La risposta breve: una verifica della registrazione ICO conferma se un'organizzazione è nel registro dei soggetti tenuti al contributo dell'Information Commissioner's Office (ICO) britannico - cioè se ha comunicato all'ICO di trattare dati personali e ha pagato il contributo per la protezione dei dati che ne deriva. Non conferma che l'organizzazione sia finanziariamente solida, che sia titolare del conto bancario indicato in fattura o che un pagamento nei suoi confronti sia sicuro.
La distinzione conta perché le due domande arrivano insieme. Un team acquisti che valuta un nuovo fornitore vuole sapere che l'azienda esiste ed è conforme. Un team di tesoreria vuole sapere che il denaro arriva sul conto giusto. Il registro ICO risponde solo alla prima domanda, e solo per la parte che riguarda la protezione dei dati.
Cosa conferma davvero una verifica della registrazione ICO
L'ICO è l'autorità indipendente britannica per la protezione dei dati. Ai sensi del Data Protection (Charges and Information) Regulations 2018, la maggior parte delle organizzazioni che trattano dati personali deve versare un contributo annuale all'ICO - di solito chiamato contributo per la protezione dei dati - salvo che si applichi un'esenzione. Il registro dei soggetti tenuti al contributo è l'elenco pubblico delle organizzazioni che lo hanno fatto.
Quindi un esito positivo conferma una cosa ristretta e fattuale: l'organizzazione compare in quel registro, con un numero di registrazione, un tier di contributo e uno stato. È un segnale di conformità utile quando affidi dati personali a un fornitore - società di elaborazione delle paghe, agenzie di marketing, fornitori di software, chiunque tratti archivi di clienti o dipendenti per tuo conto.
La registrazione riguarda i dati, non il denaro
Il registro ICO annota chi ha pagato un contributo per la protezione dei dati. Non dice nulla su conti bancari, fatture, proprietà o solvibilità. Trattalo come una riga nel fascicolo di un fornitore, non come un controllo sui pagamenti.
Come verificare una registrazione ICO, passo per passo
La verifica è rapida e gratuita. Usa la ricerca ufficiale dell'ICO invece di un sito di consultazione di terze parti, perché il registro ufficiale è la fonte da cui ogni altro strumento copia.
- 1 Vai alla ricerca del registro sul sito dell'ICO, ico.org.uk - la casella di ricerca del registro dei soggetti tenuti al contributo.
- 2 Cerca con la ragione sociale dell'organizzazione come compare sul contratto o in fattura, non con un nome commerciale o un marchio.
- 3 Se il nome è comune, restringi i risultati con il numero di registrazione, se lo hai già, oppure con l'indirizzo dell'organizzazione.
- 4 Apri la voce e leggi tre cose: il numero di registrazione, il tier di contributo e lo stato.
- 5 Salva uno screenshot o un appunto con la data di ciò che hai trovato, così la verifica resta verificabile in seguito.
Se non compare nulla, non saltare alle conclusioni. Prova la ragione sociale registrata presso Companies House, prova la società madre e prova varianti con e senza suffissi societari. Molte organizzazioni operano con un nome diverso da quello dell'entità che paga il contributo.
Un avvertimento che vale la pena ripetere: diversi siti commerciali offrono un servizio a pagamento di «determinazione ICO» o di «certificato di registrazione». Lo strumento di autovalutazione e la ricerca nel registro dell'ICO sono gratuiti, e pagare una terza parte non rende una registrazione più valida.
Leggere il risultato: numero di registrazione, tier e stato
Un numero di registrazione ICO si scrive di solito come ZA seguito da sei cifre - per esempio ZA123456. Identifica la voce nel registro. Non è un numero di società, un numero di partita IVA o un riferimento di pagamento, e non va mai usato per identificare un conto bancario.
Il tier di contributo descrive la dimensione e il tipo di organizzazione, come li definisce l'ICO. L'ICO pubblica tre tier, e il contributo cresce con il tier:
- Il Tier 1 copre le organizzazioni più piccole - le micro organizzazioni, valutate soprattutto in base al numero di dipendenti e al fatturato.
- Il Tier 2 copre le piccole e medie organizzazioni.
- Il Tier 3 copre le grandi organizzazioni.
Il tier ti dice all'incirca quanto è grande chi paga il contributo. Non è una valutazione di sicurezza, qualità o affidabilità, e una voce di Tier 3 non è «più sicura» di una di Tier 1 - significa semplicemente un'organizzazione più grande che paga un contributo più alto.
Lo stato è la parte che viene fraintesa. Una voce può risultare registrata, oppure in corso mentre un pagamento o un rinnovo è in lavorazione. «In corso» non è di per sé un campanello d'allarme: i rinnovi sono annuali e c'è un intervallo tra il pagamento e l'aggiornamento del registro. Quello che conta è se l'organizzazione sa spiegare lo stato e se la voce è aggiornata anziché scaduta.
Cosa non ti dice una verifica ICO
È qui che la due diligence sui fornitori sbaglia. Una voce ICO pulita viene spesso catturata con uno screenshot su una pagina di fiducia come se fosse un marchio di legittimità. Non lo è. Una verifica ICO non conferma:
- Chi possiede o controlla la società - quello è territorio di Companies House, dove puoi vedere amministratori, depositi e bilanci.
- Se la società è solvibile o in attività - di nuovo bilanci e storico dei depositi, non il registro ICO.
- Se la società è titolare del conto bancario stampato in fattura - nessun registro pubblico lo contiene.
- Se la fattura stessa è autentica, o se l'e-mail che l'ha consegnata proviene dal fornitore reale.
- Se l'organizzazione tratta bene i dati - la registrazione è un contributo, non un audit.
In altre parole, il registro ICO risponde a una domanda di conformità. Alla domanda «è questo il conto giusto su cui pagare?» si risponde altrove, del tutto: con una verifica nome-IBAN eseguita da un prestatore di servizi di pagamento.
Registrazione ICO e Verification of Payee: due verifiche diverse
La Verification of Payee (VoP) è la verifica del nome UE/SEPA richiesta dal Regolamento sui Pagamenti Istantanei. Prima che un bonifico in euro venga inviato, il prestatore di servizi di pagamento (PSP) di chi paga chiede al PSP del beneficiario se il nome fornito corrisponde all'intestatario del conto, e riceve uno di quattro esiti: corrispondenza, corrispondenza parziale, nessuna corrispondenza o non disponibile. Il Regno Unito ha la propria versione, la Confirmation of Payee, costruita su sort code e numeri di conto.
Metti le due cose una accanto all'altra e la differenza è evidente:
- La verifica ICO chiede: questa organizzazione si è registrata come titolare del trattamento e ha pagato il contributo? La risposta arriva da un registro pubblico, una volta sola, all'onboarding.
- La verifica del beneficiario chiede: questo conto appartiene alla parte che ho indicato? La risposta arriva dalla banca del beneficiario, al momento del pagamento.
- La verifica ICO riguarda la conformità in materia di protezione dei dati. La verifica del beneficiario riguarda dove arriva il denaro.
Nessuna delle due sostituisce l'altra. Un truffatore può registrarsi presso l'ICO - è un contributo, non un processo di selezione - e un fornitore del tutto conforme può comunque subire la compromissione dell'e-mail e vedersi sostituire la fattura con una che riporta dati bancari diversi. Se vuoi il contesto sullo schema UE, parti da cos'è la Verification of Payee; la meccanica della verifica di un intestatario è illustrata in come verificare l'intestatario di un IBAN.
Dove si colloca una verifica ICO nell'onboarding dei fornitori
La risposta pratica è: come un passo tra diversi, in un ordine fisso. Una sequenza praticabile per un nuovo fornitore è questa.
- 1 Verifica societaria: conferma l'entità giuridica, gli amministratori e lo storico dei depositi presso Companies House, e confronta il nome sul contratto.
- 2 Verifica sulla protezione dei dati: cerca l'entità nel registro ICO e annota numero di registrazione, tier e stato.
- 3 Verifica dei dati bancari: esegui una verifica nome-IBAN sul conto che stai per pagare e conserva il nome verificato che torna indietro.
- 4 Controllo delle modifiche: ripeti la verifica dei dati bancari ogni volta che i dati del conto del fornitore cambiano, e conferma la modifica per telefono su un numero che avevi già.
Il terzo e il quarto passo sono quelli che impediscono al denaro di partire per il conto sbagliato. Per il processo più ampio, compresa la gestione dei dati dei beneficiari memorizzati, vedi la guida all'onboarding di fornitori e venditori e la pagina Verification of Payee per le aziende.
Non trattare mai una voce ICO come prova dei dati bancari
Un numero di registrazione sulla carta intestata di un fornitore ti dice che l'organizzazione ha pagato un contributo per la protezione dei dati. Non ti dice nulla sul numero di conto che sta sotto. Verifica il conto separatamente, ogni volta che i dati cambiano.
Confusioni comuni e risposte rapide
Gran parte della confusione sulle verifiche ICO nasce da tre domande, quindi eccole in modo chiaro.
- Quando è obbligatoria la registrazione? La maggior parte delle organizzazioni che trattano dati personali deve pagare il contributo, ma esistono esenzioni - per esempio alcune piccole organizzazioni che trattano dati solo per finalità limitate. Lo strumento di autovalutazione gratuito dell'ICO ti dice se la tua organizzazione deve registrarsi.
- Come trovo il mio numero di riferimento ICO? Cerca nel registro con la ragione sociale della tua organizzazione, oppure controlla la conferma che l'ICO ha inviato al momento del pagamento del contributo. Il numero è in quel documento.
- Un numero ICO è un numero di registrazione societaria? No. Il numero di società viene da Companies House e identifica l'entità giuridica. Il numero ICO identifica una voce di soggetto tenuto al contributo nel registro per la protezione dei dati. Sono rilasciati da soggetti diversi per finalità diverse.
RoxPay eroga la Verification of Payee sullo schema SEPA attraverso un'unica API REST e una dashboard, restituendo gli esiti standardizzati - corrispondenza, corrispondenza parziale, nessuna corrispondenza e non disponibile - in ben meno di un secondo, con il nome verificato in caso di corrispondenza parziale, per un singolo pagamento o per un intero file di pagamento.