El reglamento europeo (UE) 2024/886, aplicable desde el 9 de octubre de 2025, ha hecho obligatoria la verificación del nombre del beneficiario asociado a un IBAN para las transferencias en euros en la zona SEPA. Esta obligación modifica en profundidad las prácticas de control, pero no elimina los límites estructurales relacionados con el secreto bancario y la cobertura geográfica del dispositivo.
Verificación de beneficiario SEPA: lo que el reglamento cambia concretamente
El mecanismo impuesto por el reglamento se basa en una comparación automatizada entre el nombre del beneficiario ingresado por el emisor y el registrado en el banco receptor. El proveedor de servicios de pago debe ofrecer este control de forma gratuita, tanto para las transferencias clásicas como para las transferencias instantáneas.
El resultado devuelto se limita a cuatro respuestas posibles: coincidencia, coincidencia cercana, ausencia de coincidencia o verificación imposible. Ninguna identidad completa se transmite al emisor. El dispositivo advierte, pero no bloquea automáticamente la transferencia.
Regularmente encontramos información en Guide Banque que detalla los casos prácticos de esta verificación tanto para particulares como para profesionales.
Un punto técnico que la mayoría de los artículos de divulgación no abordan: los plazos de aplicación están escalonados según el país y el tipo de proveedor. No todos los establecimientos de la zona euro están aún operativos en este control, lo que crea disparidades temporales según el banco del beneficiario.
Ámbito real de la verificación de IBAN fuera de la zona SEPA
La obligación de verificación nombre-IBAN se refiere exclusivamente a los proveedores establecidos en la Unión Europea o el EEE, para transferencias denominadas en euros y que se enmarcan en el ámbito SEPA. Una transferencia a una cuenta mantenida en un establecimiento ubicado fuera de este ámbito puede no beneficiarse de ninguna comparación automatizada.
En la práctica, esto significa que una transferencia en euros a un IBAN suizo, británico post-Brexit, o emitido por un proveedor de moneda electrónica no-EEE, potencialmente escapa a cualquier verificación de beneficiario. Por lo tanto, el riesgo de transferencia fraudulenta sigue siendo completo en estos casos.
Para las empresas que manejan flujos internacionales, recomendamos no depender únicamente del dispositivo regulatorio SEPA. Las soluciones de verificación mediante consulta bancaria directa (SWIFT gpi, por ejemplo) o mediante open banking cubren un ámbito más amplio, pero no están normalizadas y dependen de los acuerdos bilaterales entre establecimientos.
Límites del control de IBAN frente al fraude por manipulación
El informe 2025 del Observatorio de la seguridad de los medios de pago destaca un aumento marcado de fraudes por manipulación. El escenario clásico sigue siendo la estafa del falso proveedor o del falso asesor bancario, donde la víctima transmite ella misma un IBAN fraudulento después de haber sido engañada por ingeniería social.
La verificación del nombre del beneficiario no protege contra este tipo de fraude cuando el estafador ha abierto una cuenta a su propio nombre (o a nombre de una empresa pantalla). El par nombre-IBAN es entonces técnicamente coherente, y el control devuelve una coincidencia positiva.
Tres situaciones en las que la verificación automatizada es insuficiente:
- El estafador utiliza un IBAN virtual emitido por un proveedor de moneda electrónica, vinculado a una identidad verificada pero desviada de su uso inicial.
- El beneficiario legítimo ha cambiado de banco recientemente y el antiguo IBAN es reciclado o reasignado, lo que genera una coincidencia cercana engañosa.
- La transferencia se dirige a un país donde el proveedor receptor aún no ha desplegado el mecanismo de verificación, devolviendo sistemáticamente “verificación imposible”.
Un resultado “verificación imposible” no significa que el IBAN sea fraudulento, pero impone una vigilancia reforzada: llamada directa al beneficiario a un número conocido, cruce con un justificante de identidad bancaria (RIB) obtenido por un canal distinto.
Control manual del IBAN: lo que la estructura técnica revela
Antes de cualquier verificación de beneficiario, la estructura misma del IBAN permite eliminar las coordenadas manifiestamente inválidas. Las dos primeras letras identifican el país (FR para Francia), seguidas de dos dígitos de control calculados según la norma ISO 7064 (módulo 97). Un IBAN cuya clave de control no coincide con la secuencia del número de cuenta es necesariamente erróneo.
En Francia, los caracteres siguientes permiten identificar el establecimiento bancario (código de banco de cinco cifras) y la oficina (cinco cifras). Esta información es pública y consultable en los directorios de establecimientos del Banco de Francia. Identificar el banco no equivale a identificar al titular, pero permite detectar un IBAN incoherente con la información declarada por un proveedor o un socio.
Para los IBAN extranjeros, la longitud varía según el país. Un IBAN alemán tiene un número de caracteres diferente al de un IBAN español. Verificar la longitud esperada en relación con el código de país detecta errores de entrada groseros incluso antes de solicitar un servicio de validación.
Estrategia de verificación de IBAN en la empresa: combinar las capas
Observamos que las empresas mejor protegidas superponen varios niveles de control en lugar de depender de un solo mecanismo:
- Control sintáctico automatizado (validez de la clave, longitud, código de país) al ingresar en el ERP o el software de tesorería.
- Verificación del beneficiario a través del dispositivo SEPA obligatorio para las transferencias en euros intra-EEE.
- Cruce documental: solicitud de un RIB firmado o sellado, comparación con las coordenadas bancarias históricas del tercero.
- Llamada de verificación sistemática ante cualquier cambio de coordenadas bancarias, a un número de teléfono previamente registrado.
El cambio de coordenadas bancarias es el momento más crítico del ciclo de pago. La mayoría de las fraudes al falso proveedor ocurren precisamente en esta etapa, cuando la vigilancia se relaja ante una solicitud que parece administrativa.
El dispositivo regulatorio SEPA representa una red de seguridad adicional, no un sustituto del control interno. Los resultados del tipo “coincidencia cercana” o “verificación imposible” deben desencadenar un proceso de investigación, nunca ser ignorados para acelerar un pago.
