Durante la verifica dei pagamenti spesso l’attenzione del team finance si concentra su IBAN e beneficiario, lasciando spesso sullo sfondo un dato che individua con precisione la singola filiale bancaria: il codice CAB. È un’omissione che può avere un costo, perché un cambio di CAB non comunicato, soprattutto se a parità di ABI e di banca, è un segnale di anomalia più rapido da rilevare di una verifica completa dell’IBAN, eppure nella pratica resta uno dei campi meno presidiati nei controlli di anagrafica fornitori

Il CAB, acronimo di Codice di Avviamento Bancario, è il codice numerico di 5 cifre che identifica in modo univoco la singola filiale o agenzia di una banca operante sul territorio italiano.

Il sistema di codifica in Italia si è basato su una struttura che combina il codice del Comune in cui si trova la filiale con un numero progressivo che distingue gli sportelli presenti nella stessa località: per questo, due filiali della stessa banca in città diverse hanno sempre CAB differenti, e anche due filiali nella stessa città possono avere CAB distinti.

Pertanto, se il codice ABI è il dato che risponde alla domanda “quale banca”, il CAB risponde alla domanda “quale sportello di quella banca”. Identifica quindi un livello di dettaglio che l’ABI da solo non fornisce, ed è proprio questa granularità a renderlo rilevante per i controlli aziendali più approfonditi, oltre la semplice identificazione dell’istituto.

Come per l’ABI, non esiste un valore standard o ricavabile per logica: ogni filiale ha un proprio CAB assegnato secondo i criteri stabiliti dal sistema bancario, e lo stesso fornitore può avere CAB diversi nel tempo se cambia filiale di appoggio, anche restando cliente della stessa banca.

Il codice CAB è reperibile dalle stesse fonti generalmente utilizzate per l’ABI, da incrociare a seconda della disponibilità:

Il termine “CAB frazionario” è una denominazione storica, ancora presente in alcuni documenti bancari e moduli meno recenti, sostanzialmente equivalente al codice CAB nella sua funzione di identificare la singola dipendenza o sportello.

Per estrarlo dall’IBAN italiano non serve uno strumento dedicato: sull’IBAN a 27 caratteri, il CAB occupa sempre le posizioni 11-15, immediatamente dopo le 5 cifre dell’ABI (posizioni 6-10).

Ad esempio, su un IBAN come IT60X0542811101000000123456, “05428” è l’ABI e “11101” è il CAB. Per chi gestisce anagrafiche fornitori di volumi consistenti, automatizzare questa estrazione tramite query o regole di validazione è preferibile rispetto al calcolo manuale, che introduce un margine di errore evitabile.

Nella pratica dei controlli aziendali, codici ABI e CAB vengono spesso trattati come un’unica informazione, quando in realtà offrono un livello di granularità diverso e complementare.

Molti controlli aziendali, anche quando formalmente includono il CAB, lo trattano in modo accorpato all’ABI: si verifica cioè se la combinazione ABI+CAB nel suo insieme corrisponde a quanto atteso, senza distinguere quale dei due dati sia effettivamente cambiato. È una semplificazione che riduce la capacità diagnostica del controllo, e che vale la pena superare nei processi più maturi.

Separare l’analisi di ABI e CAB porta vantaggi concreti per chi gestisce il rischio pagamenti:

I rischi di un’analisi accorpata di ABI e CAB sono speculari ai vantaggi mancati: un controllo che restituisce solo un esito binario (“coordinate coerenti” o “coordinate non coerenti”) costringe il team finance a indagare da zero ogni volta la causa dello scostamento, allungando i tempi di verifica e aumentando la probabilità che, sotto pressione operativa, un’anomalia venga derubricata troppo in fretta a “probabile cambio filiale” senza un’effettiva conferma, proprio lo scenario in cui un tentativo di frode ha più probabilità di passare inosservato.

Oltre al ruolo nei controlli di sicurezza, il CAB resta un dato funzionale anche nella riconciliazione bancaria ordinaria.

Le aziende che operano con più rapporti presso lo stesso istituto, come ad esempio gruppi con diverse filiali storiche o linee di credito aperte presso sportelli diversi della stessa banca, distinguere i movimenti per CAB, oltre che per ABI, consente una lettura più precisa della propria esposizione bancaria nei report di tesoreria, dove il solo riferimento all’istituto non sarebbe sufficiente a separare correttamente i rapporti.

Il caso più frequente riguarda i gruppi nati da acquisizioni o fusioni societarie, dove ogni entità ha storicamente aperto i propri conti presso filiali diverse della stessa banca capogruppo, spesso in città differenti. In questi contesti, un report di tesoreria aggregato per solo ABI mostrerebbe un’unica esposizione verso “Banca X”, mascherando il fatto che si tratta in realtà di rapporti distinti, intestati a entità diverse, con condizioni contrattuali e referenti potenzialmente differenti. Aggiungere il CAB come chiave di raggruppamento permette di ricostruire questa segmentazione senza dover risalire ogni volta al singolo numero di conto.

Lo stesso principio si applica al monitoraggio del rischio di concentrazione bancaria, un controllo tipico per CFO e Risk Manager: misurare l’esposizione di liquidità “per banca” è un primo livello di analisi, ma sapere che due rapporti sono inoltre incardinati su filiali diverse della stessa banca può essere rilevante in scenari di stress operativo locale (ad esempio un disservizio tecnico isolato su una specifica filiale o area territoriale), oltre che per la tracciabilità interna dei flussi nei sistemi di tesoreria (TMS) quando più team o country manager gestiscono rapporti diversi sotto lo stesso istituto.

Infine, il CAB facilita anche il lavoro di chi deve predisporre la reportistica per Internal Audit o per i revisori esterni: poter giustificare un movimento bancario non solo con “ABI e numero di conto”, ma con l’indicazione precisa della filiale di appoggio, rende più rapida la verifica incrociata con la documentazione contrattuale originale (contratto di conto corrente, lettera di affidamento), spesso archiviata per filiale di apertura piuttosto che per sola ragione sociale della banca.

Per trasformare il CAB da dato trascurato a leva di controllo effettiva, senza appesantire i processi di pagamento, i team finance e risk possono agire su alcuni punti operativi precisi:

L’obiettivo, per Risk Manager e CISO in particolare, non è aggiungere un ulteriore livello di burocrazia ai pagamenti, ma rendere sistematico un controllo che oggi, nella maggior parte delle aziende, dipende dall’attenzione episodica di chi inserisce o approva manualmente i dati.

Un CAB errato o incoerente può derivare da cause molto diverse tra loro, ed è la causa a determinare il livello di rischio reale e la risposta corretta da parte del team finance.

La presenza di un CAB sbagliato non è sinonimo obbligatoriamente di un tentativo di frode, tuttavia è importante comprenderne le cause più ricorrenti:

Il rischio di un CAB sbagliato cambia in modo significativo a seconda della causa. Un errore di trascrizione puro, se intercettato dal controllo del codice CIN, comporta al massimo un ritardo nel pagamento o un rigetto dell’operazione: un disagio operativo, non una perdita economica.

Il rischio aumenta quando il CAB risulta formalmente corretto ma riferito a un conto non corrispondente al fornitore atteso: in questo caso il pagamento viene eseguito regolarmente, perché nessun controllo automatico di formato è in grado di fermarlo, e i fondi raggiungono un beneficiario diverso da quello previsto. Per la tesoreria, questo si traduce in un danno economico diretto, spesso difficile da recuperare una volta che il bonifico è stato eseguito ed è diventato irrevocabile.

A questo si aggiunge un rischio meno evidente ma rilevante per Risk Manager e Internal Audit: se le anomalie sul CAB non vengono tracciate e analizzate nel tempo, l’azienda perde la possibilità di individuare pattern ricorrenti (ad esempio più tentativi di frode che insistono sulla stessa banca, su filiali diverse) che un controllo isolato, valutato caso per caso, non permette di vedere.

1. Sospendere l’operazione se l’anomalia emerge prima dell’esecuzione del bonifico, indipendentemente dal fatto che sembri un errore innocuo. Qualora ci si accorgesse dopo l’esecuzione del bonifico, soprattutto se si tratta di un bonifico istantaneo, potrebbe essere più complesso richiamarlo.
2. Verificare se il CIN risulta coerente: se il controllo automatico ha già segnalato un errore di formato, la causa è quasi certamente un errore di trascrizione, da correggere alla fonte.
3. Se il CIN è coerente ma il CAB risulta diverso da quello storicizzato, non assumere che si tratti di un cambio di filiale legittimo: contattare il fornitore tramite un canale alternativo già noto, non rispondendo alla comunicazione che ha originato la modifica.
4. Aggiornare l’anagrafica solo dopo conferma indipendente, applicando lo stesso livello di cautela già previsto per i cambi di IBAN o di ABI.
5. Registrare l’esito della verifica nell’audit trail, distinguendo chiaramente tra errore di trascrizione, cambio di filiale confermato e tentativo di frode, per alimentare nel tempo le regole di alert del sistema.

ABI e CAB, anche se incrociati correttamente, restano controlli di coerenza interna: confermano che un IBAN corrisponde a una banca e a una filiale realmente esistenti, ma non che il beneficiario di quel conto sia effettivamente chi dichiara di essere. È il limite strutturale di tutti i controlli basati solo sulla decodifica dell’IBAN.

Sis ID supporta le aziende nella verifica delle coordinate bancarie dei beneficiari, integrando il controllo su ABI, CAB e IBAN con una verifica indipendente dell’identità del titolare del conto, prima che il pagamento venga autorizzato. Scopri come Sis ID ti aiuta nella sicurezza dei pagamenti.

L’obiettivo, per Risk Manager e CISO in particolare, non è aggiungere un ulteriore livello di burocrazia ai pagamenti, ma rendere sistematico un controllo che oggi, nella maggior parte delle aziende, dipende dall’attenzione episodica di chi inserisce o approva manualmente i dati.