技術情報/コラム TECHNICAL INFORMATION/COLUMN

PCI DSS2026.06.01

ROCとAOCの関係について ― AOCはROC確定前に発行できるのか? ―

PCI DSSオンサイト評価をご検討中のお客様から、「インタビューや設定確認が完了した段階で、コンプライアンス証明書（AOC）を先行して発行できないか」というご相談をいただくことがあります。
サービス利用者への提示や、当局への提出期限など、背景にはさまざまな事情があると考えられます。しかしながら、この点についてはPCI DSSのルール上、明確に認められていません。

AOCはROC確定後に発行されるもの

PCI SSC（Payment Card Industry Security Standards Council）の公式FAQ（#1375）でも、この点は明確に示されています。

AOCは、PCI DSSの要件および評価手順に基づく最終的な評価結果を宣言する文書です。
そのため、AOCの内容はROCに記載された評価結果を前提として作成されます。
実際にAOCの記載にも、以下の趣旨が明記されています：

• AOCは、ROCに文書化されたオンサイト評価結果を反映するものである
• 評価日などの情報はROCと整合している必要がある

これらの要件からも、ROCの確定がAOC作成の前提条件であることが読み取れます。

なぜ順序が重要なのか

このFAQは2016年に公開されたものですが、現在においても評価人向けのガイダンス等で繰り返し言及されており、重要なルールとして位置付けられています。
AOCは単なる証明書ではなく、評価結果に対する正式な宣言文書です。そのため、評価内容が完全に確定していない段階で発行することは、評価プロセスの信頼性を損なうことにつながります。

PCI DSS v4.0でさらに明確化されたポイント

PCI DSS v4.0では、ROCの内容について、評価人（QSA）と評価対象事業体の双方が合意することが明確に求められるようになりました。
AOCにおける評価対象事業体の役員署名は、単なる形式的なものではなく、ROCの内容に対する正式な合意を示すものとして扱われます。
この観点からも、ROC確定前にAOCを発行することは、制度の趣旨に反するものと言えます。

弊社の対応について

弊社では、こうしたPCI DSSのルールを確実に遵守するため、お客様と協議のうえ、適切な評価期間（標準：約3カ月）を設定しております。
評価スケジュールの検討段階からご相談いただくことで、提出期限や社内調整も含め、無理のない進行をご提案することが可能です。

まとめ

• AOCはROC確定後に作成・発行される文書である
• ROC確定前のAOC発行はPCI DSS上認められていない
• v4.0ではROC内容への合意がより重要になっている

AOCとROCの関係を正しく理解し、適切な評価プロセスを踏むことが、コンプライアンスの確実な達成につながります。

＜参考URL＞
コンプライアンス報告書（ROC）が確定する前に、評価対象企業に対してコンプライアンス証明書（AOC）を提供することは可能ですか?
https://www.pcisecuritystandards.org/faqs/1375/

この記事をシェアする