Verificacao de conta bancaria e IBAN: como validar coordenadas bancarias

A verificacao das coordenadas bancarias e uma etapa fundamental em qualquer processo de conhecimento do cliente (KYC), pagamento a fornecedores ou ativacao de debito direto SEPA. Em Portugal, a fraude por manipulacao de dados bancarios tem registado um aumento consistente: o Banco de Portugal reportou no seu Relatorio dos Sistemas de Pagamento 2023 um crescimento das reclamacoes relacionadas com transferencias nao autorizadas, e o sistema SIBS tem intensificado os mecanismos de seguranca nos pagamentos eletronicos. Este guia detalha a estrutura do IBAN portugues, os metodos de verificacao disponiveis e as boas praticas para proteger os fluxos financeiros da sua empresa.

Este artigo e fornecido para fins informativos e nao constitui aconselhamento juridico. Consulte um profissional do direito para situacoes especificas.

Estrutura do IBAN portugues e o legado do NIB

Antes da migracao SEPA, Portugal utilizava o NIB (Numero de Identificacao Bancaria) como identificador de conta. O NIB tem 21 digitos: 4 (banco) + 4 (balcao) + 11 (numero de conta) + 2 (digitos de controlo). Com a entrada em vigor do regulamento SEPA, o IBAN passou a ser o formato obrigatorio, mas o NIB permanece incorporado na estrutura do IBAN portugues.

Anatomia de um IBAN portugues

O IBAN portugues tem 25 caracteres e segue a norma ISO 13616.

O codigo do banco identifica a instituicao (por exemplo, 0033 corresponde ao Millennium BCP, 0035 a Caixa Geral de Depositos). Os digitos de controlo NIB (posicoes 24-25) sao um vestigio do formato anterior e fornecem uma verificacao adicional a nivel nacional.

Comparacao de estruturas IBAN na Europa

Algoritmo de verificacao do IBAN (MOD 97-1)

Os digitos de controlo do IBAN (posicoes 3-4) sao calculados pelo algoritmo MOD 97-1, definido pela norma ISO 7064. Esta validacao deteta mais de 98 % dos erros de transcricao, incluindo transposicoes de digitos adjacentes e substituicoes de caracteres.

O procedimento segue quatro passos. Primeiro, mover os primeiros quatro caracteres (codigo pais e digitos de controlo) para o final da cadeia. Segundo, converter as letras em numeros segundo a tabela A=10, B=11, etc. Terceiro, calcular o resto da divisao do numero resultante por 97. Se o resultado for 1, o IBAN e sintaticamente correto.

Esta verificacao matematica deteta erros de digitacao, mas nao confirma que a conta exista, esteja ativa ou pertenca a pessoa declarada.

O papel da SIBS e do sistema de pagamentos portugues

A SIBS e a entidade que gere a infraestrutura de pagamentos em Portugal, operando a rede Multibanco e processando transferencias interbancarias. A SIBS desempenha um papel central na validacao de operacoes, incluindo a verificacao de que os codigos de banco e balcao correspondem a instituicoes ativas registadas junto do Banco de Portugal.

O sistema de pagamentos portugues esta integrado no TARGET2 do Banco Central Europeu para liquidacoes de grande montante e na STEP2 para transferencias SEPA. Esta integracao garante que as transferencias dentro da zona SEPA seguem regras uniformes de processamento e validacao.

Verificacao do titular da conta

Com a entrada em vigor do regulamento europeu sobre pagamentos instantaneos, os prestadores de servicos de pagamento em Portugal serao obrigados a implementar a Verification of Payee (VoP), que verifica a concordancia entre o IBAN e o nome do beneficiario antes de executar a transferencia. Esta obrigacao acrescenta uma camada critica de protecao contra a fraude por substituicao de coordenadas bancarias.

Fraudes comuns em Portugal

Fraude ao fornecedor

O esquema mais frequente consiste na intercecao ou imitacao de comunicacoes de um fornecedor legitimo para solicitar a alteracao das coordenadas bancarias. A empresa altera os dados no seu sistema e os pagamentos seguintes sao encaminhados para a conta do fraudador. A Policia Judiciaria tem alertado para o crescimento deste tipo de fraude, particularmente dirigida a PME.

Fraude do CEO

O criminoso usurpa a identidade de um administrador para ordenar uma transferencia urgente para uma conta externa. A urgencia e a autoridade percebida permitem contornar os controlos internos.

Phishing e contas de passagem

As campanhas de phishing em Portugal visam obter credenciais bancarias que alimentam redes de contas de passagem (contas mula) utilizadas para receber e desviar fundos fraudulentos. O Centro Nacional de Ciberseguranca (CNCS) publica alertas regulares sobre estas praticas.

Enquadramento regulamentar em Portugal

A verificacao de coordenadas bancarias em Portugal enquadra-se em varias normas. A Lei 83/2017, de 18 de agosto, que transpoe a diretiva europeia de prevencao do branqueamento de capitais, estabelece obrigacoes de diligencia devida que incluem a verificacao da titularidade das contas em operacoes sujeitas a controlo. O Banco de Portugal, enquanto autoridade supervisora, emite instrucoes e avisos que reforcam a obrigacao dos bancos de implementar controlos adequados nos processos de pagamento.

O regulamento europeu sobre pagamentos instantaneos, em vigor a partir de 2025-2026, introduz a obrigacao de Verification of Payee para transferencias SEPA, aplicavel a todos os prestadores de servicos de pagamento na zona euro, incluindo os portugueses.

Metodos de verificacao na pratica

Nivel 1: validacao de formato

Verificar que o IBAN cumpre o formato de 25 caracteres para Portugal, que o codigo de banco corresponde a uma instituicao registada junto do Banco de Portugal e que os digitos de controlo MOD 97-1 estao corretos. Este nivel deteta erros de transcricao.

Nivel 2: verificacao da existencia da conta

Consultar se a conta existe e esta ativa. Os servicos de verificacao IBAN por API permitem confirmar a existencia da conta consultando a rede bancaria. Este nivel deteta IBAN inventados ou correspondentes a contas encerradas.

Nivel 3: verificacao de concordancia titular-IBAN

O controlo mais completo consiste em verificar que o titular da conta corresponde a entidade declarada. Com a implementacao da VoP, os bancos portugueses implementarao este controlo sistematicamente. Esta verificacao complementa-se com os processos de verificacao de identidade e KYC.

Automatizacao da verificacao de coordenadas bancarias

A verificacao manual de IBAN nao e escalavel. Um departamento de tesouraria que processa centenas de faturas mensais nao consegue verificar telefonicamente a titularidade de cada conta. As solucoes de validacao documental automatizada permitem integrar a verificacao IBAN diretamente no fluxo de processamento de faturas e contratos.

O sistema extrai o IBAN do documento, valida o formato, verifica a existencia da conta mediante API e confirma a concordancia com o nome do beneficiario declarado. Qualquer alteracao de coordenadas bancarias num fornecedor existente gera um alerta e um fluxo de confirmacao secundario.

Esta abordagem integra-se numa estrategia mais ampla de diligencia devida e verificacao de comprovativo de morada, onde cada documento e controlado antes de ser aceite no sistema.

Boas praticas para empresas

A protecao contra a fraude de coordenadas bancarias exige combinar processos e tecnologia. Primeiro, aplicar o principio da dupla validacao: qualquer alteracao de IBAN de um fornecedor deve ser aprovada por duas pessoas, uma das quais contacta o fornecedor por um canal independente. Segundo, manter um historico de coordenadas bancarias com data, justificacao e registo de cada alteracao. Terceiro, automatizar alertas perante alteracoes de IBAN em fornecedores existentes. Quarto, formar o pessoal de tesouraria nos esquemas de fraude habituais e nos sinais de alerta (urgencia inabitual, alteracao de IBAN imediatamente antes de um pagamento importante, email de um dominio ligeiramente diferente).

Perguntas frequentes

A validacao dos digitos de controlo do IBAN garante a seguranca de uma transferencia?

Nao. O algoritmo MOD 97-1 verifica unicamente a coerencia matematica do IBAN. Nao confirma a existencia da conta, a identidade do titular nem que a conta esteja ativa. Um IBAN sintaticamente correto pode pertencer a um fraudador.

Qual e a diferenca entre o NIB e o IBAN em Portugal?

O NIB (Numero de Identificacao Bancaria) era o formato nacional portugues de 21 digitos: 4 (banco) + 4 (balcao) + 11 (conta) + 2 (controlo). O IBAN portugues de 25 caracteres encapsula o NIB, acrescentando o codigo pais (PT) e dois digitos de controlo calculados pelo algoritmo MOD 97-1. Desde a migracao SEPA, o IBAN e o formato obrigatorio para todas as operacoes bancarias.

O que e a Verification of Payee e quando sera obrigatoria em Portugal?

A Verification of Payee (VoP) e um servico que verifica a concordancia entre o IBAN e o nome do beneficiario antes de executar uma transferencia. O regulamento europeu sobre pagamentos instantaneos torna esta verificacao obrigatoria para todos os prestadores de servicos de pagamento na zona SEPA. A implementacao completa esta prevista entre 2025 e 2026.

O que fazer quando um fornecedor solicita a alteracao de dados bancarios?

Nunca atualizar os dados bancarios com base apenas num email ou carta. Contactar o fornecedor utilizando um numero de telefone previamente verificado. Verificar o novo IBAN mediante uma API de verificacao. Exigir dupla autorizacao para qualquer alteracao de dados bancarios no sistema de contas a pagar. Documentar a verificacao no registo de auditoria.

Como detetar um IBAN falsificado numa fatura?

A analise dos metadados do documento (data de criacao, software de edicao, historico de modificacoes) pode revelar alteracoes. A comparacao com as coordenadas bancarias previamente registadas permite detetar alteracoes suspeitas. As solucoes de validacao documental automatizada combinam ambas as abordagens e acrescentam a verificacao do titular mediante API.