Guidant AI · FR-151 GRC 延伸
↑ 需求首頁 ⌂ 需求中心

FR-151 · 三、規劃 · 10 總計畫

總計畫：兩個大類、兩版、各做哪些事

給 PM 看的規劃總表；一版九張卡，細節在 07（G）與 08（R）

本案只補 GRC 的 G（責任歸屬）與 R（風險管理），C（合規）平台本來就是主體、不另做。一版做完、約四週、九張卡（決策者 2026-10-20：第一第二版一起做）：G 五張找頭兒、R 三張風險總表、一張 SPEC。風險只存一張表——現有 SSP 風險評估升格為公司層總表。供應商／事件／KRI 留接口不做。

G 責任歸屬＋R 風險管理 一版 九張卡 約 4 週 二十二張卡 CM-2915～2936 R 後續來源：待驗
§1

變更紀錄

日期 變更
2026-10-20 加 ㉒ 風險總表 Excel 匯入（D11）
2026-10-20 加 ㉑ SSP 現況 Excel 負責部門欄＋責任矩陣 sheet 匯入（D10）
2026-10-20 加 ⑳ 風險總表欄位選擇器（D9）
2026-10-20 加 ⑲ 單筆風險現況報告（D8，可列印頁）
2026-10-20 加 ⑱ GRC 總覽砍掉重練（D7，主管簡報式儀表板；風險快照與趨勢先不做）
2026-10-20 決策者手測第二輪：加 ⑭ 風險獨立頁與表單改版、⑮ 總表補欄位（對照 PM Excel）、⑯ 責任分工 Excel 匯入匯出、⑰ SSP 端 RACI 入口調整；⑨ SPEC 再延後
2026-10-20 加 ⑬ RACI 的 R 回填沒指派的任務（A7）
2026-10-20 加 ⑫ 部門 RACI 預設＋責任分工設定頁（A6，決策者手測後裁）；⑨ SPEC 延後到 ⑫ 之後；⑩⑪ 兩張追加卡補進表
2026-10-20 兩版合併一版九張卡；D1 改「一張表升格」；⑧縮為評分等級（熱圖不做）；⑩簽核不做；⑪升級刪除；G 線開卡 CM-2914～2919
2026-10-19 第一版八題全裁（見 05），「下一步」第 1 項完成，下一動作為刻雛形
2026-10-19 加置頂「結論」節（鎖定 Compliance／Cybersecurity 核心、其他領域留接口）；供應商／事件／KRI 從計畫移為備註
2026-10-19 改為 G／R 兩大類總計畫、兩版（決策者：第三版不另成版，供應商／事件／KRI 併入 R 後續來源）；刪「合規證據管理」（政策生命週期、意識訓練、三道防線）——決策者確認 C 本來就有，那三項是市面平台對照抄出的缺口，實為某些框架的控制項、現有證據機制已涵蓋；證據有效期另列獨立小需求
§2

結論（決策者 2026-10-19 定）

第一版先把 GRC 核心產出來：鎖定 Compliance 與 Cybersecurity 面向。供應商、財務等其他領域依客戶或我們進入的領域慢慢加，但要設計好接口，讓之後能掛不同的判定來源與資源。

  • 做：G 責任歸屬（找頭兒）、R 風險總表（評分、稽核沒過自動進表、接受簽核）、GRC 總覽頁。
  • 不做、留接口：供應商清單、事件紀錄、KRI 水位線、財務等其他領域。它們是風險總表之外的新紀錄表或設定，客戶有需要再做。
  • C 合規不另做：平台本來就是 C。
  • 接口要先留的：風險總表的「來源」欄可擴值、「領域分類」進字典、RACI 表「對象類型」欄、風險 × 控制項對照表允許不同來源寫入。設計時要讓「多一種來源」是加值不改表。
  • 與 ServiceNow IRM 的差距：它十個模組真正重疊的是風險、責任、儀表板三個，其餘七個是大企業專職風控部門才填得動的；中小企業透過顧問導入，做完三個就是完整 GRC。
§3

兩個大類

大類 拿來幹嘛 一句話
G 責任歸屬 每條控制項、每筆風險都對得到部門與主管，老闆叫得到人 找頭兒
R 風險管理 老闆在意的事情總表：多嚴重、誰負責、控得住嗎；合規沒過自動進表 總表加排序
C 合規證據 平台本來就是 C（框架、控制項、證據、稽核、POA&M）。訓練、政策這類是某些框架的控制項，證據掛上去即可 不做

C 唯一的小缺口：證據沒有有效期欄位（明年稽核員問「這份簽到表還算數嗎」答不出）。屬合規補強不屬 GRC，獨立小 FR 隨時做，不進本案。

§4

一版九張卡

卡 線 做什麼 規模 前置 Notion
① G 部門加主管欄（jedi-iam），可多人、第一位主要 S 無 CM-2915
② G SSP 控制項加負責部門，按框架群組整批設、個別覆寫 S ① CM-2916
③ G RACI 表（通用對象類型欄）＋SSP 責任矩陣頁籤＋單條責任區塊，A 自動、R 預帶、C／I 選填 M ② CM-2917
④ G GRC 總覽頁：部門 × 沒過 × 主管，主管看子樹 M ③ CM-2918
⑤ G 結案報告責任節＋SSP Excel 責任矩陣 sheet S ③ CM-2919
⑥ R 風險總表本體：ssp_risks 升格公司層（綁專案可選）、加部門／RACI／領域分類／狀態欄、風險矩陣（每級定義、公式、門檻進字典、五乘五對照圖）、關聯控制項存框架編號、關聯專案系統算、側選單新入口列表＋表單、SSP 頁籤改唯讀 M ③ CM-2920
⑦ R 稽核沒過自動建風險：按框架編號歸併（再沒過改狀態不建新筆）、繼承部門與 RACI、先進「待納入」稽核主管確認；POA&M 全關轉監控中 M ⑥ CM-2921
⑧ R 風險總表匯出 Excel＋結案報告風險節 S ⑥ CM-2922
⑩ G/R 專案總報告補責任節與風險節 S ⑤⑧ CM-2924
⑪ G 資源庫編輯頁也能設負責部門與責任矩陣，與專案同一份 S ③ CM-2925
⑫ G 部門 RACI 預設＋GRC「責任分工設定」頁；控制項只選部門、四格自動帶出；矩陣頁籤改總覽＋例外（A6） M ③⑪ CM-2926
⑬ G RACI 的 R 回填任務指派：只填沒指派的、不覆蓋（A7） S ⑫ CM-2927
⑭ R 風險新增／修改改獨立頁：選部門即時帶 RACI 預覽、控制項四層過濾可跨框架、補受影響資產／依據標準、處理計畫改關聯資源庫可當場新增（D5、D6） M～L ⑥⑫ CM-2928
⑮ R 風險總表補欄位：Record ID、Category 字典、合規狀態、未結改善計畫三欄、複查兩欄、下次審查日空值自動帶週期；列表與 Excel 同步（D4） M ⑥⑦⑧，FE 接 ⑭ CM-2929
⑯ G 責任分工設定 Excel 匯出／匯入，只存人、匯入前預覽 S ⑫ CM-2930
⑰ G SSP 端 RACI 入口調整：拿掉責任矩陣頁籤、控制項頁籤加唯讀總覽鈕、RACI 只在控制項表單或 Excel 設、批次設定負責部門兩處都在（A6 改判） S ⑫⑬ CM-2931
⑱ G/R GRC 總覽砍掉重練：態勢儀表＋三件待決、5×5 熱圖固有／剩餘、合規態勢、優先佇列、部門計分卡、複查排程；讀時算、SVG（D7） L ④⑮ CM-2932
⑲ R 單筆風險現況報告：可列印獨立頁七段（抬頭／評分落點／控制項判定／改善計畫明細／RACI／處置／歷程），入口編輯頁與列表（D8） M ⑭⑮ CM-2933
⑳ R 風險總表欄位選擇器：預設 10 欄、29 欄可勾、記瀏覽器、可還原；可重用 composable（D9） S ⑮ CM-2934
㉑ G SSP 現況 Excel 補負責部門可編輯欄＋責任矩陣 sheet 可匯入（規則同 ⑯）；任務配置匯入不加 RACI（D10） S～M ②⑤⑯ CM-2935
㉒ R 風險總表 Excel 匯入：同匯出 29 欄格式、編號空白新增／有編號更新、算的欄忽略、名稱對照、先預覽（D11） M ⑥⑮⑯ CM-2936
⑨ — SPEC 頁＋手冊 S 全部 CM-2923

順序：①→②→③ 主幹約一週；之後 G 線（④⑤）與 R 線（⑥→⑦⑧）兩個 session 平行；R 線是瓶頸。母卡 CM-2914。

不做、留接口：熱圖、接受簽核（狀態留「已接受」值）、專案風險升級（一張表不需要）、供應商／事件／KRI、其他領域。

§5

G 責任歸屬：要做的事

# 做什麼 動哪裡 版 決策點
① 部門加主管欄，可多人、第一位主要 部門管理頁（jedi-iam 套件） 一 B1
② SSP 每條控制項加負責部門；按框架群組整批設；個別覆寫 SSP 控制項實作 一 B2
③ RACI 四格掛 SSP 控制項：A 自動＝負責部門主管、R 預帶任務處理人、C／I 選填。兩個入口：SSP 新頁籤「責任矩陣」（試算表式，整批填）＋單條控制項頁「責任」區塊 SSP 一 A2～A5
④ GRC 總覽頁：數字卡、部門 × 沒過數 × 主管、點進去列控制項與 A／R；主管看自己子樹 新頁 一 C1
⑤ 結案報告加責任歸屬總表；SSP Excel 匯出加責任矩陣 sheet FR-145、FR-141 一 C2
⑥ 風險掛 RACI：對象類型多一種；自動建的繼承來源控制項整組、手填的填部門算 A RACI 表 併入卡⑥ A5
§6

R 風險管理：要做的事

# 做什麼 動哪裡 版 決策點
⑦ 風險總表：ssp_risks 升格公司層、綁專案可選；必填標題／部門／衝擊／可能性；側選單獨立入口；SSP 頁籤改唯讀 既有表升格 卡⑥ D1 已裁
⑧ 評分與等級：固有＝衝擊×可能性、剩餘＝固有×(1−有效性)、每級定義與等級門檻進字典、五乘五等級對照圖；熱圖下鑽不做 卡⑥ 卡⑥ D2
⑨ 稽核沒過自動建風險：記框架控制項編號、繼承部門與 RACI、按編號歸併、先進「待納入」稽核主管確認；POA&M 全關轉監控中 稽核判定流程 卡⑦ D3
⑩ 風險接受簽核 不做（狀態留「已接受」值，以後加關卡不改表） — 不做 D6
⑪ 專案 SSP 風險升級 刪除（一張表不需要） — 刪除 D1
— 風險 × 控制項對照：存框架控制項編號、一條只勾一次；控制項頁反向顯示「關聯風險」 卡⑥ 卡⑥
— 字典：領域分類、衝擊／可能性每級定義、等級門檻、處置方式進 system_menus migration 卡⑥ D4
— 接口：來源欄可擴值、分類進字典、RACI 對象類型欄（通用掛點）、風險 × 控制項對照表多來源 設計時留 卡③⑥
§7

待驗真實情境（派 R 線前問 PM 或顧問）

問題 影響
顧問今天用 Excel 做的風險評估，做完就丟還是持續維護 做完就丟 → ⑨ 自動建最有價值，⑦ 手填表單簡化
客戶有沒有在管供應商、記事件 決定供應商清單、事件紀錄要不要做（備註項，不在計畫內）
客戶部門分工對得到框架群組嗎 決定 ② 整批設是省力起點還是沒用
老闆會自己開系統嗎 決定 ④ 總覽頁與 ⑤ 報告總表哪個優先
§8

不做什麼

  • C 合規證據類：政策生命週期、意識訓練、三道防線。前兩者是框架控制項、證據機制已涵蓋；三道防線無任何框架要求。
  • 不改 FR-132 權限模型、不改 BPMN、不動 SSP OSCAL 匯出格式。
  • 不內建風險／威脅庫（FR-135 D17）、不做財務化風險、不做 BCP、不做帳號定期審查。
  • 不做矩陣式組織、風險胃納額度制。
§9

下一步

  1. 決策者裁 05 的第一版八題 2026-10-19 全裁。刻雛形 決策者 2026-10-20 跳過。
  2. G 線五張卡已開（CM-2915～2919），等決策者派 runner。
  3. R 線三張卡已開（CM-2920～2922），⑥ 等③落地後派。
  4. 待驗四題在派 R 線前問 PM。