Ashio whistleblowing software

Oct 4, 2026

Arbeidsmiljøloven og varslingsplikten: hva små bedrifter må gjøre i 2026

Arbeidsmiljøloven og varslingsplikten: hva små bedrifter må gjøre i 2026

Mange små bedrifter tror varslingsplikten gjelder store konsern – helt til de får spørsmålet fra en ansatt, et styremedlem eller Datatilsynet. Da haster det å forstå hva arbeidsmiljøloven og EU-direktivet faktisk krever av en SMB, og hva som er tilstrekkelig for å oppfylle kravet uten å bygge et helt compliance-program. Denne gjennomgangen gir deg de juridiske rammene, skillet mellom interne kanaler og eksterne tipsløsninger, og en praktisk sjekkliste du kan bruke med en gang.

Innholdsfortegnelse

De viktigste punktene

  • Arbeidsmiljølovens § 2 A pålegger alle virksomheter med minst fem ansatte å ha en skriftlig rutine for intern varsling, uavhengig av om du er en SMB eller et konsern.
  • EU-direktiv 2019/1937 setter minstekrav til varslingskanaler for virksomheter med 50 eller flere ansatte, men mange norske SMB velger å følge standarden uansett for å være forberedt.
  • En intern varslingskanal er ikke det samme som en anonym tipsløsning: den interne kanalen er lovpålagt, mens en anonym løsning er et valgfritt, personvernsterkere tillegg.
  • Manglende varslingsordning kan føre til tilsynssak, bøter fra Datatilsynet og svekket omdømme – konsekvensene treffer små virksomheter ekstra hardt fordi de ofte har færre buffere.
  • En trinnvis sjekkliste – fra forankring i styret til test av kanalen – lar de fleste SMB etablere forsvarlig varsling på under en måned.

Hva sier arbeidsmiljøloven om varsling i 2026?

Arbeidsmiljøloven § 2 A krever at alle virksomheter med minst fem ansatte har en skriftlig rutine for intern varsling av kritikkverdige forhold, og at de ansatte blir gjort kjent med rutinen. For en norsk SMB betyr det i praksis tre ting: en nedskrevet prosedyre, en tilgjengelig mottakskanal og tydelige frister for tilbakemelding til varsleren.

Loven skiller mellom tre situasjoner. For det første plikter enhver arbeidstaker å varsle om kritikkverdige forhold. For det andre har arbeidsgiver en plikt til å legge til rette for varsling gjennom en intern ordning. For det tredje oppstår det et særlig ansvar når det varsles om så alvorlige forhold at arbeidsgiver plikter å undersøke og følge opp saken.

I tillegg stiller personvernforordningen (GDPR) krav til hvordan personopplysninger behandles i varslingssaker, og reglene gjelder også når du tar imot tips og varsler digitalt. For en SMB er det viktig å være bevisst på at en intern kanal som lagrer identifiserbar informasjon, er en personvernbehandling som krever lovlig grunnlag, informasjon til varsleren og gode rutiner for sletting.

Hvem er omfattet av varslingsplikten?

Alle norske arbeidsgivere med fem eller flere ansatte er omfattet av arbeidsmiljølovens krav til intern varslingsordning, og virksomheter med 50 eller flere ansatte er i tillegg omfattet av forpliktelsene i EU-direktiv 2019/1937 slik de er gjengitt i norsk rett. Det betyr at en liten bedrift med 8–10 ansatte har plikt til skriftlig rutine, mens en SMB med 55 ansatte i tillegg må oppfylle direktivets krav til kanalen.

Plikten gjelder uavhengig av bransje, organisasjonsform og om du leier inn konsulenter. Også ideelle organisasjoner, foreninger og kommunale foretak med tilstrekkelig ansatte er omfattet. Skillet går ved antall ansatte, ikke ved omsetning eller budsjettramme.

For ledere og HR-ansvarlige i SMB er det nyttig å vite at plikten til å varsle gjelder alle arbeidstakere, inkludert ledere selv. Dersom en leder får kjennskap til kritikkverdige forhold i egen organisasjon, har vedkommende både en lojalitetsplikt og en varslingsrett – og i alvorlige tilfeller en varslingsplikt. Dette dobbeltroller er ofte ukjent for daglige ledere i små virksomheter, og bør beskrives eksplisitt i rutinen.

Hvilke krav stiller EU-direktivet 2019/1937 til små bedrifter?

EU-direktiv 2019/1937 stiller minstekrav til varslingskanaler, saksbehandling og vern av varsleren, og for virksomheter med 50 eller flere ansatte gjelder disse kravene fullt ut, mens mindre virksomheter som hovedregel ikke er direkte forpliktet av direktivet. I praksis betyr det at en SMB med 25 ansatte ikke er rettslig forpliktet av direktivets krav til kanalen, men kan likevel ha nytte av å bygge ordningen etter samme standard.

Direktivets kjernekrav er tre: en tilgjengelig kanal for varsling, en uavhengig og kompetent mottaker, og et rapporteringssystem med tilbakemelding til varsleren innen tre måneder. I tillegg kreves det at varsleren vernes mot gjengjeldelse, og at opplysninger behandles konfidensielt. Direktivet åpner for at SMB som ikke er forpliktet, frivillig kan etablere en likeverdig ordning, noe som gir en konsistent praksis på tvers av konsern og datterselskaper.

Et sentralt poeng er at direktivet ikke krever at varslingskanalen er teknisk avansert. Det stilles krav til funksjon, ikke til en bestemt plattform. En enkel, sikker og dokumentert kanal kan være tilstrekkelig, forutsatt at den sikrer konfidensialitet og anonymitet der det er mulig.

Hva er forskjellen på intern varslingskanal og tipsløsning?

En intern varslingskanal er den lovpålagte ordningen arbeidsgiver plikter å ha for å motta varsel om kritikkverdige forhold, mens en anonym tipsløsning er et valgfritt, ofte eksternt system som legger til rette for anonym varsling uten å identifisere varsleren. Begge kan brukes av samme virksomhet, men de dekker ulike behov og er underlagt ulike regler.

Den interne kanalen er forankret i arbeidsmiljøloven og er ment for saker der arbeidsgiver selv ønsker å håndtere oppfølgingen – typisk interne forhold, personalrelaterte saker og mindre alvorlige brudd på rutiner. Den skal være kjent for de ansatte, og det skal være klart hvem som mottar varselet og hvordan saksbehandlingen skjer.

En anonym tipsløsning, derimot, er ofte et supplement der varsleren av ulike grunner ikke ønsker å stå frem – for eksempel ved frykt for gjengjeldelse, ved mistanke om alvorlig økonomisk kriminalitet eller ved varsling som involverer øverste ledelse. Mange SMB velger å knytte en ekstern leverandør til den interne ordningen for å sikre uavhengighet, særlig i saker der daglig leder selv er involvert.

Valget mellom løsningene handler ikke om enten-eller, men om hvordan de samspiller. En god praksis er å etablere den interne kanalen som hovedvei, og tilby en anonym kanalinngang som supplement – slik at lovens minstekrav oppfylles, samtidig som terskelen for å varsle holdes lav. For virksomheter som ønsker en helhetlig tilnærming, finnes det etablerte rammeverk for hvordan en slik arkitektur kan se ut, og en grundig gjennomgang av forholdet mellom intern og ekstern varsling er tilgjengelig på Ashios nettsider.

Hva skjer hvis du ikke har etablert varslingskanal?

Manglende varslingsordning er ikke bare en formell mangel: det kan få konkrete konsekvenser i form av tilsynssak, bøter, erstatningsansvar og svekket tillit hos ansatte, kunder og samarbeidspartnere. For en SMB kan en slik sak raskt bli kostbar, fordi konsekvensene rammer en liten organisasjon hardere enn et stort konsern med egen compliance-avdeling.

Datatilsynet kan åpne tilsyn dersom personvernregler brytes i forbindelse med varsling, for eksempel ved at opplysninger om varsleren spres til uvedkommende. I tillegg kan Arbeidstilsynet føre tilsyn med at arbeidsmiljølovens krav til intern varslingsordning er oppfylt. I praksis starter de fleste saker med at en ansatt henvender seg til tilsynet fordi ordningen mangler eller ikke fungerer, og da er utfallet ofte pålegg om retting innen en frist.

For en SMB er den største risikoen likevel omdømmet. Enkeltpersoner som opplever at varsling ikke blir tatt imot, velger oftere å gå til media eller sosiale kanaler. Det skader virksomhetens omdømme, og konsekvensene merkes raskt i kunde- og leverandørrelasjoner. I tillegg kan ansatte som mener seg utsatt for gjengjeldelse etter et mislykket varsel, ha krav på erstatning.

Hvor lang tid har SMB på å etablere ordningen?

Arbeidsmiljøloven angir ikke en konkret frist for etablering utover kravet om at ordningen skal være på plass «så snart som mulig» etter at virksomheten har nådd grensen på fem ansatte. For en SMB som vokser over grensen, er det rimelig å tolke dette som at ordningen skal være operativ innen rimelig tid – gjerne innen en til to måneder.

Må SMB ta imot anonyme varsel?

Loven krever ikke at arbeidsgiver tar imot anonyme varsel, men i praksis er det vanskelig å utelukke anonyme kanaler uten å gjøre terskelen for varsling unødvendig høy. Mange SMB velger derfor å tilby en kanal som tillater anonymitet, uten å kreve at varsleren identifiserer seg, blant annet for å oppfylle forventningene i direktivet og god praksis for anonym varsling.

Slik kommer du i gang – en praktisk sjekkliste for SMB

Slik kommer du i gang – en praktisk sjekkliste for SMB En trinnvis tilnærming gjør det mulig for en liten organisasjon å etablere en forsvarlig varslingsordning uten å bygge et stort system, og nøkkelen er å starte med forankring, deretter skriftlig rutine, så kanal og til slutt opplæring og evaluering. Rekkefølgen er viktig fordi en teknisk løsning uten forankring i ledelsen sjelden blir brukt, og en rutine uten kanal blir bare papir.

  1. Forankre i styret og daglig leder. Beskriv kort hva loven krever, hvilke konsekvenser manglende ordning kan få, og hvordan ordningen skal driftes. Forankringen er viktig fordi saker som involverer daglig leder, krever at det finnes en alternativ mottaker utenfor linjen.

  2. Kartlegg hva som er kritikkverdige forhold i din virksomhet. Typiske kategorier er brudd på lovregler, brudd på etiske retningslinjer, trakassering, økonomiske misligheter og sikkerhetsrisiko. Listen bør være konkret nok til at ansatte kjenner seg igjen, men ikke så vid at den blir utjenlig.

  3. Velg kanal ut fra behov, ikke mote. For en SMB med 25 ansatte er det ikke nødvendig med et avansert system. Det viktigste er at kanalen er trygg, dokumentert og tilgjengelig. Mange SMB bruker en kombinasjon av e-post til en uavhengig mottaker og en ekstern løsning for anonyme tips.

  4. Skriv den skriftlige rutinen. Rutinen skal beskrive hvem som kan varsle, hva som kan varsles, hvordan varselet sendes, hvordan det mottas, saksbehandlingsfrister og hvordan varsleren beskyttes. En god mal finnes i Arbeidstilsynets veiledning, men den bør tilpasses egen virksomhet.

  5. Utpek uavhengig mottaker. For de fleste SMB er det tilstrekkelig med én intern mottaker og ett eksternt supplement. For virksomheter der daglig leder kan være involvert i varselet, bør den eksterne kanalen være hovedvei for å sikre uavhengighet.

  6. ** informer og tren de ansatte.** Ordningen fungerer bare hvis de ansatte kjenner til den og stoler på at den er trygg. Det betyr at kanalen må være lett å finne på intranett, i HMS-opplæring og i personalhåndboken.

  7. Test kanalen. Før ordningen tas i bruk, bør den testes med et fiktivt varsel for å avdekke om flyten fungerer og om tilbakemeldingsfristene holder. En test tar en halv dag og avdekker ofte svakheter som ellers ville kommet fram i en reell sak.

  8. Evaluer etter første halvår. Sett en dato for evaluering etter seks måneder. Da har du gjerne rukket å få en sak eller to, og du kan justere rutinen basert på reell erfaring. Evalueringen bør dokumenteres for å vise tilsynsmyndigheter at ordningen er aktiv, ikke bare nedskrevet.

En hjelp i dette arbeidet er å se på hvordan andre SMB har bygget ordningen, og på de konkrete anbefalingene som finnes for compliance-ansvarlige og HR-ledere. Mange SMB finner også nytte i å knytte varslingsordningen til en eksisterende intern rapporteringskanal som allerede håndterer andre typer henvendelser, for å redusere drift og kompleksitet.

Ofte stilte spørsmål

Hva er forskjellen på varsling og avvik?

Varsling gjelder kritikkverdige forhold som brudd på lov, etikk eller sikkerhet, og er vernet av arbeidsmiljøloven § 2 A. Avvik er en bredere kategori som også omfatter mindre hendelser, prosessfeil og forbedringsforslag. En ansatt som oppdager et alvorlig lovbrudd, skal varsle – ikke bare melde avvik.

Hvem skal motta varselet i en SMB?

I en liten virksomhet utpekes normalt daglig leder eller en HR-ansvarlig som mottaker, men i saker der varselet angår ledelsen selv, må det finnes en uavhengig mottaker utenfor linjen. Dette kan være et styremedlem, en ekstern advokat eller en uavhengig tredjepart via en anonym kanalinngang.

Er det krav om skriftlig varsel fra ansatte?

Nei, loven krever ikke at varselet er skriftlig. Mange varsel gis muntlig, og arbeidsgiver plikter da å dokumentere varselet forsvarlig og i tråd med personvernreglene. En digital kanal er likevel nyttig for å sikre konfidensialitet, sporbarhet og riktig saksbehandling.

Hvor lenge skal opplysningene i en varslingssak lagres?

Personopplysninger fra en varslingssak skal ikke lagres lenger enn nødvendig for formålet, og etter GDPR må virksomheten kunne dokumentere hvorfor opplysningene beholdes. For de fleste SMB betyr det at saken arkiveres i avgrenset tid – gjerne inntil to år etter avsluttet oppfølging – og at personopplysninger slettes når formålet er oppfylt.

Kan en SMB bruke en gratis e-postadresse som varslingskanal?

En e-postadresse oppfyller ikke de funksjonelle kravene i loven alene, fordi den ikke gir tilstrekkelig konfidensialitet, anonymitet eller dokumentasjon av saksbehandlingen. For en SMB er det bedre å bruke en dedikert kanal som sikrer konfidensialitet, enten en enkel skjema-basert løsning eller en ekstern leverandør med dokumentert personvern og sikkerhet.

Kilder