Plikten til å innføre og utøve internkontroll påhviler «den som er ansvarlig» for virksomheten. Med dette menes virksomhetens ledelse/eier. Hvem, eller hvilke funksjoner dette kan være, varierer etter hvordan virksomheten er organisert. Selv om internkontroll må utøves på alle nivåer i virksomheten, tilligger hovedansvaret for å sette i gang arbeidet («innføre» internkontroll) og å holde det i gang («utøve» internkontroll) det øverste nivået i virksomheten. Paragrafen presiserer imidlertid at plikten til å innføre og å utøve internkontroll skal gjøres i samarbeid med arbeidstakerne, arbeidsmiljøutvalg, verneombud og/eller tillitsvalgte der dette finnes.Hvem som er «ansvarlig» for virksomheten vil avhenge av de ulike lover som forskriften er hjemlet i. Eksempler på «ansvarlig» for at forskriftens krav blir gjennomført er etter
-arbeidsmiljøloven; arbeidsgiver
-forurensningsloven; virksomhetens ledelse slik den fremgår av virksomhetens organisasjon eller selskapsstruktur
-lov om tilsyn med elektriske anlegg og elektrisk utstyr; eier og bruker av elektriske anlegg og elektrisk utstyr, produsenter av, samt importører og andre omsetningsledd for elektrisk utstyr, elektroinstallatører o.l.
-genteknologiloven; virksomhetens ledelse slik den framgår av virksomhetens organisasjon eller selskapsstruktur
-strålevernloven; virksomhetens ledelse slik den framgår av virksomhetens organisasjon eller selskapsstruktur.
I § 4 første ledd ligger også at den som er ansvarlig har plikt til å sørge for at internkontrollen blir overvåket og gjennomgått for å sikre at den fungerer som forutsatt. I dette ligger en plikt til at internkontrollen vurderes kontinuerlig slik at mangler kan fanges opp. Innbakt i plikten ligger også at det med jevne mellomrom foretas en fullstendig gjennomgang, dvs. en revisjon av hele det systematiske arbeidet jf. § 5 annet ledd nr. 8.Det er uttrykkelig fastslått i § 4 annet ledd at arbeidstakerne har plikt til å medvirke. Dette vil også følge av arbeidsforholdet i sin alminnelighet. Medvirkning i internkontrollarbeidet er således en del av arbeidsplikten. For verneombud og medlemmer av arbeidsmiljøutvalg er deltakelse i etablering og vedlikehold av internkontroll uttrykkelig fastslått i arbeidsmiljøloven § 6-2 og § 7-2. I tillegg har arbeidstakerne og deres tillitsvalgte etter arbeidsmiljøloven § 4-2 en rett til medvirkning i forbindelse med styrings- og planleggingssystemer. Internkontroll anses som et styrings- og planleggingssystem som omfattes av arbeidsmiljøloven § 4-2. For bedrifter som er bundet av tariffavtale finner man de samme bestemmelser i f.eks. Hovedavtalen LO-NHO, kap IX.Det er helt sentralt at internkontroll integreres i overordnet styring og planlegging av virksomheten. Stadig flere virksomheter er i dag opptatt av å gjøre forholdet til det ytre miljø til en del av bedriftens organisasjonsstrategi og profil, og internkontroll er et instrument som kan utnyttes for å styrke dette arbeidet innad i bedriften. Også arbeidstakere vil være interessert i at deres arbeidsplass har en miljøprofil og gjør sitt for et mer miljøvennlig samfunn. Internkontrollen skal også omfatte kravene til det ytre miljø, og er derfor et instrument for arbeidstakerne og deres tillitsvalgte til å påvirke også de av virksomhetens disposisjoner som berører miljøet. I forbindelse med internkontrollarbeidet er det videre klart at arbeidstakernes erfaringer er en vesentlig forutsetning for en velfungerende internkontroll. Arbeidstakernes konkrete erfaringer med f.eks. ulike innsatsfaktorer i produksjonen, innkjøp, avfallshåndtering mv., er verdifull kunnskap som kan bidra til en systematisk gjennomgang av alle sider ved virksomheten med virkning for det ytre miljø. Området for eventuelle interessekonflikter synes også begrenset i og med at hensynet til arbeidsmiljøet og det ytre miljø som regel vil trekke i samme retning.Virksomheter som omfatter både arbeidstakere og kunder/brukere, f.eks. sykehus, skoler, barnehager og hoteller har ansvar for helse, miljø og sikkerhet for begge grupper. For denne typen virksomhet er det viktig å huske på at lovene kan stille samme type krav, men de er rettet mot en av gruppene - arbeidstaker eller bruker - eller lovene kan stille krav som omfatter begge gruppene. Produktkontrolloven omhandler sikkerheten til elevene osv., mens arbeidsmiljøloven dekker arbeidstakerne. Brann- og eksplosjonsvernloven vil stille krav som omfatter sikkerheten både til hotellgjestene og de ansatte. Internkontrollen må da inkludere alle lovene forskriften er hjemlet i slik at både ansatte og brukere blir omfattet.
