Vi fikk brevet en tirsdag. Det var ikke en vanlig informasjonsskrivelse fra Arbeidstilsynet — det var et formelt pålegg med referansenummer, lovhjemmel og frist. Fjorten dager til å dokumentere risikovurderingene for tre arbeidsoperasjoner vi utfører daglig.
Det vi ikke hadde forstått, var at "å gjøre en risikovurdering" og "å dokumentere at du har gjort den" er to helt forskjellige ting. Vi hadde diskutert risiko på morgenmøter. Vi hadde justert rutiner etter en nesten-ulykke for to år siden. Vi hadde gjort alt riktig — vi hadde bare aldri skrevet det ned. Og da Arbeidstilsynet kom, eksisterte ingenting av det vi hadde gjort på papiret.
Fristen var fjorten dager. HMS-konsulenten kostet rundt 12.000 kroner for tre dager med arbeid. Og vi stod igjen med den ukomfortable følelsen av at vi hadde brukt penger på noe vi kunne ha gjort selv — med riktig mal og én ettermiddag.
Det skjedde for fire år siden. Siden da har risikovurderingsdokumentasjonen vært det første vi setter opp i et nytt prosjekt, ikke det siste.
Mange bedrifter er i akkurat den situasjonen vi var i: HMS-arbeidet gjøres i praksis, men dokumentasjonen henger etter. Problemet er at Arbeidstilsynet ikke kan se hva du gjør — de kan bare se hva du har skrevet ned. Og den forskjellen koster.
Denne guiden viser deg nøyaktig hva et pålegg om risikovurdering innebærer, hva Arbeidstilsynet faktisk sjekker når de kommer på tilsyn, og hvordan du bygger en dokumentasjon som holder — i Excel, uten konsulent.
Et pålegg fra Arbeidstilsynet er et formelt krav om at du retter opp en mangel innen en angitt frist. Det er ikke automatisk en bot — det er en mulighet til å korrigere forholdet. Men det er heller ikke noe du kan ignorere.
Det finnes tre hovedtyper reaksjoner fra Arbeidstilsynet etter et tilsynsbesøk:
I tillegg kan Arbeidstilsynet ilegge overtredelsesgebyr etter AML § 18-10 — inntil 50 ganger grunnbeløpet (6 525 600 kr per 2026) eller fire prosent av årsomsetningen, ved alvorlige eller gjentakende brudd. For manglende risikovurderingsdokumentasjon er det vanlige utfallet et pålegg med 2–4 ukers frist, ikke gebyr — med mindre forholdet er systematisk forsømt.
Arbeidstilsynet gjennomfører rundt 22.000 tilsynsbesøk per år i Norge. De to hyppigste manglene de finner handler om manglende eller utdatert internkontrolldokumentasjon — og risikovurderingen er kjernen i dette systemet. Du kan trigge et tilsyn gjennom:
Uansett årsak er spørsmålet det samme: kan du dokumentere at du har gjort risikovurderingen skriftlig? Ikke at du har gjort en god jobb på byggeplassen — men at du har skrevet det ned.
De direkte kostnadene er enkle å tallfeste. Det som er vanskeligere å måle, er den indirekte kostnaden av å drive et HMS-system som ikke er dokumentert — og plutselig måtte etablere det under tidspress med ekstern hjelp.
I tillegg kommer:
Summen av disse kan fort overskride 100.000 kroner — for en mangel som med riktig dokumentasjon aldri ville blitt et pålegg. Det er det som gjør dette til et ekte pain point, ikke bare en formalitet.
Det er forresten verdt å merke seg: Arbeidstilsynet er ikke ute etter å ta deg. Inspektørene er generelt samarbeidsvillige, og de fleste pålegg lukkes uten gebyr hvis bedriften viser god tro og rask utbedring. Problemet oppstår når dokumentasjonen er systematisk fraværende — da ser det ut som forsømmelse, ikke glemsel.
Her er det mange som gjetter feil. Arbeidstilsynet sjekker ikke primært om du har riktig verneutstyr på lager eller om alle sertifikater er i orden. Ved et internkontrolltilsyn er det dokumentasjonssystemet som er i fokus.
Tabellen nedenfor viser de åtte punktene som Arbeidstilsynet typisk gjennomgår ved et HMS/internkontrolltilsyn — basert på internkontrollforskriften § 5 og Arbeidstilsynets egne tilsynsrapporter:
| # | Arbeidstilsynet spør om | Vanligste mangel | Typisk status |
|---|---|---|---|
| 1 | Har dere en skriftlig risikovurdering for alle arbeidsoperasjoner? | Finnes muntlig, ikke skriftlig — eller er bare delvis dekket | Delvis |
| 2 | Er risikovurderingen oppdatert siste 2 år? | Gammel vurdering som ikke er revidert etter endringer | Mangler |
| 3 | Finnes det HMS-mål dokumentert skriftlig? | Mål eksisterer i kulturen, aldri skrevet ned | Delvis |
| 4 | Er det en handlingsplan med konkrete tiltak, ansvar og frister? | Tiltak notert uten ansvarlig person eller frist | Mangler |
| 5 | Finnes rutiner for avviksregistrering og lukking? | Avvik håndteres ad hoc — ingen systematisk logg | Mangler |
| 6 | Er ansatte opplært i HMS og kan dette dokumenteres? | Opplæring gitt, aldri registrert med dato og signatur | Delvis |
| 7 | Er verneombud valgt og protokollert? | Verneombud valgt, men ikke formelt protokollert | OK |
| 8 | Er ansatte involvert i HMS-arbeidet (medvirkning jf. AML § 4-2)? | Medvirkning skjer i praksis, men er ikke dokumentert | Delvis |
Punkt 1, 2 og 4 — skriftlig risikovurdering, oppdatering og handlingsplan — er de tre som oftest utløser pålegg. Og det er nettopp disse tre som en god Excel-mal løser på én ettermiddag.
En risikovurdering som Arbeidstilsynet godkjenner trenger ikke å være komplisert. Den trenger å ha riktig struktur og inneholde de riktige elementene. Her er fremgangsmåten:
Start med å liste opp alle jobber eller prosesser i virksomheten din. Ikke bare de åpenbart farlige — internkontrollforskriften gjelder alle arbeidsoperasjoner. For en byggeplass: graving, stillasmontasje, elektrisk arbeid, kjøring med maskiner. For et kontor: skjermarbeid, ensformig arbeid, arbeid alene. Del dem gjerne inn etter avdeling eller prosjekttype. (Det tar lenger tid enn du tror — de fleste undervurderer antallet med en faktor på to.)
For hver arbeidsoperasjon: hva kan gå galt? Bruk gjerne "hva hvis"-metoden. Hva hvis festebolten løsner? Hva hvis det begynner å blåse? Hva hvis en kollega er syk og én person må gjøre jobben alene? Jo mer spesifikk fareidentifikasjonen er, desto mer nyttig er vurderingen — og desto mer overbevisende er den for Arbeidstilsynet.
Bruk en enkel 1–5 skala: sannsynlighet for at faren inntreffer, og konsekvens dersom den gjør det. Multipliser: det gir risikoscoren. Under 6: lav (grønn). 6–11: moderat (gul). 12 og over: høy (rød). I Excel beregnes dette automatisk med en enkel formel.
For hvert rødt og gult punkt: hva gjøres konkret, hvem er ansvarlig, og innen hvilken dato? Dette er handlingsplanen — og det er den Arbeidstilsynet sjekker like nøye som selve vurderingen. Uten navn og dato er tiltaket ikke sporbart, og dokumentet taper sin verdi som bevis på at HMS-arbeidet faktisk gjøres.
Dokumentet skal dateres og signeres — av leder og gjerne av verneombudet. Og det skal revideres: legg til en revisjonsdato i arket, og sett en påminnelse i kalenderen for neste gjennomgang. En risikovurdering uten revisjonsdato ser ut som en engangsøvelse — ikke som et levende system.
I Excel ser strukturen slik ut — med automatisk risikoscore og betinget fargeformatering:
Risikoscore beregnes automatisk: Sannsynlighet (C) × Konsekvens (D) — fargen oppdateres automatisk.
| A | B | C | D | E | F | G | |
|---|---|---|---|---|---|---|---|
| 1 | RISIKOVURDERING — Bedrift: [Navn] · Dato: 20.05.2026 · Revideres: 20.05.2027 | ||||||
| 2 | Arbeidsoperasjon | Fareidentifikasjon | Sannsynl. | Konsekvens | Score | Tiltak | Ansvarlig / Frist |
| 3 | Graving >1,5m dybde | Ras, gjenstander i grøften | 3 | 5 | 15 | Skråning/støtting, sperring | O. Nilsen / 01.06 |
| 4 | Bruk av vinkelsliping | Gnistdanning, kutt, projiserte deler | 3 | 3 | 9 | Skjerm, vernebriller, hansker | K. Berg / løpende |
| 5 | Kontorarbeid ved skjerm | Muskel- og skjelettbelastning | 2 | 2 | 4 | Ergonomisk gjennomgang 1×/år | HR / 31.12 |
Etter å ha gått gjennom risikovurderingene til et tosifret antall bedrifter, er det fem mangler som dukker opp igjen og igjen. Alle er enkle å unngå med riktig mal — og alle er potensielle påleggsgrunnlag.
"Vi har diskutert dette" holder ikke. Internkontrollforskriften § 5 krever eksplisitt at risikovurderingen er dokumentert — dvs. skriftlig, datert og tilgjengelig. Muntlig gjennomgang er usynlig for Arbeidstilsynet. Dette er nummer én årsak til pålegg.
En vurdering som sier "vi jobber med maskiner og det er fare for skade" oppfyller ikke kravet. Arbeidstilsynet forventer at farene er identifisert per arbeidsoperasjon — konkret, sporbart, med risikoscore. Generelle beskrivelser gir anmerkning, ikke godkjenning.
Et tiltak uten ansvarlig og uten frist er ikke et tiltak — det er en intensjon. Arbeidstilsynet vil se at det er navngitt hvem som er ansvarlig for hvert tiltak og innen hvilken dato det skal gjennomføres. Uten dette kan ikke systemet etterprøves.
En risikovurdering fra 2021 som ikke er revidert etter at dere skiftet utstyr, endret arbeidsrutiner eller ansatte nye folk — den gjenspeiler ikke virkeligheten. Arbeidstilsynet forventer revisjon ved vesentlige endringer, og en generell gjennomgang minst én gang i året.
En risikovurdering som bare finnes i lederens skuff, eller i en fil ingen vet om, oppfyller ikke kravet om at de ansatte skal kjenne til og ha tilgang til HMS-dokumentasjonen. Arbeidstilsynet kan spørre en tilfeldig ansatt — og da bør svaret ikke være et skuldertrekk.
Du trenger ikke å kunne regelverket utenat. Men du trenger å vite hvilke tre paragrafer som er grunnlaget for et pålegg om risikovurdering — slik at du vet hva du dokumenterer mot.
Arbeidsmiljøloven § 3-1 — Krav til systematisk HMS-arbeid
Arbeidsgiver plikter å kartlegge farer og problemer og på den bakgrunn vurdere risiko. Dette skal gjøres systematisk — det vil si planlagt, dokumentert og fulgt opp. AML § 3-1 er den overordnede hjemmelen som internkontrollforskriften utdyper.
Les § 3-1 på Lovdata →Internkontrollforskriften § 5 — Skriftlig dokumentasjon
Internkontrollen skal dokumenteres i den form og det omfang som er nødvendig på bakgrunn av virksomhetens art, aktiviteter, risikoforhold og størrelse. Dokumentasjonen skal inneholde: mål for HMS, oversikt over hvordan virksomheten er organisert, kartlegging av farer og vurdering av risiko, samt rutiner og tiltak.
Les § 5 på Lovdata →Arbeidsmiljøloven § 18-6 — Arbeidstilsynets påleggshjemmel
Arbeidstilsynet kan gi de pålegg og treffe de enkeltvedtak som er nødvendig for gjennomføringen av bestemmelsene i loven. Dette er hjemmelen for pålegget du har mottatt — eller vil motta dersom risikovurderingen ikke er på plass. Etter § 18-10 kan de også ilegge overtredelsesgebyr.
Les § 18-6 på Lovdata →En ting som ofte overrasker: Arbeidstilsynet aksepterer at dokumentasjonen er enkel og kortfattet for små virksomheter. De forventer ikke et profesjonelt HMS-system fra dag én. Det de forventer, er at systemet eksisterer, at det er skriftlig, og at det brukes i praksis — ikke at det er perfekt.
En norsk Excel-mal med risikomatrise 5×5, automatisk risikoscore, handlingsplan-ark med ansvar og frister, avvikslogg og revisjonsoversikt. Klar til utfylling — fyll inn bedriftsnavn og arbeidsoperasjoner, og du har en komplett risikovurdering som møter kravene i internkontrollforskriften.
Et pålegg er et krav om å rette opp en mangel innen en gitt frist — det er ikke i seg selv en bot. Et overtredelsesgebyr er en økonomisk sanksjon som kan gis i tillegg, eller i stedet for pålegg, særlig ved gjentakende brudd eller alvorlige mangler. Du kan altså få begge deler samtidig. For manglende risikovurderingsdokumentasjon er det vanlige utfallet et pålegg med frist — ikke gebyr — ved første gangs tilsyn.
Fristen settes av Arbeidstilsynet i påleggsbrevet og varierer fra 14 dager til 3 måneder avhengig av alvorlighetsgraden. For manglende risikovurderingsdokumentasjon er fristen vanligvis 2–4 uker. Hvis du trenger mer tid, ta kontakt proaktivt — de gir som regel fristutsettelse dersom du viser god tro og pågående arbeid med utbedringen.
Internkontrollforskriften (IK-HMS) § 5 gjelder alle virksomheter med ansatte — uansett størrelse. Kravet er skriftlig dokumentasjon av: HMS-mål, oversikt over gjeldende krav, kartlegging av farer og risikovurdering, handlingsplan med tiltak, og rutiner for avviksbehandling. For en bedrift med 2–5 ansatte kan dette rommes i én Excel-fil med tre ark. Omfanget skal tilpasses virksomhetens størrelse og risikoprofil — men dokumentasjonen må finnes.
Ja, absolutt. Arbeidstilsynet stiller ingen krav til format eller system — det eneste kravet er at dokumentasjonen er skriftlig og inneholder de nødvendige elementene. En godt strukturert Excel-mal med risikomatrise, handlingsplan og revisjonsdato oppfyller alle kravene i internkontrollforskriften og er mer oversiktlig enn mange dyre HMS-systemer.
Internkontrollforskriften krever revisjon ved vesentlige endringer — ny arbeidsoperasjon, nytt utstyr, ulykke eller nesten-ulykke. I tillegg anbefaler Arbeidstilsynet en generell gjennomgang minst én gang per år. En risikovurdering uten revisjonsdato, eller som er mer enn to år gammel, vil vanligvis gi anmerkning ved tilsyn.
Hvis fristen oversittes, kan Arbeidstilsynet ilegge tvangsmulkt — en løpende dagbot som akkumulerer til forholdet er lukket. Størrelsen varierer fra 500 til 5.000 kr per dag, avhengig av sakens alvorlighetsgrad. I tillegg kan Arbeidstilsynet i alvorlige tilfeller stanse virksomheten. Kontakt Arbeidstilsynet før fristen løper ut dersom du trenger mer tid — de er generelt samarbeidsvillige ved god tro.