我是認為本來就已經做了很多事情做得滿完備的，然後這個驗證不是憑空生出來的，只是把過去做的一些事情整理，套進一些方法學進來，我們有第三方比較客觀來提供一些看法，這裡面因為是第一次驗證，所以這裡面缺了一塊證據。所謂「做你所說、說你所做」，因為證據還沒有產生，有很多東西我們是未來要看它有沒有實施某些事情，當然處理這個過程是沒問題，可是譬如說你後續可能要做一些像內部稽核，比如說我們有一些控制措施是要求如果萬一真的被人家去投訴說你這裡面揭露我的個資，怎麼要去應對？有沒有什麼緊急應變計畫？這個我們在控制措施裡面有要求，可是因為這個是第一次，所以實際上也沒有發生過的事情，他們可能只能拿出來一些程序、有一些步驟，甚至有一些機制可以來應付後續產生的這一些事情。