Il regolamento europeo (UE) 2024/886, applicabile dal 9 ottobre 2025, ha reso obbligatoria la verifica del nome del beneficiario associato a un IBAN per i bonifici in euro nella zona SEPA. Questa obbligazione modifica profondamente le pratiche di controllo, ma non elimina i limiti strutturali legati al segreto bancario e alla copertura geografica del dispositivo.
Verifica del beneficiario SEPA: cosa cambia concretamente con il regolamento
Il meccanismo imposto dal regolamento si basa su un confronto automatizzato tra il nome del beneficiario inserito dall’emittente e quello registrato presso la banca ricevente. Il fornitore di servizi di pagamento deve offrire questo controllo gratuitamente, sia per i bonifici tradizionali che per quelli istantanei.
Il risultato restituito si limita a quattro risposte possibili: corrispondenza, corrispondenza vicina, assenza di corrispondenza o verifica impossibile. Nessuna identità completa viene trasmessa all’emittente. Il dispositivo avverte, ma non blocca automaticamente il bonifico.
Ritroviamo regolarmente informazioni su Guide Banque che dettagliano i casi pratici di questa verifica per i privati come per i professionisti.
Un punto tecnico che la maggior parte degli articoli di pubblico interesse non affronta: i termini di applicazione sono scaglionati a seconda del paese e del tipo di fornitore. Non tutte le istituzioni della zona euro sono ancora operative su questo controllo, il che crea disparità temporanee a seconda della banca del beneficiario.
Ambito reale della verifica IBAN al di fuori della zona SEPA
L’obbligo di verifica nome-IBAN riguarda esclusivamente i fornitori stabiliti nell’Unione europea o nello Spazio Economico Europeo, per bonifici denominati in euro e rientranti nel quadro SEPA. Un bonifico verso un conto detenuto presso un’istituzione situata al di fuori di questo ambito potrebbe non beneficiare di alcun confronto automatizzato.
In pratica, ciò significa che un bonifico in euro verso un IBAN svizzero, britannico post-Brexit, o emesso da un fornitore di moneta elettronica non-EEE, sfugge potenzialmente a qualsiasi verifica del beneficiario. Il rischio di bonifico fraudolento rimane quindi intatto in questi casi.
Per le aziende che gestiscono flussi internazionali, raccomandiamo di non fare affidamento esclusivamente sul dispositivo normativo SEPA. Le soluzioni di verifica tramite interrogazione bancaria diretta (SWIFT gpi, ad esempio) o tramite open banking coprono un ambito più ampio, ma non sono standardizzate e dipendono dagli accordi bilaterali tra istituzioni.
Limiti del controllo dell’IBAN di fronte alla frode per manipolazione
Il rapporto 2025 dell’Osservatorio della sicurezza dei mezzi di pagamento mette in luce un aumento marcato delle frodi per manipolazione. Lo scenario classico rimane la truffa del falso fornitore o del falso consulente bancario, dove la vittima trasmette lei stessa un IBAN fraudolento dopo essere stata ingannata da ingegneria sociale.
La verifica del nome del beneficiario non protegge da questo tipo di frode quando il truffatore ha aperto un conto a proprio nome (o a nome di una società di comodo). La coppia nome-IBAN è quindi tecnicamente coerente, e il controllo restituisce una corrispondenza positiva.
Tre situazioni in cui la verifica automatizzata è insufficiente:
- Il truffatore utilizza un IBAN virtuale emesso da un fornitore di moneta elettronica, collegato a un’identità verificata ma distorta dal suo uso iniziale.
- Il beneficiario legittimo ha recentemente cambiato banca e il precedente IBAN è riciclato o riattribuito, generando una corrispondenza vicina ingannevole.
- Il bonifico è destinato a un paese in cui il fornitore ricevente non ha ancora implementato il meccanismo di verifica, restituendo sistematicamente “verifica impossibile”.
Un risultato “verifica impossibile” non significa che l’IBAN sia fraudolento, ma impone una vigilanza rafforzata: chiamata diretta al beneficiario su un numero conosciuto, incrocio con un giustificativo di identità bancaria (RIB) ottenuto tramite un canale distinto.
Controllo manuale dell’IBAN: cosa rivela la struttura tecnica
Prima di qualsiasi verifica del beneficiario, la struttura stessa dell’IBAN consente di eliminare i dati manifestamente non validi. Le prime due lettere identificano il paese (FR per la Francia), seguite da due cifre di controllo calcolate secondo la norma ISO 7064 (modulo 97). Un IBAN la cui chiave di controllo non corrisponde alla sequenza del numero di conto è necessariamente errato.
In Francia, i caratteri successivi permettono di identificare l’istituzione bancaria (codice banca di cinque cifre) e lo sportello (cinque cifre). Queste informazioni sono pubbliche e consultabili negli elenchi delle istituzioni della Banca di Francia. Identificare la banca non equivale a identificare il titolare, ma consente di rilevare un IBAN incoerente con le informazioni dichiarate da un fornitore o un partner.
Per gli IBAN esteri, la lunghezza varia a seconda del paese. Un IBAN tedesco ha un numero di caratteri diverso da un IBAN spagnolo. Verificare la lunghezza attesa rispetto al codice paese rileva gli errori di inserimento grossolani prima ancora di richiedere un servizio di validazione.
Strategia di verifica dell’IBAN in azienda: combinare i livelli
Osserviamo che le aziende meglio protette sovrappongono diversi livelli di controllo piuttosto che fare affidamento su un unico meccanismo:
- Controllo sintattico automatizzato (validità della chiave, lunghezza, codice paese) all’inserimento nell’ERP o nel software di tesoreria.
- Verifica del beneficiario tramite il dispositivo SEPA obbligatorio per i bonifici in euro intra-EEE.
- Incrocio documentale: richiesta di un RIB firmato o timbrato, confronto con i dati bancari storici del terzo.
- Contro-chiamata sistematica in caso di cambiamento delle coordinate bancarie, su un numero di telefono precedentemente registrato.
Il cambiamento delle coordinate bancarie è il momento più critico del ciclo di pagamento. La maggior parte delle frodi al falso fornitore si verifica proprio in questo passaggio, quando la vigilanza si allenta di fronte a una richiesta che sembra amministrativa.
Il dispositivo normativo SEPA rappresenta una rete di sicurezza aggiuntiva, non un sostituto del controllo interno. I risultati di tipo “corrispondenza vicina” o “verifica impossibile” devono attivare un processo di indagine, mai essere ignorati per accelerare un pagamento.
