La verifica IBAN è il processo di validazione del codice bancario di una controparte prima dell’emissione di un bonifico, finalizzato a confermare che il codice sia formalmente corretto, attivo presso un istituto di credito e intestato al soggetto atteso. Nei flussi B2B, dove il valore medio dei pagamenti è elevato e le frodi tramite sostituzione IBAN (CEO fraud, fake invoice, business email compromise) sono in crescita, la verifica del codice IBAN è una leva diretta di mitigazione del rischio operativo e reputazionale.

Secondo il Rapporto Clusit 2024, in Italia gli attacchi finalizzati a frodi sui pagamenti hanno registrato un incremento a doppia cifra nell’ultimo biennio, con il settore finanziario tra i più colpiti. Il regolamento UE 2024/886 introduce inoltre, dal 9 ottobre 2025, l’obbligo per i prestatori di servizi di pagamento di offrire il servizio Verification of Payee (VoP), che impone il controllo della corrispondenza tra IBAN e nome dell’intestatario prima dell’esecuzione di bonifici in euro.

In breve:

La verifica di un IBAN si articola su tre livelli distinti, da eseguire in sequenza prima di autorizzare un bonifico. Il primo è il controllo formale, basato sull’algoritmo MOD-97-10 (ISO 7064), che valida la struttura del codice. Il secondo è la verifica IBAN online presso il sistema bancario, che accerta l’esistenza e l’operatività del conto. Il terzo è il controllo di corrispondenza con l’intestatario, oggi reso obbligatorio dal servizio VoP previsto dal regolamento UE 2024/886.

In contesto B2B, il controllo IBAN non può limitarsi alla validazione tecnica del codice. Una stringa formalmente corretta può corrispondere a un conto attivo intestato a un soggetto diverso da quello atteso: è esattamente il vettore sfruttato nelle frodi da sostituzione di IBAN in fattura. Per questo i processi P2P maturi prevedono l’integrazione della verifica direttamente nel ciclo di onboarding fornitori e nella validazione delle anagrafiche, oltre che al momento del pagamento.

L’IBAN italiano è composto da 27 caratteri: codice paese (IT), due cifre di controllo, CIN, ABI, CAB e numero di conto. L’algoritmo MOD-97-10 verifica la coerenza interna delle cifre di controllo. Si tratta di un controllo formale immediato, che intercetta errori di digitazione ma non garantisce che il conto sia attivo o intestato al soggetto atteso.

Il controllo formale rileva solo errori sintattici. Non distingue tra IBAN reali e IBAN fittizi formalmente validi, non verifica l’attivazione del conto, non identifica l’intestatario. Per i flussi aziendali, dove un singolo bonifico errato può valere centinaia di migliaia di euro, il controllo formale è condizione necessaria ma non sufficiente.

La verifica dell’intestatario IBAN consiste nel confrontare il nome del beneficiario indicato nell’ordine di bonifico con quello effettivamente registrato presso la banca che gestisce il conto. Dal 9 ottobre 2025, in applicazione del regolamento UE 2024/886, tale verifica è offerta in modo standardizzato tramite il servizio Verification of Payee (VoP), gestito dai prestatori di servizi di pagamento aderenti allo schema SEPA.

Il servizio restituisce tre possibili esiti: corrispondenza esatta, corrispondenza parziale (con nome simile ma non identico) oppure assenza di corrispondenza. In ambito aziendale, la gestione degli esiti parziali richiede regole interne chiare: in genere si configura un blocco automatico del pagamento e un workflow di doppia verifica con la controparte attraverso canali alternativi rispetto a quello su cui è stata ricevuta la richiesta originale.

In assenza di una verifica strutturata, le aziende si espongono a tre categorie di rischio: frodi esterne (CEO fraud, business email compromise, fatture fraudolente con IBAN sostituito), errori operativi (anagrafiche fornitori non aggiornate, digitazione errata) e rischi di compliance (mancata applicazione delle procedure antifrode richieste da PSD2 e, dal 2025, dal regolamento UE 2024/886).

Il vettore più diffuso resta la fattura compromessa: un fornitore reale invia un documento autentico che, a seguito di un’intrusione sulla casella email, viene modificato nell’IBAN prima di arrivare al destinatario. Senza verifica dell’intestatario, il pagamento risulta tecnicamente valido ma viene incassato dal frodatore. Il recupero è in genere parziale e i tempi di rivalsa sono lunghi.

La verifica IBAN estero segue gli stessi principi della verifica nazionale ma con tre differenze operative. La lunghezza dell’IBAN varia per paese (da 15 caratteri in Norvegia fino a 34 in alcune giurisdizioni extra-UE), la disponibilità del servizio VoP è garantita solo all’interno dell’area SEPA, e per i bonifici extra-SEPA la verifica dell’intestatario dipende dalla cooperazione tra banca emittente e banca beneficiaria, con tempi e costi variabili.

Per i flussi internazionali si raccomanda la combinazione di tre controlli: validazione formale dell’IBAN secondo lo standard ISO 13616, verifica del codice BIC associato e, dove possibile, ottenimento di una conferma documentale dell’intestazione del conto tramite il fornitore (estratto conto intestato, lettera bancaria). L’integrazione con servizi specializzati di verifica IBAN online che coprono giurisdizioni extra-SEPA consente di estendere la copertura del controllo anche fuori dall’area euro.

L’integrazione efficace della verifica IBAN si articola su tre punti del ciclo P2P: onboarding del fornitore (verifica iniziale dell’IBAN dichiarato), modifica dell’anagrafica (verifica obbligatoria a ogni variazione del codice, con doppio canale di conferma) e autorizzazione del pagamento (verifica al momento dell’emissione del bonifico). Ciascun punto richiede automazione, tracciabilità e separazione dei ruoli.

L’integrazione tecnica avviene tipicamente via API tra il sistema di verifica e l’ERP o il TMS (Treasury Management System) aziendale. I parametri di configurazione includono soglie di importo per il livello di controllo, gestione degli esiti VoP parziali, log delle verifiche per finalità di audit interno e conformità DORA.

Sis ID offre una soluzione di verifica IBAN dedicata ai flussi B2B, con copertura del servizio Verification of Payee in area SEPA e validazione dell’intestatario su giurisdizioni internazionali.

L’integrazione via API con ERP e TMS consente di applicare i controlli in modo automatico nei punti critici del ciclo Procure-to-Pay: onboarding fornitori, modifica delle anagrafiche e autorizzazione dei bonifici.