Attestation of Compliance (AOC)
Krótkie, podpisane oświadczenie, że organizacja spełnia wymogi PCI DSS — ta część oceny, którą ktokolwiek faktycznie czyta.
Formularz pochodzi od PCI Security Standards Council i występuje w osobnych wersjach dla sprzedawców i dostawców usług. Podsumowuje, jakie środowisko oceniono, w jaki sposób oraz czy każdy wymóg jest spełniony, nie dotyczy podmiotu, czy nie jest spełniony. Dowodem są albo pełny Report on Compliance sporządzony przez QSA, albo kwestionariusz samooceny, a podpisują go zarówno oceniający, jak i członek kierownictwa ocenianej firmy.
Agent rozliczeniowy (acquirer) chce go co roku. AOC krąży też dalej w łańcuchu: PCI DSS wymaga monitorowania zgodności własnych dostawców, więc klienci bramki płatniczej czy hostingu chmurowego proszą o jej AOC. Kilka stron PDF stało się w ten sposób osobną walutą w zakupach — często żądaną przez kogoś, kto nigdy nie widział leżącego pod spodem ROC.