§ 5 viderefører med noen presiseringer tidligere § 4. Første ledd inneholder først en overordnet formulering, som fastslår det sentrale kravet om at den ansvarlige skal utarbeide og gjennomføre rutiner og prosedyrer, som skal sikre at krav fastsatt i eller i medhold av vassdragslovgivningen er oppfylt til enhver tid.
Det er presisert at det er krav knyttet til miljø og sikkerhet som dekkes av internkontrollplikten. Dette vil blant annet dekke alle miljøvilkår i gitte konsesjoner og andre tillatelser, i tillegg til alle krav og plikter som følger av damsikkerhetsforskriften.
Andre vilkår i konsesjonene som angår andre spørsmål, for eksempel av økonomisk karakter eller om kraftuttak vil derimot ikke omfattes av internkontrollforskriften. Oppfølgingen av slike konsesjonsvilkår ivaretas på andre måter.
Kravene skal være oppfylt slik at langsiktighet og kontinuitet i internkontrollarbeidet sikres, jf. her også understrekingen av «kontinuerlig forbedringsarbeid» i § 1. Deretter gis det en oppregning i 10 punkter over hvilke elementer et internkontrollsystem skal inneholde. Den punktvise oppregningen viderefører mye av tematikken i § 4 tredje ledd i den tidligere forskriften, men bestemmelsen er nå tydeligere på hva internkontrollsystemet skal inneholde. Nr. 1 viderefører § 4 tredje ledd nr. 1 i den tidligere forskriften med noen språklige endringer. Enkelte høringsinstanser har påpekt at ordet «vedtak» i denne sammenheng er for omfattende. Departementet finner imidlertid at «vedtak» er en egnet formulering som dekker alle ulike former for krav/vilkår/pålegg. Det er presisert at det er relevante lover, forskrifter og vedtak som gjelder egne anlegg som skal være tilgjengelig. Der et anlegg bare har konsesjon etter vannressursloven er det eksempelvis ikke nødvendig å ha vassdragsreguleringsloven tilgjengelig. Samtidig er det viktig at den ansvarlige har kunnskap om alle krav som er satt til virksomheten, enten disse kravene følger av konsesjonsvedtak, godkjente planer, pålegg mv. eller er fastsatt direkte i lov eller forskrift. For anlegg som helt eller delvis ligger i områder vernet etter naturmangfoldloven skal den ansvarlige ha oversikt over verneforskriftene for området. Den ansvarlige er forpliktet til å avklare hva som er relevant for egen virksomhet. Konsesjonsvilkår og andre vilkår sett i sammenheng med behandling av detaljplaner og godkjenninger, vil være helt sentrale her.
Nr. 2 viderefører § 4 tredje ledd nr. 2 i den tidligere forskriften. Formuleringen «ajourførte hovedtegninger med hoveddata» er erstattet med «kart, tegninger og annen nødvendig dokumentasjon». Dette er en mer presis angivelse av hva slags materiale som skal foreligge. Det forventes at den ansvarlige har oversiktskart over vassdragstiltaket og en oppdatert oversikt over tegninger av tekniske innretninger, dammer, lukehus, kraftstasjon, tipper, massetak osv. På denne måten skal alle som har behov for det, ha tilgang til nødvendige data i forbindelse med drift og vedlikehold og i beredskapssituasjoner. Krav i annet regelverk til oppbevaring og skjerming av informasjon om anleggene skal tas hensyn til i internkontrollen. Det kan her blant annet vises til damsikkerhetsforskriften § 7-8, og for de anleggene det gjelder, beredskapsforskriften § 6-2. Nr. 3 viderefører § 4 tredje ledd nr. 3 i den tidligere forskriften med noen endringer. Begrepet «arbeidstakerne» er erstattet med «personellet». Dette gir samme begrepsbruk som i ny damsikkerhetsforskrift. Videre er formuleringen «... samt medvirker til at samlet kunnskap og erfaring utnyttes» erstattet med et krav om at det skal utarbeides en plan for hvordan faglig kompetanse skal etableres, opprettholdes og utvikles. Formuleringen speiler behovet for rekruttering og faglig oppdatering av personell med oppgaver på og ansvar for vassdragstiltak. I damsikkerhetsforskriften kapittel 3 stilles det krav til personellets faglige kompetanse som vil inngå i en slik plan, men også generelt blir det krav om at det skal foreligge en slik oversikt for virksomheten. Bestemmelsen forutsetter at det beskrives hvordan kravet om kompetanse på områdene damsikkerhet, natur og landskap oppfylles for anlegget. Dersom tiltaket er omfattet av damsikkerhetsforskriften stilles det særskilte krav som må oppfylles, jf. damsikkerhetsforskriften kapittel 3. I gjeldende regelverk er det ikke satt konkrete krav til kompetanse på natur- og landskapsforhold, men det forventes at man har tilstrekkelig kompetanse til å tilfredsstille gjeldende krav til natur- og landskapsmessig standard. Det er opp til eieren å innhente slik kompetanse, enten ved å skaffe seg det i egen virksomhet eller ved å leie inn ekstern kompetanse. Nr. 4 viderefører § 4 tredje ledd nr. 5 i den tidligere forskriften og angår organisasjon. Der det er krav om kvalifisert personell, skal personellet navngis og kompetansen dokumenteres. Det skal videre gis en enkel beskrivelse av eierforhold, hvordan virksomheten drives og hvem som har ansvar for hvilke oppgaver. Hvis det er flere enn eierne som er involvert i driften, bør det utarbeides et organisasjonskart. Mange vassdragstiltak drives av eierne og virksomhetene har ofte få ansatte. Ved enkelte anlegg kan det være behov for å leie inn hjelp til enkelte oppgaver. Det er viktig at eiere, eventuelle ansatte og innleid hjelp, har tilstrekkelig kunnskap om internkontroll, manøvreringsreglement og hvilke krav som er fastsatt til standard for ulike anleggsobjekter.
I nr. 5 videreføres bestemmelsen § 4 tredje ledd nr. 6 i den tidligere forskriften om målinger og registreringer. Kriteriet i tidligere forskrift om at det er opp til den ansvarlige å vurdere hva som bør dokumenteres er tatt ut, da det her bør være en mer objektiv standard. Det sentrale er at det for virksomheten blir foretatt de målinger og registreringer som er nødvendig for å dokumentere etterlevelse av ulike krav som er satt. Dette kan for eksempel være krav om minstevannføring, måling av magasinvannstand eller andre hydrologiske parametre som er fastsatt i vilkår og manøvreringsreglement. Det er føyd til at målinger og registreringer skal være i tråd med det som er pålagt, for eksempel i hydrologiske pålegg. Plikten til å fremlegge dokumentasjonen er gjort generell og tatt inn i § 6 tredje ledd. Nr. 6 dekker både nr. 7 og 8 i § 4 tredje ledd i tidligere forskrift, der tematikken er overlappende. For det første er det ønskelig å få tydeligere fram de ulike fasene i risikohåndtering. For virksomheten skal det gjennomføres risikokartlegging, risikoforholdene og mulige tiltak skal vurderes, avvergende eller reduserende tiltak skal planlegges og tiltakene skal så gjennomføres. Gjennomførte ROS-analyser skal dokumenteres. Det er farer og problemer knyttet til den aktuelle virksomheten som er det sentrale, men da begrenset til farer og problemer knyttet til sikkerhet og miljø. Det finnes også andre bestemmelser om risikokartlegging og risikohåndtering i vassdragslovgivningen, blant annet vannressursloven § 38 (beredskapsplaner) og damsikkerhetsforskriften § 7-4 Beredskap og § 7-6 Sikringstiltak av hensyn til allmennheten. Disse bestemmelsene må oppfylles innenfor de tema og for de tiltak som omfattes av disse reglene. Nr. 6 vil også omfatte andre vassdragstiltak. Det skal arbeides aktivt med risiko knyttet til egen virksomhet som er dekket av forskriften. Nr. 7 erstatter § 4 tredje ledd nr. 4 i den tidligere forskriften. Den gamle ordlyden ble oppfattet som for vag. Erfaringer fra tilsynet har vist at de ansvarlige har hatt problemer med å fastsette hva som lå i begrepet «målbare kriterier». På samme måte har NVE hatt problemer å være konkret med hensyn til hva innholdet skulle være, og det har vært vanskelig å vurdere avvik. Den foreslåtte formuleringen vil dreie oppmerksomheten mot å bevisstgjøre den ansvarlige på hva denne konkret må gjøre for å oppfylle de vilkår og betingelser som er satt for det aktuelle tiltaket i konsesjonsvedtak, i forbindelse med godkjenninger mv. Med «og lignende» menes det forutsetninger, betingelser og vilkår satt i alle typer vedtak. Gjennom internkontrollsystemet skal det redegjøres konkret for hvordan slike krav skal etterleves. For eksempel må den ansvarlige ta stilling til hvordan krav om vegetasjonsetablering, tiltak for å hindre støy, terrengtilpasninger, minstevannføringer mv. skal oppfylles. For å oppfylle kravet om minstevannføring, må tiltakshaver for eksempel etablere en innretning som måler og registrerer vannføringen. Nr. 8 viderefører § 4 tredje ledd nr. 9 i tidligere forskrift og angår avviksbehandling, forebyggende og korrigerende tiltak. Ordbruken er endret sammenlignet med tidligere bestemmelse og er for øvrig i samsvar med ordbruken i HMS-forskriften. Avvik er definert i § 2 bokstav d. Den ansvarlige skal iverksette rutiner for å avdekke, rette opp og forebygge overtredelser av krav fastsatt i eller i medhold av vassdragslovgivningen. Målet bør være at anlegg og tiltak drives uten avvik. Dersom avvik likevel oppstår, skal det være på plass rutiner for å identifisere, registrere, behandle, korrigere og rapportere avviket. Hensikten med korrigerende tiltak er å fjerne årsakene til avvikene og dermed hindre gjentakelse.
Nr. 9 erstatter § 4 tredje ledd nr. 10 i den tidligere forskriften. Formuleringen «overvåking av» internkontrollen er tatt ut og erstattet med «systematisk gjennomgang». Det sentrale er at den ansvarlige jevnlig og systematisk evaluerer og forbedrer internkontrollen for å få kontrollert at den fungerer som forutsatt, også over tid. Dette betyr at den ansvarlige selv må gå gjennom sitt internkontrollsystem for å sikre at dette er oppdatert med tanke på endringer i virksomhetens omgivelser og rammebetingelser. Den ansvarlige må også kontrollere at systemet praktiseres i alle ledd. Dette gjøres ved å foreta interne revisjoner. Sentrale spørsmål som den ansvarlige må klargjøre er hvem i organisasjonen som har ansvaret for oppfølging av IK-systemet og hvilke rutiner som er etablert for justering av IK-systemet for eksempel når det blir oppdaget «nye» problemområder. Ettersom det er svært ulike typer virksomheter av ulik størrelse og kompleksitet, er det vanskelig å fastsette bestemte sykluser for gjennomgangen av systemene. Dette vil bli kommentert i veiledning til forskriften. Gjennomgangene må imidlertid dokumenteres slik at tidspunktet kan konstateres i ettertid.
Formuleringen understreker også at det skal arbeides aktivt og systematisk med forbedringsarbeid i virksomhetene, jf. her formålsbestemmelsen i § 1. Annet ledd er nytt og slår fast at dersom det stilles krav i vassdragslovgivningen innenfor de her nevnte punktene, slik det for eksempel gjør i damsikkerhetsforskriften og som det er gjort eller kan gjøres gjennom konsesjonsvilkår, skal internkontrollen som et minimum dekke disse kravene. Dette er tatt inn for å presisere at kravene i nytt første ledd ikke svekker kravene innenfor disse temaene som allerede er fastsatt i eller i medhold av vassdragslovgivningen. Tredje ledd viderefører § 4 annet ledd i tidligere forskrift, og fastslår at internkontrollen skal tilpasses den aktuelle virksomheten og dennes art, aktiviteter, risikoforhold og størrelse. Henvisningen til vannressursloven er erstattet med en henvisning til vassdragslovgivningen. Internkontrollen skal vise hvordan alle gitte krav til den enkelte virksomhet skal etterleves, enten disse framgår av vassdragslovgivningen, forskrifter, konsesjonsvilkår, manøvreringsreglement eller andre enkeltvedtak. Fjerde ledd er nytt og stiller krav om at det enkelte anlegg eller tiltak skal kunne identifiseres dersom internkontrollsystemet for anlegget eller tiltaket inngår i et større internkontrollsystem.