從 Compliance 往上補成 GRC：組織與責任、公司層風險、總經理儀表板

讀討論稿會碰到的名詞，每個一句白話、一句「在我們系統對應什麼」。

RACI 怎麼讀

RACI 是四個英文字的縮寫，用來回答「這件事到底誰負責」。一件事（一條風險、一個控制項、一份政策）填四格：

舉例，風險「供應商沒做資安評估就上線」：R＝採購部承辦；A＝採購部主管；C＝資安部；I＝財務部。排成表就是「責任矩陣」：橫列是事項、直欄是部門或人、格子填 R／A／C／I。

三個常見誤解：

• A 不是「最大的主管」，是「這件事出問題該找的那一個人」。同一個部門主管可以是十條風險的 A，也可以某條風險的 A 是他底下的課長。
• R 與 A 可以是同一人（小公司常見），但 A 仍只能一人，否則追責時互推。
• PM 給的 Excel 範本只有一個 Owner 欄，等於只有 A。本案做四格是比範本細，D2／D3 裁對象與必填規則。

PM 2026-10-19 會議（完整整理見 會議記錄）交付三份資料：OCEG《GRC Capability Model v3.5》（Red Book）、《GRC Overview Dashboard.xlsx》範本、Workiva 入門文章。定調三件事：

1. 目標畫面：「我們最終的目標就是做出這種感覺」——指 Excel 範本的 Dashboard 分頁（KPI 卡、風險熱圖、合規狀態分佈、部門記分卡、審查佇列）。
2. CEO 的兩個動作：看哪個環節風險高；點進去知道哪個部門的哪個主管負責，把人叫過來問「處理了嗎、什麼時候完成」。
3. 要補的兩塊：組織架構（部門、主管、核心人物）＋責任矩陣 RACI；風險評估（怎麼評、誰負責、綁哪些控制項）。

找到人、給他責任了，這時候就可以做後面所有控制項的綁定，然後我也可以追責。 — PM（08:40）

Excel 範本九張頁各是什麼

結構是「一本帳、七種看法」：只有 GRC Register 要人填，其餘全是公式從它算出。檔案位置 ~/Desktop/00_Compliance Manager/GRC/GRC Overview Dashboard.xlsx。

兩個提醒：

• 範本沒存衝擊與可能性，只存乘積，熱圖是用乘積反推格子。我們要存兩個原始值再算，格子才準。
• 健康指數、加權分、成熟度是範本自己發明的公式，不是 GRC 標準。第一版儀表板只做件數與剩餘風險，不做合成分數，避免老闆問「這分數怎麼來」答不出。

Excel 範本的骨架（目標畫面的資料需求）

主登錄表 GRC Register 33 欄，其中儀表板真正用到的：

部門加主管只是起點，它的作用是「RACI 的 A 預設從哪來」。整條鏈五步，每步對應系統要動的地方：

「SSP 控制項實作頁加責任區塊」是指：顧問在專案 → SSP → 控制項實作 → 點開某一條控制項（例如 AC-2）那一頁，多一小塊顯示並可改這條的 R／A／C／I 四格。資料仍存 RACI 表，只是第二個入口：責任矩陣頁適合導入時整批填，控制項頁適合顧問做稽核時看到「這條其實是資訊部管」順手改。它與既有 OSCAL「責任方」並存：責任方是文件角色（system-owner 等），為 SSP 匯出符合 OSCAL 格式；RACI 是我們系統的真人與部門，為追責。

合計既有要改六處：部門表加主管、控制項加負責部門、SSP 控制項頁加責任區塊、FR-145 報告加責任節、任務建立預帶處理人、角色加標籤。全新三樣：RACI 表與責任矩陣頁、公司層風險登錄、GRC 儀表板。沒有第 1 步，責任矩陣頁每條都要手填，顧問不會用。

PM 的講法以 OCEG Red Book（pdftotext 全文）、Workiva 文章全文、Excel 範本欄位逐一核對，分三類。

對的，照做

簡化了，實作時要補回

PM 沒講、來源列為核心、本稿排第二階段：政策文件生命週期（P2）、事件通報與調查（P6／P7）、意識訓練（P4）、供應商風險。Workiva 與市面平台都當核心功能。

%%{init: {'theme':'base','themeVariables':{'primaryColor':'#E2F0F1','primaryTextColor':'#14201F','primaryBorderColor':'#0E7C86','secondaryColor':'#EEF2F3','secondaryTextColor':'#14201F','tertiaryColor':'#FBFCFC','tertiaryTextColor':'#14201F','lineColor':'#4A5A5C','textColor':'#14201F','mainBkg':'#E2F0F1','nodeBorder':'#0E7C86','nodeTextColor':'#14201F','edgeLabelBackground':'#FBFCFC','titleColor':'#14201F','clusterBkg':'#FBFCFC','clusterBorder':'#E4EAEB','actorBkg':'#E2F0F1','actorTextColor':'#14201F','actorBorder':'#0E7C86','actorLineColor':'#C7D1D2','signalColor':'#4A5A5C','signalTextColor':'#14201F','labelBoxBkgColor':'#EEF2F3','labelBoxBorderColor':'#C7D1D2','labelTextColor':'#14201F','loopTextColor':'#14201F','noteBkgColor':'#F6EBD5','noteTextColor':'#14201F','noteBorderColor':'#9C6B12','activationBkgColor':'#EEF2F3','activationBorderColor':'#C7D1D2','sequenceNumberColor':'#FFFFFF'}}}%%
flowchart BT
  subgraph C[既有：Compliance（不動）]
    FW[框架／控制項／AO]
    SSP[專案 SSP＋專案風險 ssp_risks]
    AR[稽核結果 NOT MET／POA&M]
    RPT[結案報告]
  end
  subgraph L1[第 1 層 組織與責任]
    OU[部門樹＋主管]
    RACI[RACI 責任矩陣<br/>對象：風險、控制項]
  end
  subgraph L2[第 2 層 公司層風險登錄]
    RR[風險登錄表<br/>領域／部門／負責人／固有／控制有效性／剩餘／審查日]
    MX[五乘五矩陣]
  end
  subgraph L3[第 3 層 GRC 總覽]
    DB[總經理儀表板<br/>熱圖／記分卡／審查佇列／合規分佈]
    DRILL[點格 → 負責主管清單]
  end
  FW --> RACI
  OU --> RACI
  AR -- NOT MET 自動建 --> RR
  SSP -- 升級／引用 --> RR
  RACI --> RR
  RR --> MX --> DB
  RACI --> DRILL
  OU --> DRILL
  AR --> DB
  RACI --> RPT

第 1 層 組織與責任（G）

1a 部門主管：部門多一個「主管」（使用者），可選多位時第一位為主要。畫面：部門管理頁的編輯表單加「主管」選人；部門樹節點旁顯示主管姓名。資料放法見 D1。

1b RACI 責任矩陣：新表 grc.responsibility_assignments（schema 名見 D9）：

畫面：新頁「責任矩陣」——左側選對象（風險列表／控制項樹），右側四格各選人或部門；也可從風險詳情、控制項詳情直接開「責任」頁籤編輯。批次：Excel 匯入（對象 × 四欄）。

1c 結案報告責任歸屬：FR-145 報告新增一節，兩部分：①責任矩陣總表——本次稽核所有不符合控制項為橫列，R／A／C／I 四欄填姓名與部門，老闆一頁看完誰扛哪幾條，依 A 分組排序；②每條不符合控制項的明細旁印 A 與 R。沒填 RACI 時退回印專案 manager，並在表尾註明「未指派」條數。

第 2 層 公司層風險登錄（R）

新模組（BE app/risk_governance/、DB schema grc、側選單「風險管理」；命名見 D9），不綁專案。表 grc.risks：

自動來源：

• 稽核 NOT MET：FR-044／FR-142 判 NOT MET 時，已會建 assessment_risks；本案加一步「同步建或更新一筆公司層風險」，來源參照指回 AR 與 POA&M，POA&M 全部 closed 時公司層風險自動改 monitoring（D6 裁是否自動）。
• 專案風險升級：ssp_risks 詳情加「升級為公司風險」按鈕，複製欄位、保留連結。

畫面：登錄表（列表＋篩選）、風險詳情（含 RACI 頁籤、關聯控制項、關聯專案、審查記錄）、五乘五矩陣（點格列風險）。

第 3 層 GRC 總覽儀表板

側選單「GRC 總覽」，只讀，照 Excel Dashboard 分頁六區：

權限：新能力點 grc.dashboard.read；預設給「稽核主管」與「系統管理員」角色，部門主管能否看自己那塊見 D7。

位階設計：一棵樹、一個標籤、一張對照表

決策者問「位階以系統面是不是要有設計、外面怎麼做」。市面平台（ServiceNow IRM、Archer、MetricStream）把位階拆成三件不同的事；我們只用一棵樹解決三件事，其餘兩件是掛在樹上的屬性，不另建結構。

風險接受權責對照表（出廠預設，字典可改）

未來不大改的保證：哪些現在定死、哪些留鉤子

決策者原話「我不希望補進去後未來要大改」。分兩類：

現在就定對、以後不動

第一版留鉤子、不實作

真正會大改的只有一種情況：簽核人存成固定值，或風險直接掛主管姓名。本設計兩者都不做。

拆卡草案（裁完 D 項再定）

排序以「決策者何時看到畫面」為準：② → ②b → ③ → ④ → ⑦（先用手填資料把儀表板撐起來）→ ⑨ → ⑤ → ⑥ → ⑧ → ⑩ → ⑪。

OCEG GRC Capability Model v3.5 的 20 個元素

市面平台功能對照

參考來源

• OCEG《GRC Capability Model v3.5》Part II 元素清單（PM 提供 PDF）
• Workiva「什麼是 GRC」（PM 提供連結）
• Help Net Security：CISO Assistant 介紹（2026-01）、infosecflow 開源 GRC 比較（2026）
• Eramba 官方學習中心模組清單、thecybermatrix Eramba 模組總覽
• vcso.ai 2026 GRC 工具比較、sprinto 2026 GRC 工具

• 政策文件生命週期、供應商風險、事件管理、意識訓練、KRI、成熟度評分：第二階段。
• 不改 FR-132 權限模型、不改 BPMN 流程、不動 SSP 匯出。
• 不內建風險／威脅庫（延續 FR-135 D17：系統不是有公信力的單位）。
• 不做財務化風險（FAIR）。
• 不做矩陣式組織（第二棵樹）、風險胃納額度制、自動升級通知：留鉤子，見「未來不大改的保證」。

1. 決策者裁 D1～D14（D14 先裁，決定第一版是四張卡還是十二張）。
2. 首腦刻雛形：部門頁主管欄、責任矩陣頁、風險登錄三頁、GRC 總覽頁（假資料，照 Excel 範本與設計系統）。
3. 雛形審過 → design.md → 開 Notion 母子卡 → 派工 prompt。