De Europese verordening (EU) 2024/886, die van toepassing is sinds 9 oktober 2025, heeft de controle van de naam van de begunstigde die aan een IBAN is gekoppeld verplicht gesteld voor euro-overmakingen in de SEPA-zone. Deze verplichting verandert de controlepraktijken ingrijpend, maar verwijdert niet de structurele beperkingen die verband houden met bankgeheim en de geografische dekking van het systeem.
Verificatie van de Begunstigde SEPA: wat de verordening concreet verandert
Het mechanisme dat door de verordening wordt opgelegd, is gebaseerd op een geautomatiseerde vergelijking tussen de naam van de begunstigde die door de zender is ingevoerd en de naam die bij de ontvangende bank is geregistreerd. De betalingsdienstverlener moet deze controle gratis aanbieden, zowel voor klassieke overmakingen als voor onmiddellijke overmakingen.
Het resultaat is beperkt tot vier mogelijke antwoorden: overeenstemming, bijna overeenstemming, geen overeenstemming of verificatie onmogelijk. Er wordt geen volledige identiteit aan de zender doorgegeven. Het systeem waarschuwt, maar blokkeert de overmaking niet automatisch.
We vinden regelmatig informatie op Guide Banque die de praktische gevallen van deze verificatie voor zowel particulieren als professionals in detail beschrijft.
Een technisch punt dat de meeste populaire artikelen niet behandelen: de termijnen voor toepassing zijn gefaseerd afhankelijk van het land en het type aanbieder. Niet alle instellingen in de eurozone zijn al operationeel met deze controle, wat tijdelijke ongelijkheden creëert afhankelijk van de bank van de begunstigde.
Werkelijke reikwijdte van de IBAN-verificatie buiten de SEPA-zone
De verplichting tot verificatie van naam-IBAN geldt uitsluitend voor aanbieders die zijn gevestigd in de Europese Unie of de EER, voor overmakingen in euro’s die onder het SEPA-kader vallen. Een overmaking naar een rekening bij een instelling buiten deze reikwijdte kan mogelijk geen geautomatiseerde vergelijking ondergaan.
In de praktijk betekent dit dat een euro-overmaking naar een Zwitserse IBAN, een Britse IBAN na de Brexit, of uitgegeven door een aanbieder van elektronische valuta buiten de EER, potentieel aan elke verificatie van de begunstigde ontsnapt. Het risico van frauduleuze overmakingen blijft dus bestaan in deze situaties.
Voor bedrijven die internationale stromen verwerken, raden we aan niet uitsluitend op het SEPA-regelgevingsmechanisme te vertrouwen. Oplossingen voor verificatie via directe bankinterrogatie (bijvoorbeeld SWIFT gpi) of via open banking dekken een bredere reikwijdte, maar zijn niet genormaliseerd en hangen af van bilaterale overeenkomsten tussen instellingen.
Beperkingen van de IBAN-controle tegenover fraude door manipulatie
Het rapport 2025 van het Observatorium voor de veiligheid van betaalmiddelen legt een aanzienlijke stijging van fraude door manipulatie bloot. Het klassieke scenario blijft de oplichting door een valse leverancier of een valse bankadviseur, waarbij het slachtoffer zelf een frauduleuze IBAN doorgeeft nadat het is misleid door sociale engineering.
De verificatie van de naam van de begunstigde biedt geen bescherming tegen dit type fraude wanneer de oplichter een rekening op zijn eigen naam (of op naam van een schijnbedrijf) heeft geopend. Het paar naam-IBAN is dan technisch coherent, en de controle geeft een positieve overeenkomst terug.
Drie situaties waarin de geautomatiseerde verificatie onvoldoende is:
- De oplichter gebruikt een virtuele IBAN die is uitgegeven door een aanbieder van elektronische valuta, gekoppeld aan een geverifieerde identiteit maar misbruikt voor een ander doel.
- De legitieme begunstigde heeft recentelijk van bank gewisseld en de oude IBAN is gerecycled of herverdeeld, wat een misleidende bijna-overeenkomst genereert.
- De overmaking is gericht op een land waar de ontvangende aanbieder het verificatiemechanisme nog niet heeft uitgerold, wat systematisch “verificatie onmogelijk” teruggeeft.
Een resultaat “verificatie onmogelijk” betekent niet dat de IBAN frauduleus is, maar het vereist verhoogde waakzaamheid: direct contact met de begunstigde op een bekend nummer, vergelijking met een bankidentificatiebewijs (RIB) verkregen via een ander kanaal.
Handmatige controle van de IBAN: wat de technische structuur onthult
Voordat er enige verificatie van de begunstigde plaatsvindt, stelt de structuur van de IBAN ons in staat om duidelijk ongeldige gegevens uit te sluiten. De eerste twee letters identificeren het land (FR voor Frankrijk), gevolgd door twee controlecijfers die zijn berekend volgens de ISO 7064-norm (modulo 97). Een IBAN waarvan de controlecode niet overeenkomt met de reeks van het rekeningnummer is noodzakelijkerwijs onjuist.
In Frankrijk stellen de volgende tekens ons in staat om de bankinstelling te identificeren (bankcode van vijf cijfers) en de filiaal (vijf cijfers). Deze informatie is openbaar en kan worden geraadpleegd in de registers van instellingen van de Banque de France. De bank identificeren betekent niet de houder identificeren, maar het maakt het mogelijk om een IBAN te detecteren die inconsistent is met de informatie die door een leverancier of partner is opgegeven.
Voor buitenlandse IBAN’s varieert de lengte afhankelijk van het land. Een Duitse IBAN heeft een ander aantal tekens dan een Spaanse IBAN. Het controleren van de verwachte lengte ten opzichte van de landcode detecteert grove invoerfouten nog voordat een validatiedienst wordt ingeschakeld.
IBAN-verificatiestrategie in bedrijven: lagen combineren
We zien dat de best beschermde bedrijven meerdere controle niveaus combineren in plaats van op één enkel mechanisme te vertrouwen:
- Geautomatiseerde syntactische controle (geldigheid van de sleutel, lengte, landcode) bij invoer in het ERP of de kassoftware.
- Verificatie van de begunstigde via het verplichte SEPA-systeem voor euro-overmakingen binnen de EER.
- Documentaire vergelijking: verzoek om een ondertekende of afgestempelde RIB, vergelijking met de historische bankgegevens van de derde partij.
- Systematische terugbelactie bij elke wijziging van bankgegevens, op een vooraf geregistreerd telefoonnummer.
De wijziging van bankgegevens is het meest kritieke moment in de betalingscyclus. De meeste oplichtingen door valse leveranciers vinden precies in deze fase plaats, wanneer de waakzaamheid afneemt tegenover een verzoek dat administratief lijkt.
Het SEPA-regelgevingsmechanisme vormt een extra veiligheidsnet, geen vervanging voor interne controle. Resultaten zoals “bijna overeenstemming” of “verificatie onmogelijk” moeten een onderzoeksproces in gang zetten en mogen nooit worden genegeerd om een betaling te versnellen.
