Krav til avvikssystem: avslør manglene før dere signerer

Loven krever at dere har skriftlige rutiner for å avdekke, rette opp og forebygge brudd på HMS-regelverket, at dere fører et register over skader i arbeidet, og at personopplysningene i avvikene behandles trygt. Men loven krever ingen bestemt type system. Om systemet faktisk blir brukt avhenger av krav dere må stille selv. De handler om hva den som melder, den som følger opp, ledelsen, personvernet og IT trenger. Og om systemet er godt å bruke, finner dere bare ut ved å prøve det selv.

Hvis dere er usikre på om dere trenger et eget system i det hele tatt, kan dere lese når regneark, skjema eller SharePoint er nok.

Hva loven krever av et avvikssystem

Internkontrollforskriften

Internkontrollforskriften § 5 nr. 7 krever skriftlige rutiner for å avdekke, rette opp og forebygge overtredelser av HMS-regelverket. Om formen sier forskriften bare at internkontrollen skal dokumenteres «i den form og det omfang som er nødvendig» ut fra virksomhetens art, aktiviteter, risikoforhold og størrelse. Arbeidstilsynet skriver at arbeidsgiveren har ansvaret for at virksomheten har og bruker et system for å registrere og håndtere avvik. Systemet dere velger, skal støtte avviksrutinen dere har skrevet. Hva rutinen må inneholde står i Rutine for avvikshåndtering.

Skaderegisteret

Arbeidsgiveren skal sørge for at alle personskader i arbeidet blir registrert. Det samme gjelder sykdom som antas å skyldes arbeidet (arbeidsmiljøloven § 5-1). Arbeidstilsynet, verneombudet, bedriftshelsetjenesten og arbeidsmiljøutvalget skal ha tilgang til registeret, og arbeidsmiljøutvalget skal gå gjennom rapportene om ulykker og tilløp til ulykker (§ 7-2). Registeret kan ikke inneholde medisinske opplysninger av personlig karakter uten at den det gjelder har samtykket.

Hvis dere fører skadene i avvikssystemet, må dere kunne ta dem ut som en egen oversikt og gi verneombudet og AMU tilgang til den. Skjemaet bør heller ikke spørre etter diagnoser.

Personvern

Avvik som meldes med navn inneholder personopplysninger, og ofte også opplysninger om kolleger, pasienter, elever eller kunder. Leverandøren behandler opplysningene på vegne av dere, og da stiller personvernforordningen disse kravene:

Leverandøren må gi tilstrekkelige garantier for sikkerheten. Dere skal ha en skriftlig databehandleravtale, og leverandøren kan ikke bruke underleverandører uten skriftlig tillatelse fra dere (artikkel 28).
Sikkerheten skal stå i forhold til risikoen. Det betyr blant annet at tilgangen må kunne gjenopprettes etter en hendelse, og at sikkerhetstiltakene testes jevnlig (artikkel 32).
Alle brudd på personopplysningssikkerheten skal dokumenteres, også de som ikke meldes til Datatilsynet (artikkel 33 nr. 5). Dere kan bruke avvikssystemet til det hvis dere kan begrense hvem som har tilgang til sakene. Fristene og stegene står i Personvernbrudd: slik rekker dere 72-timersfristen.
For å overføre opplysninger til land utenfor EØS trenger dere et grunnlag etter kapittel V. Datatilsynet påpeker at det kan regnes som overføring selv om serverne står i EØS, hvis support har tilgang fra et land utenfor EØS, eller leverandøren er underlagt lovene i et slikt land.
Opplysningene skal ikke lagres slik at personene kan identifiseres lenger enn formålet krever (artikkel 5 nr. 1 bokstav e).

Kommuner og andre offentlige virksomheter

Kommuneloven § 25-1 krever at kommunen har internkontroll som sikrer at lover og forskrifter følges i hele administrasjonen. Kommunedirektøren skal blant annet avdekke og følge opp avvik og risiko for avvik, og rapportere om internkontrollen til kommunestyret minst én gang i året (§ 25-2). Systemet må derfor også ha kategorier for tjenesteavvik og brudd på annet regelverk enn HMS, og kunne levere tallene til rapporten.

Avviksmeldinger som et offentlig organ har opprettet om sin egen virksomhet er saksdokumenter etter definisjonen i offentleglova § 4. Alle kan kreve innsyn i saksdokumenter, med de unntakene loven gir, blant annet for opplysninger som er underlagt taushetsplikt (offentleglova § 3 og § 13). Arkivlova, som gjelder fra 1. januar 2026, krever at dokumentasjonen sikres slik at det alltid er kjent hvor den kommer fra, at sammenhengen går fram, og at informasjonen ikke blir endret (§ 5). Organet skal også ha en dokumentasjonsplan som viser hvordan dokumentasjonen lagres (§ 8). Ta med arkivlederen tidlig. Avklar om avvikene skal journalføres i sak- og arkivsystemet eller forvaltes i avvikssystemet, hvor lenge de skal lagres, og hva som skal skje med dem når dere bytter system.

Helse- og omsorgstjenester

Forskrift om ledelse og kvalitetsforbedring i helse- og omsorgstjenesten krever at virksomheten har oversikt over avvik, også uønskede hendelser, sammen med klager, brukererfaringer og statistikk (§ 6 bokstav g). Avvikene skal gås gjennom slik at lignende forhold kan forebygges, og hele styringssystemet skal gås gjennom minst én gang i året, opp mot statistikken som finnes (§ 8 bokstav e og f).

Et sykehjem eller en hjemmetjeneste får altså avvik om både pasientsikkerhet og arbeidsmiljø. Hvis dere bruker ett system til begge, bør statistikken skille dem, uten at den som melder må vite hvilket regelverk avviket hører under. Om en hendelse også må meldes til myndighetene står i Disse avvikene må dere melde videre, og innen når.

Universell utforming

Likestillings- og diskrimineringsloven § 18 krever universell utforming av IKT-løsninger som er rettet mot eller stilt til rådighet for brukere. Men forskriften om universell utforming av IKT-løsninger gjelder ikke for løsninger som brukes i arbeidet, med mindre forskriften sier noe annet (§ 2). For offentlige virksomheter gjør den det: Innhold på intranett og ekstranett som er publisert etter 1. februar 2023, skal være universelt utformet (§ 4b). Alle arbeidsgivere skal dessuten gi ansatte med funksjonsnedsettelse egnet individuell tilrettelegging (likestillings- og diskrimineringsloven § 22), og det blir vanskelig hvis avvikssystemet ikke fungerer med skjermleser eller forstørret tekst. Spør hvilken versjon av WCAG systemet er testet mot, og be om å få se resultatet.

Det dere bør spørre leverandøren om

Lovkravene sier lite om det som avgjør om avvik faktisk blir meldt og fulgt opp. Sorter kravene etter hvem som merker det hvis de ikke er oppfylt, og ta med noen fra hver gruppe når dere skriver dem: en ansatt som melder ofte, en avdelingsleder, verneombudet, den som har ansvaret for personvern, IT og, i offentlige virksomheter, arkivet.

Den som melder

Det må gå raskt å melde fra telefonen midt i arbeidet, med få felt å fylle ut. Hvilke felt skjemaet bør ha står i Slik skriver du en god avviksmelding, med eksempler.

Kan man melde uten nett, for eksempel i en kjeller, et maskinrom eller hjemme hos en bruker uten dekning, og blir meldingen sendt når nettet er tilbake?
Hvordan logger ansatte inn, og hvordan melder vikarer, innleide og ansatte uten jobb-e-post?
Kan man melde avvik rett fra en sjekkliste eller en vernerunde?
Hvilke språk finnes systemet på?
Får den som meldte, beskjed når saken er lukket, og kan lederen skrive et svar som forklarer hva som er gjort?

Den som følger opp

Avdelingsledere følger opp avvik ved siden av alt annet de gjør. Systemet må sørge for at saken havner hos riktig person, at noen merker det når fristen nærmer seg, og at saken ikke stopper opp når lederen er borte.

Hvem får saken: lederen der avviket skjedde, eller lederen til den som meldte? Hva skjer i en avdeling eller et team uten leder?
Hvem tar over sakene når lederen har ferie eller er sykmeldt, uten at en administrator må flytte dem?
Kan fristen avhenge av alvorlighetsgraden, og kan vi bestemme fristene selv? Kommer det en påminnelse før fristen, og en beskjed når den er passert?
Kan saken sendes videre til en annen avdeling med en begrunnelse, og kan andre trekkes inn med en kommentar?
Kan hvert tiltak få egen ansvarlig og frist, og kan saken lukkes før tiltakene er gjennomført?
Hvis noen endrer teksten i en melding, blir den opprinnelige teksten tatt vare på?
Viser push-varslene innhold fra saken på låseskjermen?

I Maretto kan ikke historikken i en sak endres eller slettes. Overskriften og beskrivelsen kan ikke skrives om, bare skjermes ord for ord. Saken viser da at teksten er skjermet, og den opprinnelige teksten blir lagret.

Ledelsen, AMU og verneombud

Ledelsen trenger å se om avvikene blir fulgt opp, og antallet meldte avvik sier lite om det. Hvilke tall som sier mer står i Hvorfor dine ansatte ikke melder inn avvik.

Kan vi se per avdeling hvor lenge saker venter før de blir lest og lukket, og hvor mange som har passert fristen?
Kan vi ta ut skadene og nestenulykkene siden forrige AMU-møte uten å klippe og lime?
Kan verneombudene få tilgang til avvikene i sitt eget verneområde?

Personvern og tilgang

De fleste avvik kan leses av lederne i avdelingen og HMS-ansvarlig. Noen avvik bør færre få se, for eksempel avvik om en navngitt kollega, om vold eller trusler fra en navngitt bruker, avvik med helseopplysninger og brudd på personopplysningssikkerheten.

Hvem ser en sak som standard: den som meldte, lederne i avdelingen, alle ledere eller administratorene?
Kan en enkelt sak begrenses til færre personer?
Kan leverandørens support lese sakene?
Logges det hvem som har åpnet en sak?

Anonyme meldinger hører hjemme i en egen varslingskanal, ikke i avvikssystemet, fordi et anonymt avvik ikke kan følges opp. Hvordan dere skiller avvik fra varsler står i Personalsak, varsel eller avvik? Slik skiller du dem. Hva som skal til for at de ansatte stoler på varslingskanalen står i Slik lager dere en varslingsrutine som oppfyller loven.

IT

Kan ansatte logge inn med virksomhetens egen identitetsløsning, for eksempel Microsoft Entra ID, i stedet for et eget passord?
Blir brukere og avdelinger oppdatert automatisk fra identitetsløsningen eller HR-systemet, og mister den som slutter, tilgangen samme dag?
Finnes det et dokumentert API, og hva kan hentes ut og legges inn gjennom det?
Hvor lagres dataene og sikkerhetskopiene, og fra hvilke land kan support og underleverandører få tilgang?
Hvordan er dataene kryptert, hvor ofte testes sikkerheten, og hvor raskt kan dataene gjenopprettes etter en hendelse?
Kan vi lese databehandleravtalen og listen over underleverandører før vi signerer?

Pris, bytte av system og når avtalen slutter

Dere trenger de gamle sakene også etter at avtalen er over, for eksempel ved tilsyn, til AMU og for å se hvilke avvik som går igjen. Personvernforordningen krever at leverandøren enten sletter personopplysningene eller leverer dem tilbake når tjenesten er levert, alt etter hva dere velger (artikkel 28 nr. 3 bokstav g). Hva dere får med dere og i hvilket format må stå i avtalen.

Kan vi når som helst eksportere alle saker med kommentarer, tiltak, historikk og vedlegg i et strukturert format, uten ekstra kostnad?
Hvor lenge har vi tilgang etter oppsigelsen, når slettes dataene, og får vi bekreftelse på at de er slettet?
Kan vi slette eller anonymisere gamle saker når lagringstiden vi har bestemt, er ute?
Kan leverandøren importere sakene fra systemet vi har i dag, eller må det gamle systemet holdes i gang ved siden av?
Betaler vi for alle som kan melde, eller bare for dem som følger opp, og hva skjer med prisen når vi blir flere?
Hvor lang er bindingstiden, og hvor mye kan prisen endres i avtaleperioden?

Et gratis system må oppfylle de samme kravene til databehandleravtale, sikkerhet og eksport som et system dere betaler for.

Prøv systemet selv

Det viktigste dere gjør før dere velger avvikssystem er å bruke det selv. Et system er ikke en liste med krav dere krysser av. Det er noe dere kjenner når dere bruker det: Skjønner dere med en gang hvor dere skal trykke, eller må dere lete? Går det kjapt, eller føles hvert trykk seigt? Er det pent, eller er det stygt? Og liker dere å bruke det?

Greit, kanskje er det å dra det langt å si at noen skal like å bruke et avvikssystem. Men det skal i det minste gå uten friksjon, og ingen skal irritere seg over å melde et avvik eller følge opp en sak. Det kan ingen leverandør svare på for dere, og en demonstrasjon viser bare systemet slik selgeren bruker det. Dere må kjenne på det selv.

Be derfor om en prøveperiode med deres egne avdelinger og brukere, og følg én ekte sak fra start til slutt sammen med verneombudet:

Be en ansatt som ikke har sett systemet før, om å melde en nestenulykke fra sin egen telefon, uten opplæring. Se hvor det stopper opp, og hvor lang tid det tar. Gjenta med flymodus på.
Sjekk om saken havner hos riktig leder, og hvor raskt lederen får beskjed.
La lederen endre alvorlighetsgraden, opprette et tiltak med en annen ansvarlig og sende saken videre til en annen avdeling.
La en frist gå ut, og se hvem som får beskjed.
Se hvem som får neste sak når lederen er borte.
Lukk saken og se hva den som meldte får vite.
Lag oversikten til neste AMU-møte.
Eksporter alt og åpne filen. Sjekk at historikken og vedleggene er med.
Deaktiver en testbruker i identitetsløsningen og sjekk at tilgangen forsvinner.

Skriv ned alt som stoppet opp, og få leverandørens svar skriftlig før dere signerer.

Da vi laget Maretto, var vi svært opptatt av akkurat dette. Derfor kan alle virksomheter registrere seg og prøve Maretto gratis i 30 dager, uten å snakke med en selger og uten noen som prøver å tre systemet ned over hodet på dere.