Vad gör compliance i en bank? Kraven efter 1 juli 2026

Fram till den 30 juni 2026 stod det i 8 kap. 2 § FFFS 2014:1 att ett kreditinstituts funktion för regelefterlevnad skulle vara direkt underställd VD. Den 1 juli 2026 togs paragrafen bort genom FFFS 2026:15. Sedan dess får chefen för en kontrollfunktion i ett kreditinstitut inte vara underställd VD, eller någon som är underställd VD.

För compliancechefer i svenska banker syns oberoendet nu alltså i organisationsschemat. Men för den som arbetar med regelefterlevnad i ett värdepappersbolag, ett försäkringsföretag eller med åtgärder mot penningtvätt ser kraven delvis annorlunda ut.

1. Vad gör compliancefunktionen i en bank?

Compliance betyder regelefterlevnad, och i svensk finansreglering heter den funktionen just funktionen för regelefterlevnad. I ett kreditinstitut ska den bland annat:

• identifiera risker för att företaget inte följer lagar och andra regler,
• övervaka och kontrollera att både externa och relevanta interna regler följs,
• ge råd och stöd till personal, VD och styrelse,
• informera och utbilda om nya eller ändrade regler,
• kontrollera att nya produkter, tjänster och processer följer reglerna (8 kap. 3 § FFFS 2014:1).

Styrelsen ska besluta om de interna reglerna för regelefterlevnad (8 kap. 1 §), och om de interna regler som anger varje kontrollfunktions ansvar, uppgifter och rutiner för rapportering (6 kap. 2 §). Läs mer om vad policyhantering är och vem som ansvarar för den.

2. Vem rapporterar compliancechefen till i en bank?

Till styrelsen. Chefen för en kontrollfunktion ska regelbundet rapportera direkt till styrelsen och vara med när styrelsen behandlar funktionens område eller rapporter. Chefen får inte sitta i styrelsen, får inte vara underställd VD eller någon som är underställd VD, och ska utses och avsättas av styrelsen (6 kap. 6 § i lydelse enligt FFFS 2026:15).

Tanken är att chefen inte ska vara underställd någon som leder den verksamhet funktionen övervakar, som FI förklarar i sin beslutspromemoria. Samma princip finns i EBA:s riktlinjer om intern styrning (punkt 176 c i den svenska versionen). Samtidigt betonar FI att det inte betyder att compliance och riskkontroll ska hållas borta från ledningens möten. FI ser positivt på att de är med i relevanta forum, men de ska inte delta i ledningens beslut.

3. Vilka krav gäller i värdepappersbolag?

Där styrs funktionen direkt av EU-rätten. Enligt artikel 22 i delegerade förordningen (EU) 2017/565 ska ett värdepappersföretag ha en permanent och effektiv funktion för regelefterlevnad som arbetar oberoende. Den ansvarige utses och ersätts av ledningsorganet. Funktionen ska rapportera till ledningsorganet minst en gång om året, och direkt till ledningsorganet när den upptäcker en betydande risk för att företaget inte uppfyller sina skyldigheter.

ESMA:s riktlinjer om funktionen för regelefterlevnad, som FI har meddelat att den följer, säger att funktionen bör vara med när företagets policyer och rutiner tas fram (punkt 40). Om ledningen går emot viktiga rekommendationer från funktionen bör den ansvarige dokumentera det och ta upp det i sina rapporter (punkt 61).

4. Hur ser kraven ut för försäkringsföretag?

Ett försäkringsföretag ska ha funktioner för riskhantering, regelefterlevnad och internrevision, och en aktuariefunktion (10 kap. 4 § försäkringsrörelselagen). Funktionen för regelefterlevnad ska rapportera till styrelsen och VD om efterlevnaden, ge råd om hur brister kan förebyggas, bedöma vad ändrade bestämmelser, riktlinjer och rekommendationer får för konsekvenser, och identifiera och bedöma risker för bristande efterlevnad (10 kap. 16 §). Till skillnad från i banker går rapporteringen här alltså till både styrelsen och VD.

5. Vad gäller i arbetet mot penningtvätt?

Om verksamhetens storlek och art motiverar det ska företaget utse en centralt funktionsansvarig, som löpande kontrollerar att skyldigheterna enligt penningtvättslagen uppfylls (6 kap. 2 §). Enligt FI:s föreskrifter FFFS 2017:11, som gäller för företag under FI:s tillsyn, ska den centralt funktionsansvarige rapportera till styrelsen eller VD (6 kap. 7 §). Här är det alltså fortfarande tillåtet att rapportera till VD.

Från den 10 juli 2027 gäller EU:s förordning (EU) 2024/1624 om förhindrande av penningtvätt och finansiering av terrorism. Enligt artikel 11 ska en ledamot av ledningsorganet ansvara för att förordningen följs, och den som ansvarar för det dagliga arbetet med efterlevnaden ska kunna rapportera direkt till ledningsorganet. För den som i dag rapporterar till VD är det värt att se över rapporteringslinjen redan nu.

6. Vanliga frågor

6.1 Får compliance och riskkontroll vara samma funktion?

I ett kreditinstitut får riskkontroll och regelefterlevnad kombineras om verksamhetens art, omfattning och komplexitet tillåter det (6 kap. 1 § FFFS 2014:1). Internrevisionen får däremot inte kombineras med någon annan kontrollfunktion, enligt EBA:s riktlinjer (punkt 177 i den svenska versionen).

6.2 Hur ofta ska compliance rapportera till styrelsen?

Minst en gång om året, i alla tre regelverken. Kontrollfunktionerna i ett kreditinstitut ska rapportera väsentliga brister och risker till styrelsen, ett eventuellt riskutskott och VD (6 kap. 7 § FFFS 2014:1). I ett värdepappersföretag ska funktionen rapportera till ledningsorganet (artikel 22.2 c i förordning 2017/565). Och den centralt funktionsansvarige för penningtvätt ska ta fram en rapport om företagets arbete mot penningtvätt och finansiering av terrorism (6 kap. 5 § FFFS 2017:11).

6.3 Ska det finnas en skriftlig compliancepolicy?

I praktiken ja. EBA:s riktlinjer säger att ledningsorganet bör övervaka att det finns en väldokumenterad policy för regelefterlevnad som kommuniceras till all personal (punkt 209 i den svenska versionen). ESMA:s riktlinjer säger att funktionens ansvar, kompetens och befogenheter bör framgå av en policy för regelefterlevnad eller av andra interna regler (punkt 57).

7. Slutsats

Oberoende men närvarande: det är balansen compliancechefen i en bank behöver hitta efter den 1 juli 2026. Rapporteringen till styrelsen är reglerad. Hur nära ledningens arbete funktionen kan vara utan att delta i besluten får varje institut bedöma själv. Läs också om General Counsels utökade ansvar inom compliance.

Med PolicyLog kan ni prenumerera på de regelverk som är relevanta för er, få aviseringar när de ändras och se vilka policyer en regeländring påverkar. Täckningen av de svenska tillsynsmyndigheterna inom finansbranschen är bekräftad. Läs mer om PolicyLog.

8. Källor och vidare läsning

• FFFS 2026:15, Finansinspektionen
• Finansinspektionens beslutspromemoria, 2026
• Delegerad förordning (EU) 2017/565
• ESMA:s riktlinjer om funktionen för regelefterlevnad
• Försäkringsrörelselag (2010:2043)
• Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism
• FFFS 2017:11, Finansinspektionen