加盟店契約で定められた Payment Card Industry Data Security Standard (PCI DSS) の検証を完了していない場合、PCI 非準拠の手数料が科される可能性があります。これは、アクワイアラーまたは決済代行業者が処理費用に上乗せする月額の追加料金です。この料金は請求サイクルごとに発生し、PCI DSS 準拠の基準を満たしたことを証明する書類を提出するまで、明細書に記載され続けます。PCI 非準拠の手数料は、ビジネスが準拠していない期間に応じて、月額 25 ドルから 10 万ドルの範囲になる場合があります。
以下では、誰が最終的にこれらの手数料を支払うのか、その理由、通常発生する費用が未然に防ぐべきペナルティと比べてどうなのか、そして何が請求のトリガーになるのかについて説明します。
この記事でわかること
PCI 非準拠の手数料は、カードネットワークではなく、アクワイアラーによって請求されます。これは、検証されていないビジネスに対するアクワイアラーの負債を相殺するための手段です。
未然に防ぐよう設計されたカードネットワークのペナルティや情報漏洩コストと比較すると、手数料自体は少額です。
適切な自己問診票 (SAQ) に回答し、カード保有者データが自社のシステムに触れる機会を減らすことが、請求を解消するための最も早い方法です。
PCI 非準拠の手数料とは何ですか？
PCI 非準拠の手数料とは、ビジネスが加盟店契約で義務付けられている PCI DSS の検証を完了していない場合に、ビジネスのアクワイアラーまたは決済代行業者が追加する月額の追加料金です。
ビジネスごとに検証要件は異なります。カードネットワークは、年間の取引量に基づいてビジネスを 4 つのレベルに分類します。年間数百万件の取引を処理するビジネスは、数千件のビジネスよりも厳格なドキュメントの提出に直面します。カードデータを自社のサーバーで直接処理するビジネスは、決済入力フィールドをホスト型またはトークン化ソリューション経由でルーティングするビジネスよりも大きな準拠責任を負います。設定ごとに監査が必要な範囲が変わるためです。
誰が PCI 非準拠の手数料を支払うのか、そしてその理由とは？
ビジネスが PCI 非準拠の手数料を支払います。カードネットワークが基準を設定しているにもかかわらず、非準拠のビジネスで情報漏洩が発生した場合、アクワイアラーが負債を負うため、加盟店契約を通じてそのリスクを下流に押しやります。
一部の決済プロセッサーは、準拠監視を標準契約にバンドルし、猶予期間の後に自動的に請求を開始しますが、他のプロセッサーはオプトインプログラムを必要とし、繰り返しの通知を無視するビジネスにのみ請求します。
PCI 非準拠の手数料はいくらかかりますか？
アクワイアラーは通常、最初の数カ月間、またはビジネスが準拠を検証するまで、月額 25 ドルから 50 ドルの間を請求します。問題が 6 カ月経っても解決されない場合、罰金は月額 5,000 ドルから 10 万ドルに跳ね上がる可能性があります。
ビジネスが非準拠の間に情報漏洩が発生した場合、ビジネスははるかに深刻な結果に直面する可能性があります。カードネットワークは、ネットワーク、情報漏洩の深刻度、およびビジネスが準拠を検証せずに経過した期間に応じて、5,000 ドルから 10 万ドルの範囲のペナルティを科す場合があります。情報漏洩後に非準拠が判明したビジネスは、特定のカードタイプの受け付け機能を失い、数万ドルに上るフォレンジック調査費用に直面し、影響を受けたすべての顧客に対するカードの再発行コストを負担する可能性もあります。
PCI 非準拠の手数料のトリガーは何ですか？
PCI 非準拠の手数料は、情報漏洩が発生したかどうかではなく、ドキュメントとプロセスに結び付いています。
以下のシナリオでは、手数料が発生する可能性があります。
SAQ 期限の超過: アクワイアラーまたはその準拠ベンダーは通常、記入済みの自己問診票 (SAQ) を提出するための期限を設定します。提出せずにその日付を過ぎると、次の請求サイクルで手数料が有効になります。
準拠証明書の期限切れ: PCI 準拠は毎年再検証されます。準拠証明書を失効させることは、一度も完了したことがない場合と同じ手数料のトリガーとなります。
脆弱性スキャンの失敗: より高い準拠レベルのビジネスは、認定スキャンベンダーによる四半期ごとのネットワークスキャンを必要とします。スキャンの失敗またはスキップは、SAQ のステータスに関係なく、単独で手数料のトリガーとなる可能性があります。
処理量または方法の変更: より高い準拠階層への移行、またはホストされた決済からビジネスがより多くのカードデータを直接処理する設定への切り替えにより、準拠要件がリセットされ、検証の時計が再スタートする可能性があります。
PCI 非準拠の手数料の支払いを停止する手順とは？
手数料をなくすには、ビジネスに適用される検証経路を完了し、それを最新の状態に保つことが重要です。
具体的な方法は以下の通りです。
加盟店レベルと適用される SAQ を確認する: 準拠レベルは、年間の取引量と、ビジネスがカードデータをどれだけ直接処理するかによって設定されます。準拠レベルにより、8 種類の SAQ タイプのうちどれが適用されるかが決まります。カードの入力フィールドが自社のサーバーにまったく触れない、完全にホストされた決済を使用するビジネスは、通常、最も短い形式の SAQ A に該当します。カードデータをより直接的に処理するビジネスは、ネットワークのセグメンテーション、暗号化、アクセス制御をカバーする、より長い問診票に直面することになります。
入力前にスコープを縮小する: ビジネスが直接触れるカード保有者データ環境 (CDE)が少ないほど、適用される SAQ はシンプルになります。決済入力フィールドをホストされた iframe またはトークン化サービスを介してルーティングすると、生のカード番号を保護する負担がそのデータを処理するプロバイダーに移り、多くの場合、ビジネスは SAQ A に引き下げられます。
SAQ および必要なスキャンを完了する: 問診票に正直に回答し、ビジネスのレベルで必要な場合は認定スキャンベンダーを介して脆弱性スキャンを実行し、準拠証明書に署名します。
カードネットワークだけでなく、プロセッサーまたはアクワイアラーに提出する: 手数料は銀行から発生するため、銀行は通常、加盟店のステータスを追跡するために使用する準拠ポータルを通じて、ドキュメントを直接受け取る必要があります。
再検証のために定期的なお知らせを設定する: 準拠は毎年期限切れになります。非準拠に戻る最も早い原因は、これを年次タスクではなく 1 回限りのタスクとして扱うことです。
Stripe は、利用するビジネスに代わってカード保有者データを保存および処理し、PCI DSS レベル 1 認定インフラストラクチャーを備えているため、カードデータを完全に Stripe 経由でルーティングするビジネスは、PCI スコープを縮小できます。これにより、ビジネス自体が SAQ を提出する責任がなくなるわけではありません。適用される問診票と、カード保有者データ環境のどの程度がビジネス自身の監査対象範囲に含まれるかが変わります。
非準拠の手数料を回避するために PCI 準拠に費用をかける価値はありますか？
計算上、ほぼ常に準拠する方が有利です。すでにホストされた決済システムを使用しているビジネスの場合、SAQ A の入力は通常 1 時間以内で完了します。これを、PCI 情報漏洩後のカードネットワークによるペナルティの範囲、フォレンジックコスト、およびカード詳細が漏洩した際の顧客との関係に対するダメージと比較すると、準拠を支持する理由は明らかです。
最も長く非準拠のままでいるビジネスは、通常、そのトレードオフを意図的に比較検討しているわけではありません。単にフォームを見失っているだけです。これが実際のリスクです。PCI 準拠が高額であることではなく、手数料や情報漏洩によって問題が強制的に浮上するまで、簡単に忘れてしまうということです。加盟店レベルを確認し、どの SAQ が適用されるかを確かめ、毎年のお知らせを設定するコストは、そのまま放置した場合のどちらの結果よりもはるかに低く済みます。
Stripe Payments でできること
Stripe Payments は統合型のグローバル決済ソリューションです。成長中のスタートアップから大企業まで、あらゆるビジネスがオンライン、対面、世界各地でスムーズに決済を導入できます。
Stripe Payments の特徴
決済体験の最適化: 構築済みの決済 UI、125 種類以上の決済手段、Stripe が構築したウォレット「Link」により、スムーズな顧客体験を実現するとともに、数千におよぶ開発時間を削減します。
新市場へのスピーディーな展開: 195 カ国、135 以上の通貨で利用可能な決済オプションにより、世界中の顧客にリーチし、多通貨管理の複雑さとコストを削減します。
対面とオンライン決済の統合: オンラインと対面を統合したコマース体験を構築。顧客とのやり取りをパーソナライズし、ロイヤルティを高め、収益拡大を促進します。
決済パフォーマンスの向上: ノーコードの不正利用対策や承認率改善のための高度な機能など、カスタマイズ可能で設定が簡単な決済ツールで収益を増加させます。
柔軟で信頼性の高いプラットフォームで事業成長: 業界最高レベルの信頼性を備えたプラットフォーム上でビジネスを構築し、拡大。稼働時間は 99.999% を誇ります。
Stripe Payments のオンラインおよび対面決済について、詳しくはこちらをご覧ください。今すぐ 開始する場合はこちら。
この記事の内容は、一般的な情報および教育のみを目的としており、法律上または税務上のアドバイスとして解釈されるべきではありません。Stripe は、記事内の情報の正確性、完全性、妥当性、または最新性を保証または請け合うものではありません。特定の状況については、管轄区域で活動する資格のある有能な弁護士または会計士に助言を求める必要があります。