Proceso de Verificación de Cuentas Bancarias: Guía para Pagos SEPA
2026-06-20
Tu fichero de pago SEPA tenía buena pinta cuando salió de finanzas. Luego empiezan a llegar los fallos. Un proveedor dice que la transferencia nunca llegó. Nóminas pregunta por qué el salario de un empleado fue devuelto. Alguien se da cuenta de que un proveedor cambió sus datos bancarios la semana pasada, pero nadie puede confirmar quién lo aprobó. A mediodía, tu equipo está exportando CSV, comparando IBANs a ojo y tratando de averiguar si el problema es de formato, de titularidad o de fraude.
Ese es el momento en que el proceso de verificación de cuentas bancarias deja de parecer administración de back-office y empieza a verse como infraestructura central de pagos. Para una pyme en crecimiento, las remesas fallidas no se quedan aisladas. Crean retrabajo, retrasan el cierre del mes, generan llamadas incómodas con proveedores y exponen controles débiles que los defraudadores saben cómo explotar.
Un buen proceso hace dos cosas a la vez. Previene errores obvios antes de que entren en tu pasada de pagos y confirma que una cuenta estructuralmente válida es el destino correcto del dinero.
Por qué los pagos fallidos son más que una simple molestia
El primer coste de un pago SEPA fallido es visible. Alguien tiene que investigar la devolución, corregir el registro del beneficiario y reenviar el pago. El segundo coste es más difícil de ver. Finanzas pierde confianza en sus propios datos maestros, los aprobadores empiezan a añadir comprobaciones manuales y las pasadas de pagos tardan más porque nadie confía en el fichero.
Ese patrón aparece más frecuentemente en situaciones ordinarias. Un nuevo proveedor envía un IBAN por correo electrónico. Un empleado actualiza los datos de reembolso. Un proveedor de larga data cambia de banco tras una fusión. Cada evento parece rutinario hasta que un campo es incorrecto o una instrucción es fraudulenta.
Las estafas de Business Email Compromise causaron aproximadamente 2.400 millones de dólares en pérdidas en Estados Unidos en 2021, según datos del FBI. Estas estafas a menudo explotan datos bancarios no verificados.
Los pagos fallidos raramente se deben a un único fallo dramático del sistema. Normalmente provienen de pequeñas brechas de control repetidas a escala.
Comprobaciones fundamentales que tu sistema debe realizar
Antes de confirmar la titularidad, tu sistema necesita rechazar inmediatamente los datos de cuenta defectuosos. Esta primera capa es la validación estructural.
Para los pagos SEPA, el objeto central es el IBAN. Los equipos de finanzas a menudo lo ven como una cadena larga a copiar correctamente. Los sistemas deberían tratarlo como datos estructurados con lógica interna.
Lo que debe hacer realmente una comprobación de IBAN
Una rutina de validación de IBAN adecuada comprueba más que la longitud. Debe inspeccionar:
- Código de país: los primeros dos caracteres identifican el formato del país y determinan la longitud esperada.
- Dígitos de control: los caracteres tercero y cuarto se verifican usando el algoritmo MOD-97.
- Estructura BBAN: el número básico de cuenta bancaria debe ajustarse al formato específico de cada país.
- Alcance bancario: la validación completa confirma que el IBAN corresponde a una institución financiera activa.
Un IBAN puede superar las primeras tres comprobaciones y aún así no coincidir con ninguna cuenta real. Por eso la verificación de alcance importa.
Qué hace que la validación del IBAN sea complicada en la práctica
Las herramientas de validación básicas a menudo comprueban solo la longitud y los dígitos de control. Eso detecta errores de formato pero no los números de cuenta que se inventaron o cambiaron de forma incompleta.
Una validación más completa comprueba si el IBAN corresponde a una institución financiera alcanzable, si el código BIC/SWIFT asociado coincide con el registro del banco y si la cuenta está activa y en buen estado.
Verificación de titularidad: más allá de la validación estructural
Confirmar que un IBAN es estructuralmente válido no es lo mismo que confirmar que pertenece a quien dice ser el beneficiario. Esa distinción importa en los casos en que el fraude es una preocupación.
La verificación de titularidad responde a la pregunta: ¿pertenece este número de cuenta bancaria a esta persona o empresa?
Por qué los métodos tradicionales se quedan cortos
El método tradicional es llamar al beneficiario para confirmar los detalles. Eso tiene una debilidad obvia: si el fraude implica que el atacante también controla la comunicación, la llamada de confirmación no ayuda.
Los servicios de verificación de titularidad de cuenta, que trabajan directamente con el sistema bancario, ofrecen una comprobación más fuerte. Confirman si el titular del nombre dado coincide con el titular del IBAN dado, antes de que el dinero se mueva.
En el Reino Unido, el servicio de Confirmación del Beneficiario está integrado en el sistema bancario. En la zona SEPA, los enfoques equivalentes están disponibles a través de algunos bancos y servicios de terceros, aunque la cobertura es más variable.
Controles de proceso alrededor de los cambios de datos bancarios
Muchos intentos de fraude no atacan tu sistema de pagos directamente. Atacan el proceso alrededor del mismo. El vector más común es convencer a alguien de actualizar los datos bancarios de un proveedor o empleado a una cuenta que el atacante controla.
Los controles de proceso deberían cubrir:
Actualización de datos bancarios de proveedores
Cualquier solicitud de cambiar los datos bancarios de un proveedor debería desencadenar:
- Una verificación de segunda fuente independiente del canal de solicitud original
- Confirmación por parte de alguien que no procesó el cambio original
- Validación estructural del nuevo IBAN antes de que entre en el sistema
- Registro de quién aprobó el cambio y cuándo
Un correo electrónico solo no es suficiente. El canal de solicitud puede haber sido comprometido.
Cuándo debe ocurrir la verificación en el proceso de pago
La verificación debería ocurrir en tres puntos:
- Cuando se introduce por primera vez una cuenta en el sistema de datos maestros
- Cuando se modifican los datos de la cuenta, por cualquier razón
- Antes de que se cree el fichero de remesa, como comprobación de control final
Usar el banco como equipo de garantía de calidad esperando el rechazo es lento, caro y evitable con una capa adecuada de verificación previa al envío.
Si tu equipo de pagos SEPA todavía valida IBANs visualmente en hojas de cálculo, ConversorSEPA incluye validación integrada de IBAN como parte del flujo de generación de XML SEPA, detectando datos de cuenta defectuosos antes de que lleguen al banco.
Preguntas frecuentes
- ¿Por qué es importante la verificación de cuentas bancarias para los pagos SEPA?
- Un pago SEPA fallido crea retrabajo, retrasa el cierre del mes, genera disputas con proveedores y puede exponer brechas de control al fraude. Verificar los datos de cuenta antes de crear el fichero previene IBANs estructuralmente inválidos, transferencias no entregables y fraude de Business Email Compromise para que no entren en tu pasada de pagos.
- ¿Qué comprueba realmente una validación de IBAN adecuada?
- Una comprobación completa de IBAN valida el código de país y su longitud esperada, confirma los dígitos de control usando el algoritmo MOD-97, verifica que la estructura BBAN se ajusta al formato específico del país y confirma que el IBAN corresponde a una institución financiera activa y alcanzable. Copiar un IBAN que parece correcto no es lo mismo que validarlo.
- ¿Cómo deben gestionarse de forma segura los cambios de cuenta bancaria?
- Cualquier cambio en una cuenta bancaria de proveedor o empleado debe desencadenar un flujo de trabajo de verificación antes de que el registro actualizado entre en la pasada de pagos. Esto significa confirmar el cambio a través de un segundo canal independiente de la solicitud original, registrar quién lo aprobó y cuándo, y ejecutar validación estructural del nuevo IBAN. Confiar solo en la confirmación por correo electrónico es el punto de entrada más común para el fraude.
- ¿Cuándo debe ocurrir la verificación de cuenta bancaria en el proceso de pago?
- La verificación debe ocurrir en tres puntos: cuando se introduce por primera vez una cuenta en el sistema, cuando se modifican los datos de la cuenta y una vez más antes de que se cree el fichero de remesa. Usar el banco como equipo de garantía de calidad esperando el rechazo es lento, caro y evitable con una capa adecuada de verificación previa al envío.
