使用情境：一間公司從導入到老闆叫人，走一遍

鼎泰科技做智慧門鎖賣歐盟，要過 CRA，也在導 ISO 27001。公司有總經理、資訊部（陳經理）、產品部（林經理）、總務部（王經理）、法務、客服。平台上開了一個 CRA 專案，顧問帶著跑。CRA 框架匯入後有六個群組、九十六條控制項（DEV 實查）：

顧問開專案、匯入 CRA 框架。他做三件事：

1. 部門管理頁：每個部門填主管。資訊部＝陳經理、產品部＝林經理、總務部＝王經理。
2. SSP 責任矩陣頁籤：按群組整批分部門。「附件一第二部分」全選產品部、「附件七」全選法務，點六次分完九十六條。附件一第一部分裡有四條是伺服器端存取控制，個別改成資訊部。
3. 順手填 C 與 I：附件二這群 I 全填客服；漏洞通報那條 C 填法務。

系統此時自動算出每條控制項的 A：「漏洞通報流程」A＝產品部主管＝林經理。

任務派下去。「漏洞通報流程」派給產品部的小張寫文件，小張就是 R（系統從任務處理人預帶）。小張交了文件當證據，稽核員判 NOT MET，因為通報期限寫 72 小時，CRA 要 24 小時。

同一輪結果：產品部八條沒過、資訊部五條、總務部兩條。

補一段：流程改好了。小張把期限改成 24 小時，顧問複審通過，控制項變 MET。R 小張做完了；A 林經理的部門沒過數 8 變 7；C 法務之前被問過「24 小時從什麼時候起算」；I 客服收到通知「流程已更新，客戶回報漏洞請導向 security@ 信箱」。

總經理打開 GRC 總覽頁：

他點產品部，展開八條沒過的清單，每條旁邊寫 A 林經理、R 小張、承辦狀態。他把林經理叫來：「這八條什麼時候補完？」林經理回去找小張。這就是 PM 說的「找頭兒」。

沒有這一層之前，總經理只能拿到一份九十六條的稽核報告自己翻。

林經理自己登入時，只看到產品部那一列與底下的清單；若他同時管兩個部門，看到兩列。

顧問下載 FR-145 結案報告，第一頁多一張「責任歸屬總表」：沒過的控制項 × 部門 × 主管，就是第三幕那張表。每條缺失明細旁印 A 與 R。給客戶董事會看。SSP 匯出 Excel 時也多一張「責任矩陣」sheet。

隔年總務部王經理自己想到：「門鎖晶片只有一家供應商，倒了就斷貨。」這不是任何稽核會抓到的，沒有控制項對得上。他到風險總表頁手填一筆：

同時，上一輪稽核沒過的「漏洞通報流程」系統已自動在風險總表建了一筆「CRA 漏洞通報不合規，無法在歐盟上市」，部門產品部、負責人林經理，POA&M 全關後轉為監控中。

總經理儀表板多了一張五乘五熱圖，右上角三格紅的，點進去是哪幾筆、誰負責。王經理想把晶片風險標成「接受」時，因為是中風險，系統擋下來丟進上一層主管的待辦。

第一版做到第四幕：老闆看儀表板知道哪個部門幾條沒過、叫哪位主管。第二版做第五幕：稽核抓不到的風險也能登記、評分、排優先、簽核。供應商、事件、KRI 讓風險不靠人填自己長出來，是第二版的後續來源，待驗後挑做，見 08 後續來源。總計畫見 10。