---
title: "GRC 衍伸討論 — 會議記錄（2026-10-19）"
brand: "Guidant AI · **FR-151** GRC 延伸"
eyebrow: "FR-151 · 會議記錄 · 2026-10-19"
h1: "PM 與決策者：平台從 Compliance 往 GRC 延伸"
subtitle: "14 分 26 秒錄音，本機 whisper 轉錄後整理；原始逐字稿附在文末"
lede: "PM 把 OCEG《GRC Capability Model（Red Book）v3.5》、一份 GRC Overview Dashboard 範本 Excel、Workiva 的 GRC 入門文章交給決策者，用一句話定義 GRC：**用上帝視角看公司，任何會造成損失的地方都要保護它、管它、找得到人負責。** 結論：平台目前只有 C（合規）那一段，要補 **組織架構＋責任矩陣（RACI）** 與 **風險評估（R）** 兩塊，最終做出 CEO 一眼看懂的 GRC 總覽儀表板。"
chips: [
  {text: "錄音 14:26", kind: accent},
  {text: "兩個缺口：組織／RACI、風險評估", kind: crit},
  {text: "目標畫面：GRC 儀表板＋風險矩陣", kind: ok}
]
footer: "FR-151 · 會議記錄 · 2026-10-19 · 錄音由本機 mlx-whisper（large-v3-turbo）轉錄，口語已整理；關鍵句保留原話"
---

**與會**：PM（提供資料與概念講解）、決策者（Raymond）　｜　**時間**：2026-10-19，約 14 分鐘　｜　**資料來源**：`~/Downloads/GuidantAI GRC衍伸討論.m4a`（錄影 `.mov` 內容相同，未另處理）

## PM 交付的三份參考資料 {#materials nav="資料"}

| 資料 | 是什麼 | 怎麼用 |
|---|---|---|
| **OCEG GRC Capability Model v3.5（Red Book）** | GRC 這個詞的發明機構 OCEG 出的官方教科書，273 頁。四大元件 LEARN／ALIGN／PERFORM／REVIEW，底下 20 個元素（L1–L4、A1–A5、P1–P8、R1–R3），每個元素列實務做法 | PM 原話「你應該會崩潰，不適合你看，我已經幫你看完了」。首腦已擷取 Part II 元素清單當對照骨架，見討論稿 §市場比較 |
| **GRC Overview Dashboard.xlsx** | 一張「企業 GRC 主登錄表」（33 欄）＋ 6 張公式驅動的分析頁：領域記分卡、部門視圖、審查佇列、風險熱圖、月趨勢、總覽 | PM 原話「**我們最終的目標就是做出這種感覺**」——這是目標畫面的基準 |
| **Workiva「什麼是 GRC」** | 入門文章：GRC 定義、G／R／C 三者差異、GRC 平台評估的十個問題 | 概念對齊用 |

## PM 講的核心概念（白話） {#concept nav="概念"}

> 用上帝視角去看我的公司，在營運過程任何有可能會有風險、讓我造成損失的東西，我都要去保護它。你只要記得這句話就好。
> [— PM（02:49）]{.attr}

1. **GRC 是公司最高層級往下看**。IT 資產、供應鏈、日常營運……每間公司列出來最重要的東西不一樣，Excel 範本的 Domain（Governance／Risk／Compliance／Audit／Cybersecurity／Privacy／Third Party／Operations）只是範例。
2. **合規只是其中一種風險**：「不滿足合規框架就不能賣給歐盟、不能賣給軍方，產品賣不出去就是風險，所以我要保護它、管理它。」我們現在做的 Compliance 就落在這個位置。
3. **我們是從底下往上做**：GRC 從上帝視角往下看，平台是從末端（控制項、證據、稽核）做上來，現在要把它補回最上面。做出來的東西要**轉成給總經理／CEO 看的層級**——報表與儀表板，一看就知道哪個環節要注意。
4. **CEO 要的動作只有兩個**：看到哪裡風險高；點進去知道**是哪個部門的哪個主管負責**，把人叫過來問「處理了嗎、什麼時候完成」。至於要注意什麼、叫誰負責，是老闆的事，系統只要把人對上。
5. **風險矩陣**：右上角最高，從右上往左下處理，跟資安維運挑高風險先修同一邏輯。矩陣裡每格的風險都要能對應到負責的部門與主管。
6. **「保護過程如果有人偷懶，我要知道負責人是誰」**——追責是 G（治理）那一段存在的理由。

## 平台要補什麼（PM 點名） {#gaps nav="缺口"}

| # | PM 說的 | PM 補充 | 時間點 |
|---|---|---|---|
| 1 | **組織架構先進系統**：部門、主管、核心人物是誰 | 「這就是我們之前做一半的——你說那些部門沒有用，其實有用，就是在這個時候」 | 06:16 |
| 2 | **責任矩陣（RACI）**：人員跑出來後，指派他負什麼責任、該做好什麼。RACI＝R 執行、A 當責（只能一人）、C 諮詢、I 告知，白話解釋見討論稿「RACI 怎麼讀」 | 「這個矩陣是拿來分配責任用的。你跟小弟講 RACI 他就知道」 | 07:42 |
| 3 | **找到人、給了責任，才能做後面所有控制項的綁定，然後才能追責** | 「昨天調整的結案報告（專案調查結果），責任舉證歸納好了，那邊就可以直接呈現誰負責」 | 08:40 |
| 4 | **風險評估（R）**：「GRC 中間那個 R，我們從頭到尾都沒做過」——怎麼評估風險、誰負責這個風險、跟控制項綁在一起 | 「這兩項就是我們現在要補的」 | 12:22 |
| 5 | **組織架構跟部門角色權限的綁定** | 決策者問「是不是缺這個還沒做」，PM 答對 | 12:12 |

## 決策者複述與 PM 確認 {#confirm nav="確認"}

> 老闆要知道公司還有哪些風險空間，要做管控，哪些項目要去處理、要能夠指派。
> [— 決策者複述（10:47），PM：「就是這樣，GRC 就是這個意思」]{.attr}

決策者結尾交辦（13:28）：把 PM 給的資料與關鍵字交給小弟，**請他做「跟現在平台要怎麼整合、缺什麼、怎麼做」的 plan**。本 FR 的討論稿就是這份 plan。

## 待釐清（會中沒講到） {#open nav="待釐清"}

- 「組織架構」要到什麼粒度：只到部門主管（CEO 要叫得到人），還是每個人都進？
- RACI 的「對象」是什麼：控制項、風險、任務、政策文件，還是全部？Excel 範本只有一個 Owner 欄，沒有四格 RACI。
- 風險評估方法：五乘五矩陣（Excel 範本用的）就好，還是要可換尺度？
- GRC 儀表板給誰看：只給總經理，還是部門主管也要看自己那塊？
- 「部門角色權限綁定」是指 FR-132 已做的部門範圍判定，還是另一件事？

上述各點已在討論稿做成 D1～D8 待裁項。

---

## 附：整理後逐字稿 {#transcript nav="逐字稿"}

口語重複、語助詞已刪，簡體字已轉繁體，括號為首腦補的語意；時間為錄音位置。

**[00:00–01:40] 資料交付**
PM：我買了一些東西。GRC 其實是非常複雜的東西，它原始發布的文件（OCEG Red Book）我把它買下來了，但你去看應該會崩潰，不適合你，我會傳給你。第二個付錢的是它的原理——GRC 設計出來要做什麼、怎麼做，一本完整的教科書，你沒時間看，我已經幫你看完了。那要怎麼做出來呢？我買了另外一個東西——這個表格（Excel）你比較熟，這個儀表板你也熟。**我們最終的目標就是做出這種感覺。**

**[02:05–03:33] Excel 範本怎麼看**
PM：前面的說明頁不用理。Lookups 這頁就像我們之前定義的那些選單（system_menus），是它內建的選單資料庫。GRC 是用公司最高層級的角度看公司，有什麼有風險的東西，然後保護它。核心一句話：**用上帝視角看我的公司，營運過程任何可能有風險、讓我造成損失的東西，我都要去保護它。** 比如自己的 IT 資產要保護、供應鏈管理要保護（不然產品會中斷）、平常的營運。這些 Domain 每間公司列出來最重要的東西不一樣，這邊只是範本。

**[03:33–04:48] 我們的位置**
PM：其中最重要的 Compliance 就是我們現在在做的：企業營運過程有些東西不做合規框架就不能賣給歐盟、不能賣給軍方，對企業來說就是風險，我要保護它、管理它。我們平台的位置大概在這裡（Compliance 這一格）。因為我們做的是比較末端，GRC 是從上帝視角看下去，我們是從下面做上來，所以現在要慢慢從下面補回最上面。也就是說現在做出來的東西要再轉換成另一個層級，讓每間公司的 CEO 看——就是你們以前常做的報表、dashboard，一看就知道哪個環節要注意。至於要注意什麼、叫誰去負責，是老闆的事。

**[05:03–06:12] 風險矩陣與追責**
PM：效果就像這個 dashboard，他只要知道哪個環節風險很高。還有一個風險矩陣，右上角越高，從右上角往左下角看，一定先解決最高風險那七項，就像我們做資安維運也是挑高風險先處理。這七項都可以對應到哪個部門的哪個主管負責——總經理點了「7」，跑出一張表單說這七項是哪些主管負責，就把他們叫過來一個一個確認「處理了嗎、什麼時候會完成」。
決策者：了解。

**[06:16–07:05] 第一個缺口：組織架構**
PM：所以要做 GRC，最重要的是先把組織架構——我的部門、主管、核心人物是誰——輸入到系統。這就是我們之前做一半的，你說那些部門沒有用，其實有用，就是在這個時候。這些東西我等一下都會給你，我都買斷了，你先給他一個範本，先做出一個版本，我們再微調。
決策者：這個很貴嗎？
PM：還好啦。

**[07:08–08:34] 第二個缺口：責任矩陣**
PM：還有一個是責任的……有一個責任矩陣。我們剛剛輸入了公司組織圖、所有人員，這些人員跑出來之後，我們就指派他：你負有什麼責任、你應該做好什麼。這個矩陣就是拿來分配責任用的。你直接跟小弟講關鍵字他就知道——**RACI**。你現在先寫一下，我怕等一下漏給你。

**[08:40–10:16] 綁控制項、追責、結案報告**
PM：找到人、給他責任了，這時候就可以做後面所有控制項的綁定，我也可以追責。像我們昨天調整的那份報告——
決策者：內部稽核的報告？
PM：專案調查結果那個報告，你做了一個很漂亮的可以下載的。
決策者：你說結案報告。（FR-145）
PM：對，昨天用內部稽核當結案報告。那邊到時候如果責任舉證都明確歸納好了，就可以直接呈現。
決策者：你是說他會對應到誰要負責對吧？
PM：對。
決策者：可以，連好了就可以。

**[10:19–11:55] 複述確認**
PM：我兩分鐘後有另一個會，快速講。責任舉證做完，這邊都只是基本的人員配置。GRC 核心概念那句話你還記得嗎？
決策者：老闆要知道公司還有哪些（風險）空間，要做管控，哪些項目要去處理、要能夠指派。
PM：就是這樣。G 是治理、R 是 risk、C 是法規遵循。翻成白話就是用上帝視角看公司，哪些東西有風險我要保護它。保護的過程如果有人偷懶，我要知道怎麼教他做好——所以我要知道負責人是誰。這個網站（Workiva）介紹得蠻簡單，我等一下也傳給你。

**[12:01–13:26] 盤點缺什麼**
PM：回來講平台。要做出像 Excel 那種效果，我們現在缺的：組織架構跟部門角色權限的綁定——
決策者：是不是缺這個還沒做？
PM：對。再來就是風險評估，GRC 中間那個 R 我們從頭到尾都沒做過——怎麼評估風險、誰要負責這個風險、跟控制項綁在一起，這個也還沒做。這兩項就是我們現在要補的：組織架構，跟負責、控制項綁定（的風險評估）。

**[13:28–14:14] 交辦**
PM：我先給你關鍵字，你用我給的所有資料跟關鍵字跟小弟講，請他幫你做「跟現在平台要怎麼整合、做出這個樣子」，先給你一個 plan。
決策者：反正就是跟他講我們要把平台延伸，加 GRC 的概念進去，往上延伸到能做到 GRC，現在應該只有 Compliance，延伸到 GRC 還缺什麼，請他給個計畫。
PM：對對對。我先下線，拜拜。