QSA（認定セキュリティ評価機関）
PCI評議会が認定したPCI DSS準拠の審査人。アクワイアラやカードブランドが実際に見るのは、その署名である。
QSAは承認された評価会社に所属し、PCI Security Standards Councilの認定を受けている。最大規模の加盟店（Visaの区分では年間600万件超のカード取引がある事業者）と大半の決済サービスプロバイダは、毎年オンサイトの評価が必要だ。成果物は準拠報告書（ROC）で、すべての要件に証拠の裏付けがなければならない。大企業は社内の評価者を育成することもでき、これをISAと呼ぶ。
認証が示すのは、評価が行われた当日の状態だけだ。Heartland Payment Systemsは、アルバート・ゴンザレスらが2008年に1億件超のカード番号を抜き取る直前に合格を得ており、Targetも2013年の侵害の前に認証を受けていた。業界は、準拠とは継続的な状態だと強調することで応じた。それでも監査は年1回である。