G 責任歸屬：組織與責任——四處擴充讓老闆找得到頭兒

本頁（G 線）不含：風險總表、評分、自動建風險（在 08，同一版的 R 線卡⑥⑦⑧）。不做：熱圖、簽核、狀態改變通知 I、我的待辦。

追責鏈四層，只補上面兩層：

依賴由上到下：沒有 1 算不出主管，沒有 2 算不出 A，沒有 3 只剩算出來的兩格不能改例外。

與既有 OSCAL 責任方的關係：SSP 原本的 responsible_roles（system-owner 等）是文件格式角色，為匯出合規存在，保留不動。RACI 是我們系統的真人與部門，為追責存在。兩者並存，畫面上分開顯示。

依裁示寫（2026-10-19：A2 丙、A3 丙、A4 甲、A5 乙、B1 甲、B2 甲、C1 乙、C2 甲）。

%%{init: {'theme':'base','themeVariables':{'primaryColor':'#E2F0F1','primaryTextColor':'#14201F','primaryBorderColor':'#0E7C86','lineColor':'#4A5A5C','textColor':'#14201F','mainBkg':'#E2F0F1','nodeBorder':'#0E7C86','clusterBkg':'#FBFCFC','clusterBorder':'#E4EAEB'}}}%%
flowchart LR
  OU[org_units 部門<br/>既有：name／parent_id／path]
  OUM[org_unit_managers 新<br/>org_unit_id／user_id／is_primary]
  SCI[ssp_control_implementations<br/>既有＋新欄 org_unit_id 負責部門]
  RACI[responsibility_assignments 新<br/>subject_type／subject_id／role R·C·I／org_unit_id 或 user_id／is_manual]
  AR[稽核結果 NOT MET／POA&M 既有]
  DB[GRC 總覽頁]
  RPT[結案報告責任節]
  OU --> OUM
  SCI --> OU
  SCI --> RACI
  SCI -. A ＝ 負責部門的主管 .-> OUM
  AR --> SCI
  SCI --> DB
  OUM --> DB
  RACI --> DB
  SCI --> RPT
  RACI --> RPT

A 不存：顯示時取控制項負責部門的主要主管。規則改了舊資料不搬。要「某條 A 不是部門主管」的例外，本版不支援，記為後續候選。

RACI 四個字母不進 system_menus：它是程式列舉，改了邏輯也要改，屬 CLAUDE.md 寫死例外。

裁示已齊，雛形下一步刻，放 prototype/。先用文字定每頁有什麼。全部禁 border-left 粗邊強調。

部門管理頁（改）

既有部門樹右側表單加「主管」多選，第一個為主要。列表加一欄顯示主要主管姓名。

SSP 責任矩陣頁籤（新）

• 上方工具列：「按群組整批設」選群組 → 選部門 → 選 C、I → 套用到該群組全部列。
• A 欄灰色唯讀，跟著負責部門算；負責部門空時 A 顯示「未指定」並標警示。
• 人工改過的格子有小標記，與預設帶出的區分。
• 篩選：只看沒指定部門的、只看 NOT MET 的。

單條控制項頁（改）

既有實作頁加一塊「責任」：負責部門下拉、R／C／I 選人或部門、A 唯讀顯示。改了與頁籤同步。

GRC 總覽頁（新）

• 上方四張數字卡：控制項總數、沒過數、未指定部門數、逾期 POA&M 數。
• 中間部門表：部門／控制項數／沒過數／主要主管。可依沒過數排序。範圍依 C1。
• 點部門列展開：沒過的控制項清單，每條顯示控制項 id、標題、A、R、承辦狀態、POA&M 到期。
• 專案篩選：單一專案或全部。

結案報告責任歸屬節（改）

報告第一頁後插一節：責任歸屬總表（沒過的控制項 × 部門 × 主管，按部門分組），每條缺失明細旁印 A、R。SSP Excel 匯出加「責任矩陣」sheet，欄位同頁籤。

裁示已齊；雛形審過後才開 Notion 卡。順序以「決策者何時看到畫面」為準。

估時：每卡一個 session 一到兩天含驗收，第一版約兩週；雛形兩到三天先行。