期望確認理論

期望確認理論（Expectation Confirmation Theory, ECT）由學者 Richard L. Oliver 於1980年提出，是解釋顧客滿意度與購後行為的核心理論。其主要論點為：滿意度並非取決於產品或服務的絕對品質，而是取決於「使用者事前期望」與「實際感受績效」之間的比較結果。當績效符合期望時，產生「確認」，帶來滿意；績效超越期望時，為「正向不確認」，帶來高度滿意；若績效未達期望，則為「負向不確認」，導致不滿。在個人資訊管理系統（PIMS）的脈絡下，此理論對於資料外洩事件的回應至關重要。根據台灣《個資法》第12條規定，企業應在查明後以適當方式通知當事人。然而，一個「適當」的回應不僅是法律上的通知，更需滿足當事人的心理期望。若企業的道歉、補償或補救措施未能達到用戶預期，將導致嚴重的信任危機，違反如 GDPR 第5條所揭示的「當責性」原則，並衝擊 ISO/IEC 27701 所要求的利害關係人關係管理。

企業可透過期望確認理論優化其風險溝通與事件應變計畫，特別是針對個資外洩事件，具體步驟如下： 1. **建立期望基準**：在事件發生前，透過問卷調查、焦點團體或市場分析，了解用戶對於個資外洩事件的期望反應為何，例如：他們期望在多少小時內收到通知？期望何種形式的道歉（CEO公開信、客服郵件）？期望何種補償（信用監測服務、現金賠償）？此步驟對應 ISO 31000 風險評鑑中的「風險識別」與「情境建立」。 2. **設計符合期望的回應策略**：根據期望基準，設計分級式的事件回應劇本（Playbook）。例如，針對不同嚴重程度的事件，規劃對應的溝通口徑、道歉層級與補償方案，確保啟動的方案能有效「確認」或「正向不確認」用戶期望。此為 ISO 22301（營運持續管理）中應變計畫的一環。 3. **衡量與持續改善**：事件回應後，立即對受影響用戶進行滿意度調查，衡量他們對處理過程的「實際感受績效」，並與事前的期望基準進行比較。分析滿意度差距，將結果作為改善應變計畫的依據，符合 ISO/IEC 27001 A.16.1.7「資訊安全事故管理改善」的PDCA循環精神。透過此流程，企業可將用戶流失率降低約15%，並提升品牌信任度。

台灣企業在應用期望確認理論管理個資外洩風險時，主要面臨三大挑戰： 1. **文化期望的差異**：台灣消費者對於「道歉」的期望，可能更重視態度誠意、層級對等，而非制式化的法律聲明。跨國企業若直接套用總部範本，容易因不符文化期望而引發更大反感。 **對策**：企業應進行本土化的期望研究，建立符合台灣民情的溝通策略。應變計畫中應明確定義由何種層級的主管（如總經理或執行長）出面道歉，並擬定更具同理心與誠意的溝通文稿。 2. **中小企業資源限制**：台灣多數中小企業缺乏專職的公關或法務團隊，難以在第一時間規劃並執行大規模的補償方案。 **對策**：資源有限的企業應將重點放在「及時性」與「透明度」。根據研究，一個迅速、坦誠且持續更新資訊的溝通，其效果往往勝過延遲的物質補償。可優先建立標準化的內部通報流程與外部溝通模板，確保在事發後24小時內完成初步應對。 3. **重法遵、輕感受的心態**：部分企業認為只要依法完成主管機關通報與當事人通知，即已盡到責任，忽略了用戶的心理感受與信任修復。 **對策**：高階主管需轉變思維，將用戶信任視為核心資產。應將「用戶信任衝擊」納入年度風險評鑑的關鍵指標，並在內部推動隱私保護文化，定期舉辦模擬演練，讓員工理解管理用戶期望的重要性。優先行動項目為將用戶滿意度納入事件應變的績效指標（KPI）。