決策紀錄：問題、選項、首腦建議、決策者裁示分開寫

D1 公司層風險與專案層 ssp_risks 的關係

舊建議：兩表並存，專案風險可升級成公司風險。

裁示（2026-10-20）：風險只存一張表。 現有 oscal.ssp_risks 升格為公司層風險總表（ssp_id 改可空），顧問只在總表填；SSP 頁籤「風險評估」改唯讀顯示該專案關聯的風險；CRA 法律文件匯出（附件七、附件二）與評估目標 CRA.ART.13.RA／CRA.A7.3 照原路讀。不另立公司層表、不做「升級」。決策者原話：「SSP 不用填了，直接搬到風險總表」「兩邊的意思是一樣的」。關聯控制項存框架控制項編號（三個 CRA 專案同一條只勾一次），關聯專案由編號系統算出。

D4 風險總表缺哪些欄位（對照 PM 給的 GRC Overview Dashboard.xlsx「GRC Register」A～R 欄）

問題：決策者手測後說總表缺很多欄位，要對照 Excel 範例補。

核對結果（有＝我們已有同義欄位）：A Record ID 缺／B Domain 有（領域分類）／C Category 缺／D Title 有／E Business Unit 有（部門）／F Owner 有（A＝部門主管）／G Status 有／H Compliance Status 缺／I Inherent Risk 有（列表沒顯示）／J Control Effectiveness 有／K Residual Risk 有（公式相同）／L Risk Tier 有（三級門檻字典，Excel 四級不跟）／M Open Issues 缺／N Issue Aging Days 缺／O Issue Severity 缺／P Review Date 有（下次審查日）／Q Days to Review 缺／R Review Alert 缺。另表單漏放既有的「受影響資產」「依據標準」兩欄（只有 CRA 資源庫表單能填）。

裁示（2026-10-20）：

• 補 Record ID（租戶內流水號，顯示用）、Category（進 system_menus 新群組 risk_category，不寫死）。
• 算的欄位一律讀時算、不存表：
  • Compliance Status＝關聯控制項在相關專案最近一次稽核：全通過→符合、全沒過→不符合、混合→部分符合、沒稽核過→待評。
  • Open Issues＝關聯控制項底下**未結改善計畫（POA&M）**件數；Issue Aging Days＝其中開最久的天數；Issue Severity＝這些改善計畫對應的稽核判定風險等級取最高，沒填顯示「未評」。改善計畫最近到期日另顯示在這組旁邊。
  • Review Date＝風險自己的「下次審查日」（⑥ 既有、顧問填，意為風險複查日），不是改善計畫到期日。Days to Review＝它減今天；Review Alert：過期→逾期、30 天內→即將到期、否則→正常。
• 下次審查日空的就由系統帶預設、顧問可改、只填空不覆蓋：依等級帶週期，週期進 system_menus（risk_review_cycle：high 3／medium 6／low 12 個月、未評等級比照 medium）。自動建的風險在「待納入」被確認時起算。不做自動推下一期。
• Excel 裡的 KRI、預算曝險、成熟度、趨勢維持不做（10 總計畫既定）。

D5 風險表單改版：獨立頁、RACI 即時預覽、控制項四層過濾、可跨框架

問題：決策者手測：選部門要立即看到 RACI 不該存檔才顯示；一條風險只能對一個框架版本內的控制項；選控制項要框架→版本→群組→控制項逐步過濾；欄位太多不適合 Dialog。

裁示（2026-10-20）：新增／修改改獨立頁面（第 4 棒「拆獨立頁先不做」作廢，欄位已倍增）；選部門後 A／R／C／I 預覽即時帶出（用部門預設算，存檔後才有例外）；關聯控制項改四層逐步過濾且可跨框架、跨版本多選，存法不變（框架控制項編號）；補「受影響資產」「依據標準」欄。

D6 「處理計畫」改成關聯資源庫

問題：處理計畫目前是文字框；決策者要它關聯一個 SSP，透過 SSP 帶出關聯專案；新風險若還沒有資源庫，要能當場新增並帶回。

裁示（2026-10-20）：這版綁資源庫（範本 SSP），未來可能換別的對象、先留欄位語意不寫死。表單上「處理計畫」改成資源庫選單＋「新增資源庫」鈕（開既有新增流程，建完自動選回）。關聯專案：有綁資源庫→該資源庫開出的專案；沒綁→維持由控制項編號算。原文字內容保留為「處理說明」不刪。

D7 GRC 總覽砍掉重練：主管簡報式儀表板

問題：④ 做的 GRC 總覽只有四張數字卡加一張部門表，決策者：「超不專業」，要參考業界產品重做，迷你風險熱圖必有。

對照：Eramba、CISO Assistant、ServiceNow IRM、Drata、Vanta 五家與 PM 的 GRC Overview Dashboard.xlsx 交集一致——風險依等級分段、熱圖（固有／剩餘可切）、依領域拆解、待辦清單（逾期／到期／待審，含負責人）、合規進度、趨勢。雛形 prototype/grc-dashboard.html（第二版，決策者看過）。

裁示（2026-10-20）：照雛形第二版做，四層：

1. 態勢帶：剩餘風險平均儀表（0～25，等級膠囊）、風險數、高／中／低、待評／待納入／自動建立；右側三張「要你決定」卡（逾期複查／未結改善計畫／待納入），每張大數字＋白話說明＋動作連結。
2. 證據：5×5 熱圖（SVG、六階連續色、固有／剩餘切換、高風險區 ≥15 虛線框、右側列框內風險）；合規態勢堆疊條（符合／部分／不符合／待評）＋各專案最近一次稽核通過率＋各領域高風險。
3. 待辦與責任：「該處理的風險」優先佇列（負責人頭像、提醒膠囊）；部門計分卡（控制項通過率迷你條、風險數、未結改善、逾期）。
4. 未來 12 個月複查排程（下次審查日按月分桶、顏色＝等級）。

• 風險快照與趨勢（較上月變化、走勢線、與上次稽核比較）先不做，雛形已拿掉；日後要做是一張每日快照表加排程，另開卡。
• 熱圖預設固有、可切剩餘。所有數字讀時算，沿用 ⑮ metrics、④ builder、結案報告通過率三條既有鏈收成一個端點；不引新圖表套件，SVG＋CSS。
• 部門視角降為儀表板的一個區塊，原 GRC 總覽頁由新頁取代（路由與能力點沿用 governance-overview、grc.governance.read／read-all，主管只看子樹的範圍規則不變）。

D8 單筆風險「現況報告」：可列印一頁

問題：編輯頁的「現況」卡只有三個數字（合規狀態、未結改善計畫、複查提醒）。顧問複查一筆風險要回答「擔心還成不成立、處置有沒有效、要不要調」，得把評分、控制項判定、改善計畫明細、RACI、處置、歷程收成一頁；決策者問要不要 popup。

裁示（2026-10-20）：做成可列印的獨立頁 /governance/risks/:uid/report（比照結案報告頁），不做 popup；Word 匯出這版不做。七段：① 抬頭（編號／標題／分類／領域／部門與 A／來源／狀態／建立與更新）② 評分摘要（衝擊、可能性、固有；有效性、剩餘與等級；5×5 小矩陣標落點）③ 合規與控制項（關聯控制項逐條：框架、專案、最近一次稽核判定與日期）④ 改善計畫（未結逐件：專案、控制項、開立／到期、負責人、嚴重度、任務進度）⑤ 責任（RACI 四格，標個別指定）⑥ 處置（處置方式、現有控制、處理說明、關聯資源庫與專案、下次審查日與提醒）⑦ 歷程（狀態變更）。入口：編輯頁頂端與「現況」卡右上「現況報告」鈕、列表操作欄一顆。資料全沿用既有鏈（detail、⑮ metrics、RACI 矩陣、稽核判定與改善計畫 build_view），讀時算。

D9 風險總表列表欄位：欄位選擇器

問題：列表 10 欄、Excel 29 欄，決策者問是不是沒印全。首腦當初刻意切（列表掃描用、Excel 分析用），但領域／分類只在標題下小字、固有分數要點進去才看得到，老闆／顧問／部門主管要看的欄不同。

選項：甲 維持 10 欄／乙 欄位選擇器（預設 10 欄，29 欄全可選，選擇記瀏覽器）／丙 直接加到 14 欄。

裁示（2026-10-20）：乙。專案裡沒有既有的欄位選擇器，做成可重用的 composable＋鈕，風險總表先用；預設欄維持現在 10 欄，可選清單＝Excel 29 欄同一份定義；選擇存 localStorage（每人每瀏覽器），有「還原預設」。

D10 Excel 匯入跟上 FR-151 新欄：SSP 現況 Excel 與任務配置匯入

問題：決策者問 SSP 匯入有沒有負責部門欄、任務配置匯入要不要加 RACI。實查：SSP 現況 Excel 可編輯欄只有備註／缺失／建議＋任務四欄，沒有負責部門；⑤ 加的「責任矩陣」sheet 只匯出不匯入；任務配置匯入欄有任務類型／指派人員／參與部門／設備，沒有 RACI。

裁示（2026-10-20）：

• SSP 現況 Excel 主表加「負責部門」可編輯欄（填部門名稱；匯入時對照本租戶部門，找不到標問題），套用走 ② 的既有部門寫入。
• 「責任矩陣」sheet 補匯入：R／C／I 三欄填人名，規則與 ⑯ 責任分工設定匯入一致（只存人、空白＝清空回預設、問題格整格略過、匯入前預覽），重用 ⑯ 的解析與人名比對。
• 任務配置匯入不加 RACI 欄：RACI 掛控制項、任務配置一列是任務，一條控制項多列會重複填且互相打架；責任分工歸責任矩陣 sheet，任務配置管任務指派，各管各的。
• 更正：⑤ 手測單「改一格 R 再匯回」當時驗不過（沒有匯入路徑），本題補齊。

D11 風險總表 Excel 匯入

問題：決策者要風險總表能用 Excel 匯入，格式就用匯出那份，編號不用給（自動派號）。

裁示（2026-10-20）：

• 匯入檔＝匯出的同一份 29 欄格式（表頭一字不差才收）。編號空白＝新增（系統派號）；編號有值且本租戶找得到＝更新那筆；有值找不到＝標問題不寫。
• 29 欄分三類：可寫（標題、說明、受影響資產、領域、分類、部門、衝擊、可能性、現有控制措施、控制有效性、關聯控制項、處置、下次審查日、狀態、備註）；算的／唯讀忽略（主要主管 A、固有分數與等級、剩餘分數與等級、合規狀態、未結改善計畫三欄、最近到期、距複查、複查提醒、關聯專案、來源、建立日期）；R 執行＝人名，走 RACI 寫入（只存人、空白清空）。
• 名稱對照：部門名→部門 id、領域／分類／處置／狀態的中文標籤→字典 key、控制項編號→須在任一專案或資源庫 in-scope（同表單驗證）、人名→登入帳號或暱稱（重用 ⑯ 解析）。對不到→該列標問題；問題列整列略過、其餘照寫。
• 流程同 ⑯：上傳→預覽（新增幾筆／更新幾筆／問題幾列，逐列標）→套用。匯入建的風險來源＝手填；下次審查日空白照 ⑮ 規則自動帶。狀態轉換走既有狀態機，不合法的轉換標問題。
• 不做：刪除（Excel 少一列不代表刪）、關聯資源庫（處理計畫）欄這版不收。