領域知識：讀本站會碰到的名詞，每個一句白話

GRC 是老闆用上帝視角看公司：哪裡會造成損失（R）、誰負責管（G）、哪些法規非守不可（C）。三件事用同一套資料看。

合規是風險的一種：不合規的後果是罰款、不能賣、失去客戶，所以每條沒過的控制項都是一筆風險。這是「稽核 NOT MET 自動餵進風險總表」的理論基礎。

我們的位置：PM 原話「我們是從下面做上來，現在要慢慢補回最上面的上帝視角」。平台強在 C，G 有一半（部門、角色都有，但沒有「主管是誰」與責任矩陣），R 只有專案內一張風險表，公司層沒有。

RACI 用來回答「這件事到底誰負責」。一件事（一條控制項、一條風險）填四格：

I 到底是誰（最常被問）

I 不是「出事通知誰」，是「這件事有進展或做完時，要讓他知道一下」的人。他不做、不被問，但做完他不知道會出包。

用 CRA 舉例：附件一「產品要有漏洞揭露與通報流程」這條判沒過。

流程改好、控制項從 NOT MET 變 MET 時：R 做完了、A 的部門沒過數少一條、C 的意見已納入、I 收到一封通知「流程已更新，客戶回報請導向 security@ 信箱」。

白話判斷法：這個人不做也不問，但做完他不知道會出包 → I；這個人的意見沒納入會出包 → C。

三個常見誤解

• A 不是「最大的主管」，是「這件事出問題該找的那一個人」。同一位部門主管可以是十條控制項的 A，也可以某條的 A 是他底下的課長。
• R 與 A 可以是同一人（小公司常見），但 A 仍只能一人，否則追責時互推。
• PM 給的 Excel 範本只有一個 Owner 欄，等於只有 A。做四格比範本細。

在我們系統裡 RACI 掛在哪

掛在專案 SSP 的每條控制項實作上。A 由「控制項負責部門的主管」自動算出，R 預帶該控制項任務的處理人，C 與 I 人填。詳見 07 第一版規劃。

第一版沒有評分。第一版儀表板只能按「沒過幾條」排，分不出「沒過的那條嚴重不嚴重」。這是第二版存在的理由。