QSA (Qualified Security Assessor)
Un revisore certificato dal consiglio PCI per valutare la conformità al PCI DSS, e la cui firma è ciò che acquirer e circuiti guardano davvero.
Un QSA lavora per una società di valutazione approvata ed è certificato dal PCI Security Standards Council. Gli esercenti più grandi, secondo la classificazione di Visa quelli con oltre sei milioni di transazioni con carta l'anno, e la maggior parte dei fornitori di servizi di pagamento richiedono ogni anno una valutazione in loco. Il risultato è un Report on Compliance (ROC) in cui ogni requisito deve essere supportato da prove. Le grandi aziende possono invece formare valutatori interni, detti ISA.
Un certificato descrive soltanto il giorno in cui si è svolta la valutazione. Heartland Payment Systems era stata certificata poco prima che Albert Gonzalez e i suoi complici le sottraessero oltre 100 milioni di numeri di carta nel 2008, e Target era certificata prima della violazione del 2013. Il settore ha risposto sottolineando che la conformità è uno stato continuo. L'audit, però, resta annuale.