Barrapunto

Si se requiere intervención humana, entonces solo es necesario almacenar el número de cuenta durante el tiempo mínimo imprescindible para realizar el trámite. Eso disminuye el riesgo muy significativamente contra tener almacenados de forma permanente los números de cuenta de todos los colaboradores.

Efectivamente, lo mejor es que si tienes que almacenarlos, que sea el menor tiempo posible.. No es que disminuya el riesgo, sino que en caso de compromiso, se llevan mucho menos.
Para luego poder saber si una cuenta ha sido usada (por poner algún control de que no haya un número sospechoso de transferencias hacia el mismo destino, una cosa interesante sería almacenar un resumen SHA1 (anexando al número de cuenta alguna clave antes de hacer el resumen, de cara a evitar un ataque por diccionario).