Attestation of Compliance (AOC)
La breve dichiarazione firmata con cui un'organizzazione attesta di rispettare il PCI DSS: la parte della valutazione che qualcuno legge davvero.
Il modulo è pubblicato dal PCI Security Standards Council, in versioni distinte per esercenti e fornitori di servizi. Riassume quale ambiente è stato valutato, con quale metodo e se ciascun requisito è soddisfatto, non applicabile o non soddisfatto. Le prove a supporto sono un Report on Compliance redatto da un QSA oppure un questionario di autovalutazione, e il documento è firmato sia dal valutatore sia da un dirigente dell'azienda valutata.
L'acquirer ne richiede uno ogni anno. Il documento si propaga anche a valle: il PCI DSS impone di monitorare la conformità dei propri fornitori, quindi i clienti di un payment gateway o di un provider cloud ne chiedono l'AOC. Poche pagine di PDF sono così diventate una piccola valuta negli acquisti, spesso richieste da chi non ha mai visto il ROC che sta sotto.