FR-151 · 二、分析與決策 · 04 現況與缺口
2026-10-19 查 DEV 與程式碼
逐一盤點部門樹、角色權限、OSCAL 責任方、專案風險表、POA&M、結案報告、字典機制的現況，標出本案要動哪些。結論：第一版真正從零開始的只有 RACI 欄位與儀表板，其餘是加欄位、加頁籤、串資料。
| 日期 | 變更 |
|---|---|
| 2026-10-19 | 本案動作欄的決策點改用 05 新編號（B1、B2、A1～A5、D1），並標第一版已裁 |
| 2026-10-19 | 自 discussion.md v4「現況盤點」「Excel 範本九張頁」搬出；本案動作欄改為第一版口徑；補框架群組實查數字 |
第一版從零開始的只有「RACI 欄位」與「GRC 總覽頁」。其餘四處是改既有：部門表加主管、SSP 控制項加負責部門、SSP 加責任矩陣頁籤、結案報告加責任節。
| 元件 | 現況（2026-10-19 查） | 本案動作 |
|---|---|---|
部門樹 public.org_units |
jedi-iam 套件實作；欄位 name／parent_id／path／description／metadata jsonb；FE views/org-unit/OrgUnitManage.vue；人掛部門 user_org_units（含主要部門、起訖日）。沒有主管欄 |
加「主管」（B1，已裁） |
| 角色與權限 FR-132 | 三段式能力點、角色套用到部門範圍與起訖日、「上層部門涵蓋子部門」已定（D4）、部門資料隔離 RLS 不做（D12） | 不動。儀表板的「主管看自己子樹」用既有 path 做範圍過濾，不碰 RLS |
框架群組 oscal.catalog_groups |
OSCAL 格式規定控制項按章節分群；CRA 六群九十六條、CMMC L2 十四群 | 不動。拿來當「整批設部門」的單位 |
SSP 控制項實作 oscal.ssp_control_implementations |
實作說明、狀態、AO 判定、OSCAL responsible_roles jsonb（system-owner 等文件角色） |
加負責部門、RACI 四格（B2、A1～A5，已裁）。OSCAL 責任方保留不混用 |
| SSP 版本機制 | 定版快照 | RACI 掛 SSP 後隨快照凍結，報告印的是當時負責人 |
專案參與者 project_participants.role |
manager／auditor／viewer 單欄 | 不動 |
| 任務指派、FR-148 任務關卡 | 任務有處理人、每關可多人 | 不動；RACI 的 R 預帶任務處理人 |
專案層風險 oscal.ssp_risks（FR-135 R1） |
綁 SSP；impact／likelihood（facets）、mitigating_factors／remediations／related_control_ids、狀態五態 |
第一版不動。第二版公司層風險總表另立表，可引用／升級專案風險（D1，第二版再裁） |
稽核結果風險 oscal.assessment_risks、FR-044 NOT MET 自動建中風險 |
稽核判定層的風險，掛 AR result 與 POA&M | 第二版自動餵入的來源 |
POA&M compliance.poams |
status／due_date／assignee_uid／org_unit_id |
第一版儀表板直接讀「沒過的控制項與 POA&M 狀態」 |
| 結案報告 FR-145 | 一輪一份 Word／Excel | 加「責任歸屬」一節 |
| SSP Excel 匯出 FR-141 | 多 sheet 結構 | 加「責任矩陣」sheet（可後移） |
下拉字典 system_menus |
既有機制，FE API.SYSTEM_MENU |
第二版 Domain／Category／Risk Tier 進字典；第一版 RACI 四個字母是程式列舉不進字典 |
| 專案儀表板、AI 儀表板 | 圖表元件已有 | GRC 總覽頁複用元件 |
| 資訊系統與設備（jedi-asset） | information_systems.system_owner／org_unit_id |
第二版風險總表「資產」欄引用 |
| 法規通報 FR-136 | 縮回 FR-135 第三期 | 事件管理（R 後續來源）的「對外通報」步驟，本案不碰 |
結構是「一本帳、七種看法」：只有 GRC Register 要人填，其餘全是公式。檔案 ~/Desktop/00_Compliance Manager/GRC/GRC Overview Dashboard.xlsx。這是第二版的欄位來源，第一版只參考 Business Unit View 那一頁的形狀。
| 頁 | 是什麼 | 對應我們 | 版 |
|---|---|---|---|
| Instructions | 只填 Register；總分融合剩餘風險、合規狀態、未結議題、審查逾期、控制有效性 | 無 | |
| Lookups | 七組下拉：Domain 八個、Category 九個、Business Unit 九個、Status 七個、Compliance Status 三個、Trend 三個、Risk Tier 四級 | system_menus；Business Unit 用我們的部門樹 |
第二版 |
| GRC Register | 主帳 33 欄。五群：身分（編號／領域／類型／標題／部門／負責人／狀態／合規狀態）；風險計算（固有 1–25、控制有效性 %、剩餘、等級門檻 15／10／6）；議題（未結數／老化／嚴重度）；審查（審查日／距今／逾期）；指標與分數（KRI、加權分、健康指數、成熟度） | 風險總表；議題群對應 POA&M；指標群屬 KRI 後續來源 | 第二版 |
| Domain Scorecard | 八個領域各一列統計 | 儀表板「領域記分卡」 | 第二版 |
| Business Unit View | 九個部門各一列：筆數、未結議題、平均剩餘、不合規數、升級數 | 第一版儀表板的部門統計就是這頁的形狀，只是數字來源是稽核缺失不是風險總表 | 第一版 |
| Review Queue | 審查欄排成清單 | 儀表板「審查佇列」 | 第二版 |
| Risk Heatmap | 四張 KPI 卡＋五乘五格 | 儀表板「熱圖」；點格列風險與負責人 | 第二版 |
| Trend | 按月趨勢 | 儀表板「月趨勢」 | 第二版 |
| Dashboard | 八張 KPI 卡、迷你熱圖、合規狀態分佈、各領域 Critical 數 | PM「做出這種感覺」的目標頁 | 第二版完整；第一版只有件數卡 |
兩個提醒：