FFFS 2014:1 efter 1 juli 2026: det här har ändrats

Den 16 juni 2026 beslutade Finansinspektionen om FFFS 2026:15, som ändrar FFFS 2014:1 om styrning, riskhantering och kontroll i kreditinstitut. Ändringarna gäller sedan den 1 juli, men den konsoliderade versionen av FFFS 2014:1 på FI:s webbplats är i oktober 2026 fortfarande daterad den 24 mars 2025. Den som utgår från den versionen arbetar alltså efter de gamla reglerna.

Det spelar roll för styrelsen i en bank, en sparbank eller ett kreditmarknadsbolag. I den gamla versionen står det att de interna reglerna ska utvärderas minst en gång om året. Nu räcker det med minst vartannat år. Och chefen för regelefterlevnad får inte längre ha VD som chef.

1. Vad har ändrats i FFFS 2014:1 sedan den 1 juli 2026?

FFFS 2026:15 ändrar flera paragrafer, bland annat 3 kap. 3 §, 6 kap. 1 och 6 §§ och 7 kap. 1 och 3 §§, och tar bort 7 kap. 4–6 §§ och 8 kap. 2 §. För arbetet med interna regler och kontrollfunktioner är det tre ändringar som spelar störst roll:

• Styrelsen och VD ska regelbundet, och minst vartannat år, utvärdera de interna regler som var och en har beslutat om, och uppdatera dem vid behov (3 kap. 3 §).
• Chefen för en kontrollfunktion ska rapportera direkt till styrelsen och utses och avsättas av styrelsen. Chefen får varken sitta i styrelsen eller vara underställd VD eller någon som är underställd VD (6 kap. 6 §).
• Regeln om att funktionen för regelefterlevnad ska vara direkt underställd VD (8 kap. 2 §) är borttagen, liksom reglerna om riskchef i 7 kap. 4–6 §§.

Intervallet kommer från lagen. Enligt 6 kap. 5 § lagen (2004:297) om bank- och finansieringsrörelse ska styrelsens skriftliga interna riktlinjer och instruktioner utvärderas och ses över minst vartannat år. FI skriver i sin beslutspromemoria att intervallet följer av ändringsdirektivet och lagen, och att det därför inte finns utrymme att föreskriva ett längre intervall.

2. Vilka företag omfattas av FFFS 2014:1?

Föreskrifterna gäller för bankaktiebolag, sparbanker, medlemsbanker, kreditmarknadsbolag och kreditmarknadsföreningar (1 kap. 1 §). De gäller också för värdepappersrörelsen i de här företagen, men med flera undantag. Ett av dem är just 3 kap. 3 §, så regeln om översyn gäller inte för den delen av verksamheten.

3. Räcker det att se över de interna reglerna vartannat år?

Vartannat år är ett minimikrav, inte en arbetsrytm. FI påpekar i sin beslutspromemoria om FFFS 2026:15 att ett kreditinstitut alltid ska ha ändamålsenliga riktlinjer och instruktioner, och att behovet av en översyn därför kan uppstå när som helst. FI:s egen bedömning, i samma promemoria, är att ändringen i praktiken får begränsad effekt.

Dessutom ska styrelsen eller VD regelbundet bedöma hur effektiva företagets organisationsstruktur, rutiner, åtgärder och metoder är för att följa reglerna för den tillståndspliktiga verksamheten, och rätta till brister (3 kap. 3 §). För den bedömningen anger paragrafen inget fast intervall.

EBA:s riktlinjer om intern styrning (EBA/GL/2021/05), som FI har meddelat att den följer med vissa undantag, pekar åt samma håll. Ramverket för intern styrning bör ses över regelbundet, och mer grundligt vid väsentliga förändringar (punkt 28 i den svenska versionen). Riktlinjerna anger också att policyn för intern styrning bör visa när den togs fram, när den senast ändrades och utvärderades, och när ledningsorganet godkände den (bilaga I, punkt 10). Det ska alltså gå att visa när en policy senast granskades, inte bara att den finns.

4. Vilka interna regler måste styrelsen själv besluta om?

I föreskrifterna är interna regler policy- och styrdokument, riktlinjer, instruktioner eller andra skriftliga dokument som företaget styr sin verksamhet med (1 kap. 3 § 6). Styrelsen ska bland annat besluta om:

• företagets riskaptit och riskstrategi (2 kap. 3 och 4 §§),
• interna regler för styrning och kontroll av organisationen och verksamheten (2 kap. 5 §),
• interna regler för hantering av intressekonflikter (4 kap. 4 §),
• interna regler för riskhantering (5 kap. 3 §),
• interna regler för varje kontrollfunktions arbete (6 kap. 2 §),
• interna regler för regelefterlevnad (8 kap. 1 §).

Där styrelsen ska besluta kan den inte delegera, enligt FI:s beslutspromemoria från 2014. Undantagen är reglerna för redovisning och riskrapportering och för uppdragsavtal, som får beslutas av styrelsen eller VD (2 kap. 8 § och 10 kap. 2 a §).

5. Vad betyder ändringen för compliance och riskkontroll?

Kontrollfunktionerna ska vara oberoende av styrelsen, VD och affärsverksamheten (6 kap. 6 §). I praktiken betyder det att compliancechefen rapporterar direkt till styrelsen och inte kan ha VD som chef.

FI förtydligar i beslutspromemorian att det inte betyder att cheferna för riskkontroll och regelefterlevnad ska hållas borta från ledningens möten. Tvärtom ser FI positivt på att de är med i relevanta forum, eftersom det ger en tidigare dialog och ett bättre beslutsunderlag. Men de ska inte delta i ledningens beslut.

Rapporteringen till styrelsen ändras inte: en kontrollfunktion ska fortfarande, minst en gång om året, rapportera väsentliga brister och risker till styrelsen, ett eventuellt riskutskott och VD (6 kap. 7 §).

6. Gäller samma översynsintervall för försäkringsföretag?

Nej. Enligt 10 kap. 2 § försäkringsrörelselagen ska ett försäkringsföretags styrdokument för bland annat riskhantering, internkontroll och internrevision fastställas av styrelsen och ses över minst en gång om året. En koncern med både ett kreditinstitut och ett försäkringsföretag kan alltså ha två olika intervall, under samma tillsynsmyndighet.

7. Vanliga frågor

7.1 Vilken version av FFFS 2014:1 gäller i rättstillämpningen?

FI anger på den konsoliderade versionen att det bara är den tryckta utgåvan som gäller i rättstillämpningen. Den gällande lydelsen av 3 kap. 3 § och 6 kap. 6 § finns därför i den tryckta ändringsföreskriften FFFS 2026:15, inte i den konsoliderade versionen.

7.2 Träder alla ändringar i bankreglerna i kraft samtidigt?

Nej. Enligt FI:s beslutspromemoria gäller ändringarna i huvudsak från den 1 juli 2026, men reglerna för tredjelandsfilialer gäller i huvudsak först från den 11 januari 2027.

7.3 Får riskkontroll och regelefterlevnad vara samma funktion?

Ja, om verksamhetens art, omfattning och komplexitet tillåter det (6 kap. 1 §). Annars ska funktionerna vara organisatoriskt åtskilda.

8. Slutsats

Den svåra frågan efter den 1 juli är inte hur ofta styrelsen måste gå igenom de interna reglerna. Det är hur ni visar att de var ändamålsenliga även mellan två utvärderingar: när ett regelverk ändras, när verksamheten förändras eller när en kontrollfunktion hittar en brist. Läs mer om vad policyhantering är och vilka steg den omfattar.

I PolicyLog kopplas varje policy till de regelverk den omfattar. Regeländringar bevakas löpande, policyer som behöver uppdateras flaggas, och varje ändring, version och godkännande sparas med namn och tidsstämpel. PolicyLog kan också kombineras med andra produkter i portalen, i en lösning för heltäckande regulatorisk compliance. Läs mer om PolicyLog.

9. Källor och vidare läsning

• FFFS 2026:15, Finansinspektionen
• Finansinspektionens beslutspromemoria, 2026
• Finansinspektionens beslutspromemoria om FFFS 2014:1
• Lag (2004:297) om bank- och finansieringsrörelse
• Försäkringsrörelselag (2010:2043)
• EBA:s riktlinjer om intern styrning (EBA/GL/2021/05)