Forskriften gjelder for virksomheter som er omfattet av de lover som nevnes i para­grafen.  Unntatt er landanlegg i petroleumsvirksomheten som omfattes av forskrift om helse, miljø og sikkerhet i petroleumsvirksomheten og på enkelte landanlegg (rammeforskriften).  Aktiviteter på landanleggene som faller inn under sivilbeskyttel­sesloven § 23 er omfattet.  Forskriften omfatter både offentlig og privat virksomhet av alle slag, alle former for næringsvirksomhet (foretak/bedrift), herunder bl.a. forbru­kertjenester.  Omfattet er også offentlig forvaltning og offentlig tjenesteyting.  Privat­personer/forbrukere er derimot ikke omfattet av forskriften.  For nærmere presisering av hvordan virksomhetsbegrepet skal forstås, vises til de enkelte lover.  Ved eventuell tvil om virkeområde, kan dette avklares ved å henvende seg til den aktuelle tilsyns­myndighet.

For at forskriften skal gjelde på forurensningslovens område, er det et vilkår at virksomheten sysselsetter arbeidstaker.  Det samme gjelder som hovedregel på arbei­dsmiljølovens område.  Dette betyr bl.a. at enmannsbedrifter ikke direkte er pålagt krav om internkontroll for etterlevelse av forurensningsloven eller forskrift med hjem­mel i arbeidsmiljøloven.  Slike virksomheter kan imidlertid bli omfattet av et samord­net IK-system i tilfeller hvor de utfører arbeid sammen med andre virksomheter på samme arbeidsplass, jf. forskriften § 6.

På strålevernlovens, el-tilsynslovens, brann- og eksplosjonsvernslovens, produkt­kontrollovens og genteknologilovens område er ikke forskriftens anvendelse avhengig av om virksomheten sysselsetter arbeidstakere eller ikke.  Dette er på bakgrunn av formålet med den enkelte lov.  Enhver virksomhet, også enmannsbedrifter, som kom­mer inn under regelverket innenfor disse lovene er således omfattet av internkontroll­forskriften med mindre det blir slått direkte fast at den ikke skal gjelde.

Internkontrollforskriften kommer ikke til anvendelse for byggherren og gjennom­føring av pålagte plikter etter byggherreforskriften.  I de tilfeller byggherren er arbei­dsgiver og utfører arbeid med egne arbeidstakere på bygge- eller anleggsplassen, vil internkontrollforskriften gjelde for ivaretakelse av helse, miljø og sikkerhet for arbei­dstakerne.  I forhold til lov om produktkontroll gjelder forskriften for virksomhet som tilvirker, bearbeider, importerer, omsetter, bruker eller på annen måte behandler et produkt, og virksomhet som tilbyr en forbrukertjeneste.  Virksomhet som tilbyr bruk av produkter eller tjenester, omfattes uavhengig av om det tas betaling eller ikke.  Når kommuner f.eks. tilbyr bruk av ballmål, lekeplassutstyr osv., er de underlagt forskrif­ten.

Forskriften omfatter også kommunenes plikter etter brann- og eksplosjonsvern­loven til å sørge for etablering og drift av brannvesen.

Internkontroll som styrings- og tilsynsprinsipp er tatt i bruk for flere områder. Mange virksomheter må derfor ha internkontroll som omfatter flere ulike lov- og for­skriftsverk, bl.a. for næringsmiddel- og fiskeriindustrien og skoler og barnehager. Virksomheter som omfattes av flere ulike internkontrollbestemmelser må vurdere på hvilken måte kravene mest hensiktsmessig kan etterleves.  For mange vil det være praktisk å utarbeide et samlet system som ivaretar alle lovene.

Plikten til å innføre og utøve internkontroll påhviler «den som er ansvarlig» for virksomheten.  Med dette menes virksomhetens ledelse/eier.  Hvem, eller hvilke funk­sjoner dette kan være, varierer etter hvordan virksomheten er organisert.  Selv om internkontroll må utøves på alle nivåer i virksomheten, tilligger hovedansvaret for å sette i gang arbeidet («innføre» internkontroll) og å holde det i gang («utøve» intern­kontroll) det øverste nivået i virksomheten.  Paragrafen presiserer imidlertid at plikten til å innføre og å utøve internkontroll skal gjøres i samarbeid med arbeidstakerne, arbeidsmiljøutvalg, verneombud og/eller tillitsvalgte der dette finnes.

Hvem som er «ansvarlig» for virksomheten vil avhenge av de ulike lover som for­skriften er hjemlet i.  Eksempler på «ansvarlig» for at forskriftens krav blir gjennom­ført er etter

• arbeidsmiljøloven;  arbeidsgiver
• forurensningsloven;  virksomhetens ledelse slik den fremgår av virksomhetens organisasjon eller selskapsstruktur
• produktkontrolloven;  produsent, importør, omsetter
• sivilbeskyttelsesloven;  virksomheter
• brann- og eksplosjonsvernloven;  virksomheter
• lov om tilsyn med elektriske anlegg og elektrisk utstyr;  eier og bruker av elektriske anlegg og elektrisk utstyr, produsenter av, samt importører og andre omsetningsledd for elektrisk utstyr, elektroinstallatører o.l.
• genteknologiloven;  virksomhetens ledelse slik den framgår av virksomhetens organisasjon eller selskapsstruktur
• strålevernloven;  virksomhetens ledelse slik den framgår av virksomhetens or­ganisasjon eller selskapsstruktur.

I § 4 første ledd ligger også at den som er ansvarlig har plikt til å sørge for at in­ternkontrollen blir overvåket og gjennomgått for å sikre at den fungerer som forutsatt. I dette ligger en plikt til at internkontrollen vurderes kontinuerlig slik at mangler kan fanges opp.  Innbakt i plikten ligger også at det med jevne mellomrom foretas en full­stendig gjennomgang, dvs. en revisjon av hele det systematiske arbeidet jf. § 5 annet ledd nr. 8.

Det er uttrykkelig fastslått i § 4 annet ledd at arbeidstakerne har plikt til å med­virke.  Dette vil også følge av arbeidsforholdet i sin alminnelighet.  Medvirkning i in­ternkontrollarbeidet er således en del av arbeidsplikten.  For verneombud og medlem­mer av arbeidsmiljøutvalg er deltakelse i etablering og vedlikehold av internkontroll uttrykkelig fastslått i arbeidsmiljøloven § 6−2 og § 7−2.  I tillegg har arbeidstakerne og deres tillitsvalgte etter arbeidsmiljøloven § 4−2 en rett til medvirkning i forbindelse med styrings- og planleggingssystemer.  Internkontroll anses som et styrings- og planleggingssystem som omfattes av arbeidsmiljøloven § 4−2.  For bedrifter som er bundet av tariffavtale finner man de samme bestemmelser i f.eks. Hovedavtalen LO-NHO, kap IX.

Det er helt sentralt at internkontroll integreres i overordnet styring og planlegging av virksomheten.  Stadig flere virksomheter er i dag opptatt av å gjøre forholdet til det ytre miljø til en del av bedriftens organisasjonsstrategi og profil, og internkontroll er et instrument som kan utnyttes for å styrke dette arbeidet innad i bedriften.  Også arbeidstakere vil være interessert i at deres arbeidsplass har en miljøprofil og gjør sitt for et mer miljøvennlig samfunn.  Internkontrollen skal også omfatte kravene til det ytre miljø, og er derfor et instrument for arbeidstakerne og deres tillitsvalgte til å på­virke også de av virksomhetens disposisjoner som berører miljøet.  I forbindelse med internkontrollarbeidet er det videre klart at arbeidstakernes erfaringer er en vesentlig forutsetning for en velfungerende internkontroll.  Arbeidstakernes konkrete erfaringer med f.eks. ulike innsatsfaktorer i produksjonen, innkjøp, avfallshåndtering mv., er verdifull kunnskap som kan bidra til en systematisk gjennomgang av alle sider ved virksomheten med virkning for det ytre miljø.  Området for eventuelle interessekon­flikter synes også begrenset i og med at hensynet til arbeidsmiljøet og det ytre miljø som regel vil trekke i samme retning.

Virksomheter som omfatter både arbeidstakere og kunder/brukere, f.eks. sykehus, skoler, barnehager og hoteller har ansvar for helse, miljø og sikkerhet for begge grupper.  For denne typen virksomhet er det viktig å huske på at lovene kan stille samme type krav, men de er rettet mot en av gruppene – arbeidstaker eller bruker – eller lovene kan stille krav som omfatter begge gruppene.  Produktkontrolloven om­handler sikkerheten til elevene osv., mens arbeidsmiljøloven dekker arbeidstakerne. Brann- og eksplosjonsvernloven vil stille krav som omfatter sikkerheten både til hotell­gjestene og de ansatte.  Internkontrollen må da inkludere alle lovene forskriften er hjemlet i slik at både ansatte og brukere blir omfattet.

§ 5 stiller krav til innholdet i og dokumentasjon av internkontroll.  Etter nr. 2 skal alle arbeidstakere ha kunnskap og ferdigheter som gjør dem i stand til å utføre arbei­det på en sikker og helse- og miljømessig forsvarlig måte.  Dette innebærer også at arbeidstakerne er kjent med endringer i internkontrollen.  Noen kunnskapskrav er regel- eller avtalefestet, f.eks. for verneombud, beredskapspersonell etc.  Andre krav vil fremgå som en naturlig følge av virksomhetens art, aktiviteter eller risikoforhold.

Etter nr. 3 følger at utarbeidelse, praktisering og endringer i virksomhetens intern­kontroll skal skje i samarbeid med og inkludere arbeidstakerne i virksomheten, jf. også § 4.

Virksomheten må ha et mål for sitt helse-, miljø- og sikkerhetsarbeid som for andre driftsområder.  Dette følger av nr. 4.  Målene er en viktig forutsetning for planer og aktivitet, og bør settes så konkret som mulig.  Målsettinger av mer overordnet karakter må også fastsettes.  Mål skal dokumenteres skriftlig.

Etter tredje ledd fremgår at dokumentasjon av internkontrollen vil variere etter virksomhetens art, aktiviteter, risiko og størrelse.  Noen virksomheter vil utarbeide grundige analyser av risiko, mens andre kan nøye seg med en enkel dokumentasjon. Internkontroll krever ryddighet og et gjennomtenkt system.  I dette ligger også at alle som arbeider i virksomheten er kjent med hvordan internkontroll på helse-, miljø- og sikkerhetsområdet praktiseres, og tilsynsmyndighetene må kunne forstå hvordan virk­somheten arbeider med helse- miljø- og sikkerhetsområdet.

Der det finnes rutiner og prosedyrer for å ivareta helse, miljø og sikkerhet, vil kra­vet til systematikk innebære at virksomheten skal videreutvikle og skape en helhet i de rutiner og prosedyrer som finnes.  I dette ligger også at de skriftlige arbeidsrutiner, instrukser o.l. som alt finnes må systematiseres slik at de kan tas i bruk og inngå i internkontrollen.  Sertifikater skal inngå i internkontrollen når krav om sertifikater fremgår av regelverket.  Videre vil det kunne være nyttig og hensiktsmessig at annen dokumentasjon som virksomheten fremskaffer, f.eks. frivillige sertifikater som bekref­ter at et produkt, en tjeneste eller en aktivitet, eller en persons kompetanse er i sam­svar med spesifiserte krav, inngår som en del av dokumentasjonen.

Denne bestemmelsen gjelder i situasjoner hvor flere virksomheter utfører arbeid/­aktivitet sammen, på samme arbeidsplass, eller for hverandre.  Første ledd omfatter bl.a. de situasjoner som er nevnt i arbeidsmiljøloven § 2−2, mens annet ledd omfatter tilfeller hvor en virksomhet engasjerer andre til å utføre arbeid for seg, f.eks. vedlike­hold, konstruksjons- eller byggearbeid.

Etter første ledd skal virksomheter som samtidig utfører arbeid på samme arbeids­plass skriftlig avtale hvem av dem som skal ha ansvaret for å samordne internkontroll for felles aktiviteter eller områder.  Bakgrunnen er det åpenbare behovet for at noen ivaretar og har oversikt over det totale helse-, miljø- og sikkerhetsbildet på slike arbeidsplasser.  Kravet er begrenset til tilfeller hvor samordning anses nødvendig. Samordning må antas å være nødvendig når flere virksomheter som utøver arbeid på samme arbeidsplass til sammen har mer enn 10 arbeidstakere, jf. aml. § 2−2.  I til­feller hvor antallet arbeidstakere er færre enn 10, kan det tenkes situasjoner hvor risikoen forbundet med flere virksomheter på samme arbeidsplass vurderes å være så høy at samordning av virksomhetenes internkontroll anses nødvendig.

Foruten å fastslå hvilken virksomhet som har samordningsansvaret, bør avtalen også inneholde en oversikt over hvilke områder og/eller aktiviteter som inngår i sam­ordningsansvaret.  Hvilken virksomhet som i det enkelte tilfelle er den mest naturlige til å ivareta samordningsansvaret vil variere.  Det kan være den som bestiller et arbeid, mens for noen virksomheter kan samordningsansvar fremgå av konsesjons­vilkår.

Regler om samordning og koordinering mellom flere virksomheter finnes bl.a. i arbeidsmiljøloven § 2−2 og i byggherreforskriften.  Virksomhet med hovedvirksom­hetsansvar etter arbeidsmiljøloven § 2−2 vil normalt kunne ha ansvaret også etter internkontrollforskriften.  I henhold til byggherreforskriften har byggherre ansvar for å utpeke en koordinator for sikkerhet, helse og arbeidsmiljø på bygge- eller anleggs­plassen.  Byggherrens koordinering har som hovedformål å hindre unødig konflikt mellom ulike virksomheter og ulike arbeidsoperasjoner slik at det ikke oppstår fare for sikkerhet, helse og arbeidsmiljø.  Dersom det er flere virksomheter som hver ivaretar plikter etter ulike regelverk, må disse igjen koordinere seg slik at resultatet blir i sam­svar med regelverket.  Ved virksomhet som drives ved f.eks. kjøpesentre, nærings­parker o.l., kan det ofte være naturlig at driftsselskap eller holdingsselskap ivaretar samordningsansvaret.  Vedkommende virksomhet må uansett ha nødvendig oversikt, kompetanse og myndighet.

Dersom det ikke er inngått avtale kan tilsynsmyndighetene bestemme hvem av virksomhetene som skal ha samordningsansvaret.  Tilsynsmyndighetene kan også om­gjøre en inngått avtale i særlige tilfeller.  Utgangspunktet er at den virksomheten som skal ha ansvar for å samordne internkontrollen på et område hvor flere ulike virksom­heter arbeider, må ha nødvendig oversikt, kompetanse og myndighet til å ivareta ansvaret.  Dersom tilsynsmyndighetene finner at den virksomheten som i avtalen har påtatt seg samordningsansvaret ikke kan ivareta dette, kan avtalen omgjøres.

Annet ledd gjelder internkontroll i oppdragsforhold.  Bestemmelsen omfatter bare arbeid som utføres ved oppdrag på oppdragsgivers eget område eller anlegg.

Utgangspunktet er at den som driver virksomhet knyttet til et fysisk anlegg etc. skal sørge for at alle aktiviteter på området er omfattet av internkontroll, uansett om de som utfører aktiviteten er ansatt i virksomheten eller ikke.  Bakgrunnen for dette er at det ofte er likegyldig om de personer som er utsatt for risiko under utførelsen av sitt arbeid står i et ansettelsesforhold til virksomheten eller ei.  Det samme vil naturligvis gjelde ved fare for forurensning av ytre miljø, og ellers ved generelle sikkerhets- og vernetiltak som er nødvendig for å hindre farlige eller skadelige situasjoner i å oppstå i tilknytning til egen virksomhet.

Det er internkontrollen til den virksomheten som skal utføre oppdraget som skal legges til grunn.  Det innebærer bl.a. at oppdragsgiver må vurdere hvilken risiko som oppstår når leverandører og oppdragstakere utfører aktiviteter inne på oppdragsgivers område.  I tilfeller hvor bruk av oppdragstakere er fast ordning eller skjer ofte, kan det være nødvendig å innta faste rutiner for dette i egen internkontroll.  Når oppdrags­takere bare unntaksvis er inne, må risiko vurderes i det enkelte tilfelle.  Utgangspunk­tet er at det er belastninger eller faremomenter knyttet til oppdraget som må vurde­res.

Reglene innebærer at den som er ansvarlig for virksomheten må undersøke om de oppdragstakere virksomheten engasjerer, har tilfredsstillende internkontroll.  Ofte vil det være nødvendig å vurdere om ens egen internkontroll dekker generelle rutiner og tiltak på området som har betydning f.eks. for arbeidsmiljø, ildsbruk, verneutstyr eller fare for forurensning.

Graden av tilpassing og/eller korrigering mellom oppdragsgivers internkontroll og oppdragstakers internkontroll vil variere både med type og omfang av oppdraget, virksomhetens størrelse og risikofaktorer og hvor tilfredsstillende oppdragstakers internkontroll vurderes å være.  Utgangspunktet er hele tiden at en skal sikre seg at internkontrollen er samordnet i nødvendig grad slik at resultatet blir i samsvar med lovgivningen.

Tilfeller hvor virksomheten kjøper komponenter, deler og utstyr av en annen virk­somhet vil som hovedregel ikke utløse samordningsplikt.

Bestemmelsen fastslår hvem som skal forestå tilsynet med forskriften.  Følgende etater vil være tilsynsmyndighet etter forskriften:

• Arbeidstilsynet (arbeidsmiljøloven)
• Direktoratet for samfunnssikkerhet og beredskap/kommunale brannvernmyn­digheter (brann- og eksplosjonsvernloven)
• Direktoratet for samfunnssikkerhet og beredskap/Det lokale eltilsyn (lov om til­syn med elektriske anlegg og elektrisk utstyr samt produktkontrolloven når det gjelder forbrukertjenester og produktenes fysiske, termiske, mekaniske og brannmessige egenskaper)
• Miljødirektoratet (forurensningsloven, produktkontrolloven, genteknologiloven; utsetting av genmodifiserte organismer)
• Statsforvalterne (forurensningsloven og produktkontrolloven med tilhørende for­skrifter for de bransjer der statsforvalteren er forurensningsmyndighet)
• Næringslivets sikkerhetsorganisasjon (sivilbeskyttelsesloven, industrivern)
• Sjøfartsdirektoratet (forskrift om fritidsfartøy hjemlet i produktkontrolloven)
• Helsedirektoratet (genteknologiloven; innesluttet bruk av genmodifiserte orga­nismer)
• Statens strålevern (strålevernloven, forurensningsloven når det gjelder radio­aktiv forurensing og radioaktivt avfall)
• Luftfartstilsynet (arbeidsmiljøloven og forskrift om arbeidervern og arbeidsmiljø m.v. for sivil luftfart § 9; tilsynsmyndighet med arbeidsmiljøet for flygende per­sonell i sivil luftfart)

Ved å benytte systemrevisjoner og verifikasjoner vurderer tilsynsmyndighetene virksomhetenes helse-, miljø- og sikkerhetstilstand, og legger vekt på det forebyg­gende arbeidet med HMS.  Det er ikke bare de direkte konsekvenser som skader, ut­slipp og sykefravær som vurderes.  Tilsynsmyndighetene vil kunne veilede om forstå­elsen av forskriftens krav og prinsippene for internkontroll.  Veiledningspliktens om­fang er regulert i forvaltningsloven.  Dersom virksomheten har tilknytning til bransje­organisasjon eller liknende, er det dessuten mulig å få veiledning derfra bl.a. om hen­siktsmessige løsninger i vedkommende bransje.

I vurderingen må det tas hensyn til hva konsekvensene av en dispensasjon vil bli for helse-, miljø- og sikkerhetsarbeidet i virksomheten.  Dispensasjoner gis normalt for et begrenset tidsrom.

Tilsynsmyndighetene kan fatte forskjellige typer vedtak i forbindelse med håndhev­else av forskriften.  Eksempel på et vedtak kan være pålegg fra en tilsynsmyndighet om å oppfylle forskriftens krav om å sørge for at virksomheten har etablert intern­kontroll.  Et annet eksempel kan være pålegg om å oppfylle skriftlighetskravene til internkontroll.  Slike vedtak vil normalt være enkeltvedtak som kan påklages til nær­mest overordnede forvaltningsorgan (se oversikten nedenfor).  Pålegg som gjelder systemsvikt o.l. gis på bakgrunn av internkontrollforskriften.  Pålegg som gjelder kon­krete overtredelser av det underliggende lov- og forskriftsverk, gis med hjemmel i disse.  Begge typer vedtak kan påklages til overordnet organ til vedtaksorganet.

Vedtak truffet av Arbeidstilsynet kan påklages til Direktoratet for arbeidstilsynet. Vedtak truffet av Direktoratet for arbeidstilsynet i første instans, kan påklages til Arbeids- og inkluderingsdepartementet.

Vedtak truffet av kommunestyret eller Statsforvalteren, kan påklages til Direktora­tet for samfunnssikkerhet og beredskap.  For andre vedtak truffet av kommunen, gjel­der forvaltningsloven § 28 annet ledd.

Vedtak truffet av Det lokale eltilsyn kan påklages til Direktoratet for samfunnssik­kerhet og beredskap.

Vedtak truffet i første instans av Direktoratet for samfunnssikkerhet og beredskap, kan påklages til Justis- og beredskapsdepartementet.

Vedtak truffet av Statsforvalteren som førsteinstans, kan påklages til Miljødirekto­ratet.

Vedtak truffet av Miljødirektoratet som førsteinstans, kan påklages til Klima- og miljødepartementet.

Vedtak truffet av Næringslivets sikkerhetsorganisasjon kan påklages til Direktoratet for samfunnssikkerhet og beredskap.

Vedtak truffet av Sjøfartsdirektoratet på fritidsfartøyområdet, kan påklages til Nær­ings- og fiskeridepartementet.

Vedtak truffet av Helsedirektoratet kan påklages til Helse- og omsorgsdepartemen­tet.

Vedtak truffet av Statens strålevern med hjemmel i strålevernlovgivningen kan på­klages til Helse- og omsorgsdepartementet.

Vedtak truffet av Statens strålevern med hjemmel i forurensningslovgivningen kan påklages til Klima- og miljødepartementet.

Vedtak truffet av Luftfartstilsynet med hjemmel i arbeidsmiljøloven kan påklages til Arbeids- og inkluderingsdepartementet.