Lov om helseforetak m.m. 15. juni 2001 nr. 93 (helseforetaksloven) danner det rettslige grunnlaget for styringen av helseforetak. Helseforetaksloven innebar en reform av spesialisthelsetjenesten som medførte at eierskapet til alle offentlige sykehus ble overført fra fylkeskommunene til staten. Samtidig ble det etablert en styringsmodell der ansvaret for disse tjenestene ble flyttet ut av det offentlige forvaltningsapparatet og lagt til en ny type offentlig eide selskaper, «regionale helseforetak» og «helseforetak». Et helseforetak (HF) er en statlig virksomhet som eies av et regionalt helseforetak (RHF). Hvert helseforetak ledes av et styre og en administrerende direktør.

Det overordnede nasjonale ansvaret for helsepolitikken ligger hos Stortinget og regjeringen, mens det regionale ansvaret for iverksetting av denne ligger hos det regionale helseforetaket. Det er helse- og omsorgsministeren som har det politiske og konstitusjonelle ansvaret for å ivareta statens forpliktelser for at befolkningen gis nødvendig spesialisthelsetjeneste etter spesialisthelsetjenesteloven § 2-1. Det utøvende ansvar for den pasientrettede virksomheten ligger hos helseforetaket. Styrene i helseforetakene har generell beslutningsmyndighet og overordnet ansvar for alle sider av virksomheten. Eier kan gjennom foretaksmøtet gi styret instrukser om hva det skal gjøre.

Helseforetaksloven § 5 Forholdet til annen lovgivning oppgir: «Forvaltningsloven gjelder for foretakenes virksomhet. I saker om ansettelse, oppsigelse eller andre personalsaker kommer likevel bare forvaltningslovens kapittel 2 og 3 til anvendelse.» I Ot.prp. nr. 66 (2000–2001) Om lov om helseforetak m.m. oppgis i § 5 Forholdet til annen lovgivning at «Offentlighetsloven gjelder for foretakenes virksomhet.» Helseforetaksloven § 16 første ledd bestemmer at «Eiere utøver den øverste myndighet i foretak i foretaksmøte» og at «Eier kan ikke utøve eierstyring i foretak utenom foretaksmøte». I merknadene til § 16 i Ot.prp. nr. 66 (2000–2001) side 202 uttales det:

«Bestemmelsen fastslår at eier bare kan utøve eierstyring i foretaksmøtet og at foretaksmøtet er foretakets øverste organ. (…)

Bestemmelsen bygger på den rollefordelingen mellom eier og foretaksledelse som er gjennomgående i selskaps- og foretakslovgivningen. Eier har ikke noe direkte ansvar for den løpende driften av foretaket. Eierens rolle er å etablere foretaket, tilføre foretaket forsvarlig kapitalgrunnlag, fastsette vedtekter, andre rammer og mål for virksomheten og velge et styre som på vegne av eier skal forvalte foretaket. I tillegg ligger det i eierrollen å følge opp foretakenes drift og resultater i forhold til fastsatte krav og i nødvendig utstrekning iverksette korrektive tiltak. Det er foretaksledelsens ansvar å sørge for at de mål eier setter for virksomheten realiseres best mulig med grunnlag i de ressurser som er stilt til rådighet for foretaket.

Det ligger i foretaksmøtets overordnede myndighet at det kan gi styret instrukser og omgjøre styrets vedtak. Dette bør imidlertid være rettigheter av latent karakter, og bare benyttes når det er nødvendig for å ivareta eiers overordnede ansvar og interesser. Dersom denne myndigheten benyttes for hyppig vil det kunne bidra til å viske ut rolle- og ansvarsfordelingen mellom eier og foretakets ledelse, og dermed bryte med lovens ordning.

Skal eier utøve styring av foretaket i kraft av sin posisjon som eier må dette gjøres i foretaksmøtet. Dersom eier gir styringssignaler i kraft av sin eierposisjon utenfor foretaksmøtet er ikke dette bindende for foretakets ledelse. Saksbehandlingsreglene for foretaksmøtet i §§ 17- 19 må følges. (…)

Lovens bestemmelser om foretaksmøtet er, med unntak av annet ledd som bare gjelder i relasjonen mellom departementet og regionale helseforetak, like for regionale helseforetak og helseforetak. Eierstyringen vil likevel kunne arte seg annerledes i relasjonen mellom departementet og de regionale helseforetakene enn den gjør i relasjonen mellom det regionale helseforetaket og helseforetaket. Det vil trolig være nærmere og mer løpende kontakt mellom det regionale helseforetaket og helseforetakene enn det er mellom departementet og det regionale helseforetaket. Slike kontaktsopplegg bør kunne utvikles med utgangspunkt i praksis som generelt er utviklet i konsernforhold. Men det er viktig at det ikke utvikles en praksis som strider mot lovens forutsetning om myndiggjøring og klart ansvar for helseforetaket.»