Glossaire
SAQ (questionnaire d'auto-évaluation)
En bref
Un SAQ PCI DSS est un outil de validation que les commerçants et prestataires de services éligibles utilisent pour réaliser et déclarer leur propre auto-évaluation PCI DSS. Il en existe plusieurs versions, adaptées à différents scénarios de paiement.
Un questionnaire d'auto-évaluation (SAQ) est un outil de validation qui permet de déclarer les résultats d'une auto-évaluation PCI DSS. Il s'adresse aux commerçants et aux prestataires de services éligibles au SAQ, c'est-à-dire ceux auxquels un acquéreur ou une marque de paiement n'impose pas de soumettre un rapport de conformité complet (Report on Compliance) 1. L'éligibilité dépend des programmes de conformité des marques de paiement et des critères définis dans le SAQ retenu 1.
Il existe plusieurs types de SAQ, chacun correspondant à un environnement de paiement. Le SAQ A, par exemple, concerne les commerçants qui traitent des paiements sans présentation de la carte et qui externalisent entièrement les fonctions liées aux données de compte à des tiers conformes, tandis que le SAQ B concerne les terminaux à empreinte manuelle et les terminaux autonomes à connexion par ligne commutée 8. Le SAQ D s'adresse aux commerçants éligibles qui ne correspondent à aucun autre type 3. Les prestataires de services autorisés à s'auto-évaluer utilisent uniquement le SAQ D pour prestataires de services 8.
En pratique, une agence doit :
- rapprocher son environnement de paiement des critères d'éligibilité des SAQ et vérifier qu'elle les remplit tous avant de commencer 12 ;
- ne pas présumer qu'un SAQ reste identique entre PCI DSS v3.2.1 et v4.x, et lire intégralement la version en vigueur 2 ;
- vérifier auprès de son acquéreur ou des marques de paiement si elle peut recourir à un SAQ, et s'ils ont des instructions particulières 18.
Le SAQ applicable est déterminé par la manière dont l'agence traite réellement les cartes et par les exigences de l'acquéreur ou de la marque de paiement, et non par une préférence 2.
Sources
- 1PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), page 6
- 2PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), 3. For each requirement that was met with a compensating control, respond to that requ..., page 10
- 3PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), P2PE solutions on the PCI list of Point-to-Point Solutions with Expired Validations are..., page 27
- 8PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), 3. For each requirement that was met with a compensating control, respond to that requ..., page 8
Pour aller plus loin
- Comment nous pouvons aider: SAQ PCI DSS
Les définitions sont rédigées uniquement à partir des documents de référence de l'IATA et du BSP, et chaque règle cite le passage sur lequel elle s'appuie. Les règles peuvent varier selon le marché et la compagnie : vérifiez les procédures locales de votre BSP avant d'agir. Wisepassenger est indépendant et n'est pas affilié à l'IATA.
