---
title: "07 G 組織與責任 — 找頭兒 (FR-151)"
brand: "Guidant AI · **FR-151** GRC 延伸"
eyebrow: "FR-151 · 三、規劃 · 07 G 責任歸屬"
h1: "G 責任歸屬：組織與責任——四處擴充讓老闆找得到頭兒"
subtitle: "A2～A5、B1、B2、C1、C2 已於 2026-10-19 裁定，本頁為定稿"
lede: "第一版做到使用情境第一～四幕：部門有主管、SSP 控制項知道歸哪個部門、RACI 四格掛在 SSP 上、老闆一頁看部門 × 沒過 × 主管、結案報告多一張責任總表。本頁列範圍、四處擴充、初步資料模型、畫面描述、拆卡。**八題裁示已齊（2026-10-19，皆照首腦建議），本頁依裁示寫，欄位旁標對應決策點供回查 05。**"
chips: [
  {text: "範圍：使用情境第一～四幕", kind: ok},
  {text: "擴充 4 處＋新頁 1", kind: accent},
  {text: "狀態：定稿，八題已裁 2026-10-19", kind: ok}
]
footer: "FR-151 · 三、規劃 · 07 第一版 · 決策點編號對應 05 決策紀錄"
---

## 變更紀錄 {#changelog nav="變更紀錄"}

| 日期 | 變更 |
|---|---|
| 2026-10-19 | 八題裁示齊，本頁由草稿轉定稿；資料模型與畫面維持原建議內容，B2 補「資源庫與 SSP 綁在一起、部門跟著 C 住 SSP」的裁示理由 |
| 2026-10-19 | 新頁。取代舊稿「套進系統的接點」「三層規劃第 1 層」「拆卡草案」；範圍改為「找頭兒最小版＋RACI 四格掛 SSP」 |

---

## 範圍一句話 {#scope nav="範圍"}

::: {.callout .decided}
**部門有主管 → SSP 控制項知道歸哪個部門 → RACI 四格掛在 SSP 控制項上（A 算出來、R 預帶、C／I 選填）→ 老闆一頁看部門 × 沒過 × 主管、點進去列清單 → 結案報告多一張責任總表。**
:::

**本頁（G 線）不含**：風險總表、評分、自動建風險（在 08，同一版的 R 線卡⑥⑦⑧）。**不做**：熱圖、簽核、狀態改變通知 I、我的待辦。

**追責鏈四層，只補上面兩層**：

| 層 | 誰 | 來源 | 狀態 |
|---|---|---|---|
| 頭兒 | 部門主管 | 部門表主管欄 | **要補** |
| 部門 | 哪個部門管這條控制項 | SSP 控制項負責部門，可按群組整批設 | **要補** |
| 承辦 | 當初誰被指派、做了沒 | 任務指派與執行紀錄 | 已有，不動 |
| 證據 | 交了什麼、怎麼判 | 證據、AO 判定 | 已有，不動 |

---

## 四處擴充 {#touchpoints nav="四處擴充"}

| # | 擴充哪裡 | 做什麼 | 新或改 | 決策點 |
|---|---|---|---|---|
| 1 | 部門管理頁 | 加「主管」欄，可選一到多人，第一位主要 | 改既有（jedi-iam 套件） | B1 |
| 2 | 專案 SSP 控制項實作 | 每條加「負責部門」；按框架群組整批設；個別覆寫 | 改既有 | B2 |
| 3 | SSP 責任矩陣 | 新頁籤：試算表式，橫列控制項、直欄群組／負責部門／R／A／C／I；A 灰色不可改、跟負責部門算；上方「按群組整批設」。單條控制項頁多一小塊「責任」四格，同一份資料第二入口 | 新頁籤＋改既有頁 | A2～A5 |
| 4 | 讀的地方 | GRC 總覽頁（新）；FR-145 結案報告加責任歸屬節；FR-141 SSP Excel 加責任矩陣 sheet | 一新兩改 | C1、C2 |

依賴由上到下：沒有 1 算不出主管，沒有 2 算不出 A，沒有 3 只剩算出來的兩格不能改例外。

**與既有 OSCAL 責任方的關係**：SSP 原本的 `responsible_roles`（system-owner 等）是文件格式角色，為匯出合規存在，保留不動。RACI 是我們系統的真人與部門，為追責存在。兩者並存，畫面上分開顯示。

---

## 初步資料模型 {#data-model nav="資料模型"}

依裁示寫（2026-10-19：A2 丙、A3 丙、A4 甲、A5 乙、B1 甲、B2 甲、C1 乙、C2 甲）。

```{.mermaid cap="圖 1 — 第一版資料關係；虛線是「算出來、不存」"}
%%{init: {'theme':'base','themeVariables':{'primaryColor':'#E2F0F1','primaryTextColor':'#14201F','primaryBorderColor':'#0E7C86','lineColor':'#4A5A5C','textColor':'#14201F','mainBkg':'#E2F0F1','nodeBorder':'#0E7C86','clusterBkg':'#FBFCFC','clusterBorder':'#E4EAEB'}}}%%
flowchart LR
  OU[org_units 部門<br/>既有：name／parent_id／path]
  OUM[org_unit_managers 新<br/>org_unit_id／user_id／is_primary]
  SCI[ssp_control_implementations<br/>既有＋新欄 org_unit_id 負責部門]
  RACI[responsibility_assignments 新<br/>subject_type／subject_id／role R·C·I／org_unit_id 或 user_id／is_manual]
  AR[稽核結果 NOT MET／POA&M 既有]
  DB[GRC 總覽頁]
  RPT[結案報告責任節]
  OU --> OUM
  SCI --> OU
  SCI --> RACI
  SCI -. A ＝ 負責部門的主管 .-> OUM
  AR --> SCI
  SCI --> DB
  OUM --> DB
  RACI --> DB
  SCI --> RPT
  RACI --> RPT
```

| 表 | 動作 | 欄位 | 備註 |
|---|---|---|---|
| `org_unit_managers` | 新 | `org_unit_id`、`user_id`、`is_primary`、起訖 | jedi-iam 套件層；B1 |
| `ssp_control_implementations` | 加欄 | `org_unit_id`（負責部門，可空） | B2；隨 SSP 快照凍結。放 SSP 不放公司層：資源庫與 SSP 綁在一起，部門跟著 C 住這裡，不另開公司層預設表 |
| `responsibility_assignments` | 新 | `subject_type`（第一版只有 `ssp_control_implementation`）、`subject_id`、`role`（R／C／I；A 不存）、`org_unit_id` 或 `user_id`、`is_manual` | A5 乙；A 顯示時算 |

**A 不存**：顯示時取控制項負責部門的主要主管。規則改了舊資料不搬。要「某條 A 不是部門主管」的例外，本版不支援，記為後續候選。

**RACI 四個字母不進 `system_menus`**：它是程式列舉，改了邏輯也要改，屬 CLAUDE.md 寫死例外。

---

## 畫面描述 {#screens nav="畫面"}

裁示已齊，雛形下一步刻，放 `prototype/`。先用文字定每頁有什麼。**全部禁 `border-left` 粗邊強調。**

### 部門管理頁（改）

既有部門樹右側表單加「主管」多選，第一個為主要。列表加一欄顯示主要主管姓名。

### SSP 責任矩陣頁籤（新）

| 控制項 | 群組 | 負責部門 | R | A（自動） | C | I |
|---|---|---|---|---|---|---|
| CRA-I-1 | 附件一第一部分 | 產品部 | 小張 | 林經理 | 法務 | 客服 |
| CRA-I-2 | 附件一第一部分 | 產品部 | 小陳 | 林經理 | | |

- 上方工具列：「按群組整批設」選群組 → 選部門 → 選 C、I → 套用到該群組全部列。
- A 欄灰色唯讀，跟著負責部門算；負責部門空時 A 顯示「未指定」並標警示。
- 人工改過的格子有小標記，與預設帶出的區分。
- 篩選：只看沒指定部門的、只看 NOT MET 的。

### 單條控制項頁（改）

既有實作頁加一塊「責任」：負責部門下拉、R／C／I 選人或部門、A 唯讀顯示。改了與頁籤同步。

### GRC 總覽頁（新）

- 上方四張數字卡：控制項總數、沒過數、未指定部門數、逾期 POA&M 數。
- 中間部門表：部門／控制項數／沒過數／主要主管。可依沒過數排序。範圍依 C1。
- 點部門列展開：沒過的控制項清單，每條顯示控制項 id、標題、A、R、承辦狀態、POA&M 到期。
- 專案篩選：單一專案或全部。

### 結案報告責任歸屬節（改）

報告第一頁後插一節：責任歸屬總表（沒過的控制項 × 部門 × 主管，按部門分組），每條缺失明細旁印 A、R。SSP Excel 匯出加「責任矩陣」sheet，欄位同頁籤。

---

## 拆卡草案 {#cards nav="拆卡"}

裁示已齊；雛形審過後才開 Notion 卡。順序以「決策者何時看到畫面」為準。

| 卡 | 做什麼 | 規模 | 決策者先看到什麼 | 前置 |
|---|---|---|---|---|
| ① | 部門主管：jedi-iam 加表＋API＋部門頁選人與顯示 | S | 部門頁能選主管 | B1 |
| ② | SSP 控制項負責部門：加欄＋API＋單條頁下拉＋按群組整批 API | S | 控制項頁多「負責部門」 | B2、① |
| ③ | RACI 表＋API＋責任矩陣頁籤＋單條頁責任區塊 | M | 責任矩陣頁籤，A 自動帶出 | A2～A5、② |
| ④ | GRC 總覽頁：BE 統計 API（依 C1 範圍過濾）＋FE 頁 | M | 總覽頁 | C1、③ |
| ⑤ | 結案報告責任歸屬節＋SSP Excel 責任矩陣 sheet | S | 報告多一節、Excel 多一 sheet | C2、③ |
| ⑥ | SPEC 頁＋手冊 | S | spec-site | ①～⑤ |

估時：每卡一個 session 一到兩天含驗收，第一版約兩週；雛形兩到三天先行。

---

## 待驗假設 {#assumptions nav="待驗"}

| 假設 | 若不成立 |
|---|---|
| 客戶部門分工大致對得到框架群組 | 整批設省不了力，改以「依控制項關鍵字建議部門」 |
| 一家客戶同時開的專案不多 | 不需另做：同資源庫開的專案自動共用負責部門與 RACI |
| 老闆會自己開系統 | 報告總表優先於總覽頁 |