Come è composto il codice IBAN: guida completa

Quando si compila un bonifico o si fornisce il proprio conto a un datore di lavoro, il codice IBAN appare come una sequenza di lettere e numeri apparentemente arbitraria; eppure ogni carattere occupa una posizione precisa, risponde a una logica definita da standard internazionali e porta con sé un'informazione specifica sul conto bancario di riferimento. Capire come è composto il codice IBAN non è un esercizio accademico: è il presupposto per individuare errori di digitazione, per comprendere perché un pagamento transfrontaliero viene rifiutato o ritardato, e per orientarsi nella burocrazia bancaria senza affidarsi ciecamente ai sistemi automatici.

Lo standard IBAN — acronimo di International Bank Account Number — è stato definito dall'International Organization for Standardization e dall'European Committee for Banking Standards attraverso la norma ISO 13616, adottata progressivamente da oltre ottanta paesi nel mondo, sebbene con lunghezze e strutture interne che variano da nazione a nazione. L'Italia, come tutti i paesi aderenti alla SEPA (Single Euro Payments Area), utilizza un IBAN di lunghezza fissa pari a 27 caratteri; un IBAN norvegese ne conta 15, uno turco ne arriva a 26, uno maltese a 31: la lunghezza, dunque, dipende interamente dalla convenzione nazionale, non da una scelta arbitraria della banca.

Nella pratica quotidiana l'IBAN viene spesso trattato come un dato opaco, da copiare e incollare senza interrogarsi sul suo contenuto; ma chiunque gestisca pagamenti ricorrenti, coordini fornitori internazionali o semplicemente voglia verificare la correttezza di un codice ricevuto via email ha tutto l'interesse a conoscere la struttura sottostante — sia per effettuare un controllo formale autonomo, sia per capire cosa sta guardando quando legge una stringa come IT60 X054 2811 1010 0000 0123 456.

I campi che compongono la struttura IBAN

La struttura di un IBAN si articola in tre componenti principali, che si susseguono in ordine fisso e non possono essere permutati: il codice paese, le cifre di controllo e il BBAN (Basic Bank Account Number), che rappresenta la parte nazionale dell'identificativo. Il codice paese è sempre costituito da due lettere maiuscole conformi allo standard ISO 3166-1 alpha-2: "IT" per l'Italia, "DE" per la Germania, "FR" per la Francia, "ES" per la Spagna. Queste due lettere non identificano la banca né la filiale, ma semplicemente la giurisdizione bancaria entro cui il conto è registrato, e costituiscono il punto di partenza che qualsiasi sistema di validazione utilizza per determinare la lunghezza attesa e il formato interno dell'IBAN.

Immediatamente dopo il codice paese si trovano due cifre numeriche dette check digit, o cifre di controllo: nel caso italiano sono rappresentate, nell'esempio classico, dal "60" che segue "IT". Queste due cifre non sono casuali né attribuite dalla banca: vengono calcolate algoritmicamente applicando l'algoritmo modulo 97 all'intera stringa del BBAN preceduta dal codice paese, secondo una procedura standardizzata dalla norma ISO 7064. La funzione delle cifre di controllo è esclusivamente quella di consentire la rilevazione di errori di trascrizione: se si sbaglia anche un solo carattere nell'IBAN, il ricalcolo del modulo 97 produrrà un risultato diverso da 1, segnalando l'incongruenza prima che il pagamento venga inoltrato. È un meccanismo di ridondanza controllata, non una misura di sicurezza crittografica.

Il BBAN italiano: CIN, ABI, CAB e numero di conto

La parte più articolata di come è composto il codice IBAN — almeno per quanto riguarda il formato italiano — è il BBAN, che nei 23 caratteri successivi alle cifre di controllo racchiude quattro elementi distinti, ciascuno con una funzione specifica nel sistema bancario nazionale. Il primo è il CIN (Codice di Controllo Interno), una singola lettera alfabetica calcolata anch'essa tramite un algoritmo che prende in input tutti gli altri campi del BBAN: serve a verificare la coerenza interna del codice italiano prima ancora che entri nel circuito internazionale, ed è un retaggio del vecchio codice IBAN domestico che l'Italia utilizzava già prima dell'armonizzazione europea.

Dopo il CIN si trovano cinque cifre che identificano l'ABI (Associazione Bancaria Italiana) della banca titolare del conto: ogni istituto di credito autorizzato a operare in Italia ha un codice ABI univoco assegnato dalla Banca d'Italia, che consente di identificare non solo la banca ma anche la sua tipologia (banca commerciale, banca di credito cooperativo, istituto postale). Seguono altri cinque caratteri numerici che costituiscono il CAB (Codice di Avviamento Bancario), ossia il codice della filiale specifica presso cui il conto è radicato: con la diffusione dei conti online e delle banche digitali, il CAB ha progressivamente perso il suo valore geografico immediato, ma rimane parte integrante della struttura e viene comunque assegnato anche agli IBAN di banche che non hanno sportelli fisici. Gli ultimi dodici caratteri — che possono contenere sia cifre che lettere, anche se nella prassi italiana sono quasi sempre numerici — rappresentano il numero di conto vero e proprio, l'identificativo univoco del rapporto bancario all'interno della filiale indicata dal CAB.

L'algoritmo di verifica e il metodo modulo 97

Comprendere come funziona il meccanismo di verifica delle cifre di controllo permette di effettuare autonomamente un controllo formale sull'IBAN ricevuto, senza dipendere da strumenti esterni; la procedura, pur richiedendo qualche passaggio, è interamente manuale e non richiede software specializzato. L'operazione parte dallo spostamento dei primi quattro caratteri (codice paese + check digit) in coda alla stringa, così che il BBAN venga a trovarsi in prima posizione; successivamente, ogni lettera viene sostituita con il proprio valore numerico secondo una tavola standard (A=10, B=11, … Z=35), ottenendo una stringa composta esclusivamente di cifre, che può facilmente superare i trenta caratteri. Su questa stringa numerica si applica la divisione modulo 97: se il resto è esattamente uguale a 1, l'IBAN è formalmente valido; qualsiasi altro risultato indica la presenza di almeno un errore nella sequenza.

Vale la pena sottolineare che la validità formale verificata dall'algoritmo non garantisce che il conto esista effettivamente o che appartenga al destinatario dichiarato: il modulo 97 rileva solo errori di trascrizione, non frodi o sostituzioni intenzionali. Per questa ragione i sistemi bancari moderni — in particolare quelli che operano nell'ambito della PSD2 e dei servizi di verifica IBAN come la IBAN Name Check introdotta progressivamente in Europa — affiancano al controllo formale una verifica del binomio IBAN-intestatario, confrontando il codice con il nome del beneficiario registrato presso la banca destinataria prima di autorizzare il pagamento.

Differenze strutturali tra IBAN di paesi diversi

Chi si trova a gestire pagamenti verso paesi non appartenenti alla zona SEPA — o semplicemente verso paesi SEPA con convenzioni nazionali diverse dall'italiana — si confronta con IBAN strutturalmente differenti, non solo nella lunghezza ma anche nella composizione del BBAN. L'IBAN francese, lungo 27 caratteri come quello italiano, utilizza un BBAN composto da 5 cifre per il codice banca, 5 per il codice sportello, 11 per il numero di conto e 2 per una chiave di controllo RIB interna; quello tedesco, di soli 22 caratteri, contiene 8 cifre per il Bankleitzahl (il codice bancario tedesco) e 10 per il numero di conto, senza cifre di controllo nazionali aggiuntive. L'IBAN del Regno Unito — che dopo la Brexit ha mantenuto lo standard IBAN per le transazioni internazionali in entrata, pur continuando ad affidarsi internamente al sort code e all'account number — ha una struttura di 22 caratteri con un BBAN che codifica direttamente il sort code a 6 cifre e il numero di conto a 8 cifre.

Questa eterogeneità strutturale ha implicazioni concrete per chi sviluppa sistemi di pagamento o gestisce database di coordinate bancarie internazionali: un campo di testo che accetti IBAN deve essere progettato per lunghezze variabili fino a 34 caratteri (il massimo consentito dallo standard ISO 13616), e qualsiasi logica di validazione deve caricare le regole specifiche per paese prima di applicare i controlli formali sul BBAN, non limitarsi al solo algoritmo modulo 97 che è identico per tutti.

Formato di presentazione e convenzioni di scrittura

Lo standard ISO 13616 distingue tra il formato elettronico e il formato cartaceo dell'IBAN, una distinzione che ha ricadute pratiche sulla leggibilità e sulla probabilità di errori di trascrizione. Nel formato elettronico — quello da usare nelle trasmissioni dati, nei file XML dei bonifici SEPA, nei campi dei form bancari online — l'IBAN è scritto come stringa continua senza spazi: IT60X0542811101000000123456. Nel formato cartaceo, destinato alla lettura umana e alla comunicazione su documenti o email, la stringa viene suddivisa in gruppi di quattro caratteri separati da uno spazio: IT60 X054 2811 1010 0000 0123 456; l'ultimo gruppo può essere più corto di quattro caratteri se la lunghezza totale non è multiplo di quattro, come accade per l'IBAN italiano di 27 caratteri.

Questa suddivisione in quartetti non ha alcuna valenza semantica — non coincide con i confini tra CIN, ABI, CAB e numero di conto — ma è uno strumento di leggibilità che riduce significativamente gli errori di copiatura manuale; studi condotti in ambito bancario hanno dimostrato che la segmentazione visiva di stringhe numeriche lunghe abbatte il tasso di errore di trascrizione in misura rilevante rispetto alla presentazione continua. Conoscere questa distinzione evita anche il problema opposto: inserire l'IBAN con spazi in un campo elettronico che non li gestisce correttamente, generando errori di validazione apparentemente inspiegabili.