Regulation
PCI Self-Assessment Questionnaire
Също: SAQ, SAQ A, SAQ D
Формуляр за валидиране на PCI DSS (SAQ A до D), чийто обхват зависи от начина, по който търговецът обработва данните на картата; A се отнася за напълно аутсорснати iframe/хоствани потоци.
PCI Self-Assessment Questionnaire означава: Формуляр за валидиране на PCI DSS (SAQ A до D), чийто обхват зависи от начина, по който търговецът обработва данните на картата; A се отнася за напълно аутсорснати iframe/хоствани потоци. Може да се появи и като SAQ, SAQ A, SAQ D.
В платежните операции това не е просто етикет; той контролира как транзакция, идентификационни данни, рисково събитие или движение на средства се тълкуват от контрагентите. Механизмът се задвижва от законови правила, мандати на схеми или регулирана пазарна практика.
Оперативният детайл е важен, защото един и същ платежен поток може да носи различни задължения в зависимост от географията, типа клиент, инструмента и статуса на освобождаване.
Обикновено се анализира заедно с PCI DSS, криптиране от точка до точка, защото тези съседни концепции определят търговския и оперативен резултат.
Практическият детайл обикновено се намира в регистрационните файлове на шлюза, отчетите на придобиващата банка, файловете на схемата, записите за обслужване на клиенти и извлеченията за сетълмент, а не в едно табло за управление.
Екипите трябва да записват стойността, времевия печат, контрагента, валутата, кода за отговор и всеки индикатор за освобождаване или отговорност, прикрепен към събитието. Често срещана грешка е да се третира въпросникът за самооценка на PCI като статична дефиниция.
На практика значението може да се променя според схемата, държавата, MCC, картовия продукт, издателя, канала на транзакцията и дали плащането е инициирано от клиента или от търговеца.
Ето защо търговците с голям обем обикновено документират правилата, наблюдават изключенията ежеседмично и преглеждат праговете, преди малък оперативен проблем да се превърне в проблем с възстановяване на суми, финансиране или съответствие.
Worked example
Търговец преглежда транзакция от 500 евро, където въпросникът за самооценка на PCI е решаващият фактор. Търговецът проверява географията, вида на плащането, статуса на клиента и критериите за освобождаване, преди да реши кое третиране за съответствие се прилага.
Оперативните разходи се моделират при излагане на несъответствие, което може да надвиши маржа на обработка при продажбата, а съответното действие трябва да приключи при плащане или при включване.
Стъпка 1 е да се заснемат оригиналните данни на заявката, включително сума, валута, държава на издателя, MID и код за отговор или статус.
Стъпка 2 е да се приложи наборът от правила на търговеца, например дали да се опита отново, да се оспори, да се възстанови сума, да се освободят стоки или да се задържат за преглед.
Стъпка 3 е да се съгласува резултатът с отчитането на придобиващата банка, така че финансовият отдел да може да види паричния ефект.
Ако правилото подобри резултата дори с 50 базисни точки при 2000 подобни месечни транзакции, търговецът защитава приблизително 10 допълнителни поръчки от избегната повреда или загуба.
Scheme notes
Това не е изцяло специфично за схемата, тъй като регулаторните задължения произтичат от законодателството, регулаторите и местните правила на платежната система, а не само от Visa или Mastercard.
Правилата на схемата все още са важни оперативно, защото те определят полетата на съобщенията, разпределението на отговорността, стандартите за доказателства и последствията от мониторинга.
Третирането в Обединеното кралство и ЕИП може да се различава след Brexit, а вътрешните схеми или релсите за банков превод могат да прилагат отделни правилници. Търговците трябва да третират съответствието със схемата и правното съответствие като припокриващи се контроли, а не като заместители.
Why it matters for merchants
В търговски план това засяга разходите за съответствие, приемането на плащания, задълженията за възстановяване на суми и спорове, както и риска от регулаторно или схематично прилагане.
За търговец, обработващ 500 000 британски лири на месец, движение от 25 базисни точки струва 1250 британски лири преди вторични ефекти като спорове, резерви, билети за поддръжка или разходи за неуспешна доставка.
Въздействието е по-голямо при високорискови, абонаментни, туристически, дигитални стоки и трансгранични модели, защото решенията на издателя и мониторингът на схемата могат бързо да се натрупват.
Cardflo може да помогне, като комбинира достъп до придобиване, MID маршрутизация, правила за оркестрация, KYB преглед и инструменти за възстановяване на суми, където е уместно, така че търговецът да не зависи от една интерпретация на процесора или един фиксиран път на транзакция.
Често задавани
Какви данни трябва да съхранява търговецът за въпросника за самооценка на PCI?
Съхранявайте ID на транзакцията, MID, придобиваща банка, сума, валута, държава на издателя, схема на картата, код за отговор или статус, времеви печат и всякакви 3DS, освобождаване, възстановяване на сума или референция за спор.
За картови транзакции запазете идентификаторите за оторизация и клиринг, защото въпроси за сетълмент или възстановяване на суми могат да пристигнат 30 до 120 дни по-късно.
За регулирани потоци съхранявайте съгласието на клиента и записите за доказателства поне за периода, изискван от местното законодателство или правилата на схемата. Добрите записи намаляват времето за разследване от часове до минути, когато отчитането на придобиващата банка не съответства на системата за поръчки.
Колко често трябва да се преглежда въпросникът за самооценка на PCI?
Търговците с голям обем трябва да преглеждат нивата на изключенията ежеседмично и да проследяват основния показател ежемесечно по схема, придобиваща банка, държава на издателя, MCC и метод на плащане. Движение от 20 до 50 базисни точки може да бъде съществено, ако търговецът обработва хиляди поръчки.
Финансовият отдел трябва да съгласува паричния ефект на ниво сетълмент, докато отделът за риск или платежни операции трябва да анализира основната причина. Преглеждането само на общите суми скрива проблеми, които се появяват в един BIN диапазон, регион или MID.
Какъв праг обикновено задейства действие по въпросника за самооценка на PCI?
Прагът зависи от категорията, но търговците трябва да разследват всяка внезапна промяна над 10% относително движение или 25 базисни точки абсолютно движение.
За спорове и измами, праговете на схемата като 0,9% при мониторинг на Visa или 1,5% при Mastercard ECM могат да създадат незабавен риск от ескалация. За сетълмент или ценови елементи, дори 5 до 15 базисни точки могат да оправдаят маршрутизация или преглед на договора.
Ключът е да се зададат прагове преди края на месеца, а не след като пристигне фактура от процесор или известие от схема.
Може ли въпросникът за самооценка на PCI да се различава между придобиващите банки?
Да. Придобиващите банки могат да картографират кодовете за отговор по различен начин, да прилагат различни правила за риск, да поддържат различни полета за данни и да се уреждат по различни цикли.
Една придобиваща банка може да върне общ отказ, докато друга излага съвет от издателя, който позволява безопасно повторно опитване. Третирането на таксите също може да варира според договора, особено за трансгранични, валутни, премиум карти и алтернативни методи на плащане.
Ето защо търговците, използващи оркестрация, трябва да сравняват производителността по придобиваща банка и схема, вместо да разчитат на една обща цифра за одобрение или разходи.
Коя е първата стъпка за отстраняване, когато въпросникът за самооценка на PCI създава загуби?
Започнете с 30-дневна извадка и я разделете по схема, държава на издателя, продуктов тип карта, метод на плащане, MID и код за отговор или спор. Количествено определете стойността на риска в парично изражение, а не само в процентни пунктове.
След това решете дали корекцията е оперативна, като по-добри доказателства или комуникация с клиенти, техническа, като по-богати данни или 3DS индикатори, или търговска, като различен маршрут на придобиваща банка.
Проверете отново същия показател след един пълен цикъл на сетълмент или спор, за да потвърдите, че промяната е проработила.
See how PCI Self-Assessment Questionnaire plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Свързани термини
Стандарт за сигурност на данните в индустрията за платежни карти, рамката, наложена от схемата за обработка на данни на картодържатели.
Хардуерно криптиране на данни на картодържателя на терминала, декриптирано само в HSM, включен в PCI списъка, което намалява обхвата на PCI за търговеца до SAQ P2PE.
Изискване на PSD2, че инициираните от клиента електронни плащания в ЕИП и Обединеното кралство трябва да бъдат удостоверени с два от следните фактори: знание, притежание, присъщност.
Регулирана проверка на самоличността на търговеца (KYB) и, когато е уместно, на клиентите на търговеца (KYC).
Свързани ръководства.
Готови ли сте да подобрите настройките за плащанията си?
Разкажете ни за вашия бизнес. Ние ще ви свържем с правилните банки акцептанти и правилния маршрут, обикновено в рамките на една седмица.