En medarbeider finner en pappeske innerst i et lagerrom. Den er merket med et årstall, men ingen vet hvem som har pakket den eller hva som ligger oppi. Kanskje inneholder den gamle kontrakter. Kanskje personalopplysninger. Kanskje dokumenter som skulle vært makulert for flere år siden.
Situasjoner som dette er vanlige i virksomheter som har vokst raskere enn arkivrutinene. Når dokumentmengden blir stor, kan et arkiv- og makuleringsfirma gi bedre orden, sikkerhet og kontroll. Men leverandøren får også tilgang til materiale som kan inneholde forretningshemmeligheter, fødselsnumre, helseopplysninger og andre personopplysninger. Valget bør derfor behandles som en sikkerhetsbeslutning, ikke som et innkjøp av lagerplass og papirinnsamling.
Start med å avklare hva virksomheten faktisk må ta vare på
Før dere ber om tilbud, bør dere kartlegge dokumenttypene og hvilke krav som gjelder for dem. En kontrakt med en kunde kan ha en annen oppbevaringstid enn en søknad fra en jobbkandidat. Regnskapsmateriale, personaldokumenter, kundedata og styrepapirer bør ikke havne i samme kategori bare fordi de ligger i samme arkivskap.
Private virksomheter er som hovedregel ikke generelt pliktige til å følge arkivloven. Offentlig sektor må derimot følge loven, og kravene til dokumentasjon, arkivdanning og langtidsbevaring kan være omfattende. Den nye arkivloven trådte i kraft 1. januar 2026, noe som gjør det ekstra viktig for offentlige virksomheter å kontrollere at leverandøren forstår gjeldende krav.
For virksomheter som må følge offentlige arkivkrav, er Noark 5 versjon 6.0 relevant. Den ble publisert i september 2025 og kan få betydning for hvordan arkivverdig dokumentasjon registreres, struktureres og bevares. Et firma som bare tilbyr fysisk lagring, er ikke nødvendigvis riktig samarbeidspartner dersom oppdraget også omfatter elektronisk arkiv eller krav til systematisk dokumentforvaltning.
Personopplysninger krever en separat vurdering. Datatilsynet forventer at virksomheten fastsetter konkrete oppbevaringstider og slettefrister. Formuleringen «så lenge det er nødvendig» er for vag alene. Leverandøren bør derfor få tydelige instrukser om hva som skal oppbevares, hvor lenge det skal lagres, og når det skal slettes eller destrueres.
Undersøk hele kjeden, ikke bare lageret
Mange spør først om arkivlokalet er brannsikkert og om prisen inkluderer henting. Det er relevante spørsmål, men de dekker bare en del av risikoen. Dokumentene kan være sårbare når de står i virksomhetens egne lokaler, under transport, ved mottak, i lageret og under selve makuleringen.
Be om en beskrivelse av hele prosessen. Hvem henter materialet? Hvordan identifiseres sjåføren? Er beholderne låsbare? Kan dokumenter spores fra henting til destruksjon? Hvordan begrenses tilgangen til ansatte hos leverandøren? Hva skjer dersom en beholder blir borte, en bil bryter sammen eller systemet for registrering svikter?
Et seriøst firma bør kunne legge frem dokumenterte sikkerhetsrutiner, risikovurderinger og internkontroll for hele kjeden fra henting til destruksjon. Det bør også finnes en klar prosedyre for avvik. Dere trenger å vite hvem som varsles, hvor raskt det skjer, og hvordan hendelsen dokumenteres dersom dokumenter kommer på avveie.
Det er ofte i overgangene at kontrollen blir svakest.
Skill mellom arkivering og makulering
Arkivering og makulering er to forskjellige tjenester, selv om de ofte selges av samme leverandør. Arkivering handler om tilgjengelighet, beskyttelse og gjenfinning over tid. Makulering handler om at informasjonen skal forsvinne på en måte som ikke kan reverseres.
For arkivering bør dere undersøke temperatur, fuktighet, brannsikring, skadedyrkontroll og adgangsstyring. Like viktig er systemet for gjenfinning. Hvis en avtale må finnes raskt, bør leverandøren kunne forklare hvordan dokumentet registreres, søkes opp og utleveres. Avklar også hvor lang tid det tar å få tilgang, og om det finnes ekstra kostnader for hastesaker eller retur av originaler.
Ved makulering må dere spørre hva «sikker destruksjon» konkret betyr. Vanlig papirinnsamling er ikke det samme som konfidensiell makulering. Dokumentene bør oppbevares i sikre beholdere frem til de destrueres, og virksomheten bør motta dokumentasjon på at oppdraget er gjennomført. Dersom materialet også inneholder elektroniske medier, må dere få vite hvordan harddisker, minnepinner og andre lagringsenheter håndteres. Papir og data på elektroniske medier krever ikke nødvendigvis samme metode.
Les vilkårene med sikkerhetsbrillene på
Avtalen bør si tydelig hvem som har ansvar for dokumentene i hver fase. Se etter bestemmelser om underleverandører, tilgang til lokalene, taushetsplikt, avvik, forsikring og sletting. En leverandør kan være avhengig av andre transportører eller eksterne destruksjonsanlegg, og da må kontrollen gjelde hele leverandørkjeden.
Standarder og sikkerhetsrammeverk kan være nyttige, men de erstatter ikke konkrete svar. Oppdaterte vilkår fra juni 2026 hos en aktør i markedet oppgir bruk av NS 5014- og NS 5830-serien i sikkerhetsarbeidet. Det sier noe om hvordan leverandøren strukturerer arbeidet, men dere bør fortsatt undersøke hvordan kravene faktisk gjennomføres i praksis.
Be gjerne om å få se et eksempel på sporbarhetsrapport, avviksrapport og destruksjonsbekreftelse. Dokumentene kan være anonymiserte. Poenget er å se om leverandøren kan vise, ikke bare love, hvordan kontrollen fungerer.
Pris bør vurderes sammen med risiko
Tilbudene kan være vanskelige å sammenligne. Én leverandør priser per beholder, en annen per henting eller lagringskasse. Noen inkluderer registrering og utlevering, mens andre tar betalt for hver enkelt forespørsel. Laveste stykkpris kan derfor bli dyrere når alle tilleggene kommer på fakturaen.
Be om en samlet prisstruktur med etablering, beholdere, transport, lagring, søk, retur, makulering og eventuell digitalisering. Avklar også hva som skjer når avtalen avsluttes. Skal materialet flyttes til en ny leverandør, leveres tilbake eller destrueres? Hvem betaler for arbeidet, og hvordan dokumenteres overleveringen?
Et kort møte på leverandørens anlegg kan gi mer informasjon enn mange sider med salgstekst. Legg merke til om adgangskontrollen faktisk brukes, om beholderne står åpne, og om de ansatte kan forklare rutinene uten å lete etter svar i en perm. Når en eske med sensitive dokumenter skal forlate virksomheten, bør prosessen være like forutsigbar som en banktransaksjon.