R 風險總表——老闆在意的事情總表，加嚴重度排序

G 線總覽頁只能說「產品部八條沒過、找林經理」。R 線能說「全公司最危險的三件事是這些、誰負責、該不該接受」。

待驗：情境一顧問今天做完就丟，還是會持續維護？做完就丟 → 情境二的自動建才是真正價值，手填表單簡化。

最少填四格就能存：標題、部門、衝擊、可能性。其餘儀表板標「未評估」提醒補。欄位一多顧問就回去用 Excel。

稽核沒過自動建的：全部自動帶（標題從控制項來、關聯控制項＝該條框架編號、部門與 RACI 從沒過的那份實作繼承、衝擊預設高、狀態「待納入」），稽核主管確認後進正式列表，人只調評分。

風險是紀錄不是設定，住在公司層自己的總表，不在任何專案裡（專案結案風險還在）。但每筆掛兩樣東西：

風險的 RACI 怎麼來：

控制項怎麼知道對哪個風險：同一張「風險 × 控制項」對照表反過來查。控制項不主動找風險，對應只來自「自動建」與「手填掛」兩個動作。系統不推「這條控制項應該對什麼風險」（＝內建風險庫，FR-135 D17 已裁不做）。

跟現有 SSP 風險表（ssp_risks）的關係（D1 裁示 2026-10-20）：就是同一張表。 ssp_risks 升格為公司層總表（ssp_id 改可空），顧問只在總表填；SSP 頁籤「風險評估」改唯讀顯示該專案關聯的風險（由關聯控制項編號算出）；CRA 法律文件匯出與評估目標照原路讀。不另立表、不做升級。

三筆各示範一種來源。

R-001 CRA 漏洞通報不合規，無法在歐盟上市（稽核沒過自動建）

R-002 門鎖 App 客戶個資外洩（顧問導入盤點手填，掛兩個專案）

R-003 門鎖主晶片單一供應商，倒了就斷貨（部門主管手填，沒有合規要求）

老闆儀表板看到的

純手填就是把 Excel 搬進系統，客戶繼續用 Excel 就好。價值在這三個：

決策者 2026-10-19 定：先沒有這三個沒關係，客戶有需要再做，但風險總表要留接口。它們都不是總表的欄位，是總表之外的新紀錄表或設定：

PM 給的 Excel 範本把供應商（Category＝Vendor Oversight）與 KRI 當成手填的列混在同一張 Register，因為 Excel 只有一張表。系統最低限度照它做：總表留「分類」字典，顧問想記供應商風險就選「供應商」當一般風險手填，零新功能。

為什麼先不做：三樣都要先有「另一本帳」（供應商清單、事件紀錄、累積幾個月的 POA&M 數字），我們不確定客戶有沒有。總表本身不需要它們就能用。

• D 組已隨計畫定案（見 05）。
• 自動建的風險繼承 RACI 後，控制項那邊改了要不要跟（寫卡⑦時定，建議不跟）。
• 待驗：顧問今天的風險評估做完就丟還是持續維護。