FR-151 · 會議記錄 · 2026-10-19
14 分 26 秒錄音，本機 whisper 轉錄後整理；原始逐字稿附在文末
PM 把 OCEG《GRC Capability Model（Red Book）v3.5》、一份 GRC Overview Dashboard 範本 Excel、Workiva 的 GRC 入門文章交給決策者，用一句話定義 GRC：用上帝視角看公司，任何會造成損失的地方都要保護它、管它、找得到人負責。 結論：平台目前只有 C（合規）那一段，要補 組織架構＋責任矩陣（RACI） 與 風險評估（R） 兩塊，最終做出 CEO 一眼看懂的 GRC 總覽儀表板。
與會：PM（提供資料與概念講解）、決策者（Raymond） ｜ 時間：2026-10-19，約 14 分鐘 ｜ 資料來源：~/Downloads/GuidantAI GRC衍伸討論.m4a（錄影 .mov 內容相同，未另處理）
| 資料 | 是什麼 | 怎麼用 |
|---|---|---|
| OCEG GRC Capability Model v3.5（Red Book） | GRC 這個詞的發明機構 OCEG 出的官方教科書，273 頁。四大元件 LEARN／ALIGN／PERFORM／REVIEW，底下 20 個元素（L1–L4、A1–A5、P1–P8、R1–R3），每個元素列實務做法 | PM 原話「你應該會崩潰，不適合你看，我已經幫你看完了」。首腦已擷取 Part II 元素清單當對照骨架，見討論稿 §市場比較 |
| GRC Overview Dashboard.xlsx | 一張「企業 GRC 主登錄表」（33 欄）＋ 6 張公式驅動的分析頁：領域記分卡、部門視圖、審查佇列、風險熱圖、月趨勢、總覽 | PM 原話「我們最終的目標就是做出這種感覺」——這是目標畫面的基準 |
| Workiva「什麼是 GRC」 | 入門文章：GRC 定義、G／R／C 三者差異、GRC 平台評估的十個問題 | 概念對齊用 |
用上帝視角去看我的公司，在營運過程任何有可能會有風險、讓我造成損失的東西，我都要去保護它。你只要記得這句話就好。 — PM（02:49）
| # | PM 說的 | PM 補充 | 時間點 |
|---|---|---|---|
| 1 | 組織架構先進系統：部門、主管、核心人物是誰 | 「這就是我們之前做一半的——你說那些部門沒有用，其實有用，就是在這個時候」 | 06:16 |
| 2 | 責任矩陣（RACI）：人員跑出來後，指派他負什麼責任、該做好什麼。RACI＝R 執行、A 當責（只能一人）、C 諮詢、I 告知，白話解釋見討論稿「RACI 怎麼讀」 | 「這個矩陣是拿來分配責任用的。你跟小弟講 RACI 他就知道」 | 07:42 |
| 3 | 找到人、給了責任，才能做後面所有控制項的綁定，然後才能追責 | 「昨天調整的結案報告（專案調查結果），責任舉證歸納好了，那邊就可以直接呈現誰負責」 | 08:40 |
| 4 | 風險評估（R）：「GRC 中間那個 R，我們從頭到尾都沒做過」——怎麼評估風險、誰負責這個風險、跟控制項綁在一起 | 「這兩項就是我們現在要補的」 | 12:22 |
| 5 | 組織架構跟部門角色權限的綁定 | 決策者問「是不是缺這個還沒做」，PM 答對 | 12:12 |
老闆要知道公司還有哪些風險空間，要做管控，哪些項目要去處理、要能夠指派。 — 決策者複述（10:47），PM：「就是這樣，GRC 就是這個意思」
決策者結尾交辦（13:28）：把 PM 給的資料與關鍵字交給小弟，請他做「跟現在平台要怎麼整合、缺什麼、怎麼做」的 plan。本 FR 的討論稿就是這份 plan。
上述各點已在討論稿做成 D1～D8 待裁項。
口語重複、語助詞已刪，簡體字已轉繁體，括號為首腦補的語意；時間為錄音位置。
[00:00–01:40] 資料交付 PM：我買了一些東西。GRC 其實是非常複雜的東西，它原始發布的文件（OCEG Red Book）我把它買下來了，但你去看應該會崩潰，不適合你，我會傳給你。第二個付錢的是它的原理——GRC 設計出來要做什麼、怎麼做，一本完整的教科書，你沒時間看，我已經幫你看完了。那要怎麼做出來呢？我買了另外一個東西——這個表格（Excel）你比較熟，這個儀表板你也熟。我們最終的目標就是做出這種感覺。
[02:05–03:33] Excel 範本怎麼看 PM：前面的說明頁不用理。Lookups 這頁就像我們之前定義的那些選單（system_menus），是它內建的選單資料庫。GRC 是用公司最高層級的角度看公司，有什麼有風險的東西，然後保護它。核心一句話：用上帝視角看我的公司，營運過程任何可能有風險、讓我造成損失的東西，我都要去保護它。 比如自己的 IT 資產要保護、供應鏈管理要保護（不然產品會中斷）、平常的營運。這些 Domain 每間公司列出來最重要的東西不一樣，這邊只是範本。
[03:33–04:48] 我們的位置 PM：其中最重要的 Compliance 就是我們現在在做的：企業營運過程有些東西不做合規框架就不能賣給歐盟、不能賣給軍方，對企業來說就是風險，我要保護它、管理它。我們平台的位置大概在這裡（Compliance 這一格）。因為我們做的是比較末端，GRC 是從上帝視角看下去，我們是從下面做上來，所以現在要慢慢從下面補回最上面。也就是說現在做出來的東西要再轉換成另一個層級，讓每間公司的 CEO 看——就是你們以前常做的報表、dashboard，一看就知道哪個環節要注意。至於要注意什麼、叫誰去負責，是老闆的事。
[05:03–06:12] 風險矩陣與追責 PM：效果就像這個 dashboard，他只要知道哪個環節風險很高。還有一個風險矩陣，右上角越高，從右上角往左下角看，一定先解決最高風險那七項，就像我們做資安維運也是挑高風險先處理。這七項都可以對應到哪個部門的哪個主管負責——總經理點了「7」，跑出一張表單說這七項是哪些主管負責，就把他們叫過來一個一個確認「處理了嗎、什麼時候會完成」。 決策者：了解。
[06:16–07:05] 第一個缺口：組織架構 PM：所以要做 GRC，最重要的是先把組織架構——我的部門、主管、核心人物是誰——輸入到系統。這就是我們之前做一半的，你說那些部門沒有用，其實有用，就是在這個時候。這些東西我等一下都會給你，我都買斷了，你先給他一個範本，先做出一個版本，我們再微調。 決策者：這個很貴嗎？ PM：還好啦。
[07:08–08:34] 第二個缺口：責任矩陣 PM：還有一個是責任的……有一個責任矩陣。我們剛剛輸入了公司組織圖、所有人員，這些人員跑出來之後，我們就指派他：你負有什麼責任、你應該做好什麼。這個矩陣就是拿來分配責任用的。你直接跟小弟講關鍵字他就知道——RACI。你現在先寫一下，我怕等一下漏給你。
[08:40–10:16] 綁控制項、追責、結案報告 PM：找到人、給他責任了，這時候就可以做後面所有控制項的綁定，我也可以追責。像我們昨天調整的那份報告—— 決策者：內部稽核的報告？ PM：專案調查結果那個報告，你做了一個很漂亮的可以下載的。 決策者：你說結案報告。（FR-145） PM：對，昨天用內部稽核當結案報告。那邊到時候如果責任舉證都明確歸納好了，就可以直接呈現。 決策者：你是說他會對應到誰要負責對吧？ PM：對。 決策者：可以，連好了就可以。
[10:19–11:55] 複述確認 PM：我兩分鐘後有另一個會，快速講。責任舉證做完，這邊都只是基本的人員配置。GRC 核心概念那句話你還記得嗎？ 決策者：老闆要知道公司還有哪些（風險）空間，要做管控，哪些項目要去處理、要能夠指派。 PM：就是這樣。G 是治理、R 是 risk、C 是法規遵循。翻成白話就是用上帝視角看公司，哪些東西有風險我要保護它。保護的過程如果有人偷懶，我要知道怎麼教他做好——所以我要知道負責人是誰。這個網站（Workiva）介紹得蠻簡單，我等一下也傳給你。
[12:01–13:26] 盤點缺什麼 PM：回來講平台。要做出像 Excel 那種效果，我們現在缺的：組織架構跟部門角色權限的綁定—— 決策者：是不是缺這個還沒做？ PM：對。再來就是風險評估，GRC 中間那個 R 我們從頭到尾都沒做過——怎麼評估風險、誰要負責這個風險、跟控制項綁在一起，這個也還沒做。這兩項就是我們現在要補的：組織架構，跟負責、控制項綁定（的風險評估）。
[13:28–14:14] 交辦 PM：我先給你關鍵字，你用我給的所有資料跟關鍵字跟小弟講，請他幫你做「跟現在平台要怎麼整合、做出這個樣子」，先給你一個 plan。 決策者：反正就是跟他講我們要把平台延伸，加 GRC 的概念進去，往上延伸到能做到 GRC，現在應該只有 Compliance，延伸到 GRC 還缺什麼，請他給個計畫。 PM：對對對。我先下線，拜拜。