---
title: "10 總計畫 — G 與 R 各做哪些事、分幾版 (FR-151)"
brand: "Guidant AI · **FR-151** GRC 延伸"
eyebrow: "FR-151 · 三、規劃 · 10 總計畫"
h1: "總計畫：兩個大類、兩版、各做哪些事"
subtitle: "給 PM 看的規劃總表；一版九張卡，細節在 07（G）與 08（R）"
lede: "本案只補 GRC 的 G（責任歸屬）與 R（風險管理），C（合規）平台本來就是主體、不另做。**一版做完、約四週、九張卡**（決策者 2026-10-20：第一第二版一起做）：G 五張找頭兒、R 三張風險總表、一張 SPEC。風險只存一張表——現有 SSP 風險評估升格為公司層總表。供應商／事件／KRI 留接口不做。"
chips: [
  {text: "G 責任歸屬＋R 風險管理", kind: accent},
  {text: "一版 九張卡 約 4 週", kind: ok},
  {text: "二十二張卡 CM-2915～2936", kind: accent},
  {text: "R 後續來源：待驗", kind: plain}
]
footer: "FR-151 · 三、規劃 · 10 總計畫 · 決策點見 05"
---

## 變更紀錄 {#changelog nav="變更紀錄"}

| 日期 | 變更 |
|---|---|
| 2026-10-20 | 加 ㉒ 風險總表 Excel 匯入（D11） |
| 2026-10-20 | 加 ㉑ SSP 現況 Excel 負責部門欄＋責任矩陣 sheet 匯入（D10） |
| 2026-10-20 | 加 ⑳ 風險總表欄位選擇器（D9） |
| 2026-10-20 | 加 ⑲ 單筆風險現況報告（D8，可列印頁） |
| 2026-10-20 | 加 ⑱ GRC 總覽砍掉重練（D7，主管簡報式儀表板；風險快照與趨勢先不做） |
| 2026-10-20 | 決策者手測第二輪：加 ⑭ 風險獨立頁與表單改版、⑮ 總表補欄位（對照 PM Excel）、⑯ 責任分工 Excel 匯入匯出、⑰ SSP 端 RACI 入口調整；⑨ SPEC 再延後 |
| 2026-10-20 | 加 ⑬ RACI 的 R 回填沒指派的任務（A7） |
| 2026-10-20 | 加 ⑫ 部門 RACI 預設＋責任分工設定頁（A6，決策者手測後裁）；⑨ SPEC 延後到 ⑫ 之後；⑩⑪ 兩張追加卡補進表 |
| 2026-10-20 | 兩版合併一版九張卡；D1 改「一張表升格」；⑧縮為評分等級（熱圖不做）；⑩簽核不做；⑪升級刪除；G 線開卡 CM-2914～2919 |
| 2026-10-19 | 第一版八題全裁（見 05），「下一步」第 1 項完成，下一動作為刻雛形 |
| 2026-10-19 | 加置頂「結論」節（鎖定 Compliance／Cybersecurity 核心、其他領域留接口）；供應商／事件／KRI 從計畫移為備註 |
| 2026-10-19 | 改為 G／R 兩大類總計畫、兩版（決策者：第三版不另成版，供應商／事件／KRI 併入 R 後續來源）；刪「合規證據管理」（政策生命週期、意識訓練、三道防線）——決策者確認 C 本來就有，那三項是市面平台對照抄出的缺口，實為某些框架的控制項、現有證據機制已涵蓋；證據有效期另列獨立小需求 |

---

## 結論（決策者 2026-10-19 定） {#conclusion nav="結論"}

::: {.callout .decided}
**第一版先把 GRC 核心產出來：鎖定 Compliance 與 Cybersecurity 面向。供應商、財務等其他領域依客戶或我們進入的領域慢慢加，但要設計好接口，讓之後能掛不同的判定來源與資源。**
:::

- **做**：G 責任歸屬（找頭兒）、R 風險總表（評分、稽核沒過自動進表、接受簽核）、GRC 總覽頁。
- **不做、留接口**：供應商清單、事件紀錄、KRI 水位線、財務等其他領域。它們是風險總表之外的新紀錄表或設定，客戶有需要再做。
- **C 合規不另做**：平台本來就是 C。
- **接口要先留的**：風險總表的「來源」欄可擴值、「領域分類」進字典、RACI 表「對象類型」欄、風險 × 控制項對照表允許不同來源寫入。設計時要讓「多一種來源」是加值不改表。
- **與 ServiceNow IRM 的差距**：它十個模組真正重疊的是風險、責任、儀表板三個，其餘七個是大企業專職風控部門才填得動的；中小企業透過顧問導入，做完三個就是完整 GRC。

---

## 兩個大類 {#categories nav="兩大類"}

| 大類 | 拿來幹嘛 | 一句話 |
|---|---|---|
| **G 責任歸屬** | 每條控制項、每筆風險都對得到部門與主管，老闆叫得到人 | 找頭兒 |
| **R 風險管理** | 老闆在意的事情總表：多嚴重、誰負責、控得住嗎；合規沒過自動進表 | 總表加排序 |
| ~~C 合規證據~~ | 平台本來就是 C（框架、控制項、證據、稽核、POA&M）。訓練、政策這類是某些框架的控制項，證據掛上去即可 | **不做** |

**C 唯一的小缺口**：證據沒有有效期欄位（明年稽核員問「這份簽到表還算數嗎」答不出）。屬合規補強不屬 GRC，獨立小 FR 隨時做，不進本案。

---

## 一版九張卡 {#phases nav="九張卡"}

| 卡 | 線 | 做什麼 | 規模 | 前置 | Notion |
|---|---|---|---|---|---|
| ① | G | 部門加主管欄（jedi-iam），可多人、第一位主要 | S | 無 | CM-2915 |
| ② | G | SSP 控制項加負責部門，按框架群組整批設、個別覆寫 | S | ① | CM-2916 |
| ③ | G | RACI 表（通用對象類型欄）＋SSP 責任矩陣頁籤＋單條責任區塊，A 自動、R 預帶、C／I 選填 | M | ② | CM-2917 |
| ④ | G | GRC 總覽頁：部門 × 沒過 × 主管，主管看子樹 | M | ③ | CM-2918 |
| ⑤ | G | 結案報告責任節＋SSP Excel 責任矩陣 sheet | S | ③ | CM-2919 |
| ⑥ | R | 風險總表本體：`ssp_risks` 升格公司層（綁專案可選）、加部門／RACI／領域分類／狀態欄、風險矩陣（每級定義、公式、門檻進字典、五乘五對照圖）、關聯控制項存框架編號、關聯專案系統算、側選單新入口列表＋表單、SSP 頁籤改唯讀 | M | ③ | CM-2920 |
| ⑦ | R | 稽核沒過自動建風險：按框架編號歸併（再沒過改狀態不建新筆）、繼承部門與 RACI、先進「待納入」稽核主管確認；POA&M 全關轉監控中 | M | ⑥ | CM-2921 |
| ⑧ | R | 風險總表匯出 Excel＋結案報告風險節 | S | ⑥ | CM-2922 |
| ⑩ | G/R | 專案總報告補責任節與風險節 | S | ⑤⑧ | CM-2924 |
| ⑪ | G | 資源庫編輯頁也能設負責部門與責任矩陣，與專案同一份 | S | ③ | CM-2925 |
| ⑫ | G | 部門 RACI 預設＋GRC「責任分工設定」頁；控制項只選部門、四格自動帶出；矩陣頁籤改總覽＋例外（A6） | M | ③⑪ | CM-2926 |
| ⑬ | G | RACI 的 R 回填任務指派：只填沒指派的、不覆蓋（A7） | S | ⑫ | CM-2927 |
| ⑭ | R | 風險新增／修改改獨立頁：選部門即時帶 RACI 預覽、控制項四層過濾可跨框架、補受影響資產／依據標準、處理計畫改關聯資源庫可當場新增（D5、D6） | M～L | ⑥⑫ | CM-2928 |
| ⑮ | R | 風險總表補欄位：Record ID、Category 字典、合規狀態、未結改善計畫三欄、複查兩欄、下次審查日空值自動帶週期；列表與 Excel 同步（D4） | M | ⑥⑦⑧，FE 接 ⑭ | CM-2929 |
| ⑯ | G | 責任分工設定 Excel 匯出／匯入，只存人、匯入前預覽 | S | ⑫ | CM-2930 |
| ⑰ | G | SSP 端 RACI 入口調整：拿掉責任矩陣頁籤、控制項頁籤加唯讀總覽鈕、RACI 只在控制項表單或 Excel 設、批次設定負責部門兩處都在（A6 改判） | S | ⑫⑬ | CM-2931 |
| ⑱ | G/R | GRC 總覽砍掉重練：態勢儀表＋三件待決、5×5 熱圖固有／剩餘、合規態勢、優先佇列、部門計分卡、複查排程；讀時算、SVG（D7） | L | ④⑮ | CM-2932 |
| ⑲ | R | 單筆風險現況報告：可列印獨立頁七段（抬頭／評分落點／控制項判定／改善計畫明細／RACI／處置／歷程），入口編輯頁與列表（D8） | M | ⑭⑮ | CM-2933 |
| ⑳ | R | 風險總表欄位選擇器：預設 10 欄、29 欄可勾、記瀏覽器、可還原；可重用 composable（D9） | S | ⑮ | CM-2934 |
| ㉑ | G | SSP 現況 Excel 補負責部門可編輯欄＋責任矩陣 sheet 可匯入（規則同 ⑯）；任務配置匯入不加 RACI（D10） | S～M | ②⑤⑯ | CM-2935 |
| ㉒ | R | 風險總表 Excel 匯入：同匯出 29 欄格式、編號空白新增／有編號更新、算的欄忽略、名稱對照、先預覽（D11） | M | ⑥⑮⑯ | CM-2936 |
| ⑨ | — | SPEC 頁＋手冊 | S | 全部 | CM-2923 |

**順序**：①→②→③ 主幹約一週；之後 G 線（④⑤）與 R 線（⑥→⑦⑧）兩個 session 平行；R 線是瓶頸。母卡 CM-2914。

**不做、留接口**：熱圖、接受簽核（狀態留「已接受」值）、專案風險升級（一張表不需要）、供應商／事件／KRI、其他領域。

---

## G 責任歸屬：要做的事 {#g-plan nav="G 計畫"}

| # | 做什麼 | 動哪裡 | 版 | 決策點 |
|---|---|---|---|---|
| ① | 部門加主管欄，可多人、第一位主要 | 部門管理頁（jedi-iam 套件） | 一 | B1 |
| ② | SSP 每條控制項加負責部門；按框架群組整批設；個別覆寫 | SSP 控制項實作 | 一 | B2 |
| ③ | RACI 四格掛 SSP 控制項：A 自動＝負責部門主管、R 預帶任務處理人、C／I 選填。兩個入口：SSP 新頁籤「責任矩陣」（試算表式，整批填）＋單條控制項頁「責任」區塊 | SSP | 一 | A2～A5 |
| ④ | GRC 總覽頁：數字卡、部門 × 沒過數 × 主管、點進去列控制項與 A／R；主管看自己子樹 | 新頁 | 一 | C1 |
| ⑤ | 結案報告加責任歸屬總表；SSP Excel 匯出加責任矩陣 sheet | FR-145、FR-141 | 一 | C2 |
| ⑥ | 風險掛 RACI：對象類型多一種；自動建的繼承來源控制項整組、手填的填部門算 A | RACI 表 | 併入卡⑥ | A5 |

---

## R 風險管理：要做的事 {#r-plan nav="R 計畫"}

| # | 做什麼 | 動哪裡 | 版 | 決策點 |
|---|---|---|---|---|
| ⑦ | 風險總表：`ssp_risks` 升格公司層、綁專案可選；必填標題／部門／衝擊／可能性；側選單獨立入口；SSP 頁籤改唯讀 | 既有表升格 | 卡⑥ | D1 已裁 |
| ⑧ | 評分與等級：固有＝衝擊×可能性、剩餘＝固有×(1−有效性)、每級定義與等級門檻進字典、五乘五等級對照圖；**熱圖下鑽不做** | 卡⑥ | 卡⑥ | D2 |
| ⑨ | 稽核沒過自動建風險：記框架控制項編號、繼承部門與 RACI、按編號歸併、先進「待納入」稽核主管確認；POA&M 全關轉監控中 | 稽核判定流程 | 卡⑦ | D3 |
| ⑩ | ~~風險接受簽核~~ **不做**（狀態留「已接受」值，以後加關卡不改表） | — | 不做 | D6 |
| ⑪ | ~~專案 SSP 風險升級~~ **刪除**（一張表不需要） | — | 刪除 | D1 |
| — | 風險 × 控制項對照：存框架控制項編號、一條只勾一次；控制項頁反向顯示「關聯風險」 | 卡⑥ | 卡⑥ | |
| — | 字典：領域分類、衝擊／可能性每級定義、等級門檻、處置方式進 `system_menus` | migration | 卡⑥ | D4 |
| — | 接口：來源欄可擴值、分類進字典、RACI 對象類型欄（通用掛點）、風險 × 控制項對照表多來源 | 設計時留 | 卡③⑥ | |

---

## 待驗真實情境（派 R 線前問 PM 或顧問） {#verify nav="待驗"}

| 問題 | 影響 |
|---|---|
| 顧問今天用 Excel 做的風險評估，做完就丟還是持續維護 | 做完就丟 → ⑨ 自動建最有價值，⑦ 手填表單簡化 |
| 客戶有沒有在管供應商、記事件 | 決定供應商清單、事件紀錄要不要做（備註項，不在計畫內） |
| 客戶部門分工對得到框架群組嗎 | 決定 ② 整批設是省力起點還是沒用 |
| 老闆會自己開系統嗎 | 決定 ④ 總覽頁與 ⑤ 報告總表哪個優先 |

---

## 不做什麼 {#out-of-scope nav="不做"}

- C 合規證據類：政策生命週期、意識訓練、三道防線。前兩者是框架控制項、證據機制已涵蓋；三道防線無任何框架要求。
- 不改 FR-132 權限模型、不改 BPMN、不動 SSP OSCAL 匯出格式。
- 不內建風險／威脅庫（FR-135 D17）、不做財務化風險、不做 BCP、不做帳號定期審查。
- 不做矩陣式組織、風險胃納額度制。

---

## 下一步 {#next nav="下一步"}

1. ~~決策者裁 05 的第一版八題~~ 2026-10-19 全裁。~~刻雛形~~ 決策者 2026-10-20 跳過。
2. G 線五張卡已開（CM-2915～2919），等決策者派 runner。
3. R 線三張卡已開（CM-2920～2922），⑥ 等③落地後派。
4. 待驗四題在派 R 線前問 PM。