og kontroll gjennom et trelinjeperspektiv, ikke som en formell modell, men som en måte å skape klarhet i roller og ansvar.
Første linje – operativt ansvar: Den operative virksomheten er stedet hvor kravene faktisk skal etterleves. Her utføres arbeidet, beslutninger tas i praksis, og risiko oppstår. Ansvaret for etterlevelse ligger derfor først og fremst hos dem som utfører arbeidet, leder den daglige driften og treffer operative beslutninger «første linje». Dette ansvaret kan ikke flyttes eller erstattes av kontrollfunksjoner.
Andre linje – kontroll og støtte: Parallelt med dette finnes det interne kontroll- og støttefunksjoner «andre linje» som har til oppgave å følge med på, utfordre og støtte hvordan virksomhetskravene etterleves i den operative virksomheten. Disse funksjonene bidrar med overvåking, rådgivning, metodikk og struktur, men uten å overta ansvaret for selve etterlevelsen. Deres rolle er å bidra til at styringen fungerer som forutsatt, og at avvik, risiko og svakheter blir synlige og håndtert.
Tredje linje – uavhengig innsikt: I tillegg til dette mottar virksomheten vurderinger utenfra, gjennom ekstern revisjon eller andre uavhengige kontroller «tredje linje». Disse vurderingene gir ikke en full gjennomgang av all aktivitet, men gir en uavhengig støtte til forståelsen av om styring, kontroll og etterlevelse samlet sett er tilstrekkelig. Slike vurderinger bidrar til å styrke tilliten til systemet, men erstatter verken operativt ansvar eller intern oppfølging.
Styret – ikke en kontrollinje
Det er viktig å understreke at styrende organer (styret) ikke utgjør en egen kontrollinje. Deres rolle er ikke å utføre kontroll, men å påse at virksomheten er organisert og styrt på en måte som gjør etterlevelse mulig, sannsynlig og dokumenterbar (Internkontroll jf. aksjelovene §§6-12,13 og Internkontrollforskriften §4 m.fl).
De mottar informasjon fra den operative virksomheten, interne kontrollfunksjoner og uavhengige vurderinger, og bruker dette som grunnlag for beslutninger, prioriteringer og videre utvikling av styringen.
Samspillet som gjør etterlevelse mulig
Sett i sammenheng gir dette en helhetlig forståelse av at etterlevelse er et resultat av samspillet mellom tydelige virksomhetskrav, god operativ praksis, fungerende internkontroll og uavhengig innsikt. Myndighetskrav er en viktig del av dette bildet, men ikke den eneste. Det avgjørende er hvordan alle krav virksomheten er bundet av er samlet, forstått, oversatt og fulgt opp gjennom virksomhetens styring og daglige praksis.
Et bevisst valg av norsk fagspråk
Som et bevisst valg benytter vi begrepene virksomhetsstyring og etterlevelse fremfor governance og compliance. Dette er ikke et språklig eksperiment, men et praktisk grep for å sikre felles forståelse, presis kommunikasjon og god forankring i virksomheten. Når etterlevelse er målet, er det naturlig å starte med språket. Ved å bruke et klart og forståelig norsk fagspråk legger vi til rette for god etterlevelse også av språkloven.
Ufravikelighetsprinsippet – instruksjonsfesting er ikke valgfritt
Denne forståelsen av etterlevelse – som noe bredere enn lovkrav, og som noe som krever et samspill mellom operative ledd, støttefunksjoner og uavhengig innsikt – er det IS‑modellen™ er bygget for å gjøre operativt. Kjernen er ufravikelighetsprinsippet.
I IS‑modellen™ skilles det tydelig mellom kravets juridiske rang og kravets operative form. Når det sies at kravets opprinnelse er underordnet, gjelder dette utelukkende den operative gjennomføringen – aldri den rettslige bindingen.
IS‑modellen™ bygger eksplisitt på et ufravikelighetsprinsipp:
- Lov- og forskriftskrav kan aldri velges bort, men de må alltid instruksjonsfestes.
Det finnes ingen adgang i modellen til å unnlate å gjøre lovkrav operative gjennom instrukser. Manglende instruksjonsfesting innebærer ikke nøytralitet, men styringssvikt.
Samtidig åpner modellen eksplisitt for at virksomheten kan velge til strengere virksomhetskrav enn lovens minimum, og kan skjerpe, presisere eller konkretisere krav der risiko, drift eller strategi tilsier det. Lovkrav utgjør alltid minimum. Virksomhetskrav kan gå lenger. Instruksjonsformen er ufravikelig i begge tilfeller.
Instruksjons‑filteret – transformasjonen fra krav til handling
IS‑modellen™ kan forstås gjennom begrepet instruksjons‑filteret. Dette filteret er selve kjernen i modellen. Alle krav – uansett opprinnelse – må passere gjennom instruksjons‑filteret for å få operativ effekt.
Før filteret – Råmateriale
- Lov- og forskriftstekster
- Pålegg og veiledninger
- Interne styringsbeslutninger
- Strategiske mål
- Beste praksis og standarder
I denne formen er kravene ikke styring, men informasjonsgrunnlag.
I filteret – IS‑modellen™
- Vurderes mot virksomhetens risiko
- Besluttes som bindende
- Gis korrekt instruksjonsnivå
- Plasseres hos rett rolle
Etter filteret – Kjørbar instruks
- Konkrete og forståelige instrukser
- Rettslig plikt til etterlevelse
- Kontrollerbar og etterprøvbar
IS‑modellen™ er ikke et arkiv for regler, men mekanismen som gjør regler til handling.
Myndighetskrav → instruks
Myndighetskrav er rettslig bindende for virksomheten, men ikke operative for ansatte før de er gjort til instrukser. Lov og forskrift angir hva som kreves. Virksomheten må fastsette hvordan dette skal gjennomføres. IS‑modellen™ sørger for at myndighetskrav oversettes til konkrete instrukser, tilpasses virksomhetens organisering, knyttes til ansvar og roller, og kan følges opp og kontrolleres.
Virksomhetskrav → instruks
Virksomhetskrav er styrets og ledelsens egne normative beslutninger. Innenfor IS‑modellen™ er disse like fullt instruksjonspliktige. Når virksomheten fastsetter virksomhetskrav er de bindende, skal de alltid gis form av instruks, og etterleves gjennom instruksjonsplikt. Brudd på virksomhetskrav er dermed brudd på instruks, uavhengig av om kravet presiserer lov, går lenger enn lov eller er etablert av hensyn til risiko og effektivitet.
Beste praksis → instruks (når den gjøres bindende)
IS‑modellen™ skiller tydelig mellom beste praksis som inspirasjon og beste praksis som krav. Når virksomheten velger å gjøre beste praksis bindende, skjer dette utelukkende gjennom instruks. Dermed gjelder samme etterlevelseslogikk:
- Beste praksis → virksomhetskrav
- Virksomhetskrav → instruks
- Instruks → plikt til etterlevelse
Etterlevelse, instruks og ansettelsesavtalen
Et helt sentralt prinsipp i IS‑modellen™ er at etterlevelse er kontraktsforankret. Gjennom ansettelsesavtalen og arbeidsgiverstyringsretten er arbeidstaker forpliktet til å følge lovlige instrukser, etterleve virksomhetens regelverk og utføre arbeidet i samsvar med gjeldende prosedyrer.
IS‑modellen™ sikrer at alle krav får instruksjonsform, instruksene er tilgjengelige og forståelige, og at etterlevelse kan forventes og håndheves. Etterlevelse er dermed ikke frivillig eller kulturelt betinget, men en rettslig plikt.
Avvik som instruksjonsbrudd
Innenfor IS‑modellen™ forstås avvik konsekvent som brudd på instruks – uavhengig av kravets opprinnelse. Avvik er dermed:
- Styringsinformasjon
- Bevis på hvor regelverket ikke etterleves eller fungerer
- Grunnlag for forbedring og korrigerende tiltak
Styreansvar, bevisbyrde og instruksjonskontroll
Et av de sterkeste elementene i IS‑modellen™ er hvordan instruksjonsbasert styring påvirker bevisbyrden ved tilsyn, revisjon eller rettslig vurdering. Når styret kan dokumentere at krav er identifisert, krav er gjort til konkrete instrukser, opplæring er gjennomført og etterlevelse følges opp – har styret langt på vei oppfylt sin styrings‑ og tilsynsplikt etter aksjeloven.
Vurderingen flyttes fra intensjon til handling. Fra «har dere tenkt på dette?» til «kan dere vise hvordan dere har instruert og fulgt opp?». Dette gir IS‑modellen™ en helt sentral funksjon som risikoreduserende styringsinfrastruktur for styret.
IS‑modellen™ – Avsluttende kjerne
- Lovkrav kan aldri velges bort
- Alle krav må instruksjonsfestes
- Instruks er den eneste operative formen for etterlevelse
- Instruksjonsbasert styring styrker styrets bevisposisjon
- IS‑modellen™ er instruksjons‑filteret som gjør krav til handling
Dette er ikke dokumentasjon. Dette er styring som tåler ansvar, kontroll og bevis.
Tilsynslederen som stiller det enkle spørsmålet om hvordan dere har instruert og fulgt opp – stiller ikke et urimelig spørsmål. Det er et grunnleggende styringsansvar. IS‑modellen™ er svaret.
Vil du implementere IS‑modellen™ i din virksomhet?
Ta kontakt for en uforpliktende samtale om instruksjonsbasert virksomhetsstyring.
Kontakt oss her
Svein Roar Holt
Grunnlegger av Internkontroll AS og arkitekt bak IS‑modellen™. Spesialrådgiver innen virksomhetsstyring, regulatorisk etterlevelse og styrets personlige ansvar.
Om Svein Roar → LinkedIn →IS‑modellen™ © 2026 Internkontroll AS
Maria Zahlsen
Fagansvarlig ved Internkontroll AS. Spesialist innen systematisk internkontrollarbeid, etterlevelse og virksomhetsstyring.
Om Maria → LinkedIn →IS‑modellen™ © 2026 Internkontroll AS