---
title: "05 決策紀錄 — 每個決策點的選項、建議、裁示 (FR-151)"
brand: "Guidant AI · **FR-151** GRC 延伸"
eyebrow: "FR-151 · 二、分析與決策 · 05 決策紀錄"
h1: "決策紀錄：問題、選項、首腦建議、決策者裁示分開寫"
subtitle: "依主題分四組；「裁示」欄空白＝還沒裁，建議不等於裁示"
lede: "舊稿把首腦建議與決策者裁示混在一起，導致提問被當成定案。本頁每個決策點固定四段：問題是什麼、選項與取捨、首腦建議、**裁示（含日期）**。沒有裁示日期的一律視為未定。"
chips: [
  {text: "A 組 責任與 RACI：7 題", kind: accent},
  {text: "B 組 部門與主管：2 題", kind: accent},
  {text: "C 組 儀表板與報告：2 題", kind: accent},
  {text: "D 組 風險：D1、D4～D11 已裁", kind: accent},
  {text: "已裁：20／25（八題 10-19、D1／A6／A7／D4～D11 10-20）", kind: ok}
]
footer: "FR-151 · 二、分析與決策 · 05 決策紀錄 · 編號自 2026-10-19 重排，舊 D1～D14 對照見文末"
---

## 變更紀錄 {#changelog nav="變更紀錄"}

| 日期 | 變更 |
|---|---|
| 2026-10-20 | 加 D11 風險總表 Excel 匯入（同匯出格式、編號空白＝新增、有編號＝更新、算的欄忽略） |
| 2026-10-20 | 加 D10 SSP 現況 Excel 補負責部門欄＋責任矩陣 sheet 可匯入；任務配置匯入不加 RACI |
| 2026-10-20 | 加 D9 風險總表欄位選擇器（預設 10 欄、29 欄可選、記在瀏覽器） |
| 2026-10-20 | 加 D8 風險現況報告（可列印一頁，不做 popup、不做 Word） |
| 2026-10-20 | 加 D7 GRC 總覽砍掉重練（主管簡報式儀表板，風險快照與趨勢先不做） |
| 2026-10-20 | 加 D4 風險總表補欄位（對照 GRC Overview Dashboard.xlsx）、D5 表單改版與獨立頁、D6 處理計畫改關聯資源庫；A6 改判 SSP 內矩陣只看不設；決策者手測第二輪裁 |
| 2026-10-20 | A2 補裁：R／C／I 一律只存人，部門只當挑人的篩選，推翻 C／I 存部門 |
| 2026-10-20 | 加 A7「RACI 的 R 回填任務指派」：決策者裁乙，只填沒指派的任務、已指派一律不動；進 FR-151 當 ⑬ |
| 2026-10-20 | 加 A6「部門 RACI 預設＋責任分工設定頁」：決策者手測後裁，R 取值順序處理人優先、部門預設墊底；進 FR-151 當 ⑫ |
| 2026-10-20 | D1 裁示：風險只存一張表（`ssp_risks` 升格公司層）；D2／D3 依建議隨計畫定案；D6 簽核不做；A5 補「通用掛點」；兩版合併 |
| 2026-10-19 | 第一版八題 A2～A5、B1、B2、C1、C2 決策者全數裁示，皆照首腦建議；B2 補裁示理由（資源庫與 SSP 綁在一起、部門跟著 C 住 SSP，不另開公司層預設表）；八題 callout 由 pending 改 decided |
| 2026-10-19 | 自 discussion.md v4 D1～D14 重組：依主題分四組重編號；每題拆「建議」與「裁示」兩段；加 A1（對象）、A5（SSP 層）的 2026-10-19 討論結論；舊 D2／D3／D6／D12 等風險類移 D 組標「第二版再裁」 |

---

## 怎麼讀這頁 {#howto nav="怎麼讀"}

- **裁示欄有日期**＝決策者定案，規劃頁照此寫。
- **裁示欄空白**＝未定。首腦建議只是建議，決策者的提問不算裁示。
- 第一版 A、B、C 三組八題已於 2026-10-19 全數裁定；D 組等風險討論再開。

---

## A 組：責任與 RACI {#group-a nav="A 責任與 RACI"}

::: {.callout .decided}
**A1 RACI 的對象是什麼（矩陣的橫列）**

**問題**：矩陣左邊那欄列什麼。

**選項**：甲 控制項（稽核 NOT MET 判的就是它，報告印負責人對得上）／乙 風險（PM 講 R 時的對象，但公司層風險總表第一版不存在，沒有列可填）／丙 任務（已有處理人，重複）／丁 政策文件（不做）。

**首腦建議**：甲。表留「對象類型」欄，第二版加風險時不改表。

**裁示（2026-10-19）**：對象＝**專案 SSP 的控制項實作**。決策者確認「RACI 其實是針對 SSP 設定」。對象類型欄要不要先留，併 A5。
:::

::: {.callout .decided}
**A2 RACI 格子填人還是填部門**

**問題**：A 那格寫「資訊部主管」還是寫「陳經理」。

**選項**：甲 填人（精確，人離職要改每一格）／乙 填部門（穩定，但老闆要叫人還要再查）／丙 A 存部門、系統算出主管顯示；R 存人；C、I 存部門（通知時展開）。

**首腦建議**：丙。A 是「出事找誰」，部門比人穩定，人換了只改部門主管欄；R 是動手的人本來就該是人。這題選丙就必須先有 B1 主管欄。

**裁示（2026-10-19）**：丙。A 存部門、顯示時算出主管；R 存人；C／I 存部門。前提 B1 主管欄同日裁定。

**2026-10-20 補裁**：R／C／I **一律只存人**，推翻「C／I 存部門」。所有設 RACI 的畫面（責任分工設定頁、專案與資源庫責任矩陣、風險表單）上方的部門只是挑人的篩選。理由：R 自動補進任務只認人；C／I 存部門的「通知時展開」第一版沒做，存了等於沒人收到。A 仍是部門主管，不變。
:::

::: {.callout .decided}
**A3 格子是人填還是系統算**

**問題**：一套 CRA 九十六條乘四格近四百格，誰填。

**選項**：甲 全手填（顧問不會用）／乙 全算（A＝負責部門主管、R＝任務處理人，不能改例外、C／I 算不出）／丙 預設算、人改例外、C／I 選填。

**首腦建議**：丙。要讓系統算 A，就得先有 B2 控制項對部門。

**裁示（2026-10-19）**：丙。系統先帶出 A（負責部門主管）與 R（任務處理人），人改例外；C／I 選填。決策者確認理解：「系統算」的依據只有部門主管欄與控制項負責部門兩筆人填的資料，不是風險設定。
:::

::: {.callout .decided}
**A4 第一版開幾格**

**問題**：R／A／C／I 四格第一版都開，還是只開 A、R。

**選項**：甲 四格都開，C／I 選填（I 填了第一版沒人收到通知，只是記錄）／乙 只開 A、R（I 的通知第二版再加格）。

**首腦建議**：甲。開格成本低，顧問導入時一次填完不用回頭；I 的「狀態改變自動通知」掛第二版。

**裁示（2026-10-19）**：甲。四格都開，C／I 選填；I 的狀態改變自動通知掛第二版。
:::

::: {.callout .decided}
**A5 RACI 存在哪、要不要留「對象類型」欄**

**問題**：A1 已定對象是 SSP 控制項實作。存法有兩種。

**選項**：甲 直接在 `ssp_control_implementations` 加欄（負責部門、R、C、I；A 不存，顯示時算）——最省，隨 SSP 快照凍結／乙 獨立 RACI 表帶「對象類型＋對象 id」，第一版對象類型只有一種——多一張表，但第二版風險要掛 RACI 時不改結構。

**首腦建議**：乙的欄位、甲的語意：獨立表但第一版只填 SSP 控制項。第二版公司層風險是獨立於專案的，不能掛 SSP，要另有存法，先留欄位可避免二版搬資料。

**裁示（2026-10-19）**：乙。獨立 RACI 表帶「對象類型」欄，第一版只填 SSP 控制項實作。**2026-10-20 補**：對象類型欄是通用掛點，風險、政策文件、供應商等未來模組都是多一個類型值，表、API、責任區塊元件共用。
:::

::: {.callout .decided}
**A6 C／I 有沒有預設：部門層 RACI 預設與獨立設定頁**

**問題**：A3 讓系統算 A 與 R，但 C／I 完全沒預設，上百條控制項要一格一格點；「批次設定 R／C／I」是為補這個洞長出來的，決策者手測後反映「批次設定看不懂，四個東西不是應該一起設」「RACI 應該像設定檔，先設好各部門的，SSP 選完部門就直接套用」。

**選項**：甲 維持逐格＋批次（現況）／乙 每個部門先設 R／C／I 預設人選，控制項選了部門四格自動帶出，個別改的是例外；設定入口獨立一頁／丙 同乙但把設定塞進部門管理頁（jedi-iam 套件）。

**首腦建議**：乙。與 2026-10-20 早上定的概念一致（選部門就決定預設、矩陣只處理例外），只是把 C／I 也納入預設。不選丙：部門管理在 jedi-iam 套件，塞 RACI 等於套件認識 GRC 業務；維護者也不同（IT／人資 vs 合規負責人），權限要分開。資料面不開新表：`responsibility_assignments` 多一個對象類型 `org_unit`。

**裁示（2026-10-20）**：乙。細節：
- **三個位置各做一件事**：GRC 選單下新頁「責任分工設定」設部門預設（一列一部門：部門／A 唯讀＝主管／R／C／I）；控制項表單（規劃頁、資源庫）逐項只選負責部門，四格自動帶出、顯示一行摘要；責任矩陣頁籤是總覽加直接調整例外，例外格標「已改，不跟部門預設」、可一鍵還原。
- **R 取值順序：人工例外 → 評估目標的任務處理人 → 部門預設 R → 空**。處理人是真實分工資料，部門預設只墊底（runner 原提案「部門預設優先」不採）。C／I：人工例外 → 部門預設 → 空。
- 部門預設**全公司一份**，不分資源庫。既有人工 C／I 保留為例外（DEV 當下 0 筆）。
- 矩陣頁籤拿掉「批次設定 R／C／I」，保留「批次設定負責部門」；加篩選「未設部門」「有例外」「部門無主管」。
- **2026-10-20 晚改判（決策者手測後）**：SSP 內**不再有「責任矩陣」頁籤讓人設 RACI**。RACI 只能在控制項頁面（控制項表單）或 Excel 匯入設定；原矩陣改成控制項實作頁籤上一顆按鈕彈出的**唯讀總覽**。「矩陣可改例外」那句作廢，改例外回控制項頁面。
- 第 4 棒做的「矩陣部門格可點」（FE `84f199b4`）擱置不驗，隨本題一起收。
- 進 FR-151 當 ⑫，⑨ SPEC 延後到 ⑫ 之後一起寫。
:::

::: {.callout .decided}
**A7 RACI 設了 R，任務要不要跟著指派**

**問題**：⑫ 落地後決策者手測：控制項選了部門、RACI 有 R 了，但評估目標的任務關卡還是「未指派」。任務處理人會往上變 RACI 預設 R（A3），反過來 RACI 的 R 不會往下變任務指派——單向。

**選項**：甲 維持單向（R 是負責、指派是動手，可不同；缺點是設了 R 像沒生效）／乙 R 有值且任務沒指派時，系統把 R 帶成任務指派人員，**只填空、不覆蓋**／丙 任務指派下拉預設帶出 R 當建議值，人按確認才寫。

**首腦建議**：丙。乙省工但會產生掛名指派與一批自動通知。

**裁示（2026-10-20）**：**乙**，決策者理由「省掉 PM 一些工」；並明令**只異動沒指派的**：任務已有任何處理人（含覆核者）就不動，不覆蓋、不補人。細則：
- 回填來源＝該控制項此刻算出的 R（人工例外優先，其次部門預設 R；處理人本來就是任務上的人，不會出現在「沒指派」情境）。R 是部門時不回填（任務指派只收人）。
- 觸發時機：控制項負責部門變更（單條、套用到本群組、批次）、矩陣上人工改 R、部門預設 R 變更。都只掃「當下沒指派」的任務。
- 回填也走正規指派路徑（jedi-task-platform `add_task_assignee`），所以會照常發待辦通知；決策者知悉並接受。
- 不做：定時補掃、刪 R 時反向清指派。
:::

---

## B 組：部門與主管 {#group-b nav="B 部門與主管"}

::: {.callout .decided}
**B1 部門「主管」放哪裡**（舊 D1）

**問題**：部門表現在沒有主管欄，要加在哪。

**選項**：甲 `org_units` 加主管欄或 `org_unit_managers` 子表，在 jedi-iam 套件層改（規範：套件 domain 的欄位在套件改）／乙 寫進 RACI 表當「對象＝部門、角色＝A」（概念不對：部門主管不是對某件事當責）／丙 塞 `org_units.metadata` jsonb（零 migration，但報表 join 不到）。

**首腦建議**：甲，允許多位、第一位為主要（副主管、代理人、一人兼管兩部門都常見）。要動 jedi-iam 套件，按規範需決策者點頭。

**裁示（2026-10-19）**：甲。jedi-iam 套件層加部門主管，允許多位、第一位為主要。此裁示即決策者同意動 jedi-iam 套件。
:::

::: {.callout .decided}
**B2 控制項對部門存在哪一層**（舊 D13）

**問題**：A 要算得出來，控制項要先知道自己屬哪個部門。

**選項**：甲 存在專案 SSP 控制項實作上，可按框架群組整批設，個別覆寫——每個專案設一次，同客戶第二個專案要重設／乙 存在框架層控制項上——全公司一套，但資源庫範本沒有租戶，部門填不進去／丙 用 OSCAL `responsible_roles` 推——那是文件角色不是部門，對不到主管。

**首腦建議**：甲。緩解「第二個專案重設」：開新一輪時從上一輪複製，第一版可不做。決策者 2026-10-19 討論中表示「在 SSP 設即可」，同日正式裁定（見下）。

**裁示（2026-10-19）**：甲。負責部門存在專案 SSP 控制項實作上，按框架群組整批設、個別覆寫。決策者理由：合規資源庫本來就是每家公司各自設定、資源庫與 SSP 綁在一起，C 的關聯住在這裡，G 的「控制項歸哪個部門」跟著 C 放同一處，不另開公司層「控制項預設部門表」（那會是第二套真相）。同客戶第二個專案重設的問題用「從上一輪複製」解，第一版可不做。
:::

---

## C 組：儀表板與報告 {#group-c nav="C 儀表板與報告"}

::: {.callout .decided}
**C1 GRC 總覽頁誰能看、看多大範圍**（舊 D7）

**問題**：只給稽核主管與管理員，還是部門主管也看自己那塊。

**選項**：甲 只給稽核主管與系統管理員／乙 部門主管看自己部門加底下所有子部門（沿既有 `org_units.path` 過濾，一句 SQL；不碰 FR-132 不做的 RLS 隔離）；稽核主管、管理員、總經理看全公司。

**首腦建議**：乙。階層樹已有，不用新做；「誰是哪個部門主管」靠 B1；管多個部門取聯集。

**裁示（2026-10-19）**：乙。部門主管看自己部門加子部門（沿 `org_units.path`）；稽核主管、系統管理員、總經理看全公司。
:::

::: {.callout .decided}
**C2 結案報告與 SSP Excel 匯出哪些第一版做**

**問題**：FR-145 結案報告加責任歸屬節、FR-141 SSP Excel 加責任矩陣 sheet，兩者都做還是先做一個。

**選項**：甲 兩者都做／乙 先做結案報告（PM 點名「結案報告可以直接呈現誰負責」），Excel sheet 後移。

**首腦建議**：甲。Excel 多一張 sheet 成本低，且責任矩陣本來就是試算表形狀。

**裁示（2026-10-19）**：甲。結案報告責任歸屬節與 SSP Excel 責任矩陣 sheet 第一版都做。
:::

---

## D 組：風險管理 {#group-d nav="D 風險"}

::: {.callout .decided}
**D1 公司層風險與專案層 `ssp_risks` 的關係**

**舊建議**：兩表並存，專案風險可升級成公司風險。

**裁示（2026-10-20）**：**風險只存一張表。** 現有 `oscal.ssp_risks` 升格為公司層風險總表（`ssp_id` 改可空），顧問只在總表填；SSP 頁籤「風險評估」改唯讀顯示該專案關聯的風險；CRA 法律文件匯出（附件七、附件二）與評估目標 CRA.ART.13.RA／CRA.A7.3 照原路讀。不另立公司層表、不做「升級」。決策者原話：「SSP 不用填了，直接搬到風險總表」「兩邊的意思是一樣的」。關聯控制項存框架控制項編號（三個 CRA 專案同一條只勾一次），關聯專案由編號系統算出。
:::

其餘隨計畫定案（決策者 2026-10-20「其他都照你建議」延伸）：

| 編號 | 舊號 | 問題 | 舊稿建議 |
|---|---|---|---|
| D1 | D4 | 公司層風險與專案層 `ssp_risks` 的關係 | 兩表並存，專案風險可升級成公司風險 |
| D2 | D5 | 風險評估方法 | 固定五乘五，衝擊／可能性每級文字定義與等級門檻進字典；五乘五等級對照圖做、熱圖下鑽不做（2026-10-20） |
| D3 | D6 | 稽核 NOT MET 自動建風險要不要全自動 | 按框架控制項編號歸併成一筆（再沒過改狀態不建新筆），先進待納入清單，稽核主管一鍵納入 |
| D4 | D8 | Domain／Category 清單 | 照 Excel 範本當出廠預設種進 `system_menus` |
| D5 | D10 | 風險沿部門樹往上彙總、儀表板逐層下鑽 | 做，`path` 已有 |
| D6 | D12 | 風險接受權責與超限升級簽核 | **不做**（2026-10-20）；狀態欄留「已接受」值，以後加關卡不改表 |

::: {.callout .decided}
**D4 風險總表缺哪些欄位（對照 PM 給的 GRC Overview Dashboard.xlsx「GRC Register」A～R 欄）**

**問題**：決策者手測後說總表缺很多欄位，要對照 Excel 範例補。

**核對結果**（有＝我們已有同義欄位）：A Record ID 缺／B Domain 有（領域分類）／C Category 缺／D Title 有／E Business Unit 有（部門）／F Owner 有（A＝部門主管）／G Status 有／H Compliance Status 缺／I Inherent Risk 有（列表沒顯示）／J Control Effectiveness 有／K Residual Risk 有（公式相同）／L Risk Tier 有（三級門檻字典，Excel 四級不跟）／M Open Issues 缺／N Issue Aging Days 缺／O Issue Severity 缺／P Review Date 有（下次審查日）／Q Days to Review 缺／R Review Alert 缺。另表單漏放既有的「受影響資產」「依據標準」兩欄（只有 CRA 資源庫表單能填）。

**裁示（2026-10-20）**：
- 補 Record ID（租戶內流水號，顯示用）、Category（進 `system_menus` 新群組 `risk_category`，不寫死）。
- **算的欄位一律讀時算、不存表**：
  - Compliance Status＝關聯控制項在相關專案最近一次稽核：全通過→符合、全沒過→不符合、混合→部分符合、沒稽核過→待評。
  - Open Issues＝關聯控制項底下**未結改善計畫（POA&M）**件數；Issue Aging Days＝其中開最久的天數；Issue Severity＝這些改善計畫對應的稽核判定風險等級取最高，沒填顯示「未評」。改善計畫最近到期日另顯示在這組旁邊。
  - **Review Date＝風險自己的「下次審查日」**（⑥ 既有、顧問填，意為風險複查日），不是改善計畫到期日。Days to Review＝它減今天；Review Alert：過期→逾期、30 天內→即將到期、否則→正常。
- **下次審查日空的就由系統帶預設、顧問可改、只填空不覆蓋**：依等級帶週期，週期進 `system_menus`（`risk_review_cycle`：high 3／medium 6／low 12 個月、未評等級比照 medium）。自動建的風險在「待納入」被確認時起算。不做自動推下一期。
- Excel 裡的 KRI、預算曝險、成熟度、趨勢維持不做（10 總計畫既定）。
:::

::: {.callout .decided}
**D5 風險表單改版：獨立頁、RACI 即時預覽、控制項四層過濾、可跨框架**

**問題**：決策者手測：選部門要立即看到 RACI 不該存檔才顯示；一條風險只能對一個框架版本內的控制項；選控制項要框架→版本→群組→控制項逐步過濾；欄位太多不適合 Dialog。

**裁示（2026-10-20）**：新增／修改改**獨立頁面**（第 4 棒「拆獨立頁先不做」作廢，欄位已倍增）；選部門後 A／R／C／I 預覽即時帶出（用部門預設算，存檔後才有例外）；關聯控制項改四層逐步過濾且**可跨框架、跨版本多選**，存法不變（框架控制項編號）；補「受影響資產」「依據標準」欄。
:::

::: {.callout .decided}
**D6 「處理計畫」改成關聯資源庫**

**問題**：處理計畫目前是文字框；決策者要它關聯一個 SSP，透過 SSP 帶出關聯專案；新風險若還沒有資源庫，要能當場新增並帶回。

**裁示（2026-10-20）**：這版綁**資源庫（範本 SSP）**，未來可能換別的對象、先留欄位語意不寫死。表單上「處理計畫」改成資源庫選單＋「新增資源庫」鈕（開既有新增流程，建完自動選回）。關聯專案：有綁資源庫→該資源庫開出的專案；沒綁→維持由控制項編號算。原文字內容保留為「處理說明」不刪。
:::

::: {.callout .decided}
**D7 GRC 總覽砍掉重練：主管簡報式儀表板**

**問題**：④ 做的 GRC 總覽只有四張數字卡加一張部門表，決策者：「超不專業」，要參考業界產品重做，迷你風險熱圖必有。

**對照**：Eramba、CISO Assistant、ServiceNow IRM、Drata、Vanta 五家與 PM 的 GRC Overview Dashboard.xlsx 交集一致——風險依等級分段、熱圖（固有／剩餘可切）、依領域拆解、待辦清單（逾期／到期／待審，含負責人）、合規進度、趨勢。雛形 `prototype/grc-dashboard.html`（第二版，決策者看過）。

**裁示（2026-10-20）**：照雛形第二版做，四層：
1. 態勢帶：剩餘風險平均儀表（0～25，等級膠囊）、風險數、高／中／低、待評／待納入／自動建立；右側三張「要你決定」卡（逾期複查／未結改善計畫／待納入），每張大數字＋白話說明＋動作連結。
2. 證據：5×5 熱圖（SVG、六階連續色、固有／剩餘切換、高風險區 ≥15 虛線框、右側列框內風險）；合規態勢堆疊條（符合／部分／不符合／待評）＋各專案最近一次稽核通過率＋各領域高風險。
3. 待辦與責任：「該處理的風險」優先佇列（負責人頭像、提醒膠囊）；部門計分卡（控制項通過率迷你條、風險數、未結改善、逾期）。
4. 未來 12 個月複查排程（下次審查日按月分桶、顏色＝等級）。
- **風險快照與趨勢（較上月變化、走勢線、與上次稽核比較）先不做**，雛形已拿掉；日後要做是一張每日快照表加排程，另開卡。
- 熱圖預設固有、可切剩餘。所有數字讀時算，沿用 ⑮ metrics、④ builder、結案報告通過率三條既有鏈收成一個端點；不引新圖表套件，SVG＋CSS。
- 部門視角降為儀表板的一個區塊，原 GRC 總覽頁由新頁取代（路由與能力點沿用 `governance-overview`、`grc.governance.read／read-all`，主管只看子樹的範圍規則不變）。
:::

::: {.callout .decided}
**D8 單筆風險「現況報告」：可列印一頁**

**問題**：編輯頁的「現況」卡只有三個數字（合規狀態、未結改善計畫、複查提醒）。顧問複查一筆風險要回答「擔心還成不成立、處置有沒有效、要不要調」，得把評分、控制項判定、改善計畫明細、RACI、處置、歷程收成一頁；決策者問要不要 popup。

**裁示（2026-10-20）**：做成**可列印的獨立頁** `/governance/risks/:uid/report`（比照結案報告頁），不做 popup；**Word 匯出這版不做**。七段：① 抬頭（編號／標題／分類／領域／部門與 A／來源／狀態／建立與更新）② 評分摘要（衝擊、可能性、固有；有效性、剩餘與等級；5×5 小矩陣標落點）③ 合規與控制項（關聯控制項逐條：框架、專案、最近一次稽核判定與日期）④ 改善計畫（未結逐件：專案、控制項、開立／到期、負責人、嚴重度、任務進度）⑤ 責任（RACI 四格，標個別指定）⑥ 處置（處置方式、現有控制、處理說明、關聯資源庫與專案、下次審查日與提醒）⑦ 歷程（狀態變更）。入口：編輯頁頂端與「現況」卡右上「現況報告」鈕、列表操作欄一顆。資料全沿用既有鏈（detail、⑮ metrics、RACI 矩陣、稽核判定與改善計畫 build_view），讀時算。
:::

::: {.callout .decided}
**D9 風險總表列表欄位：欄位選擇器**

**問題**：列表 10 欄、Excel 29 欄，決策者問是不是沒印全。首腦當初刻意切（列表掃描用、Excel 分析用），但領域／分類只在標題下小字、固有分數要點進去才看得到，老闆／顧問／部門主管要看的欄不同。

**選項**：甲 維持 10 欄／乙 欄位選擇器（預設 10 欄，29 欄全可選，選擇記瀏覽器）／丙 直接加到 14 欄。

**裁示（2026-10-20）**：乙。專案裡沒有既有的欄位選擇器，做成可重用的 composable＋鈕，風險總表先用；預設欄維持現在 10 欄，可選清單＝Excel 29 欄同一份定義；選擇存 localStorage（每人每瀏覽器），有「還原預設」。
:::

::: {.callout .decided}
**D10 Excel 匯入跟上 FR-151 新欄：SSP 現況 Excel 與任務配置匯入**

**問題**：決策者問 SSP 匯入有沒有負責部門欄、任務配置匯入要不要加 RACI。實查：SSP 現況 Excel 可編輯欄只有備註／缺失／建議＋任務四欄，沒有負責部門；⑤ 加的「責任矩陣」sheet 只匯出不匯入；任務配置匯入欄有任務類型／指派人員／參與部門／設備，沒有 RACI。

**裁示（2026-10-20）**：
- SSP 現況 Excel 主表加「負責部門」可編輯欄（填部門名稱；匯入時對照本租戶部門，找不到標問題），套用走 ② 的既有部門寫入。
- 「責任矩陣」sheet 補匯入：R／C／I 三欄填人名，規則與 ⑯ 責任分工設定匯入一致（只存人、空白＝清空回預設、問題格整格略過、匯入前預覽），重用 ⑯ 的解析與人名比對。
- **任務配置匯入不加 RACI 欄**：RACI 掛控制項、任務配置一列是任務，一條控制項多列會重複填且互相打架；責任分工歸責任矩陣 sheet，任務配置管任務指派，各管各的。
- 更正：⑤ 手測單「改一格 R 再匯回」當時驗不過（沒有匯入路徑），本題補齊。
:::

::: {.callout .decided}
**D11 風險總表 Excel 匯入**

**問題**：決策者要風險總表能用 Excel 匯入，格式就用匯出那份，編號不用給（自動派號）。

**裁示（2026-10-20）**：
- 匯入檔＝匯出的同一份 29 欄格式（表頭一字不差才收）。**編號空白＝新增**（系統派號）；**編號有值且本租戶找得到＝更新那筆**；有值找不到＝標問題不寫。
- 29 欄分三類：**可寫**（標題、說明、受影響資產、領域、分類、部門、衝擊、可能性、現有控制措施、控制有效性、關聯控制項、處置、下次審查日、狀態、備註）；**算的／唯讀忽略**（主要主管 A、固有分數與等級、剩餘分數與等級、合規狀態、未結改善計畫三欄、最近到期、距複查、複查提醒、關聯專案、來源、建立日期）；**R 執行**＝人名，走 RACI 寫入（只存人、空白清空）。
- 名稱對照：部門名→部門 id、領域／分類／處置／狀態的中文標籤→字典 key、控制項編號→須在任一專案或資源庫 in-scope（同表單驗證）、人名→登入帳號或暱稱（重用 ⑯ 解析）。對不到→該列標問題；問題列整列略過、其餘照寫。
- 流程同 ⑯：上傳→預覽（新增幾筆／更新幾筆／問題幾列，逐列標）→套用。匯入建的風險來源＝手填；下次審查日空白照 ⑮ 規則自動帶。狀態轉換走既有狀態機，不合法的轉換標問題。
- 不做：刪除（Excel 少一列不代表刪）、關聯資源庫（處理計畫）欄這版不收。
:::

---

## E 組：工程（首腦自行決定，列出供知悉） {#group-e nav="E 工程"}

| 編號 | 舊號 | 問題 | 首腦決定 |
|---|---|---|---|
| E1 | D9 | 新模組名與 URL 前綴 | 第一版沒有風險總表，主管欄進既有組織模組、負責部門與 RACI 進既有 SSP 模組，只有總覽頁是新的，模組名 `governance`、URL `/api/1.0/governance`、錯誤碼前綴 `GOV_`。不能叫 `grc`：既有流程模組已佔 `/api/1.0/grc` 與 `GRC_*` |
| E2 | D11 | 角色加「第幾線」標籤 | **不做**（2026-10-19 決策者確認 C 類不做；三道防線無框架要求） |

---

## 舊 D1～D14 對照 {#mapping nav="舊號對照"}

| 舊 | 新 | 備註 |
|---|---|---|
| D1 主管放哪 | B1 | |
| D2 RACI 對象 | A1 | 已裁：SSP 控制項實作 |
| D3 四格必填 | A3＋A4 | 拆成「怎麼填」與「開幾格」 |
| D4 公司層與專案層風險 | D1 | 二版 |
| D5 風險方法 | D2 | 二版 |
| D6 自動建風險 | D3 | 二版 |
| D7 儀表板誰看 | C1 | |
| D8 Domain／Category | D4 | 二版 |
| D9 模組命名 | E1 | 首腦自決 |
| D10 樹往上彙總 | D5 | 二版 |
| D11 三道防線 | E2 | 不做 |
| D12 風險接受簽核 | D6 | 二版 |
| D13 控制項負責部門 | B2 | |
| D14 第一版範圍 | 併入 10 分期 | 第一版＝找頭兒最小版加 RACI，見 07 |