别把客户的通讯录当成免费媒体企业微信与社群的信任经营法

企业微信与普通广告渠道的差异，首先体现在关系入口。广告位通常由媒体在特定时间提供，企业购买展示或点击；通讯录位置则由客户在一次具体交互中保留，可能源自咨询、下单、售后、参加课程、加入会员、健康干预或B2B项目协作。客户允许企业继续出现，是因为这条通道预期能降低未来的搜索、等待、沟通或履约成本。企业若把这份便利转换成无上限发送权，就改变了关系成立时的交换条件。

关系使用权至少受四项条件约束。其一是客户任务，联系内容要能解释为完成或维护某个真实任务。其二是选择范围，客户应理解谁在联系、为何联系、信息会如何使用，并能拒绝不需要的部分。其三是服务兑现，导购、客服、门店、总部和系统对外表达必须有能力履行。其四是救济能力，错误发送、错误判断或权益争议出现后，客户能及时找到有权限的人，企业能停止、纠正、补偿并回写状态。这四项共同决定企业还能否合理使用这段关系。

图1｜关系使用权由四项条件共同支撑

来源：本报告根据《个人信息保护法》、消费者保护规则与服务关系研究归纳。

注：机制图不代表法律权利的统一量化评分。

图中的四项条件互相依赖。客户任务清楚但退出困难，关系仍然脆弱；同意记录完整但服务长期失约，客户也会迁移；自动化回答很快却无法转人工，企业得到的是短期效率和长期风险。董事会应把“能联系”改写成“在当前目的、当前频率和当前责任能力下仍可联系”，使关系状态可随事实变化。

腾讯年度与季度材料提供了理解规模边界的典型例子。2025年年报第4页披露，微信及WeChat合并月活跃账户由2024年末13.85亿增至2025年末14.18亿；2026年第一季度材料第2页披露，截至3月31日为14.32亿。[S07][S08] 这些数字说明生态仍有巨大活跃基础，却不包含某家企业取得联系的理由、客户是否接受商业触达、客户是否已经沉默或关系是否产生增量。平台分母越大，企业越需要防止把外部规模写成内部资产。

图2｜微信及WeChat合并月活跃账户持续增长

来源：腾讯控股《2025年年度报告》，第4页；《2026年第一季度业绩材料》，第2页。

注：单位为百万账户；账户与自然人并非一一对应，平台规模不能换算为单个企业关系资产。

原始材料定位｜腾讯控股《2025年年度报告》PDF第4页的“Operating Information”列示期末合并月活账户；《2026年第一季度业绩材料》PDF第2页继续列示2026年3月数据。两份材料的统计对象均为微信及WeChat合并账户，账户与自然人并非一一对应，也没有分拆企业微信外部联系人或单个企业的客户关系。

关系使用权还会因组织动作而变化。员工离职继承能够保持服务连续，却可能把一段原本依赖个人专业信任的关系交给陌生人；总部统一群发能够提高执行效率，却可能与门店售后、区域活动或代理商邀约撞车；小程序把咨询和交易连起来，可以减少客户步骤，也可能把必要服务与无关授权捆绑。每一次迁移、扩用和自动化都需要重新审视客户原先为什么留下这条通道。

平台官方说明称，企业微信支持连接微信、统一专业身份、连接小程序，并让客户关系沉淀在企业侧，避免员工离职带走关系。[S09] 这项能力解决组织连续性，董事会同时要管理两项后果：企业获得更强的协调能力，也承担更完整的责任。客户看到的对话可能来自员工、系统或第三方应用，企业不能把错误归咎于某个账号或供应商。

受限案例｜智慧停车扫码缴费：必要任务不应被入口设计扩张

2026年1月，最高人民检察院公布个人信息保护检察公益诉讼典型案例，其中一项涉及河北保定徐水区智慧停车场扫码缴费。案例披露，相关治理覆盖18家停车场，推动148项安全漏洞整改，并规范处置敏感个人信息2.8万余条。[S06] 争议的经营实质很清楚：客户在离场时需要完成缴费，这是一项时间敏感、选择空间很小的必要任务。

当缴费流程同时要求关注账号、加入会员、提供超出必要范围的信息或接受后续营销，客户表面的点击难以证明自由选择。入口掌握着离场便利，企业又希望获取长期关系，两种目的叠加后，强迫感和数据风险随之上升。案例推动纯净二维码、最小必要收集、访问控制、加密脱敏、身份验证和隐私政策整改，说明治理并非只改一段文字，而要修正入口与后台。

该案没有披露停车场的营收损失、投诉率或整改后的客户满意度，因此不能把它写成“减少收集会提高收入”的商业证明。它提供的是更基础的边界证据：客户为完成必要任务进入数字入口，企业不应利用流程阻断换取额外关系权利。

可复制条件包括把缴费、开票、会员和营销拆成不同选择；先允许客户完成核心任务，再由客户主动决定是否保留长期联系；后台按最小必要访问；撤回后同步停止营销。对门店、医院、学校和物业等强入口场景，这类设计比追求一次扫码后的留资率更能保护长期信任。

董事会可以用三组证据判断关系是否仍可使用。第一组是客户任务证据，包括入口来源、当前阶段、未结问题和最近一次服务结果。第二组是选择证据，包括告知、同意或其他合法基础、偏好、拒绝、退出和删除状态。第三组是责任证据，包括当前负责人、允许承诺范围、人工接管、投诉、补救和知识版本。缺失任何一组，都应降低自动化和触达强度。

表2｜关系状态决定企业可以采取的动作

来源：《个人信息保护法》《消费者权益保护法实施条例》及本报告归纳。

季度审议不应只听增长汇报。管理层需要展示哪些关系因任务完成而进入低频或归档，哪些群因共同任务消失而关闭，哪些自动化因错误或风险信号暂停，哪些未结承诺已经转交并被客户确认。关系治理有收缩动作，反而说明组织保留了停止能力。

对资本配置而言，关系使用权还要求财务与客户运营共享分母。新增好友、群成员、可见人数、会员记录、活跃交易客户、增量购买和净贡献不能混成同一漏斗。董事会应先问每个数字统计谁、在什么时间内发生何种行为，再决定是否进入经营资产。否则，规模会遮蔽沉默账户、渠道迁移和服务负债。

关系负债会随着规模一同积累

通讯录规模增长时，企业同时积累一批尚未兑现的义务。客户等待中的维修、退款、发票、积分、课程答疑、项目变更和健康咨询，都会形成未结服务；导购或机器人已经给出的到货、价格、资格和时限表达，会形成承诺；来源不明的历史名单、无法同步的退出和无人维护的群，则形成治理负债。这些项目不会自动出现在好友数或群成员报表里，却会在投诉、赔付、重复服务、员工交接和客户迁移时转化为真实成本。

管理层因此需要把关系规模拆成可服务、待处理、受限和应退出四类。可服务关系有清楚任务、责任人和适当联系理由；待处理关系存在未结事项，资源优先级高于一般促销；受限关系可能处于投诉、敏感事件、人工接管或保护期；应退出关系已经完成任务、失去合法与经营理由，或客户明确拒绝。四类状态持续变化，不能由一次性标签永久决定。

规模审议还应检查服务容量。新增一万名联系人若没有相应客服、门店、知识、履约和补救能力，企业得到的只是更大的潜在等待队列。自动化可以处理确定性高的重复问题，却会把复杂、情绪化和例外事项集中给人工。若管理层只计算自动回复节省的工时，不计算复杂会话的人工强度和排队成本，就会高估关系资产、低估服务负债。

财务团队可以把未结承诺、异常补救和高风险关系纳入经营附注或管理报表，至少报告数量、账龄、潜在影响和责任部门。这里不必人为给每段关系定价，关键是承认关系既可能贡献未来现金流，也可能要求未来资源。董事会批准扩大触达前，应确认新增关系的服务能力、退出能力和事故恢复能力同步增加。

客户保留企业联系人，常见理由可以归纳为四类。第一类是履约需要，如配送、预约、维修、退款、发票和进度查询；第二类是专业建议，如美妆、汽车使用、企业软件和健康管理；第三类是共同任务，如课程、项目、会员活动或用户社区；第四类是未来便利，客户预计再次购买时能够少走步骤。每一类关系都有不同持续时间、可接受频率和责任要求，统一用“私域用户”概括会抹去这些差异。

高频消费关系的任务往往短而密集，客户愿意保留入口是因为优惠、点单、配送和售后能够快速完成。低频高价值关系可能几个月没有交易，但一次交付、维修或权益争议影响很大。B2B关系周期更长，群内参与者代表不同职能，群消息可能构成项目承诺。健康和教育关系又带有专业责任与脆弱性，客户需要安全空间和清楚的人工边界。任务不同，触达预算与自动化权限必须不同。

图3｜客户保留关系需要任务价值、可信身份与可救济性

来源：本报告结合Grönroos关系营销、Mayer等组织信任模型与服务补救研究归纳。

注：三个条件分别观察，不合成伪精确总分。

图中三角关系说明，客户主动保留需要任务价值、可信身份和可救济性共同支撑。任务价值回答“这条通道替我减少什么成本”；可信身份回答“谁在说话、是否有能力和权限”；可救济性回答“出错后谁能处理、我如何停止”。任何一边长期缺失，关系都会退化成沉默名单。

经典思想｜Christian Grönroos：关系由承诺提出与承诺履行共同构成

Grönroos在1994年发表于《Management Decision》的论文中讨论营销组合视角的局限，把关系营销放在建立、维持和增进客户与伙伴关系的过程中，并强调承诺的提出和履行。[S31] 原作面对的是服务营销和组织协作问题，关注营销不能被隔离成一个只负责传播的部门。

这一主张与企微关系直接相连。导购在会话中承诺库存、到货、价格、退款或服务时间，客户看到的是组织表达；如果门店、供应链、客服和财务无法履行，频繁联系只会放大失约。原作早于平台治理和现行个人信息规则，不能直接给出同意文本和发送阈值。今天的管理含义是把承诺权限、履约责任和补救路径写入关系运营，让每次对外表达能够追溯至真实能力。

专家视角｜Christian Grönroos：客户接触点属于全组织责任

Grönroos的具体观点是，服务组织中的许多员工都会在互动中承担营销作用。他没有主张“多联系客户”。其上下文是关系维护和承诺兑现，因此适合解释总部、区域、门店、导购与客服如何共同影响客户判断。它不适合被用来为无限触达辩护。本报告据此判断：企微运营负责人只能编排关系，不能替代业务部门对承诺的最终责任。

经典思想｜Mayer、Davis与Schoorman：信任包含能力、善意和正直

Mayer、Davis与Schoorman在1995年的组织信任整合模型中，把信任与愿意承担脆弱性联系起来，并区分能力、善意和正直三个可信特征。[S32] 该模型处理组织情境中的风险和受托关系，提醒管理者不要把熟悉、喜欢或响应速度直接等同于信任。

客户在通讯录中保留企业，也在承担一定脆弱性：个人信息可能被扩用，导购建议可能影响购买，自动回答可能影响权益决定。回复很快只覆盖能力的一小部分；客户还会观察企业是否顾及其利益，是否遵守公开规则。该理论不能替代法律同意和个人权利，但能帮助董事会解释为何高触达、高响应仍可能伴随信任下降。

专家视角｜Roger C. Mayer、James H. Davis与F. David Schoorman：速度不能代表完整可信度

三位作者的模型来源于组织行为理论，适用价值在于拆开“可信”的不同成分。对客户服务而言，能力可由解决率和知识准确度观察，善意可由是否尊重客户选择和避免不必要打扰观察，正直可由价格、权益和承诺一致性观察。模型没有给出企微评分表，本报告也不把三项合成伪精确指数；管理层应保留每项独立证据和反例。

客户进入企业微信或社群，可能基于同意，也可能基于合同履行、法定义务或其他适用基础。经营团队常见的错误是把“已经是客户”当成统一答案：既然发生过交易，就可以做所有后续分析、跨部门共享和商业触达。个人信息保护的目的限制要求更细的判断。企业需要说明当时为何收集、哪些角色参与、信息如何传递、保存多久、客户如何行使权利，并在目的发生实质变化时重新评估。

原始材料定位｜《中华人民共和国个人信息保护法》第六条要求处理目的明确、合理并与目的直接相关；第十四、十五条涉及知情、自愿、明确同意和撤回；第二十四条涉及自动化决策透明、公平、公正以及拒绝、说明等权利；第四十四条以后规定个人权利和处理者义务。[S01] 这些条文共同说明，关系状态需要持续维护，无法用一张历史授权截图覆盖全部生命周期。

图4｜目的与选择贯穿关系生命周期

来源：《中华人民共和国个人信息保护法》《消费者权益保护法实施条例》及本报告归纳。

注：目的、主体、触点或风险实质变化时，需要重新判断联系范围。

目的治理应进入日常运营，而非仅留在隐私政策。新增入口时记录任务和来源，触达前检查当前目的与客户偏好，发送后回写结果，客户撤回或任务完成时同步停发、降频、归档或删除。若服务通知中夹带促销、售后群被改成招商群、课程群转为长期广告群、导购客户被移交给不相关品牌，参与者、信息内容或传递规则发生变化，就需要重新判断。

经典思想｜Helen Nissenbaum：隐私取决于情境中的适当信息流

Nissenbaum在2004年的《Privacy as Contextual Integrity》中指出，隐私评价不能只靠公开与秘密二分，而应观察特定情境中的参与者、信息属性和传递规范。[S33] 原作讨论顾客卡、公共监控和生物识别等现象，试图解释为什么已经披露的信息仍可能被不当使用。

这一思想适合解释跨触点扩用。客户为配送提供地址，能够支持履约，却未必支持广告分群；客户在医疗群描述症状，能够支持专业服务，却不应自动进入其他产品推荐。情境完整性属于规范理论，不替代中国法律，也不给出统一频率。管理含义是每次跨主体、跨目的、跨渠道迁移都要记录变化，并让客户拥有可理解的选择。

专家视角｜Helen Nissenbaum：已收集不等于可任意流转

Nissenbaum的具体主张聚焦信息流是否符合情境规范。用于企业微信时，管理层应检查谁在发送、客户当时承担什么角色、使用了哪类信息、传给谁、依据何种规则。该视角能够补充法律原则，却不能替代法务结论。本报告据此要求关系账本保存“使用理由”和“传递规则”，而非只保存标签和联系人ID。

退出是关系治理的关键动作。《消费者权益保护法实施条例》第二十四条要求，未经消费者同意或者请求，经营者不得发送商业性信息或拨打商业性电话；消费者同意接收时，应提供明确、便捷的取消方式，取消后应立即停止。[S03] 企业若允许短信退订却继续由导购私聊，或在一个群退出后继续通过朋友圈、电话和代理商触达，技术上完成了局部操作，经营上仍未尊重客户选择。

退出状态要以客户为单位传播，至少覆盖营销群发、个别员工触达、客户群、朋友圈名单、小程序订阅、短信、电话和代理商名单。服务必要通知可以根据任务继续，但应与营销分开，并让客户知道为何仍会收到。停止不等于删除全部业务记录，保留依据和期限需另行判断；关键是系统能够解释哪些处理继续、哪些已经结束。

表4｜触达目的应与选择、动作和退出方式一一对应

来源：[S01][S03][S04][S05]。

表中的目的状态应在业务动作发生前发挥约束。活动团队不能在名单导出后才询问可否发送，数据团队不能把所有标签默认开放给门店，智能助手不能把一次咨询中的敏感内容长期作为推荐依据。最低必要的设计是让用途、数据范围、动作、责任人、截止日期和退出路径一起进入任务批准。

广告可识别性也属于目的透明。国家市场监督管理总局《互联网广告管理办法》第九条要求互联网广告具有可识别性；以知识介绍、体验分享、消费测评等形式推销商品或服务并附加购买方式时，需按规则显著标明。[S04] 社群内容常以服务和知识为外观，若商业目的被刻意隐藏，客户难以判断是否继续接受关系。

企业可以把触达分成必要服务、客户主动请求、关系维护和商业推广四类。必要服务优先完成任务；客户主动请求以问题为边界；关系维护需要明确价值和低打断；商业推广必须满足同意、可识别和退出要求。四类内容若混在同一消息中，客户无法单独拒绝促销而保留服务，关系使用权会被不必要地消耗。

目的变化还包括组织主体变化。品牌并购、加盟商切换、代理商更换、导购离职或客户成功团队外包，都可能改变谁能接触数据和谁对承诺负责。企业应在迁移前评估客户预期、合同与委托关系，必要时告知或重新选择，并确保旧主体删除或归还超出保留范围的数据。

董事会的审议重点应落在异常情形。历史名单无来源、退出后仍收到消息、敏感信息被用于推荐、服务群长期转为促销群、员工导出客户、自助入口捆绑关注、自动化无法解释使用依据，都属于关系基础不稳的信号。发现这些情形时，应先暂停相关使用，再补证据和修流程；不能以活动排期为由继续扩大。

同意证据需要能够回答具体动作

一份可用的同意或选择记录，至少要回答客户面对什么说明、同意何种目的、涉及哪些信息与触点、由哪个主体使用、何时作出选择、通过什么方式撤回。仅保存“已同意”布尔值，无法解释导购私聊、群发、朋友圈、小程序订阅和代理商联系是否都在范围内。不同业务动作若依赖不同基础，系统也应分别保存，避免服务必要性与商业推广被混成一个状态。

选择界面还要避免用服务阻断迫使客户接受额外目的。停车缴费、医院预约、学校通知、物业报修和售后查询等入口带有明显必要性，客户往往没有充足时间比较。更稳妥的顺序是先完成核心服务，再单独提供会员、内容或推广选择；拒绝额外选择不应降低核心服务质量。强入口获得的高授权率若来自流程压力，长期看可能增加投诉和信任损耗。[S06]

撤回应有明确时限和传播证据。客户在群内说“不要再发”、向导购表达拒绝、点击退订、关闭订阅或向客服投诉，可能都构成需要识别的信号。企业应定义哪些表达由人工确认、哪些动作自动生效、服务必要信息如何继续、下游系统和代理商何时完成同步。若退出只在一个应用内完成，其他触点继续发送，企业很难证明“立即停止”已经落实。[S03]

自动化决策和生成内容增加了透明要求。《个人信息保护法》对自动化决策提出透明、公平、公正以及拒绝、说明等权利要求，[S01] 人工智能生成合成内容标识规则又对相关服务的显式与隐式标识作出要求。[S05] 并非每条辅助草稿都需要相同展示，但当客户可能把机器表达理解成真人判断、专业建议或正式承诺时，主体和责任必须清楚。目的治理由此延伸至表达身份与决策影响，而不只停留在数据收集页面。

客户感受到的是一个组织，企业内部却常按渠道和部门运行。营销团队安排朋友圈，门店导购私聊，客服发送工单通知，会员团队推送小程序，销售或代理商电话跟进。每个动作单独看都可能合理，叠加到同一客户时却形成重复、矛盾或过度打扰。跨触点治理的最小单位应是客户当前任务和关系状态，而非渠道排期。

企业微信开放平台提供客户群列表、群详情、客户详情、朋友圈记录、联系入口和群发任务等能力。[S10][S11][S12][S13][S14][S15] 官方文档反复出现应用可见范围、成员范围、群主、客户范围和授权，这些技术约束说明平台并未把所有客户数据设计成无边界公共池。企业内部治理还应比平台权限更细：能够读取不代表有业务必要，能够群发不代表客户当前适合接收。

图5｜跨触点编排以客户当前状态为中心

来源：企业微信开放平台客户联系、群、朋友圈与群发能力文档；本报告归纳。

注：共享完成任务所需状态，敏感内容与完整会话继续按最小必要控制。

关系账本需要把私聊、群、朋友圈、小程序、客服、门店、短信、电话和代理商事件联到同一客户或同一业务关系。账本的重点在于保存当前任务，完整会话内容无需普遍复制、来源、选择状态、负责人、未结承诺、最近触达、下一动作、风险标记和退出状态。不同岗位只读取完成任务所需的最少信息，敏感内容和完整会话另行控制。

客户状态先于渠道计划，会改变运营会议的顺序。传统会议先看本周要发什么，再选人群；关系经营先判断未结任务、保护期、拒绝状态、人工需求和低打断维护条件，再决定渠道。这样能把触达资源投向有明确理由的客户，同时减少重复轰炸。

表5｜触点的打断强度、表达责任和适用任务并不相同

来源：企业微信官方能力文档与本报告归纳。

不同触点的打断强度和责任不同。私聊直接进入个人会话，导购身份强，容易被理解为个别承诺；客户群具有公开性，成员发言可能暴露个人信息；朋友圈属于较低打断的潜在可见，但可见不代表阅读；小程序适合客户主动完成任务；电话打断强且需要更严格控制。统一预算应让部门在发送前看到其他动作和客户状态。所有触点无须被换算成一个精确分数。

离职继承是跨触点编排的压力测试。平台能力可以把客户关系转交给其他成员，企业还需要交接未结事项、承诺依据、客户偏好、风险和可发送范围。新负责人首次联系应说明身份和接手原因，避免假装关系没有变化。对于强依赖个人专业信任的顾问关系，客户应有选择其他服务路径的机会。

代理商和加盟商使边界更加复杂。总部可能掌握品牌、会员和活动，区域负责执行，门店掌握现场服务，代理商拥有销售关系。若各方分别保留名单并独立发送，客户无法知道谁代表品牌、退出向谁生效、承诺由谁承担。总部需要通过合同和系统明确数据访问、使用目的、品牌表达、投诉交接、退出传播和终止合作后的数据处置。

客户群的价值来自共同任务，而非把一批联系人放进同一空间。适合成群的任务通常需要多方共享信息、周期性协作、同伴支持或统一答疑，如课程学习、产品实施、健康干预、门店会员活动和B2B项目。个别订单、敏感投诉、价格例外和身份争议更适合私聊或工单。把所有场景都导向群，会让公开性、噪声和角色混乱超过协作收益。

群成立前需要回答五个问题：共同任务是什么；谁有资格加入；管理员能做哪些决定；哪些内容必须转入私聊、工单或专业人员；任务何时完成、群如何降频或关闭。没有结束条件的群会不断积累历史成员，原有目的逐渐模糊，后续推广也难以解释。

图6｜社群价值来自共同任务与可结束的生命周期

来源：Ostrom制度设计原则、微信双群质性研究与本报告归纳。

注：归档或关闭无任务群属于正常治理动作。

生命周期管理使社群可以收缩。成立阶段说明目的、角色、规则和退出；运行阶段提供节奏、摘要和问题分类；监测阶段观察未答问题、冲突、敏感信息和成员负担；升级阶段把高风险事项转交有权限的岗位；任务结束后归档、转场或关闭。关闭并不等于关系失败，及时结束无任务群能保护客户注意力，也能减少企业责任悬空。

经典思想｜Elinor Ostrom：清晰边界和低成本争议解决支持长期秩序

Ostrom在《Governing the Commons》第3章比较长期自组织制度，归纳清晰边界、与本地条件相称的规则、监督、渐进处置和低成本争议解决等原则。[S34] 原作研究的是共同池资源，关注参与者如何在中央强制之外建立可持续制度。

客户群可以借鉴边界、规则、监督和争议处理，但不能把群直接当作公地。企业掌握平台、数据和管理员权限，客户通常处于更弱位置。今天的管理含义是让成员知道群的任务和管理者，让规则能够执行，允许成员对不当内容和管理员行为提出异议，并提供容易使用的退出和转人工路径。

专家视角｜Elinor Ostrom：规则需要与具体任务相称

Ostrom强调制度要适应本地条件，这一观点可用于反对全公司统一群规。课程群需要教学节奏与学术诚信，健康群需要专业升级和隐私保护，B2B实施群需要变更与承诺管理，零售群需要控制促销频率。原作没有处理平台企业与客户之间的权力不对称，本报告因此增加组织责任、数据最小化和客户救济三项要求。

经典思想｜Albert O. Hirschman：退出、表达与忠诚应共同观察

Hirschman在1970年的《Exit, Voice, and Loyalty》中研究组织表现下降时，成员可能离开，也可能表达不满，忠诚会影响两种反应的时点。[S35] 原作涉及企业、组织和国家，并未讨论社交平台，却提供了理解沉默和退群的有力视角。

社群指标常把留在群里当作忠诚，把投诉减少当作管理改善。现实中，客户可能因为表达成本高而静默，随后拉黑、换渠道或停止购买。管理层应同时观察退出、表达、问题解决与后续行为。该思想不能给出每日消息上限，但能提醒企业降低投诉和转人工门槛，避免把安静误认成满意。

专家视角｜Albert O. Hirschman：低投诉可能意味着表达渠道失效

Hirschman的观点适用于检查群管理员是否欢迎不同意见、客户能否私下反馈、投诉是否会遭到公开标签或销售压力。其边界在于退出和表达的具体成本由平台、行业与合同决定。本报告据此主张，群治理应把批评响应和退出后的停止质量纳入绩效，而不能用“零负面消息”奖励压制表达。

客户在企业微信中看到头像、姓名、企业标识和会话内容，会据此判断谁在说话、是否有权限。内部可能把消息分为导购个人建议、客服标准答复、总部活动、代理商销售和智能助手草稿，客户通常不会掌握这些分工。只要组织允许某个身份在正式触点出现，就需要明确其承诺边界、知识来源和最终责任。

身份治理包括三层。第一层是可见身份，让客户知道对方是真人、智能助手、门店员工、经销商或第三方服务人员。第二层是权限身份，规定谁可以承诺价格、库存、退款、交付时间、健康建议、合同变更或例外补偿。第三层是责任身份，让每个对外表达能够追溯至业务所有者和批准依据。三层缺一，会形成“看起来官方、实际上无人负责”的风险。

图7｜对外承诺必须连接事实、权限、履约与补救

来源：Moffatt v. Air Canada, 2024 BCCRT 149；Grönroos；Tax等。

注：真人、代理商和智能助手进入正式触点后，组织责任仍需清楚。

承诺链应把客户问题、表达主体、知识来源、业务所有者、审批、履约与补救连接起来。低风险事实可由经过验证的知识库自动回答；涉及金额、权益、专业判断或不可逆动作时，系统要转交有权限的人。错误出现后，企业不仅修正答案，还要识别受影响客户、停止继续传播、解释原因、提供补救并更新相关触点。

锚点案例｜Air Canada聊天机器人裁决：企业不能把错误回答推给工具

2022年，客户Jake Moffatt在祖母去世后通过Air Canada网站聊天机器人询问丧亲票价。机器人表示，他可以先购买机票，再在出行后90天内申请相关优惠。客户据此购票，随后申请时被航空公司拒绝，理由是网站另一页面要求出行前申请。争议进入加拿大不列颠哥伦比亚省民事解决法庭，2024年2月14日形成Moffatt v. Air Canada, 2024 BCCRT 149裁决。[S24]

企业的抗辩包含一个关键主张：机器人是网站中的独立信息来源，客户应自行查看其他页面确认。裁决成员Christopher C. Rivers在第27至29段没有接受这一切割，指出聊天机器人仍然只是Air Canada网站的一部分，公司对网站信息负责。客户没有义务在同一网站不同部分之间判断哪一个更准确。裁决认定企业没有采取合理注意确保机器人准确，错误信息构成过失性虚假陈述，并判给相关损害、利息与费用。

作用机制并不依赖机器人是否具有自主性。企业选择将其置于客户服务入口，允许它回答会影响购买和权益决定的问题，客户由此合理地把回答视作组织表达。静态政策页面与机器人答案冲突，说明内部知识、发布和更新缺少一致控制；客户依赖错误答案后，企业又没有在前端识别高风险情形并及时转人工，最终把知识治理缺陷转化为外部责任。

该案属于省级民事解决法庭个案，并非普通法院的普遍判例；适用加拿大特定法律和事实，不能直接推导中国企业在任何场景下承担同样责任。[S26] 个案金额也不能用作行业风险基准。它仍提供了强治理信号：企业不能用“工具错误”切断客户可见表达与组织责任，正确答案存在于其他页面也不能代替触点一致性。

复制性的控制包括：把涉及价格、资格、退改、法律权利和重大损失的问题列为高风险；答案必须绑定版本化政策源和生效日期；发现冲突时停止自动回答；客户随时能够转入有权限的人；会话和决策依据可追溯；错误后有影响客户识别、说明、补偿和知识回写。缺少任一项，自动助手应停留在导航或草拟层级。

原始材料定位｜Moffatt v. Air Canada正式裁决第27至29段讨论机器人与网站责任，第44段涉及结果。CanLII博客摘录了关键段落，美国律师协会分析进一步提醒该决定的法庭层级。[S24][S25][S26]

专家视角｜Christopher C. Rivers：客户无须替企业解决触点冲突

Rivers在该裁决中的具体判断，置于过失性虚假陈述和合理依赖的事实背景。其价值在于把机器人放回企业网站整体，拒绝要求客户自行拼接多处政策。边界是个案法域和法庭层级。本报告据此要求高风险答案只有一个受控事实源，渠道冲突由企业发现并处理，不能把核对义务转嫁给客户。

专家视角｜Lisa R. Lifshitz与Roland Hung：把裁决当作控制设计信号

两位律师在American Bar Association的专业分析中强调，这是一项Tribunal决定而非普通法院判决，同时建议企业为自动工具的信息准确性、监督和内部政策负责。[S26] 其上下文是企业法律治理，不能替代中国法意见。本报告采纳其审慎态度：既不夸大个案效力，也不忽视它揭示的责任链问题。

经典思想｜Tax、Brown与Chandrashekaran：救济质量包含结果、程序与互动

Tax、Brown与Chandrashekaran在1998年《Journal of Marketing》的研究中，把投诉处理评价分为结果、公平程序和互动质量，并讨论其对信任与关系承诺的影响。[S36] 该研究关注客户经历服务失败后的判断，说明给出正确结果只是修复的一部分。

智能助手或导购失误后，企业需要同时解决三件事：客户最终得到合理结果，处理过程及时透明，沟通尊重且有解释。研究年代和行业样本不同于当前社群自动化，无法提供统一接管阈值。管理含义是把补救能力纳入关系价值和成本，事故关闭不能只以知识库已更新或工单已标记完成为准。

专家视角｜Stephen S. Tax、Stephen W. Brown与Murali Chandrashekaran：修复不止是改答案

三位作者的研究适用于理解为什么“技术已修复”不等于客户关系已修复。管理层应分别记录结果补偿、过程时长、解释与尊重，并观察客户后续行为。其边界在于不同错误的损失和公平判断差异很大。本报告据此把救济成本和复发风险纳入净贡献，而不把投诉处理视作不可见的后台费用。

身份治理还要覆盖代理商。代理商使用品牌物料和企业标识时，客户可能认为其承诺由品牌承担。合同需要规定可承诺事项、信息使用、群和名单归属、离职与终止合作、投诉交接、审计和删除。总部不能只在品牌手册中写“不得夸大”，还要让价格、交付、权益和售后承诺进入可执行审批。

真人身份也可能被自动化削弱。导购使用自动草稿时，应知道自己仍对发送负责；系统代发时，客户应能识别自动化和责任主体；转人工后，人工人员要看到上下文和已作承诺，避免客户重复陈述。身份清楚的标准，是客户在关键时刻能够理解主体、权限和救济。每条消息无须堆满免责声明。

承诺权限需要落到可见行为

员工手册中的权限说明若无法进入会话和审批，客户仍可能收到越权承诺。企业可以按事项设置可见控制：普通产品事实由知识库支持，库存和交期需读取当前系统，价格例外和补偿必须由有额度的人批准，合同与专业建议进入专门岗位。系统在发送前显示事实来源和权限状态，超出范围时自动转交，不让一线凭经验猜测。

知识所有者要对更新速度负责。价格、资格、退改、服务范围和产品安全信息变化后，旧答案应及时失效；高风险政策变更要识别仍在进行的会话、未完成订单和已作出的承诺。只更新知识库首页，无法处理客户已经依赖旧信息的情形。责任人需要决定哪些客户应被主动告知、哪些承诺继续履行、哪些需要补救。

身份披露应与客户可能受到的影响相称。低风险导航可以简明说明由智能助手提供，客户可随时转人工；涉及建议、筛选、资格或权益时，需要更清楚说明依据和责任主体。使用真人头像、口吻或“专属顾问”称呼时，企业尤其要避免让客户误判当前是否由真人参与。透明并不会消除全部错误，但能帮助客户选择核验和接管路径。

组织还应防止身份被第三方稀释。外包客服、加盟商、经销商和技术供应商可能通过官方触点出现，合同与系统需要约束名称、头像、品牌标识、可访问数据、可承诺范围和事故通知。客户不应承担识别企业内部委托关系的成本。对外身份越接近官方，企业越要确保监督、日志和补救能够覆盖相关主体。

自动化适合高频、事实确定、损失较低、动作可逆的事务，如查询进度、预约提醒、标准资料导航、重复问题初筛和会话摘要。它不适合在缺少人工批准时决定重大价格例外、退款争议、健康建议、教育处分、合同变更、身份纠纷或可能造成显著损失的事项。判断边界不能只看模型平均正确率，还要看错误后果、客户脆弱性和恢复能力。

停机线需要在上线前定义。触发条件至少包括：知识源冲突或过期；客户明确要求人工；连续两轮未解决；高情绪或脆弱信号；涉及敏感个人信息；涉及金额、权益或专业建议；系统无法解释依据；异常发送量；投诉或错误率突增；无法确认客户身份；受影响动作不可逆。触发后，系统停止相应能力、保留上下文并转交有权限的人。

图8｜人机接管强度由四项风险共同决定

来源：本报告根据Air Canada裁决、Klarna公开披露与个人信息保护规则归纳。

注：确定性、潜在损失、客户脆弱性与动作可逆性中任一项进入高风险，都应加严控制。

图中四项风险——事实确定性、潜在损失、客户脆弱性与动作可逆性——共同决定最低控制强度。企业不需要把四项合成一个看似精确的分数。只要任何一项处于高风险，自动化至少应转入人工审查；不可逆且影响重大的动作，应由具名负责人批准。风险降低后可以恢复，但需要留存原因和验证证据。

锚点案例｜Klarna客服自动化：效率披露与后续校正必须一起读

2024年2月27日，Klarna发布智能客服首月数据，称系统处理230万次对话，约占全部客服聊天的三分之二，覆盖23个市场和35种以上语言；公司还称平均解决时间由11分钟降至不足2分钟，重复咨询下降25%，客户满意度与人工相当，并估计2024年利润改善4,000万美元。[S21] 这些数字迅速成为自动化客服规模化的代表性证据。

具体机制包括多语言自动回答、全天候覆盖和对高频问题的快速处理。若知识准确、问题可标准化，自动化可以降低排队与重复劳动，让人工集中处理例外。首月230万是对话次数，并非去重客户；“相当于700名全职员工工作量”和利润改善都属于公司估计，公开材料没有披露完整成本、独立审计、问题复杂度、满意度问卷设计或对照组。

2025年，Klarna管理层的公开表述出现重要校正。行业媒体报道，公司强调客户应始终拥有真人选项，CEO承认早期组织设计中过度重视成本并重新投资人工服务；Reuters随后报道，公司将AI重点由成本削减转向增长，并在人员收缩后重新招聘。[S22][S23] 这些变化没有证明机器人被放弃，报道仍称自动化处理大量咨询。它们说明速度和成本不能独立决定服务架构，人工可达、同理心、复杂问题解决和增长同样进入评价。

归因边界需要保持清楚。人员由约5,000降至约3,800受组织、战略、上市准备和业务变化等多重因素影响，不能全部归因于客服机器人；后续招聘也不能被写成自动化失败。首月时长与后续“响应改善”可能定义不同，不能重复计数。公司自报满意度与客户真实长期信任之间仍有证据空缺。

可复制条件是将问题按复杂度与损失分层，确保客户一开始或任意时点可选真人；自动化答案绑定受控知识和版本；人工接管继承完整上下文；企业同时观察首次解决、重复联系、人工等待、错误损失、客户退出与成本。只有在质量和客户选择稳定后，才适合扩大自动处理范围。

图9｜Klarna客服自动化需要结合后续校正连续阅读

来源：Klarna 2024年2月27日官方公告；2025年5月与9月公开报道。

注：公司自报效率、真人选择和战略再平衡回答不同问题，人员变化不能全部归因于机器人。

图中的时间轴把效率披露和管理校正放在同一视野。董事会既不应因后续调整否定所有早期效率，也不应只引用首月指标忽略质量与人工选择。成熟治理允许目标函数变化，并保留缩小自动化范围的能力。

专家视角｜Sebastian Siemiatkowski：成本权重过高会扭曲服务设计

Klarna CEO的公开表述出现在公司重新投资人工与调整AI重点的背景中，具体主张是早期对成本削减投入过多权重。[S22][S23] 这是一位公司管理者对自身策略的解释，并非独立实验。其适用价值在于提示董事会，自动化目标不能只由每次接触成本决定；边界在于公开采访没有完整展示内部数据。本报告据此要求同时呈现成本、质量、客户选择和增长结果。

人工接管质量常被系统指标掩盖。自动化可能在几秒内转人工，但人工队列等待很长；也可能把摘要传递过去，却遗漏已经承诺的价格或客户情绪。接管完成需要满足四项：人工确实有权限，获得足够上下文，客户不用重复叙述，结果和新状态写回关系账本。仅记录“已转人工”无法证明服务完成。

生成合成内容标识和自动化身份也要分开管理。相关标识规则要求按情形添加显式或隐式标识。[S05] 对客户服务而言，标识有助于客户理解内容来源，却不能证明回答准确、数据有权使用或动作可自动执行。企业需要分别控制身份透明、事实来源、权限、接管和责任，避免用一项合规动作覆盖其他风险。

表7｜自动化权限随任务风险提高而逐级收缩

来源：Air Canada裁决、Klarna公开披露与本报告归纳。

表中的控制等级应与具体动作绑定。同一助手可以自动回答营业时间，草拟退费说明供人工审核，禁止自行决定重大补偿。权限不应以“这个机器人可信”整体授予，而要按工具、数据、金额、对象和可逆性细分。版本变化、事故或业务规则变化后，权限应能够迅速收回。

上线评审还要检查恢复能力。企业能否一键暂停群发、关闭某类答案、撤销未执行任务、找出受影响客户、回滚知识版本、向客户说明并提供补救，决定了自动化可以承担多大风险。缺少这些能力时，系统应停留在建议、摘要或内部辅助层级。

好的接管取决于上下文、权限和容量

“转人工”按钮只能证明入口存在，不能证明接管有效。人工人员需要看到客户当前任务、已尝试步骤、机器人给出的答案、相关政策版本、客户情绪和允许承诺范围，同时避免暴露与当前任务无关的敏感内容。客户若每次转接都要重新说明，自动化节省的时间会被重复自述抵消，信任也会继续下降。

接管还需要有实际权限。前线客服若只能重复标准话术，价格、退款、资格和投诉仍需多次升级，客户感受到的依然是无人负责。企业应为常见例外设置清楚额度和快速批准，为高风险事件指定值班负责人，并让系统显示预计响应和当前进度。无法立即解决时，给出下一更新时间和责任人，比持续自动回复更可靠。

自动化上线后，人工队列往往会留下更复杂的问题。平均会话量下降，不代表人工负担同比下降；剩余案件可能需要更长时间、更高专业度和更多情绪劳动。容量计划要观察复杂度、一次解决、转交次数、补救和员工流失，不能只按机器人拦截比例削减人员。Klarna后续重新强调真人选择，正说明服务组合需要持续校正。[S22][S23]

停机后也要管理恢复。知识冲突修复、模型或流程调整完成后，应使用真实历史边界案例复验，确认人工入口、日志和影响客户处置已经完成，再逐步恢复小范围流量。若事故涉及错误承诺，恢复条件还应包括受影响客户识别和救济，而非仅看技术测试通过。可恢复的自动化才具有经营价值；无法安全降级的系统，应被限制在建议与草拟层级。

企业各部门通常拥有自己的发送计划，却共享同一客户注意力。营销看到活动窗口，门店看到复购机会，客服看到服务通知，代理商看到跟进任务。若没有客户级预算，每个部门都可能在自己的局部目标下做出合理动作，合并后却形成过度打扰。触达预算应让所有渠道共享必要性、主动性、最近接触、未结任务、拒绝和风险状态。它不等同于全国统一的每日条数。

图10｜客户级触达预算按任务优先级分配

来源：本报告根据消费者取消权、情境完整性与退出—表达理论归纳。

注：必要服务与风险通知优先，投诉、保护期、退出和人工接管会压制商业推广。

预算可分为四类优先级。必要服务和客户主动请求优先，但内容必须聚焦任务；关系维护需要可解释价值和较低打断；商业推广占用更稀缺的注意力，并接受同意、可识别、频率和退出控制；投诉、健康、重大权益或高情绪期间进入保护期，暂停无关商业触达。保护期结束要由事件解决和客户状态决定，不能只按固定天数自动解除。

客户级预算还要识别重复内容。总部和门店可能发送同一活动，导购和群主可能重复提醒，短信和企微可能在同一时段出现。系统可以通过主题、活动、产品、时间和发送主体识别冲突，并在发送前提示合并、降频或取消。对客户而言，一次清楚的信息通常优于多个部门的重复关心。

朋友圈的打断感通常低于私聊，但不能按零成本处理。企业微信接口记录发表和可见范围，不代表客户真实观看、理解或接受。[S12] 朋友圈内容过密、商业属性模糊或与客户任务无关，也会降低关系质量。预算应把可见作为潜在暴露，并观察屏蔽、删除、互动变化和后续行为，而不能将可见人数当成确定曝光。

表8｜客户级触达预算优先保护任务、选择和特殊时刻

来源：[S03][S04][S12][S33][S35]及本报告归纳。

表中的管理规则应由客户事件驱动。刚完成投诉补救的客户应停止促销，正在等待维修的客户优先接收进度，主动询价的客户可获得相关方案，长期沉默且无任务的客户降低频率。客户主动性越强、任务越明确，触达理由越充分；重复、拒绝、无回应和问题未解决，会降低预算。

经典思想在此再次提供校准。Hirschman提醒管理者同时观察退出与表达，[S35] Nissenbaum提醒管理者判断情境中的信息流是否合适。[S33] 两者结合后，预算不能只优化短期点击。客户没有投诉，可能因为退出成本低而直接屏蔽；客户曾同意某类信息，也不代表任何主体和任何内容都适合进入同一通道。

广告可识别性要求商业内容保持身份清楚。[S04] 群内“经验分享”、导购“温馨提醒”和智能助手“个性建议”如果主要目的在于销售，应按适用规则和客户预期处理。企业可以把服务与推广拆开，让客户保留必要服务同时拒绝商业信息，减少被迫二选一。

频率治理需要谨慎使用历史响应。高点击客户可能因优惠敏感而被系统不断加压，沉默客户可能被更多重试，脆弱客户可能因焦虑频繁求助。下一最佳行动模型若只看转化，很容易把可触达性转化为过度施压。模型输入应包含拒绝、投诉、退款、保护期、未成年人或其他脆弱性信号，并对高风险动作设置人工批准。

客户触达预算还要处理组织公平。门店可能担心总部活动占用其客户，区域可能争夺高价值名单，代理商可能在合同终止前集中发送。董事会应明确优先级：客户任务和保护优先于部门配额，未结服务优先于促销，客户主动请求优先于预测意向，退出和人工接管优先于自动化目标。冲突应由具名业务负责人裁决并留痕。

测量预算效果可观察单位客户接触次数、重复主题、跨部门冲突、退出传播时延、投诉后促销发生率、保护期违规、主动咨询和服务完成。点击率、转化率和销售额仍然重要，但要与客户负担、服务成本和长期行为一起看。若降频后收入不降、投诉与屏蔽减少，说明原先存在无效触达；若必要服务完成变慢，则需要调整资源，而非简单继续压低消息量。

触达预算需要为特殊时刻留出空间

客户的注意力需求并不均匀。大促、产品故障、自然灾害、交通中断、门店搬迁或政策变化期间，必要信息可能增加；投诉、退款、丧亲、疾病和其他脆弱时刻则需要降低商业触达。固定的日发送上限无法处理这些变化，预算还应包含事件优先级和保护规则，让必要服务能够及时到达，同时自动压制无关推广。

多品牌集团需要防止内部叠加。客户可能同时加入同一集团的餐饮、零售、酒店或服务品牌，单品牌频控全部合规，集团层面仍可能过密。总部应定义哪些选择可以跨品牌共享、哪些必须隔离，并在客户明确拒绝某类商业信息时评估对关联品牌的影响。跨品牌协同只有在主体、目的和客户预期清楚时才成立，不能只因数据可以匹配就合并发送。

触达预算还应区分个人与业务关系。B2B项目群中的联系人可能代表采购、技术、法务或管理层，同一企业内不同人承担不同任务；将公司级意向推给所有成员，会造成角色错配。家庭共享账户也类似，购买者、使用者和付款人未必是同一人。系统不确定主体时，应优先使用任务相关、低敏感、低打断的信息，并提供纠正身份和偏好的路径。

预算审议要防止团队通过拆分主题绕过限制。同一活动被改写成“提醒”“福利”“服务”“顾问建议”，在客户侧仍可能是重复销售。合并规则应看目的和预期影响，不只看文案标题。另一方面，真正必要的进度、风险和安全通知不能因为营销频控而延迟。管理的难点在于区分价值和打扰，这要求业务理由、客户事件和责任人共同进入发送决定。

客户分层不能改变基本选择与救济

企业常按价值、活跃、生命周期和预测意向分层，这是资源配置的正常工具。风险出现在分层被用来决定谁可以方便退出、谁能接触真人、谁获得真实解释。高价值客户得到快速接管，普通客户被留在循环机器人；高转化人群被反复施压，低活跃人群被增加唤醒频次；投诉客户因影响绩效而被标为低价值。这样的设计会把经营分层转化为基本服务差异。

基本选择、信息准确、人工接管和投诉救济应有最低一致标准。资源可以根据问题复杂度、紧急性和潜在损失排序，但不能只按预计收入排序。健康、金融、教育、未成年人和其他脆弱情形，还需要降低商业压力并提高专业接管。模型推断的价值或流失风险不应覆盖客户明确表达的拒绝、退出和人工请求。

分层特征也要检查来源和代理偏差。地区、设备、消费频次、门店、工作时间和历史投诉可能间接代表年龄、收入、健康或其他敏感处境。即使目标是提高转化，结果也可能让某些客户持续承担更高触达或更差服务。企业应比较不同群体的联系频率、转人工成功、解决时间、优惠条件和投诉结果，在发现无业务理由的差异时调整规则。

董事会不需要把所有差异都视作歧视，也不能因模型复杂就放弃检查。合理的审议顺序是先确认差异是否存在，再查明任务、风险和资源能否解释，最后评估客户是否有选择和救济。无法解释且持续不利的差异，应降低自动化、调整特征或改由人工决定。分层帮助企业分配服务，不能成为降低责任的依据。

关系经营最常见的财务误判，是把会员销售、企微成交或群内订单全部计作新增。客户可能原本会在门店、官网、电话或其他渠道购买；活动可能只是让购买提前；优惠可能牺牲毛利；导购和客服投入、内容、技术、供应商、补救和合规都产生成本。没有反事实和完整成本，渠道销售只能说明交易经过该触点，不能说明该关系创造了多少新增价值。

证据可以分成六层。平台规模回答外部生态有多大；技术可达回答系统能联系多少账户；行为结构回答多少人活跃、交易或互动；相关证据回答关系接触与结果是否同时出现；因果证据回答与可比情况下相比产生多少变化；净贡献进一步扣除迁移、提前购买、折扣和全部服务与风险成本。董事会只有在后两层较为完整时，才适合把结果写入增量回报。

图11｜百胜中国五项数字关系指标分母不同

来源：Yum China Holdings, Inc., Annual Report 2025, pp.10–11；2025年第四季度业绩公告。

注：五项指标分别描述会员记录、活跃会员与不同交易结构，不能排列成转化漏斗或互相相除。

百胜中国的公开数据适合说明不同层次不能混用。2025年年报第10至11页披露，肯德基和必胜客会员超过5.90亿，过去12个月有交易的活跃会员超过2.65亿，会员销售约占两品牌系统销售额的61%，数字点单约占公司销售94%，数字支付约99%。[S16] 五项数字的统计对象和分母不同，不能排列成转化漏斗，也不能互相相除。

锚点案例｜百胜中国数字会员：规模进入交易主流程，增量仍需反事实

百胜中国在2025年年度报告中把会员、数字点单、数字支付、配送和门店网络放在同一经营体系。公司披露，肯德基和必胜客会员超过5.90亿，过去十二个月有交易的活跃会员超过2.65亿，会员销售约占两品牌系统销售额的61%；数字点单约占公司销售额94%，数字支付约99%。2026年2月的第四季度业绩公告还称会员和活跃会员同比均增长13%。[S16][S17]

这些数字说明数字关系已经深度进入高频餐饮：会员身份连接权益，数字点单减少交易步骤，支付和履约形成闭环，门店网络提供即时兑现。客户保留关系的理由可能包括点单便利、优惠、配送、积分和售后。高频消费为关系状态更新和实验提供较多观察机会，也使跨渠道迁移更加明显。

公开披露没有分拆企业微信、客户群、朋友圈或特定小程序触达的独立贡献，也没有给出会员与非会员的随机或可比对照、折扣成本、积分负债、内容与服务成本、渠道迁移和购买提前。5.90亿是会员记录下限，未必等于去重自然人；2.65亿是过去12个月有交易的活跃会员下限；61%的分母是两品牌系统销售，94%和99%的分母又不同。将这些数字相除会制造不存在的漏斗。

因此，案例能够证明规模、活跃和交易结构，不能证明61%的销售全部由会员关系新增，也不能证明任何单一触点带来同等比例的贡献。门店扩张、品牌需求、产品、价格、促销、配送和宏观环境都可能影响结果。董事会需要把公司自报经营指标与增量试验分开，避免用平台归因替代因果。

复制条件包括建立客户级实验单元，保留适当留出或分阶段上线；对门店扩张、季节、价格和活动作控制；区分渠道迁移和真实新增；按同一周期扣除折扣、积分、配送、导购、客服、技术和补救成本；观察客户退出与长期复购。高频业务可以更快积累样本，但样本多并不会自动消除设计偏差。

原始材料定位｜Yum China《Annual Report 2025》PDF第10至11页列示会员、活跃会员、会员销售、数字点单和数字支付；第四季度业绩公告提供会员同比变化。公开报告仅使用各自定义，不把不同分母合并。[S16][S17]

图12｜净增量需要扣回迁移、折扣、服务与风险成本

来源：本报告根据百胜中国、Klarna公开披露与增量评价原则归纳。

注：未知项目保留空缺、区间或情景，不默认等于零。

净贡献的计算可以写成一座桥：处理客户与可比客户结果差额，扣除渠道迁移和购买提前，再扣折扣、积分、内容、技术、人员服务、投诉补救和风险损失。未知项应保留空缺、区间或情景，不应默认为零。将所有项目放在同一观察周期，才能避免把短期销售与长期成本错配。

随机试验提供更强的因果证据，但仍需检查适用范围。微信戒烟研究随机分配2,000名主动寻求帮助的中国成年吸烟者，组合使用订阅内容、一对一私信、同伴群和随访，26周生化验证持续戒烟率为干预组11.94%、对照组2.81%，论文报告OR为4.68。[S27] 这项证据支持组合干预对特定人群和结局的效果，不能拆分出群聊单独贡献，也不能外推一般健康营销。

图13｜微信组合干预在特定戒烟试验中提高客观结局

来源：Tang等，EClinicalMedicine 60 (2023) 102009。

注：n=2,000；26周生化验证持续戒烟率。优势比不等于风险比，结果不能外推一般健康营销。

专家视角｜Jinsong Tang及研究团队：真实结果需要结构化干预和客观结局

研究团队的核心贡献是把微信触点放进随机分配、明确方案、专业内容、个体沟通、同伴支持和生化验证结局中。其上下文是戒烟治疗研究，参与者主动寻求帮助，不能代表普通消费者。本报告据此判断，高监管社群的价值应由真实健康或服务结局验证，活跃、打卡和消息量只能解释过程，不能替代结果。

财务评价还要处理时间。促销可能让客户提前购买，短期看销售上升，后续周期下降；会员权益可能增加频次但降低单次毛利；服务改善可能先增加人力，之后降低投诉和流失。董事会应选择足以覆盖复购、退订和补救的窗口，并报告短期与长期结果。无法获得长期数据时，应明确结论只覆盖当前周期。

客户信任贡献不能用一个神秘分数取代事实。可以并列观察服务完成、承诺兑现、主动咨询、投诉解决、退出质量、复购、推荐和净贡献，再分析它们的关联和冲突。高销售伴随高退出，可能是透支；低触达伴随高服务完成，可能是效率改善；投诉上升但问题解决更快，也可能说明表达渠道变得可用。董事会需要看趋势和事件，而非追求单一总分。

表9｜证据层级限制企业可以作出的经营结论

来源：本报告对[S07]—[S30]证据性质的归纳。

表中的证据层级用于限制结论强度。平台规模可支持“生态广泛”，公司运营数据可支持“该企业报告了某项结构”，随机试验可支持“在特定样本和方案中产生因果效果”，正式裁决可支持“个案中企业承担责任”。任何来源都不能被扩张到它没有回答的问题。把证据边界写进财务审议，是防止夸大回报的基本控制。

增量验证要先确定决策单元

关系项目的实验单元可能是客户、门店、区域、群或时间段。客户级随机更接近个体因果，却可能因同群互动产生污染；门店或区域分组便于执行，但样本较少且经营差异更大；分阶段上线适合无法长期留出的服务改进，却需控制季节和趋势。董事会应在项目启动时确认单元、观察窗口、主要结果和污染风险，避免活动结束后再挑选有利口径。

基线也不能只取上一周期销售。需要同时记录可比客户的自然购买、门店扩张、价格和促销、库存、竞争活动、服务容量及外部环境。高频业务可使用多周期和客户固定效应等方法，低频高价值业务可采用匹配、阶段或事件分析；方法复杂度应与投资和风险相称。任何设计都要保留未观察因素，不能用统计调整制造确定性。

净信任贡献适合用分项桥接而非单一得分。收入端列真实新增毛利和可验证的留存贡献；成本端列折扣、积分、配送、内容、平台、模型、人员、培训、服务、补救和合规；风险端可列已发生损失与合理情景区间；关系端并列退出、投诉解决、承诺兑现和客户主动使用。各项单位和时间窗不同，不宜强行加权成一百分，但可以共同支持继续、收缩或停止。

未知值本身也是董事会信息。无法区分迁移与新增、折扣成本缺失、代理商服务工时未计、事故影响客户不明，都应在结论中列为缺口，并限制扩张规模。把未知默认成零会系统性高估回报。企业可以先通过小范围留出、人工抽样和成本追踪补足最关键分母，再决定是否投入更复杂的测量系统。

关系治理容易出现责任悬空。总部制定活动但不面对客户，门店执行但无权处理例外，导购承担沟通却无法兑现，客服能够补救却看不到前序承诺，数据团队维护标签却不理解业务目的，代理商使用品牌身份却在合同边缘运行。董事会需要把客户看到的表达与内部最终责任连起来，并为每一类高风险事件指定停止权。

图14｜客户可见表达连接最终责任与停止权

来源：本报告根据平台治理、公司案例、正式裁决和经典服务研究归纳。

注：职责需对应具体业务动作，并由系统权限、日志和流程支持。

总部承担关系政策、品牌承诺、数据边界、平台配置和重大事故责任。区域负责本地化执行、资源协调和异常上报。门店或经销商负责现场履约、人员身份和交接。导购与客服在授权范围内沟通，不能自行改变重大权益。代理商按合同限定使用数据和品牌。数据与技术团队让权限、日志、停止和删除可执行。法务与风险团队对高风险场景审查并独立监督。业务负责人对最终经营结果负责。

权责不能只写成抽象矩阵。每个角色需要对应具体事项：谁能新增客户入口，谁批准群成立，谁定义群发人群，谁可承诺价格或退款，谁能暂停自动化，谁处理数据权利请求，谁通知受影响客户，谁确认补救完成。没有具体动作，组织会在事故后发现所有人都“参与过”，却无人拥有最终决定。

表10｜各角色承担具体动作、停止权和不可转移责任

来源：本报告根据监管、平台、公司与案例材料归纳。

表中的停止权应靠系统和流程兑现。客服主管能够冻结某类自动回答，数据负责人能够阻止来源不明名单进入任务，门店经理能够暂停本店群发，法务能够要求高风险内容下线，业务负责人能够终止活动。停止动作要记录原因、范围、影响客户和恢复条件，避免停机权只存在于制度文件。

知识治理是责任体系的共同底座。价格、权益、产品、退改、健康建议、合同和服务时限应有明确所有者、版本、生效日期和适用范围。导购、客服、群管理员和智能助手读取同一受控事实源；发现冲突时，优先暂停高风险表达，而非让一线自行选择。每次重要变更要识别受影响的未结会话和已承诺客户。

离职、调岗和供应商退出需要预演。交接应包含客户当前任务、未结承诺、风险、选择状态和下一动作，避免复制全部历史内容。原负责人权限及时收回，导出数据受控，新负责人向客户说明变化。代理商终止合作时，要确认名单、会话副本、模型或标签是否删除或返还，投诉和售后由谁继续承担。

B2B群往往包含客户和供应商多名成员，任何一句关于范围、时间或价格的表达都可能影响项目决策。群内决定应写回合同变更、工单或项目记录；没有批准权限的成员可以提供信息，但不能代表企业变更承诺。客户成功群与正式支持通道要分工，严重故障和合同问题不能只留在群里。

跨案例比较聚焦不同频率、损失、监管和组织结构下始终重要的条件，避免把经验压缩成一套万能打法。高频餐饮与美妆零售拥有更多交易和服务触点，容易建立数字关系，也更容易发生重复触达和渠道迁移。汽车和B2B属于低频高价值，单次承诺和交接影响更大。健康和教育社群依赖专业责任与参与边界。Klarna和Air Canada展示了自动化效率与责任风险的两面。

90天路线不追求一次性完成所有系统改造，目标是建立最小可执行闭环：高风险动作能够停止，客户状态能够共享，责任能够追溯，真实增量能够验证。顺序很重要。若企业先扩大群发和自动化，再补退出、接管和关系账本，规模会让修复成本迅速上升。

图15｜90天路线先封风险，再建立账本与增量验证

来源：本报告归纳。

注：每个阶段均保留继续、收缩或停止的管理决定。

第1至30天聚焦暴露控制。盘点全部客户入口、群、朋友圈任务、群发、智能助手、第三方应用和代理商名单；识别来源不明、无明确用途、退出不能传播、没有人工接管、知识冲突和高风险自动化；建立紧急暂停和客户可见人工入口。此阶段不追求新增规模，优先防止不可逆损失。

第31至60天建立关系账本和权责。为客户或业务关系记录任务、来源、选择、负责人、未结承诺、触达、退出、风险与救济；把总部、区域、门店、导购、客服、代理商、技术和法务的具体动作写清；对高风险知识建立版本和所有者；完成离职、供应商退出和事故响应演练。

第61至90天进行三类验证。选择一个高频服务场景，验证便利、频率与渠道迁移；选择一个低频高价值场景，验证承诺、工单与交接；选择一个高监管或脆弱客户场景，验证专业接管、最小必要和真实结局。每类场景建立上线前基线、可比组或分阶段设计，并在同一周期记录收益、服务、折扣、技术和风险成本。

表12｜90天阶段路线以可停止、可追溯、可验证为验收条件

来源：本报告归纳。

每个阶段都需要退出条件。发现无法停止的群发、关键退出状态不一致、重大答案无事实源、人工接管无权限、敏感信息用途不明或供应商无法删除数据，应暂停扩大。验证阶段若质量下降、客户负担增加、净贡献不确定或事故无法恢复，应收缩自动化和触达范围。阶段门的意义是让管理层能够作出“不继续”的决定。

法律、平台和经营证据应共同进入门禁。《个人信息保护法》提供目的、选择、自动化和个人权利边界，[S01] 《消费者权益保护法实施条例》要求便捷取消与立即停止，[S03] 网络数据安全规则要求安全责任和事件处置，[S02] 平台文档提供可见范围与执行约束，[S10]-[S15] 公司与研究案例则说明效率、服务、责任和增量的现实表现。任何一类证据都不能单独完成批准。

董事会季度审议应要求提交五组材料。第一，关系基础：入口、任务、目的和客户选择。第二，责任能力：身份、权限、知识、接管和补救。第三，运行质量：服务完成、重复联系、冲突、退出与异常。第四，经济证据：基线、可比结果、迁移、折扣、服务和风险成本。第五，收缩动作：暂停、降频、归档、删除和供应商退出。只有增长数字而没有收缩动作，往往说明停止权没有真正运行。

管理判断｜合规是最低条件，关系接受度仍需经营证据

法律和行政规则回答哪些处理与触达受到约束，正式裁决说明特定事实下的责任，公司材料和研究回答能力与效果。它们的适用范围不同。本报告不把合规完成等同客户信任，也不以客户短期响应替代合法基础。董事会需要把两类问题并列：企业是否有权做，以及即使有权做，是否值得做。

90天之后，组织应形成持续节奏。每周检查停机、人工接管和未结承诺；每月检查频率冲突、退出传播、群生命周期和知识版本；每季度审议增量、成本、投诉、供应商和重大场景；每年复查政策、合同、数据地图和自动化权限。节奏应服务真实风险，不应制造文档负担。

董事会需要作出的六类经营决定

第一类决定涉及关系入口。每一种新增入口都要回答客户当时要完成的任务、企业希望获得的后续权利、拒绝额外选择后核心服务是否受影响。扫码、开票、预约、售后和资料下载等强入口尤其需要拆分必要步骤与长期关系。董事会无需逐个批准页面，但应批准入口原则、例外和抽样机制，并要求高风险入口在扩张前展示真实客户路径。

第二类决定涉及自动化权限。管理层要明确哪些问题可以自动完成，哪些只能草拟，哪些必须人工批准，以及谁能暂停。权限应随事实源质量、客户脆弱性、潜在损失和动作可逆性变化。一个在普通查询中表现稳定的系统，进入退款资格、价格权益或专业建议后也可能需要重新分级。批准自动化应绑定具体任务和恢复方案，不能批准一项抽象的“智能客服能力”。

第三类决定涉及服务容量。企业扩大好友、会员和群规模前，要确认门店、客服、专业人员、履约和补救能够承受新增需求。自动化比例上升后，人工队列可能更难、更耗时，组织还需保留培训、授权和情绪劳动支持。若服务容量不足，扩大关系规模会延长等待、增加错误承诺，并把客户便利转化为组织负债。

第四类决定涉及经济证据。项目负责人要说明主要结果、反事实、观察周期、迁移和购买提前如何处理，折扣、积分、配送、技术、人力、补救与风险成本是否计入。无法获得完整因果证据时，可以在受控范围内经营，但结论和资本投入必须相应保守。董事会应拒绝把会员销售占比、渠道成交和平台归因直接写成新增回报。

第五类决定涉及外部主体。加盟商、经销商、代理商、外包客服和技术供应商使用品牌身份和客户信息时，企业需要决定其可见范围、承诺权限、数据保留、退出同步、事故通知、审计和合作终止后的处置。合同条款应能被平台配置、日志和抽样验证支持。外部主体越靠近客户，品牌总部越不能仅以“独立经营”解释责任。

第六类决定涉及退出和收缩。关系经营需要允许客户退出，也需要允许企业关闭没有价值或无法治理的群、入口和自动化。管理层应预先定义何时降频、归档、暂停和终止，明确未结服务如何继续。能够收缩的系统更容易在事故后恢复，也能把资源留给真正有任务的客户。把停止视为正常经营动作，有助于避免团队为了维护规模指标继续消耗信任。

规模化后的持续经营纪律

90天试点通过后，扩张应以场景为单位逐步复制。新区域、新门店或新品牌需要重新核对本地组织、客户任务、人员能力和监管要求；既有配置可以提供起点，不能替代现场判断。每次复制都要保留小范围观察期，确认退出、接管、知识和责任链正常，再提高覆盖。发现异常时，优先缩小影响范围并保留证据。

关系账本也需要数据质量经营。来源、时间、责任和有效期缺失的记录应进入待确认状态，不能继续驱动高强度动作；身份合并和拆分要可追溯；客户纠正后，下游系统应在约定时限内更新。数据团队应定期报告退出传播失败、重复身份、过期标签、未结承诺失联和异常访问，这些指标比单纯新增标签数量更能反映系统健康。

知识和承诺要接受版本审议。董事会不需要阅读每条话术，但应确认高风险政策有所有者、生效日期、审核和影响客户识别。门店、客服、代理商和智能助手若使用不同版本，企业应能够发现冲突并暂停相关表达。重大价格、权益、退改和专业信息变化后，还要检查已有会话和未完成交易，避免新规则无意覆盖旧承诺。

事故复盘应同时回答客户、经营和系统问题。客户是否得到合理结果，过程是否及时且受尊重；企业损失、补救和后续行为如何；哪个事实源、权限、激励或交接导致错误；同类客户是否仍受影响；何种控制可以防止复发。只修技术缺陷会留下关系伤害，只做补偿又会留下系统缺陷，两者都完成后才适合恢复规模。

最后，董事会需要保护一线提出停止的权利。导购、客服、群管理员和数据人员最早看到知识冲突、客户脆弱、重复触达和异常访问。若他们因暂停发送或升级问题而损失绩效，风险会被压到看不见。组织应允许具备证据的一线人员触发临时保护，并由有权限的负责人快速确认、扩大或解除。停止信号被认真处理，企业才可能在关系破裂前纠正。

最终的成熟状态具有几个可观察特征。客户能说明为什么会被联系并容易改变选择；一线人员知道自己的承诺边界；智能助手知道何时停止；所有触点读取同一退出和风险状态；群有明确任务与结束；未结承诺不因人员变化消失；净贡献能够解释反事实和成本；事故后能够识别影响、补救并防止复发。

通讯录位置的价值来自客户继续愿意保留，而非企业技术上仍能发送。董事会真正管理的是一项会变化、可被撤回、需要持续兑现的关系使用权。尊重这一边界不会削弱增长，它会减少无效触达、压低服务负债、提高承诺可信度，并让经营结果更接近真实增量。只有在客户任务、选择、兑现和救济都可验证时，企业微信与社群才构成可持续的经营能力。