정책 미준수 비용에는 정책 미준수 시에 느끼는 부정적 감정인 내재적 비용과 정보보안 취약성, 정책 미준수로 인해 받는 처벌인 제재가 있다. 조직구성원은 정책 미준수 비용이 높다고 느낄수록 정보보안 정책을 더 잘 준수하게 될 것이다.
마지막으로 정책 미준수 비용으로 내재적 비용, 취약성, 제재가 있다. ‘내재적 비용’은 내재적 이익과 상반되는 개념으로 정책을 따르지 않았을 때 느끼는 스트레스, 죄책감, 수치심 등의 부정적인 감정이다. 내재적 비용은 간접적으로 처벌의 효과가 있고, 조직 내 범죄를 예방하는 억제기능이 있다(Paternoster & Simpson, 1996). 정책을 따르지 않았을 때 치룰 대가가 크면 조직구성원의 정책 준수 의지는 강해지기 때문이다. 정보보안 ‘취약성’은 정보가 효율적으로 관리, 통제, 보호되지 않고 있는 상태이다(Peltier, 2005). 정책 미준수로 조직의 보안 수준이 취약해진다고 믿으면 구성원의 정책준수 의지는 높아질 것이다. ‘제재’는 정책 미준수로 인해 받는 처벌로 강등, 평판 손실, 비/금전적 처벌, 불리한 평가 등이 여기에 해당된다. 제재는 조직구성원의 범죄 의도에 부정적 영향을 미치므로(Straub & Nance, 1990) 인지된 제재 수준이 높을수록 구성원은 정책을 더 잘 준수하려 할 것이다. 내재적 비용, 취약성, 제재는 정책을 따르지 않았을 때 발생할 수 있는 부정적 결과에 대한 예상 비용이다. 따라서 비용이 높다고 지각할수록 정보보안 정책을 준수하려는 태도는 더 강해질 것이다. 관련 가설은 아래와 같다.