Kravene avhenger av hva virksomheten gjør, hvilke opplysninger den behandler, og om den har ansatte. Her får du en oversikt over de vanligste pliktene.
Mange norske virksomheter omfattes av ett eller flere krav til internkontroll og dokumentasjon. Under finner du sentrale hjemler for ulike bransjer og driftsformer.
Stedfortreder, avvik og risikovurdering blir ofte håndtert i praksis uten at ansvar, vurderinger og tiltak er skrevet ned.
Hvis du blir akutt syk, må det være avklart hvem som kontakter kunder, følger opp frister og får nødvendig tilgang til systemene. En muntlig antakelse om hvem som overtar, er ikke en stedfortrederavtale.
Når en hendelse blir løst uten å registreres, mangler dokumentasjonen på hva som skjedde og hvilke tiltak som ble gjennomført. Et lukket avvik viser både hendelsen og oppfølgingen.
Kjennskap til risiko er ikke det samme som en dokumentert risikovurdering. Vurderingen bør vise hva som kan gå galt, sannsynlighet, konsekvens, tiltak og dato for gjennomgang.
Hvis ett av områdene mangler, kan du bruke det som utgangspunkt for å oppdatere internkontrollen.
Spørsmålene gir ingen poengsum. De viser hvilke deler av internkontrollen som allerede er dokumentert, og hva som eventuelt mangler.
Kan du legge fram en skriftlig risikovurdering i dag, uten å lage den først?
Kan du ikke det, mangler du det punktet flest tilsyn begynner med — og det ene som ikke kan skrives i etterkant med troverdighet, fordi det skal vise hva du har tenkt før noe skjedde.
Vet du hvem som overtar hvis du blir borte i tre uker?
Ikke som en tanke — som en avtale noen har signert, med tilgangene ordnet. Det er den mest sannsynlige hendelsen i en liten virksomhet, og den som sjeldnest er forberedt.
Har du et sted der avvik føres, og et sted som viser at de er lukket?
Hvis hendelser ikke registreres, mangler dokumentasjonen på hva som skjedde og hvordan det ble fulgt opp.
Du skal følge reglene og kunne dokumentere at du gjør det.
Personvernforordningen legger to plikter på deg, ikke én. Du skal overholde reglene, og du skal kunne påvise at du gjør det. Det er den andre halvdelen som skiller et kvalitetssystem fra god praksis.
En rutine du følger, men aldri har skrevet ned, finnes ikke i et tilsyn. Ikke fordi noen tviler på deg, men fordi det ikke er noe å legge fram. Det samme gjelder risikovurderingen: kravet om at sikkerhetstiltakene skal stå i forhold til risikoen, forutsetter at risikoen er vurdert — og en vurdering ingen har skrevet, kan ikke stå i forhold til noe.
Behandler du opplysninger på vegne av andre — er du databehandler — skal du i tillegg kunne dokumentere det overfor kunden din, som har rett til å kontrollere deg.
Plikten følger av at du yter helsehjelp, ikke av hvor stor du er.
Forskrift om ledelse og kvalitetsforbedring i helse- og omsorgstjenesten krever blant annet at virksomheten har oversikt over områder der det er risiko for svikt. Den gjelder uavhengig av om du er avtalespesialist eller helprivat, og uavhengig av om du er alene.
Plikten følger av at du yter helsehjelp. Den gjelder også for solopraksiser. Omfanget på internkontrollen må tilpasses virksomhetens størrelse og risiko.
Behandler du pasientopplysninger — og det gjør du — kommer personvernforordningen på toppen. Har du ansatte, kommer arbeidsmiljøet i tillegg igjen.
Én ansatt er nok til at internkontrollforskriften gjelder.
Internkontrollforskriften gjelder systematisk helse-, miljø- og sikkerhetsarbeid i alle bransjer. Virksomheten skal blant annet kartlegge farer og vurdere risiko, og arbeidet skal dokumenteres skriftlig.
Uten en kartlegging vet ingen hva resten av systemet er ment å beskytte mot. Det er derfor den er kjernen og ikke ett punkt blant mange.
Noen plikter kommer først ved bestemte størrelser — fra fem ansatte skal det velges verneombud, fra tretti skal det opprettes arbeidsmiljøutvalg. Tellingen er en juridisk telling og ikke en telling av hoder på kontoret: en innleid med eget enkeltpersonforetak er ikke din ansatte. Et psykologkontor med fire innleide har null ansatte etter denne regelen.
Merk at internkontrollforskriften IKKE er hjemmel for informasjonssikkerhet. Der er det personvernforordningen som gjelder. De to blandes ofte, og et system som viser til feil av dem har dokumentert noe annet enn det tror.
Advokater under Advokattilsynet, regnskapsførere og revisorer under Finanstilsynet.
Advokatvirksomhet og regnskaps- og revisjonsvirksomhet har ulikt tilsyn og delvis ulike plikter. Advokater ligger under Advokattilsynet, med Advokatnemnda som disiplinærorgan; begge overtok 1. januar 2025 da advokatloven trådte i kraft. Regnskapsførere og revisorer ligger under Finanstilsynet.
Er virksomheten rapporteringspliktig etter hvitvaskingsloven, skal den ha en virksomhetsinnrettet risikovurdering. Den er ikke den samme som personvernvurderingen, og den ene erstatter ikke den andre.
Taushetsplikten for en advokat er lovbestemt og strengere enn den alminnelige. Den tilhører klienten, ikke virksomheten, og kan ikke oppheves av advokaten selv. Et kvalitetssystem som behandler den som en vanlig konfidensialitetsklausul, har misforstått hva det dokumenterer.
Kundeopplysninger i e-post, CRM og delte mapper omfattes av personvernreglene.
Har dere kundeopplysninger i en innboks, et CRM eller en delt mappe, behandler dere personopplysninger. Da må dere kunne dokumentere hvordan opplysningene behandles og sikres.
Er dere databehandler for kundene, skal dere også kunne dokumentere sikkerhetstiltak og etterlevelse overfor kunden som er behandlingsansvarlig.
Legg til ansatte, og internkontrollforskriften kommer i tillegg. De fleste byråer og konsulentselskaper har altså to sett plikter, ikke null.
Kommuneloven § 25-1 kommer i tillegg, ikke i stedet.
Pleie- og omsorgstjenester i kommunal regi har den samme plikten som annen helsevirksomhet — og kommuneloven § 25-1 om internkontroll kommer i tillegg. Den gjelder kommunens virksomhet som helhet, og en privat klinikk har ingen tilsvarende plikt.
Den utelates ofte, med den begrunnelsen at helselovgivningen allerede er nevnt. De to overlapper, men den ene er ikke den andre.
Opprett en konto og prøv hele Kvalitro gratis i 14 dager.
Prøveperioden er 14 dager med full tilgang. Den krever ingen betaling og intet betalingskort, går ikke over i et abonnement av seg selv, og trenger ingen oppsigelse.
Vil du ut, laster du ned alt du har lagt inn som én fil — også kapittelteksten — og sletter kontoen selv. Du trenger ikke be oss om noe.
Fortsetter du ikke, går kontoen i lesemodus — du kommer fortsatt til alt du har laget og kan laste det ned — og innholdet slettes etter 90 dager. Det er en bevisst innretning og ikke en teknisk begrensning: vi skal ikke sitte på personopplysninger om ansatte i virksomheter som ikke er kunder.
Denne sida er en oversikt over regelverk, ikke juridisk rådgivning. Er du i tvil om en plikt gjelder nettopp din virksomhet, skal du sjekke det — og Kvalitro skriver «MÅ AVKLARES» framfor å gjette på dine vegne.