Payment Stack Audit

Eine umfassende Prüfung dauert in der Regel vier bis sechs Wochen. Die erste Phase umfasst die Datenerfassung, bei der Historien und Transaktionsprotokolle von allen Gateways und Acquirern gesammelt werden.

Es folgt eine zweiwöchige Analysephase, in der Berater Ablehnungsgründe kategorisieren und die Kosten jeder Transaktion mit den Gebührenplänen der Schemes abgleichen. Die letzte Phase beinhaltet eine technische Überprüfung der aktuellen API-Integrationen, um sicherzustellen, dass sie modernen Standards wie PSD2 entsprechen.

Das Ergebnis ist ein Bericht, der spezifische technische und kommerzielle Bereiche detailliert, die sofortige Aufmerksamkeit erfordern, um die Leistung zu stabilisieren oder zu verbessern.

Prüfer analysieren die über das Gateway zurückgegebenen Roh-Response-Codes. Technische Fehler manifestieren sich oft als Timeouts oder Gateway-Fehler (Standard 5xx oder spezifische PSP-Codes), während Issuer-Ablehnungen Codes wie 05 (Do Not Honour) oder 62 (Restricted Card) liefern.

Durch die Korrelation dieser Codes mit Transaktionsmetadaten können Prüfer feststellen, ob eine Ablehnung auf eine schlechte Datenqualität des Händlers, wie z. B.

fehlende CVV, zurückzuführen ist oder ob die Risiko-Engine des Issuers die Transaktion aufgrund des Profils des Karteninhabers ablehnt.

Ja, ein Audit dient als notwendige Beweisphase für diesen Übergang. Eine Mischpreisgestaltung verschleiert oft die zugrunde liegenden Kosten verschiedener Kartentypen, wie z.

B. Firmen- oder Premiumkarten.

Durch die Prüfung der Transaktionshistorie können Berater berechnen, wie hoch die Kosten unter einem Interchange-Plus-Plus (IC++)-Modell gewesen wären.

Diese Daten ermöglichen es dem Händler, die genaue Marge zu sehen, die der PSP über den Scheme-Gebühren und Interchange einnimmt, was ihm die nötige Verhandlungsbasis verschafft, um eine transparentere und oft kostengünstigere Preisstruktur anzufordern.

Obwohl es keine formelle Anforderung für die PCI-DSS-Zertifizierung selbst ist, deckt ein Payment Stack Audit oft Sicherheitslücken auf, die die Zertifizierung behindern würden. Es untersucht, wie sensible Daten durch die Umgebung fließen und ob der Händler das Risiko erfolgreich über gehostete Zahlungsseiten oder Iframe-Integrationen auslagert.

Indem genau identifiziert wird, wo primäre Kontonummern (PAN) verarbeitet werden, stellt das Audit sicher, dass der PCI-DSS-Umfang des Händlers so eng wie möglich ist, wodurch die Kosten für jährliche Bewertungen reduziert werden.

Es ist im Allgemeinen ratsam, jährlich oder nach jeder wesentlichen Änderung der Infrastruktur, wie dem Hinzufügen eines neuen Gateways oder der Expansion in einen neuen Kontinent, ein vollständiges Audit durchzuführen.

Häufige Audits sind besonders wichtig im Kontext sich ändernder Vorschriften wie PSD3 oder Aktualisierungen von Scheme-Regeln, die von Visa und Mastercard eingeführt werden.

Regelmäßige Überprüfungen stellen sicher, dass der Payment Stack im Hinblick auf sich ändernde Benchmarks bei den Autorisierungsraten optimiert bleibt und dass die kommerziellen Bedingungen mit dem aktuellen Verarbeitungsvolumen des Händlers übereinstimmen.

Der MCC ist ein primärer Faktor bei der Bestimmung der von den Schemes angewandten Interchange-Raten. Ein Audit überprüft, ob die Geschäftsaktivitäten des Händlers korrekt klassifiziert sind.

Eine Fehlklassifizierung kann zu höheren Interchange-Kosten oder einer erhöhten Kontrolle durch Acquirer führen, was zu höheren Ablehnungsraten oder sogar Strafen führen kann.

In einigen Fällen kann ein Händler für einen kostengünstigeren MCC berechtigt sein, wenn sich sein Geschäftsmodell geändert hat, und ein Audit identifiziert diese Möglichkeiten, die Klassifizierung neu vorzunehmen und bei jeder Transaktion zu sparen.