---
title: "08 R 風險總表 — 老闆在意的事情總表 (FR-151)"
brand: "Guidant AI · **FR-151** GRC 延伸"
eyebrow: "FR-151 · 三、規劃 · 08 R 風險總表"
h1: "R 風險總表——老闆在意的事情總表，加嚴重度排序"
subtitle: "表單一張、機制三個；使用情境四種；三筆範例資料"
lede: "風險總表是「老闆在意的事情總表」：每件事標多嚴重、誰負責、現在控得住嗎。合規沒過會自動進表，老闆自己在意但沒有控制項對應的事也能手填。與 G 線同一版做（卡⑥⑦⑧）。風險只存一張表：現有 SSP 風險評估升格為公司層總表。"
chips: [
  {text: "狀態：D1 已裁，卡⑥⑦⑧待 G 線③落地後開", kind: accent},
  {text: "表單 1＋機制 3", kind: accent},
  {text: "對應使用情境第五幕", kind: plain}
]
footer: "FR-151 · 三、規劃 · 08 R 風險總表 · 決策點見 05 決策紀錄 D 組"
---

## 變更紀錄 {#changelog nav="變更紀錄"}

| 日期 | 變更 |
|---|---|
| 2026-10-20 | 頁名由「第二版」改「R 風險總表」（兩版合併）；加「一張表」節；機制二改「評分與等級」（熱圖下鑽不做）、機制三改「不做」 |
| 2026-10-20 | 表單補風險矩陣要素：衝擊／可能性每級文字定義進字典、固有與剩餘拆分數與等級兩列、等級門檻進字典、附五乘五等級對照圖 |
| 2026-10-20 | 關聯控制項改存框架控制項編號（決策者：三個 CRA 專案同一條只勾一次）；「關聯專案」改為系統由編號算出、不用填 |
| 2026-10-19 | 表單依決策者裁示改：加「關聯專案」（可空）、來源拿掉「專案升級」、狀態加「已接受」值、拿掉簽核紀錄 |
| 2026-10-19 | 「後續來源」節改為備註（決策者定：先不做、留接口）；全頁「登錄」改「總表」 |
| 2026-10-19 | 新頁；補四種使用情境、表單欄位總表、三筆範例資料、風險與 RACI／控制項／SSP 的對應關係；供應商／事件／KRI 自原「第三版」併入本頁「後續來源」節 |

---

## 一句話 {#one-liner nav="一句話"}

::: {.callout .decided}
**風險總表＝老闆在意的事情總表。每件事標「多嚴重、誰負責、現在控得住嗎」。合規沒過自動進表，老闆自己在意的事手填進來。**
:::

G 線總覽頁只能說「產品部八條沒過、找林經理」。R 線能說「全公司最危險的三件事是這些、誰負責、該不該接受」。

---

## 誰、什麼時候、來做什麼 {#use-cases nav="使用情境"}

| 情境 | 誰 | 做什麼 | 今天怎麼做 | 做進系統的差別 |
|---|---|---|---|---|
| **一、導入時盤點** | 顧問 | 跟各部門主管問「最怕什麼事」，十幾筆填進總表、評分、掛部門 | Excel，交一份風險評估報告 | 下面三個情境才有可能 |
| **二、稽核結束老闆看** | 系統、老闆 | 十五條沒過自動變風險；老闆開總表，分數最高的幾筆在最上面標紅，點進去叫人 | 看不到嚴重度 | 分得出哪條嚴重 |
| **三、主管想結案** | 部門主管 | 修好的轉「監控中」、不追的改「已接受」或「關閉」（簽核關卡後續再加） | 口頭或 email | 狀態與改的人留紀錄 |
| **四、下輪稽核交報告** | 顧問 | 匯出總表：每筆評分、處置、誰接受、何時審 | Excel 重新整理 | 一年累積的紀錄直接印 |

**待驗**：情境一顧問今天做完就丟，還是會持續維護？做完就丟 → 情境二的自動建才是真正價值，手填表單簡化。

---

## 表單：新增一筆風險 {#form nav="表單"}

| 區塊 | 欄位 | 填法 | 必填 |
|---|---|---|---|
| **這是什麼風險** | 標題 | 一句話 | ● |
| | 說明 | 多行 | |
| | 領域分類 | 下拉（字典） | |
| **誰負責** | 部門 | 下拉（部門樹） | ● |
| | A 負責人 | 自動＝部門主管 | 自動 |
| | R／C／I | 選人或部門 | |
| **多嚴重** | 衝擊 | 1～5 下拉，每級有文字定義（字典，例：5＝停業或罰款、1＝幾乎無影響） | ● |
| | 可能性 | 1～5 下拉，每級有文字定義（字典，例：5＝每月都會發生、1＝幾年一次） | ● |
| | 固有風險分數 | 自動＝衝擊×可能性（1～25） | 自動 |
| | 固有風險等級 | 自動：分數對照等級門檻（字典，例：1～4 低、5～12 中、15～25 高），表單旁附五乘五等級對照圖 | 自動 |
| **現在控得住嗎** | 現有控制措施 | 文字 | |
| | 控制有效性 | 0～100% | |
| | 剩餘風險分數 | 自動＝固有×(1−有效性) | 自動 |
| | 剩餘風險等級 | 自動：同一套等級門檻 | 自動 |
| | 關聯控制項 | 多選**框架控制項編號**（如 `CRA.II.5`、`A.7.4`），可跨框架，一條只勾一次；部門、RACI、哪個專案沒過由系統用編號反查各專案 SSP 實作 | |
| **怎麼處理** | 處置方式 | 降低／接受／轉移／迴避 | |
| | 下次審查日 | 日期 | |
| | 關聯資產 | 多選 | |
| **系統記** | 關聯專案 | 系統算：凡 SSP 含所勾編號的專案都算關聯，不用填；SSP 頁籤唯讀顯示與 CRA 匯出據此撈 | 自動 |
| | 來源 | 手填／稽核缺失（可擴值，留供應商評估等接口） | 自動 |
| | 狀態 | 待納入→開啟→處理中→監控中→已接受／關閉（「已接受」先只是狀態值，簽核關卡後續再加） | 自動 |
| | 建立者、日期 | | 自動 |

**最少填四格就能存**：標題、部門、衝擊、可能性。其餘儀表板標「未評估」提醒補。欄位一多顧問就回去用 Excel。

**稽核沒過自動建的**：全部自動帶（標題從控制項來、關聯控制項＝該條框架編號、部門與 RACI 從沒過的那份實作繼承、衝擊預設高、狀態「待納入」），稽核主管確認後進正式列表，人只調評分。

---

## 風險掛在什麼上 {#relations nav="對應關係"}

風險是**紀錄**不是設定，住在公司層自己的總表，不在任何專案裡（專案結案風險還在）。但每筆掛兩樣東西：

| 掛什麼 | 必掛 | 怎麼來 | 用途 |
|---|---|---|---|
| **部門** | ● | 手填選；自動建的繼承控制項的負責部門 | 算 A 負責人；老闆叫人 |
| **框架控制項編號**（可多條、可跨框架，一條只勾一次） | 選 | 自動建的記沒過那條的編號；手填的多選 | 用編號反查各專案 SSP 實作拿部門、RACI、沒過紀錄；控制項頁反向顯示「關聯風險」；關聯專案由此算出 |

**風險的 RACI 怎麼來**：

| 來源 | RACI |
|---|---|
| 稽核沒過自動建 | 整組從來源控制項複製（部門、A、R、C、I），建立當下複製一份，之後控制項改了不跟（負責人變更應是有意識的決定；待裁） |
| 手填 | 填部門 → A 自動＝部門主管；R、C、I 選填；有掛控制項可一鍵沿用那條的 RACI |

**控制項怎麼知道對哪個風險**：同一張「風險 × 控制項」對照表反過來查。控制項不主動找風險，對應只來自「自動建」與「手填掛」兩個動作。系統不推「這條控制項應該對什麼風險」（＝內建風險庫，FR-135 D17 已裁不做）。

**跟現有 SSP 風險表（`ssp_risks`）的關係（D1 裁示 2026-10-20）**：**就是同一張表。** `ssp_risks` 升格為公司層總表（`ssp_id` 改可空），顧問只在總表填；SSP 頁籤「風險評估」改唯讀顯示該專案關聯的風險（由關聯控制項編號算出）；CRA 法律文件匯出與評估目標照原路讀。不另立表、不做升級。

---

## 範例資料：鼎泰科技同時有 ISO 27001 與 CRA {#sample nav="範例資料"}

三筆各示範一種來源。

**R-001 CRA 漏洞通報不合規，無法在歐盟上市**（稽核沒過自動建）

| 欄位 | 值 |
|---|---|
| 說明 | 稽核判通報期限 72 小時，CRA 要 24 小時 |
| 部門／A／R／C／I | 產品部／林經理／小張／法務／客服（全繼承自控制項） |
| 衝擊、可能性 | 5、4（系統預設，顧問可調）→ 固有 20 重大 |
| 現有控制、有效性 | 流程已有期限待修、30% → 剩餘 14 高 |
| 關聯控制項 | CRA 專案 CRA.II.5 協調漏洞揭露政策（來源，自動掛） |
| 處置、審查日 | 降低、2026-12-01 |
| 來源／狀態 | 稽核缺失（CRA 2026 第一輪）／待納入 → 稽核主管確認後處理中 |

**R-002 門鎖 App 客戶個資外洩**（顧問導入盤點手填，掛兩個專案）

| 欄位 | 值 |
|---|---|
| 說明 | App 後台存 10 萬筆客戶住址與開門紀錄 |
| 部門／A／R／C／I | 資訊部／陳經理／小李／法務／客服、業務 |
| 衝擊、可能性 | 5、2 → 固有 10 高 |
| 現有控制、有效性 | 加密、存取控制、年度滲透測試、70% → 剩餘 3 低 |
| 關聯控制項 | ISO 專案 A.8.24 密碼學、A.5.15 存取控制；CRA 專案 CRA.I.6 資料保護 |
| 處置、審查日、資產 | 降低、2027-03-01、App 後台伺服器 |
| 來源／狀態 | 手填／監控中 |

**R-003 門鎖主晶片單一供應商，倒了就斷貨**（部門主管手填，沒有合規要求）

| 欄位 | 值 |
|---|---|
| 說明 | 只向一家採購，交期 16 週 |
| 部門／A／R／C／I | 總務部／王經理／採購小吳／產品部／財務 |
| 衝擊、可能性 | 5、3 → 固有 15 高 |
| 現有控制、有效性 | 已簽第二供應商尚未試產、40% → 剩餘 9 中 |
| 關聯控制項 | ISO 專案 A.5.19 供應商關係安全（顧問建議掛，可不掛） |
| 處置、審查日 | 降低（王經理想選「接受」會被擋，中風險要上一層簽）、2027-01-15 |
| 來源／狀態 | 手填／處理中 |

**老闆儀表板看到的**

| 風險 | 剩餘等級 | 部門 | 找誰 |
|---|---|---|---|
| R-001 漏洞通報不合規 | 高 14 | 產品部 | 林經理 |
| R-003 晶片斷貨 | 中 9 | 總務部 | 王經理 |
| R-002 個資外洩 | 低 3 | 資訊部 | 陳經理 |

---

## 三個機制 {#mechanisms nav="三個機制"}

純手填就是把 Excel 搬進系統，客戶繼續用 Excel 就好。價值在這三個：

| 機制 | 做什麼 | 要裁 |
|---|---|---|
| **一、稽核沒過自動變風險** | NOT MET 自動建一筆，繼承部門與 RACI，POA&M 全關轉監控中。同一控制項多輪沒過按控制項歸併；先進「待納入」稽核主管一鍵納入，避免碎片淹沒 | D3 |
| **二、評分與等級排序** | 衝擊×可能性得分數、對照門檻得等級，總表依分數排序上色；表單旁附五乘五等級對照圖。熱圖下鑽**不做**（2026-10-20） | D2 |
| **三、誰有權說「我接受」** | **不做**（2026-10-20）。狀態欄留「已接受」值，誰有權改狀態誰就能接受；以後要加簽核是在狀態轉換上加關卡，不改表 | D6 |

---

## 備註：之後可能加的三樣東西（不在計畫內） {#later nav="備註 後續擴充"}

決策者 2026-10-19 定：先沒有這三個沒關係，客戶有需要再做，但風險總表要留接口。它們都不是總表的欄位，是總表之外的新紀錄表或設定：

| 東西 | 本質 | 對總表做什麼 | 接口 |
|---|---|---|---|
| 供應商清單 | 新紀錄表，像設備資料：一家一筆、問卷分數、合約到期、有無備援 | 評分差的自動建一筆，來源＝供應商評估 | 「來源」欄多一個值 |
| 事件紀錄 | 新紀錄表，像 log：發生一次記一筆、日期、嚴重度、處置 | 不建新筆，把既有那筆的可能性往上修 | 總表多一欄「關聯事件」 |
| KRI 水位線 | 一半設定一半紀錄：設「量哪張表的什麼數字、警戒線多少」，系統每天量 | 不建新筆，超線在既有那筆旁亮燈 | 總表多一欄「指標狀態」 |

PM 給的 Excel 範本把供應商（Category＝Vendor Oversight）與 KRI 當成手填的列混在同一張 Register，因為 Excel 只有一張表。系統最低限度照它做：總表留「分類」字典，顧問想記供應商風險就選「供應商」當一般風險手填，零新功能。

**為什麼先不做**：三樣都要先有「另一本帳」（供應商清單、事件紀錄、累積幾個月的 POA&M 數字），我們不確定客戶有沒有。總表本身不需要它們就能用。

---

## 待驗 {#open nav="待驗"}

- D 組已隨計畫定案（見 05）。
- 自動建的風險繼承 RACI 後，控制項那邊改了要不要跟（寫卡⑦時定，建議不跟）。
- 待驗：顧問今天的風險評估做完就丟還是持續維護。