Attestation of Compliance(AOC)
組織がPCI DSSに準拠していることを示す署名入りの短い証明書。審査結果のうち、実際に読まれるのはほぼここだけである。
書式はPCI Security Standards Councilが定めており、加盟店向けとサービスプロバイダ向けに分かれている。評価した環境の範囲、評価方法、各要件が「適合」「対象外」「未適合」のいずれかを要約する。根拠となるのはQSAが作成するReport on Complianceか、自己評価質問票(SAQ)であり、評価者と被評価企業の役員の双方が署名する。
アクワイアラは毎年の提出を求める。さらにPCI DSSは委託先の準拠状況の監視を義務づけているため、決済ゲートウェイやクラウド事業者の顧客はそのAOCを要求することになる。数ページのPDFが調達の場で一種の通貨になったわけだが、その裏にあるROCを見たことのない担当者が請求していることも珍しくない。