QSA (Qualified Security Assessor)
Audytor certyfikowany przez radę PCI do oceny zgodności z PCI DSS, którego podpis jest tym, na co faktycznie patrzą acquirerzy i organizacje kartowe.
QSA pracuje w zatwierdzonej firmie audytorskiej i jest certyfikowany przez PCI Security Standards Council. Najwięksi sprzedawcy — w podziale Visy ci z ponad sześcioma milionami transakcji kartowych rocznie — oraz większość dostawców usług płatniczych wymagają corocznej oceny na miejscu. Jej wynikiem jest Report on Compliance (ROC), w którym każde wymaganie musi być poparte dowodami. Duże firmy mogą zamiast tego wyszkolić własnych audytorów, zwanych ISA.
Certyfikat opisuje wyłącznie dzień, w którym przeprowadzono ocenę. Heartland Payment Systems dostało zielone światło tuż przed tym, jak Albert Gonzalez ze wspólnikami wyprowadził z firmy ponad 100 milionów numerów kart w 2008 roku, a Target był certyfikowany przed włamaniem w 2013. Branża odpowiada, że zgodność to stan ciągły. Audyt nadal jest coroczny.