內部稽核

某個星期二下午兩點，三位行政檢查委員走進你的會議室。寒暄之後，其中一位翻開公司的個人資料檔案安全維護計畫，問：「這份計畫有對應到施行細則第 12 條第 2 項的十一款嗎？」

會議室安靜了五秒鐘。

這是《從合規到治理：台灣個資法全方位導入指南》第一章的開場情境。書裡接著寫：這本書是寫給這五秒鐘的。

文件明明都在，為什麼問題一來，還是沒有人能把制度怎麼運作說清楚？

很多企業把「個資事件調查」想成危機發生後的補救程序：先止血、再寫報告、最後交代。
但在實務上，真正決定事件損害大小的，往往不是你出事後有沒有寫出漂亮報告，而是你出事前有沒有把調查機制設計進日常治理。

事故辨識與分級、證據保全、根因分析、通報決策、改善落地。這些能力如果只在事故當天才臨時啟動，通常都太晚。