Bakgrunn

Ansvarliggjøring av næringslivet med tanke på antikorrupsjon, menneskerettigheter og miljø har gradvis blitt styrket gjennom flere tiår, fra etablering av internasjonale normer for multinasjonale virksomheter, til nasjonale regelverk. Vesentlige milepæler i denne utviklingen omfatter blant annet:

• FNs Global Compacts ti grunnprinsipper knyttet til menneske- og arbeidstakerrettigheter, miljø og anti-korrupsjon som ble lansert i 2000, og som raskt fikk bred global oppslutning.

• FNs veiledende prinsipper for næringsliv og menneskerettigheter som ble lansert i 2011, og som tydeliggjorde at virksomheter har et selvstendig ansvar for å identifisere, forebygge og håndtere negativ påvirkning på mennesker og miljø.

• OECDs retningslinjer for flernasjonale selskaper (sist revidert 2023) som i dag er blant det mest anerkjente internasjonale rammeverket, hvor aktsomhetsvurderinger blant annet defineres i en sekstrinns metodikk, som danner utgangspunktet for plikten til å utføre aktsomhetsvurderinger etter åpenhetsloven.

Da åpenhetsloven kom i 2022, var den en av de første nasjonale lovene som etablerte plikter for å gjennomføre aktsomhetsvurderinger av menneskerettigheter og anstendig arbeid. Frankrike (Loi de Vigilance, 2017), Tyskland (LkSG, 2023) og Nederland har lignende regelverk. EUs «åpenhetslov»/aktsomhetsdirektiv (CSDDD) trer i kraft tidligst i 2028, og dersom direktivet innlemmes i EØS, vil store norske virksomheter bli omfattet. Dette kan også medføre endringer i åpenhetsloven. Det kan komme innstramminger, som utvidelse av aktsomhetsplikter til å omfatte miljø/klima, i tillegg til menneskerettigheter. Det kan også komme en lempning av pliktene, for eksempel økt terskelverdi for størrelsen på virksomheter som omfattes av loven.

Parallelt er også anskaffelsesregelverket i endring. Flere ønsker en tydeliggjøring av hvordan offentlige innkjøpere inkluderer aktsomhetsvurderinger i offentlige anskaffelser og kontraktsoppfølging.

Undersøkelser av effekten av aktsomhetslover så langt har vist at pliktene har hatt en effekt på virksomheters tilnærming til menneskerettighetene, men vår undersøkelse av effekten av åpenhetsloven, samt tilsvarende undersøkelser i andre land, påpeker at effekten for mennesker og arbeidere loven skal beskytte, dessverre fortsatt er uklar^{*https://www.regjeringen.no/contentassets/4d85a42174994d23a9580c478dacea06/evaluering-av-virkningene-av-apenhetsloven-kpmg.pdfAndre kilder med tilsvarende observasjoner er f.eks. “Effectiveness of mandatory human rights and environmental due diligence legislation in addressing modern slavery in business value chains“, et prosjekt ledet fra University of Oxford (https://www.modernslaverypec.org/resources/updated-mhredd)}.

Åpenhetsloven og OECDs retningslinjer

Ifølge OECD er aktsomhetsvurderinger en prosess der virksomheter identifiserer, forebygger og reduserer faktiske og potensielle negative konsekvenser av sin virksomhet, og gjør rede for hvordan disse håndteres. Virksomheter skal gjennomføre meningsfull interessentdialog for å forstå sin negative påvirkning, samt gjenopprette negative konsekvenser.

Åpenhetsloven – formelt «Lov om virksomheters åpenhet og arbeid med grunnleggende menneskerettigheter og anstendige arbeidsforhold» – trådte i kraft 1. juli 2022 og pålegger større norske virksomheter å gjennomføre aktsomhetsvurderinger «i tråd med OECDs retningslinjer for flernasjonale selskaper» (§ 4).

Lovens formål er todelt: å fremme virksomheters respekt for grunnleggende menneskerettigheter og anstendige arbeidsforhold, og å sikre allmennheten tilgang til informasjon om hvordan virksomheter håndterer negative konsekvenser på disse områdene.

Åpenhetsloven gjelder for mellomstore og store virksomheter – de samme som etter regnskapsloven er definert som «store foretak». Loven fastslår tre hovedplikter:

• Plikten til å gjennomføre aktsomhetsvurderinger

• Plikten til å redegjøre for aktsomhetsvurderinger

• Plikten til å gi informasjon ved skriftlig forespørsel («Informasjonsplikten»)

Plikten til å gjennomføre aktsomhetsvurderinger

Aktsomhetsvurderinger skal være risikobaserte og forholdsmessige, og er det sentrale virkemiddelet for å oppfylle lovens formål om å fremme virksomheters respekt for grunnleggende menneskerettigheter og anstendige arbeidsforhold. Aktsomhetsvurderinger skal gjennomføres i tråd med OECDs retningslinjer for flernasjonale selskaper, og innebærer en systematisk prosess i seks trinn

Lovens formål om å sikre allmennheten tilgang til informasjon om hvordan virksomheter håndterer negative konsekvenser på disse områdene, gjennomføres via redegjørelsesplikten og informasjonsplikten:

Redegjørelsesplikten krever at virksomhetene skal offentliggjøre en redegjørelse om deres aktsomhetsvurderinger årlig. Redegjørelsen må inneholde:

• en generell beskrivelse av virksomheten

• informasjon om negative konsekvenser som er funnet

• informasjon om tiltak og resultater

Informasjonsplikten krever at virksomheter skal besvare henvendelser fra enhver som søker informasjon om hvordan virksomheten håndterer faktiske og potensielle negative konsekvenser. Virksomhetene må svare på slike informasjonskrav skriftlig, innen rimelig tid og hovedsakelig senest innen tre uker.

Virksomhetene har i tillegg en plikt til å gi informasjon til Forbrukertilsynet. Forbrukertilsynet og Markedsrådet kan fatte følgende vedtak ved brudd:

• forbud eller påbud

• tvangsmulkt

• overtredelsesgebyr

En aktsomhetsvurdering er en kontinuerlig læringsprosess

Åpenhetsloven er utformet nokså generelt og gir rom for tolkning – noe som både kan anses som en fordel, og som gir virksomhetene handlingsrom og autonomi, men på den annen side også har skapt en del spørsmål: Hvordan skal vår virksomhet forstå loven? Hvor langt ut i leverandørkjeden strekker vårt ansvar seg?

KPMG utredet effekten av åpenhetsloven etter to år i 2024, og våre undersøkelser viste at mange virksomheter brukte uforholdsmessig mye ressurser på kartlegging av iboende risiko i trinn 2, mens konkrete tiltak måtte vente. Vi observerte dessuten at risikokartleggingen ble videreført til leverandører i form av spørreskjema som skapte betydelige rapporteringsbyrder for leverandører, og som på sin side videreførte denne praksisen i sin leverandørkjede. Ett enkelt tastetrykk fra en oppdragsgiver i en «aktsomhets»-software kunne dermed i verste fall resultere i hundrevis av rapporteringstimer for alle leverandørene og underleverandørene som skulle besvare disse. I mange tilfeller virket det dessuten ikke som de innsamlede dataene ble brukt i særlig grad. Utover å dokumentere «etterlevelse» hadde all innsatsen dermed en uklar effekt for menneskerettighetene, som var det som skulle beskyttes i utgangspunktet.

Et mer praktisk innrettet startpunkt for en virksomhet kan være å ta utgangspunkt i kunnskap virksomheten har, eller ikke har:

• Hva sier våre viktigste interne interessenter? For eksempel tillitsvalgte, innkjøpere, linjeledere og medarbeidere.

• Hva slags kompetanse om risiko i kjernevirksomheten har vi?

• Dersom vi mangler kompetanse, hvem skal vi konsultere?

Dersom virksomheten har erfaring med konkrete hendelser, kan disse brukes aktivt til å etablere forebyggende tiltak:

• Hva gjorde vi forrige gang det gikk galt, og vi måtte agere reaktivt? Kunne vi gjort noe annerledes? Hva kan vi gjøre for å unngå at en lignende hendelse inntreffer i fremtiden? Hvordan står våre system og rutiner seg sett opp mot veiledning fra Forbrukertilsynet og OECDs retningslinjer?

Unødvendig byråkrati kan skade tilliten til virksomhetens kompetanse om aktsomhetsvurderinger

Etter min erfaring starter de fleste virksomheter sin tilnærming til aktsomhetsvurderinger i trinn 1 og 2; typisk ved at styrende dokumentasjon etableres, en overordnet risikovurdering gjennomføres, og et utvalg leverandører følges opp med et møte eller forventning om egenrapportering. Basert på en del redegjørelser jeg har lest, stanser dessverre ofte innsatsen her. I slike tilfeller er resultatet av aktsomhetsvurderingene en skinnprosess som ved første øyekast ser ut til å være reell og meningsfull, men som i realiteten er tom for innhold. Det er i liten grad gjennomført konkrete tiltak for å redusere risiko for menneskerettighetsbrudd eller sikre anstendige arbeidsvilkår. En erfaren leser av en redegjørelse hvor en slik prosess beskrives, vil gjenkjenne dette, og virksomheten risikerer dermed redusert tillit fra fagpersoner. I motsatt fall vil en virksomhet som har en mer konkret tilnærming til aktsomhetsvurderinger og som beskriver konkrete tiltak, kunne skape økt tillit hos sine interessenter og fremstå som troverdig, og dermed ansvarlig.

Krav om konkrete tiltak fra tilsynsmyndigheten

Forbrukertilsynet har de siste årene kontrollert virksomhetenes redegjørelser etter åpenhetsloven, og i 2025 kontaktet de over 20 virksomheter om brudd. Ett selskap ble ilagt overtredelsesgebyr på 150 000 kroner etter gjentatte brudd. Et gjennomgående funn er at redegjørelsene ikke er konkrete nok om funn og tiltak – tilsynet peker særlig på utstrakt bruk av generelle spørreskjemaer, uten at virksomhetene vurderer og bearbeider informasjonen godt nok^{*https://www.forbrukertilsynet.no/okonomiske-sanksjoner-etter-brudd-pa-apenhetsloven}.

Aktsomhetsvurderinger i virkeligheten: når en uønsket hendelse inntreffer

For å illustrere en praksisnær tilnærming til aktsomhetsvurderinger inviterer jeg nå leseren med på en liten reise: La oss følge hvordan en helt vanlig, men fiktiv, virksomhet følger opp en uønsket hendelse. Jeg håper tilnærmingen på litt ulikt vis kan fungere både for lesere med lav og høy kompetanse om aktsomhetsvurderinger. En konkret hendelse kan hjelpe oss å forstå hvordan åpenhetslovens plikter og OECDs retningslinjer kan gi retning og struktur i tilnærmingen virksomheten har til aktsomhetsvurderinger.

Se for deg en virksomhet som beskrevet over, en typisk mellomstor virksomhet med aktiviteter i Norge, der innsatsfaktorene i prosjektene knyttes til globale leverandørkjeder.

Men så inntreffer altså en uønsket hendelse som knytter seg til definisjonen av «anstendig arbeid» i åpenhetsloven, det vil si: «arbeid som ivaretar grunnleggende menneskerettigheter (…), miljø og sikkerhet på arbeidsplassen, og som gir en lønn å leve av». I prinsippet kunne vi valgt et annet eksempel – aktsomhetspliktene og veiledningen er like anvendelige på andre temaområder. Men konkrete hendelser tett på egen virkelighet gjør det enklere å lære og siden iverksette i en større sammenheng.

Vi skal nå følge den uønskede hendelsen gjennom noen innledende faser illustrert i en enkel modell, som er gjenkjennbar for mange revisorer, og de fleste som jobber med kvalitetsstyring, internkontroll og kontinuerlig forbedring:

Risikovurderingen: Virksomheten har i tråd med åpenhetsloven gjennomført en overordnet risikovurdering og avdekket iboende risiko langt ned i globale leverandørkjeder, som virksomheten i stor grad har konkludert med at den ikke kan påvirke. HMS for arbeidere i lokale prosjekt er vurdert, og virksomheten har konkludert at de har god kontroll på dette.

Hendelsen: En utenlandsk arbeider ansatt hos en underleverandør i et prosjekt hevder i en samtale med en representant for virksomheten at han og kollegaene ikke får betalt for alle timene de faktisk jobber i prosjektet, og at de selv må betale for arbeidsklær, verneutstyr og bolig under det midlertidige oppholdet.

Responsen: Virksomheten undersøker forholdene nærmere og finner at påstandene fra arbeideren er korrekte. De ber leverandøren rette opp forholdene og henviser til arbeidsmiljøloven. Kontraktskravene dekker ikke dette temaet direkte, og virksomheten har dermed ingen formell sanksjonsmulighet overfor leverandøren.

Læring: Virksomheten evaluerer sine rutiner og finner at de har behov for å øke kompetansen om regelverket og faktiske forhold, som arbeidstid for konktraktsmedhjelpere i prosjektet. Arbeidsvilkår for arbeidere hos underleverandører flagges i den overordnede risikoanalysen. Henvisninger til relevant regelverk tas inn i kontraktsmalen for fremtidige prosjekt.

Systematisering: Virksomheten etablerer en praksis med risikobasert stikkprøvekontroll av arbeidsvilkår hos underleverandører involvert i det aktuelle prosjektet for å redusere risiko for at tilsvarende hendelser oppstår i fremtiden. Gjennom disse undersøkelsene kartlegger virksomheten flere tilsvarende avvik hos andre leverandører og ser antydning til et mønster som delvis kan være forårsaket av virksomhetens egen innkjøpspraksis: leveransekrav som leverandøren har forpliktet seg til, og som er vanskelig å etterleve uten å bryte med arbeidstidsbestemmelser.

Forebygging: Virksomheten justerer sine krav til leverandørene og forbedrer sine rutiner for forhåndsgodkjenning av arbeidsplaner i prosjektet, for å redusere risiko for fremtidige brudd med arbeidstidsbestemmelsene.

Kontinuerlig forbedring: Virksomheten har lært mye allerede, men velger å gå enda grundigere til verks. Jeg kunne på dette stadiet foreslå at de for eksempel ringer KPMG og ber om bistand, men virksomheten studerer i stedet hendelsen mer inngående selv opp mot veiledningen i OECDs retningslinjer:

Eksempelets makt

Eksempelet viser oss hvordan virksomheten gjennom en systematisk oppfølging av en konkret hendelse lærer underveis og gradvis justerer sine rutiner i tråd med erfaringene. Virksomheten er nå bedre rustet til både å forebygge tilsvarende hendelser i fremtiden, og å følge opp hendelser i tråd med OECDs risikobaserte prosess for aktsomhet neste gang noe går galt. Virksomheten velger dessuten å innføre nye rutiner i hele virksomheten og ikke bare på prosjektnivå, da det foreligger risiko for utnyttelse av arbeiderne også i andre prosjekt og ikke minst i den globale leverandørkjeden.

Innsikten de har erfart lokalt, kan hjelpe virksomheten mot en mer konkret oppfølging av arbeidsvilkår i produksjon av innsatsfaktorer i høyrisikoland, hvor risiko for brudd oftest er langt høyere enn i Norge. Innsikten gjør at virksomheten etablerer økt forståelse for kompleksiteten og inntar en mer kritisk tilnærming til informasjonen de får fremlagt fra leverandører. Innsikten gjør at virksomheten i større grad har grunnlaget til å vurdere en leverandørrevisjon, for eksempel utført av en ekstern tredjepart i et høyrisikoland, ved å stille spissede spørsmål: Er arbeidstiden kontrollert? Får arbeiderne utbetalt alle tillegg de har krav på? Er det etablert kontroll og forhåndsgodkjenning av arbeidsplaner? Hvem dekker utgifter til verneutstyr og bolig? Virksomheten kan videreføre sitt nye detaljeringsnivå også til andre temaområder og utvider dermed sin “risikoradar” totalt sett. Dette ville mest sannsynlig virksomheten ikke gjort uten å ha inngående og egenopplevd erfaring med konkrete problemer.

Eksempelets effekt

Fra utgangspunktet, som var et «skinnsystem» for aktsomhetsvurderinger uten en reell effekt for arbeidere eller menneskerettigheter, er virksomheten nå i ferd med å etablere et robust system som er bygget rundt et mål om i større grad å kunne forebygge uønskede hendelser og «garantere» anstendig arbeid og menneskerettigheter:

I dette eksempelet har vi dekket et avgrenset temaområde innenfor HMS og arbeidsvilkår. Prinsippet om kontinuerlig læring og forbedring kan imidlertid også utvides til andre områder, men tilpasses de mulighetene virksomheten har til å undersøke og følge opp temaet. OECDs retningslinjer er generelle, men dekker også spesifikke høyrisikoområder med egne veiledere.

«Gå og se»: Vis at du bryr deg

Virksomheter med en moden tilnærming til aktsomhetsvurderinger har kanskje allerede vært igjennom lignende læringsprosesser. Noen har som vår eksempel-virksomhet lært «the hard way» etter at en uønsket hendelse har inntruffet, eller kanskje etter at et varsel er mottatt, eller etter negativ medieomtale og omdømmekrise. Eksempelet med virksomheten over kan være banalt og selvsagt for mange lesere, men basert på erfaringene jeg har gjort meg som rådgiver for ulike typer virksomheter, kan det illustrere et relativt realistisk virkelighetsbilde. Mange virksomheter er samvittighetsfulle og vil i praksis følge opp uønskede hendelser. Jeg tror mange virksomheter kunne oppleve merverdi av å se til OECDs retningslinjer i sitt oppfølgingsarbeid, for å styrke interne system og rutiner på lengre sikt.

Mange virksomheter har ikke erfart eller fanget opp uønskede hendelser i praksis og følgelig ikke fått testet egne system og risikobaserte rutiner. For de fleste virksomheter forblir sentrale elementer i OECDs retningslinjer, som for eksempel meningsfull interessentdialog og gjenoppretting, kun teoretiske tema.

Alle virksomheter kan imidlertid øve på dilemmaer og teste system og rutiner, man kan lære av andre, ta del i bransjesamarbeid og ideelle organisasjoner. Fremoverlente virksomheter kan dessuten gjøre noe så enkelt som å gå og se: Starte med en tur ut i virkeligheten og snakke med interessenter, som arbeidere eller fagforeninger, som har konkret erfaring om relevante risikoområder. Ingen kan gjøre alt, men alle kan gjøre noe – en fin start er å vise helt konkret at man bryr seg.

Hvordan kan revisorer og regnskapsførere bidra?

Revisorer og regnskapsførere har ingen lovpålagt rolle etter åpenhetsloven, men er i en særegen posisjon i møte med virksomhetenes aktsomhetsvurderinger. De har mer eller mindre innsyn i virksomhetens indre liv og dermed også forutsetninger for å vurdere om det er samsvar mellom det som beskrives i redegjørelser, og faktisk praksis. På samme måte som en regnskapspostering uten underliggende bilag bør vekke revisors oppmerksomhet, bør åpenbare skinnprosesser for aktsomhetsvurderinger utfordres. Eksempel på problemstillinger og spørsmål, som en oppfølging av den lovpålagte redegjørelsen virksomhetene skal publisere, kan være:

• Er dagens praksis for aktsomhetsvurderinger handlingsorienterte?

• Beskriver redegjørelsen konkrete tiltak og resultater, eller kun skinnprosesser uten reell effekt på anstendig arbeid eller menneskerettigheter?

• Dersom virksomheten redegjør for negative konsekvenser, som de er lovpålagt etter åpenhetsloven, men ikke sier noe om hvordan dette ble fulgt opp: Ble forholdet gjenopprettet? Hva var effekten? Hva lærte virksomheten av hendelsen? Ble det etablert risikoreduserende tiltak som følge av de negative konsekvensene? Ble eksisterende praksis og rutiner justert for å unngå tilsvarende hendelser i fremtiden? Konsulterte virksomheten relevante interessenter som del av læringsprosessen?

Aktsomhetsvurderinger av antikorrupsjon, klima og miljø

OECDs retningslinjer for flernasjonale selskaper dekker et bredt spekter av temaområder: menneskerettigheter, anstendig arbeid, miljø, klima, antikorrupsjon og andre tema innenfor ansvarlig virksomhetsstyring. Metodikken er grunnleggende sett den samme på tvers av ulike tema: Kartlegg hvor virksomheten og verdikjeden skaper størst negativ påvirkning, prioriter etter alvorlighetsgrad og omfang, iverksett tiltak, følg opp og mål effekt. Virksomheter som har etablert praksis med aktsomsomhetsvurderinger innen menneskerettigheter og anstendig arbeid, har derfor et godt utgangspunkt for å dekke andre temaområder.

Korrupsjon undergraver ansvarlig næringsvirksomhet, og antikorrupsjonsarbeid bør derfor innlemmes i aktsomhetsvurderingene på lik linje med menneskerettigheter og anstendig arbeid. Virksomheter med etablerte antikorrupsjons- og compliance-program bør se dette under ett og unngå separate oppfølgingsspor for antikorrupsjon og menneskerettigheter i leverandørkjeden. EUs aktsomhetsdirektiv (CSDDD) inkluderer dessuten miljø og klima i aktsomhetsplikten. Innføring av dette i norsk rett er foreløpig ikke avklart, men virksomheter som etablerer en praksis på dette allerede nå, kan være godt rustet til å møte nye krav. Det er selvsagt ingen grunn til å etablere skinnprosesser for disse temaene heller.

Et godt utgangspunkt for en systematisk og helhetlig tilnærming kan være Ansvarlighetskompasset: et egenvurderingsverktøy vi har bistått Norges OECD-kontaktpunkt med å utvikle, og som kan hjelpe virksomheter til å identifisere forbedringsområder i etterlevelse av OECDs retningslinjer^{*https://responsiblebusiness.no/ansvarlighet-i-praksis/ansvarlighetskompasset/}, og åpenhetsloven.

Virksomheter som tar aktsomhetsvurderinger på alvor, bygger ikke bare et forebyggende system – de bygger tillit. Til syvende og sist er det ikke egenrapportering og redegjørelser som beskytter arbeidere og menneskerettigheter – det er handlinger.