Chefsansvaret för regelverk: vad du som chef måste veta

Vad innebär arbetsledaransvar för chefer?

Principen är enkel och genomgripande: den som leder ett arbete ansvarar för att det sker i enlighet med de regler som gäller. Inom arbetsmiljöområdet har principen ett namn, arbetsledaransvar, och där är den tydligast reglerad: arbetsmiljölagen (1977:1160) lägger skyldigheterna på arbetsgivaren, och i praxis har även den som tagit över arbetsledningen svarat för dem. Men tänket återkommer i hela regelverket, från dataskydd till ekonomisk rapportering: ansvaret försvinner inte för att man inte känner till kraven.

I praktiken betyder det att chefen har två uppgifter som inte går att delegera: se till att organisationen vet vilka regler som gäller, och se till att någon faktiskt sköter varje del. Det är strukturen, inte varje enskild åtgärd, som är chefens kärnuppdrag i efterlevnadsfrågor. När tillsynen eller revisionen kommer är det också strukturen som ska synas: vem som äger vad, vilka rutiner som gäller och när de senast granskades.

Ett konkret exempel gör principen begripligare: att en vd formellt äger frågan betyder inte att vd:n bär hela arbetsledningen. Om arbetsmiljöfrågorna i praktiken sköts av en platschef är det platschefen som svarar för dem, men fördelningen måste vara känd, dokumenterad och rimlig i förhållande till personens mandat. I den andra änden står skyldigheten att ta del av och agera på det som rapporteras upp, i stället för att anta att tystnad betyder att allt står sig.

Hur delegerar du ansvar på rätt sätt?

Att delegera arbetsuppgifter är nödvändigt och helt legitimt. Ingen enskild chef kan själv hantera allt från arbetsmiljörutiner till dataskydd och visselblåsningsärenden. Delegeringen håller dock bara om tre saker stämmer:

• Kompetens, mottagaren förstår regelverket tillräckligt för att fatta rätt beslut, eller har tillgång till den kunskapen.
• Förutsättningar, mottagaren har verklig behörighet, tid och resurser; en uppgift utan medel är en risk med etikett.
• Klarhet, vad som delegerats, till vem och med vilket mandat är dokumenterat, så att frågan inte faller mellan två roller.

Hur granskar tillsynen en delegering?

En delegering som bara finns i anteckningarna från ett stabsmöte räcker sällan. När en myndighet granskar en brist vill den veta vem som hade uppdraget, vilka förutsättningar personen hade och hur uppföljningen gick till. Kan ingen av delarna visas, hamnar diskussionen hos den som leder verksamheten, alltså där den ändå började. Dokumentationen är därmed inte pappersarbete runt ansvaret, utan själva beviset på att ansvaret hanterats seriöst.

Samma logik gäller mellan chefer. Vid personalförändringar måste delegeringarna följa med: en uppgift som låg hos en kollega som har slutat ägs av ingen, tills något händer. Gör det till rutin att vid varje organisationsförändring gå igenom vem som nu bär vilken del.

Det finns en ljus sida i samma krav. En verksamhet som kan visa dokumenterade delegeringar, aktuella rutiner och genomförda uppföljningar möter tillsynen med ett helt annat underlag än en som måste rekonstruera hur det brukar gå till. Samma dokumentation som bevisar ansvaret förenklar alltså vardagen också, den är grunden för varje beslut om var en fråga ska ligga.

Vilka ansvarsområden glöms lätt bort?

Vissa regelverk sätter spår i vardagen och glöms därför inte: bokslut, arbetsmiljö, kända kundkrav. Andra är tysta tills något händer. Fyra områden brukar stå överst på den listan:

• Dataskydd, GDPR gäller löpande i all behandling av personuppgifter, inte bara vid projekt och revisioner.
• Incident- och säkerhetskrav, för verksamheter som omfattas av NIS2 (EU 2022/2555, genomförd i svensk rätt genom cybersäkerhetslagen (2025:1506)) följer bland annat skyldigheter kring riskhantering och incidentrapportering.
• Visselblåsning, arbetsgivare med minst 50 anställda ska enligt visselblåsarlagen (2021:890) ha en intern rapporteringskanal, och rutinen måste vara känd hos de chefer som tar emot signaler.
• Bevakning av ändringar, regelverket rör sig, och någon behöver ha i uppdrag att märka det innan ikraftträdandet.

Vilket ansvar har chefen vid visselblåsning?

Visselblåsningsområdet är en bra illustration av hur chefsansvaret tar sig konkreta uttryck: skyldigheterna är tidsbestämda, dokumentationskrävande och lätta att granska i efterhand. Vi går igenom dem i sammanfattningen av visselblåsarlagen, kärnbilden är att chefens roll inte är att själv hantera rapporterna, utan att se till att kanalen finns, att rutinen är känd och att inga signaler stannar hos enskilda personer.

Samma mönster återfinns inom dataskydd och säkerhet: skyldigheterna kräver sällan juridisk toppkompetens hos chefen, men de kräver att någon har uppdraget, att rutinen finns och att chefen kontrollerar att den lever. Ansvarsfördelning, kalender och uppföljning är därmed inte byråkrati, de är själva utövandet av chefsansvaret.

Hur bygger du en struktur som bär chefsansvaret?

Chefens struktur behöver inte vara avancerad, den behöver finnas och användas. Utgå från en avgränsad bild av vilka regelverk som gäller för verksamheten, koppla varje område till en namngiven ägare med ett verkligt mandat, och lägg återkommande uppgifter i en compliancekalender som följs upp med fast intervall. När något ändras ska det finnas en väg in: en rutin som ger ändringen en ägare och ett datum i stället för att lita på att någon råkar se den.

Skilj också på vad som är kritiskt och vad som är standard i just er verksamhet. Alla områden behöver inte samma djup: en avgränsning som utgår från er faktiska riskbild gör att uppföljningen får kraft där konsekvenserna är störst, i stället för att spridas tunt över alltihop.

Bevakningen av källorna är den del som går att överlåta: LawCrawl följer svenska och EU-källor åt dig och tydliggör ändringar som kan beröra er, medan bedömning, delegering och åtgärd stannar i organisationen, där ansvaret också finns.