Audit platebního stacku

Komplexní audit obvykle trvá čtyři až šest týdnů. První fáze zahrnuje příjem dat, kdy jsou shromažďovány historické záznamy a transakční protokoly ze všech bran a akceptantů.

Následuje dvoutýdenní analytické období, během kterého konzultanti kategorizují kódy důvodů zamítnutí a mapují náklady každé transakce proti sazebníkům poplatků schématu. Závěrečná fáze zahrnuje technickou revizi aktuálních integrací API, aby se zajistilo, že splňují moderní standardy, jako je PSD2.

Výsledkem je zpráva podrobně popisující konkrétní technické a obchodní oblasti, které vyžadují okamžitou pozornost ke stabilizaci nebo zlepšení výkonu.

Auditoři analyzují nezpracované kódy odpovědí vrácené prostřednictvím brány. Technická selhání se často projevují jako vypršení časového limitu nebo chyby brány (standardní 5xx nebo specifické kódy PSP), zatímco zamítnutí vydavatelem poskytují kódy jako 05 (Do Not Honour) nebo 62 (Restricted Card).

Korelací těchto kódů s metadaty transakce mohou auditoři identifikovat, zda je zamítnutí způsobeno špatnou kvalitou dat obchodníka, například chybějícím CVV, nebo zda rizikový engine vydavatele transakci odmítá na základě profilu držitele karty.

Ano, audit slouží jako nezbytná důkazní fáze pro tento přechod. Kombinovaná cena často maskuje základní náklady různých typů karet, jako jsou firemní nebo prémiové karty.

Auditováním historie transakcí mohou konzultanti vypočítat, jaké by byly náklady v rámci modelu interchange-plus-plus (IC++). Tato data umožňují obchodníkovi vidět přesnou marži, kterou si PSP bere nad poplatky schématu a mezibankovními poplatky, což poskytuje páku potřebnou k vyžádání transparentnější a často levnější cenové struktury.

Ačkoli to není formální požadavek pro samotnou certifikaci PCI DSS, audit platebního stacku často odhalí bezpečnostní mezery, které by bránily certifikaci. Zkoumá, jak citlivá data proudí prostředím a zda obchodník úspěšně přenáší riziko prostřednictvím hostovaných platebních stránek nebo integrací iframe.

Identifikací přesného místa, kde jsou zpracovávána primární čísla účtů (PAN), audit zajišťuje, že rozsah PCI DSS obchodníka je co nejužší, což snižuje náklady na roční hodnocení.

Obecně se doporučuje provádět úplný audit ročně nebo po jakékoli významné změně infrastruktury, jako je přidání nové brány nebo expanze na nový kontinent. Časté audity jsou obzvláště důležité v kontextu měnících se předpisů, jako je PSD3, nebo aktualizací pravidel schémat zavedených společnostmi Visa a Mastercard.

Pravidelné revize zajišťují, že platební stack zůstává optimalizován proti měnícím se referenčním hodnotám v míře autorizace a že obchodní podmínky zůstaly v souladu s aktuálním objemem zpracování obchodníka.

MCC je primárním faktorem při určování mezibankovních sazeb uplatňovaných schématy. Audit ověřuje, zda jsou obchodní aktivity obchodníka správně klasifikovány.

Chybná klasifikace může vést k vyšším nákladům na mezibankovní poplatky nebo zvýšené kontrole ze strany akceptantů, což může mít za následek vyšší míru zamítnutí nebo dokonce pokuty.

V některých případech může mít obchodník nárok na MCC s nižšími náklady, pokud se jeho obchodní model změnil, a audit identifikuje tyto příležitosti k reklasifikaci a úspoře na každé transakci.