Compliance Manager — 專案生命週期、功能清單與使用情境說明書

版本：v3.0 日期：2026-03-29 適用系統：Compliance Manager（GRC 合規管理平台） 用途：供 BDD 測試規格產出、前端開發、產品文件參考

一、系統概述

Compliance Manager 是一套以 OSCAL（Open Security Controls Assessment Language）為標準設計的 GRC（治理、風險、合規）管理平台，協助組織以結構化的方式規劃、執行、追蹤與完成合規稽核。

系統支援多種合規框架（如 CMMC L2、ISO 27001、NIST SP 800-53），並以「持續管理」為核心理念——專案不會因一次稽核結束而關閉，而是透過多輪稽核循環（Annual Review）持續維護組織的合規狀態。

二、角色與權限

2.1 角色定義

2.2 權限繼承

角色可設定在三個層級，下層設定覆蓋上層：

專案層級（Project Participants）
  ↓ 繼承
控制項群組層級（Control Group Participants）
  ↓ 繼承
控制項層級（Control Participants）

2.3 需要特定角色的操作

三、核心概念

3.1 專案（Project）

代表組織對特定合規框架的長期管理。一個專案永久存在，不因稽核結束而關閉。

• 連結至一份合規框架（Profile，如 CMMC L2）
• 擁有一份系統安全計畫（SSP）作為活文件，跨稽核輪次持續更新
• 可關聯多個資訊系統（Information System）與設備（Device）
• 每次外部稽核開啟一個新的評估計畫（AP），不是開新專案
• 專案狀態：pending → in_progress → completed

3.2 評估計畫（Assessment Plan, AP）

代表一輪完整的稽核週期（通常一年一輪）。

• 每個 AP 獨立快照框架控制項（不受後續框架更新影響）
• 包含控制項群組、控制項、工作項目、工作流程、稽核結果、POA&M
• 狀態流程：preparing → active → auditing → closed 或 remediation
• 支援多輪覆核（run_no 遞增）

3.3 系統安全計畫（SSP）

描述組織如何實作各控制項的活文件，跨 AP 共用並持續更新。

• 記錄系統邊界、FIPS 199 分類（機密性/完整性/可用性）
• 每個控制項有對應的實作狀態與說明
• 每個檢查項目（AO）有對應的實作狀態與說明
• 支援 SSP 級別程序書池（上傳一次，多對多關聯到控制項/AO）
• 支援 Excel 批次匯入匯出（含參考程序書關聯）

實作狀態合法值：

3.4 評估對象（Assessment Object, AO）

每個控制項下可有多個評估對象，定義要評估的具體項目與方法。每個 AO 對應一個或多個工作項目（Job）。

3.5 工作項目（Job）

執行人員需完成的任務。

任務類型：

任務狀態：

可配置項目（每個 Job）：

• 任務類型（general / survey）
• 指派人員（多人，含審核者標記）
• 參與部門
• 設備
• 問卷（含問卷類型、審核流程）

3.6 稽核結果（Assessment Result, AR）

外部稽核人員對每個控制項的評定結果。

Finding（稽核發現）屬性：

• 類別：缺失（deficiency）/ 觀察（observation）/ 建議（recommendation）
• 嚴重程度：低（low）/ 中（medium）/ 高（high）/ 嚴重（critical）

同一個 AR 可支援多輪（run_no）審查，用於矯正後覆核。

3.7 矯正計畫（POA&M）

未通過控制項自動產生的矯正追蹤記錄。

四、專案生命週期

[建立專案] → Project status: pending
     ↓
 Phase 1：準備階段（AP status = preparing）
     ↓ [啟動] → Project status: in_progress
 Phase 2：執行階段（AP status = active）
     ↓ [啟動外部稽核]
 Phase 3：稽核階段（AP status = auditing）
     ↓ [確認稽核]
    ┌──────────────────────────────┐
    │ 全部通過？                    │
    │  是 → AP closed              │
    │       Project: completed     │
    │  否 → Phase 4                │
    └──────────────────────────────┘
 Phase 4：矯正階段（AP status = remediation）
     ↓ [關閉本輪 → 重新稽核]
 Phase 3（覆核，run_no++）
     ↓ [所有項目通過]
 AP closed → Project: completed
     ↓
[開啟下一年度 AP（同一專案）]

五、四個階段詳細說明

Phase 1：準備階段（AP status = preparing）

主要角色： 專案管理者

目標： 建立專案架構、設定 SSP、規劃工作任務

步驟

Phase 2：執行階段（AP status = active）

主要角色： 執行人員、審核人員、管理者

目標： 完成工作任務、收集證據、內部審核確認

執行人員的使用流程

1. 登入後於「我的工作」檢視所有被指派的 Job
2. 點開 Job，依類型執行：
   • 上傳文件證明
   • 填寫問卷
3. 可使用「批次完成」一次完成多個任務（附加統一 comment）
4. 完成後提交，通知審核人員

審核人員的使用流程

1. 收到通知後，進入對應控制項的 Job 清單
2. 逐一審閱上傳的文件與問卷答案
3. 留下評論（可要求補充或修改）
4. 判定：
   • 通過 → 簽核（sign-off）該控制項的審核
   • 退回 → Revert Job，執行人員重新操作

管理者確認

1. 透過 Dashboard 監控整體完成進度
2. 確認所有控制項皆已通過內部審核
3. 啟動外部稽核 → 狀態轉換 active → auditing

Phase 3：稽核階段（AP status = auditing）

主要角色： 外部稽核人員（auditor）

目標： 外部稽核人員逐一審查控制項並記錄結果

稽核人員的使用流程

1. 登入後進入「我的稽核任務」Dashboard，看到所有待稽核的 AP（含判定進度、證據就緒率）
2. 點擊某個 AP 直接進入稽核頁面，瀏覽控制項清單（依控制項群組分類）
3. 對每個控制項：
   • 閱讀 SSP 實作說明
   • 查看關聯的參考程序書
   • 審閱所有上傳的證據文件
   • 查看內部審核評論
4. 記錄稽核結果（Verdict）：pass / fail / partial / na
5. 若有問題，建立 Finding：
   • 填寫類別、嚴重程度、描述與建議矯正措施
6. 完成所有控制項評定後，確認稽核完成

確認稽核後的系統行為

Phase 4：矯正階段（AP status = remediation）

主要角色： 管理者、執行人員、審核人員

目標： 針對未通過項目進行矯正，並準備覆核

管理者的使用流程

1. 檢視自動產生的 POA&M 清單
2. 為每筆 POA&M 填寫矯正計畫說明、負責人、預計完成日期
3. 追蹤矯正進度，將完成的 POA&M 標記為 closed
4. 確認所有 POA&M 皆已關閉後，觸發「關閉本輪」→ 建立新一輪覆核（run_no++）

執行人員與審核人員的使用流程

• 系統自動 Revert 未通過控制項的 Job
• 執行人員補充或重新上傳證據
• 審核人員再次審核，通過後簽核

覆核（re-audit）

• 稽核人員進入後，只需對「未通過的控制項」重新審定
• 已通過的控制項自動繼承前一輪結果
• 若全部通過 → AP 最終關閉，Project 狀態更新為 completed
• 若仍有未通過 → 再次進入矯正階段，循環至全部通過

六、功能清單

6.1 專案管理

6.2 控制項與評估對象

6.3 SSP 現況說明

6.4 工作任務管理

6.5 任務批次設置（Excel 匯入匯出）

可批次設定的欄位：

• 任務類型（必填：general / survey）
• 指派人員（必填：逗號分隔 login_name）
• 參與部門（選填：逗號分隔部門名稱）
• 設備（選填：逗號分隔設備名稱）

6.6 稽核流程

6.7 矯正計畫（POA&M）

6.8 審核與簽核

6.9 參與者管理

6.10 稽核人員 Dashboard

清單包含資訊：

• 專案名稱、AP 標題、稽核輪次、AP 狀態
• 控制項總數、已判定/待判定數、verdict 分佈（pass/fail/partial/na）
• Finding 數量
• 證據就緒率（所有 USER job 都 COMPLETED 的 AO 數 / 總 AO 數）
• 按可行動性排序：auditing > remediation > active > closed

點擊後直接進入稽核頁面，不需經過專案管理導航。

6.11 Dashboard 與報表

6.12 檔案上傳

6.13 資訊系統管理

6.14 問卷管理

七、典型使用情境（Use Cases）

UC-01：新組織首次取得 CMMC L2 認證

情境： 一家軟體公司首次申請 CMMC Level 2 認證

流程：

1. （管理者） 在系統建立新專案，選擇 CMMC L2 Profile
2. （管理者） 花兩週時間完成 SSP：
   • 使用 SSP 批次匯出 下載 Excel 範本
   • 離線填寫 110 個控制項的實作狀態與現況描述
   • SSP 批次匯入 上傳 Excel → 驗證 → 確認寫入
3. （管理者） 進入 SSP 程序書池，批次上傳所有程序書（政策文件、標準作業流程等），再透過 UI 或 Excel 匯入關聯到控制項/AO
4. （管理者） 使用 Job 批次設置匯出 下載任務設定 Excel
   • 填寫任務類型、指派人員、參與部門、設備
   • Job 批次設置匯入 上傳 → 驗證 → 確認
5. （管理者） 啟動專案（preparing → active）
6. （IT 人員） 登入後在「我的工作」看到被指派的 15 個 Job
   • 使用 批次完成 一次完成多個文件上傳類任務
7. （資安人員） 填寫 8 份合規問卷
8. （審核人員） 審閱所有證據，對 3 個 Job 提出補充要求，執行人員補件後再次審核通過
9. （管理者） 啟動外部稽核（active → auditing）
10. （外部稽核人員） 花 3 天逐一審查所有控制項，標記 95 個通過、12 個部分通過、3 個未通過，建立 18 筆 Finding
11. （外部稽核人員） 確認稽核完成 → 系統自動產生 POA&M（auditing → remediation）
12. （管理者） 為每筆 POA&M 填寫矯正計畫，指派給負責人
13. （IT 人員） 完成矯正後補件，審核人員確認通過
14. （管理者） 所有 POA&M 標記關閉，觸發覆核（run_no=2）
15. （外部稽核人員） 覆核 15 個未通過項目，全部通過 → AP 最終關閉（closed），專案狀態更新為 completed

UC-02：年度稽核（持續合規管理）

情境： 已取得認證的公司進行第二年年度稽核

流程：

1. （管理者） 在現有專案開啟新一年度的 AP（launch-new-round）
2. （管理者） 更新 SSP：本年度系統有變更，使用批次匯入匯出更新相關控制項說明
3. （管理者） 確認工作任務設定，使用 Job 批次設置匯入調整指派人員
4. （管理者） 啟動專案開始收集新年度證據
5. （執行人員 / 審核人員） 執行完整的 Phase 2 流程
6. （管理者） 啟動外部稽核
7. （外部稽核人員） 本年度改善顯著，110 個控制項全部通過
8. （外部稽核人員） 確認稽核 → AP 直接關閉，無需矯正階段

UC-03：矯正計畫追蹤（多部門協作）

情境： 一次稽核有 20 個控制項未通過，涉及 IT、HR、法務三個部門

流程：

1. （管理者） 系統產生 20 筆 POA&M 後，依部門將 POA&M 指派給三位負責人
2. （IT 負責人） 查看自己的 8 筆 POA&M，填寫矯正計畫，執行矯正後標記完成
3. （HR 負責人） 查看 7 筆 POA&M，部分需要採購新工具，設定預計完成日期為下個月
4. （法務負責人） 查看 5 筆 POA&M，更新相關政策文件後標記完成
5. （管理者） 使用 POA&M 列表追蹤整體進度
6. （管理者） 所有 POA&M 關閉，觸發覆核

UC-04：執行人員批次完成任務

情境： IT 工程師被指派 15 個文件上傳任務，已全部準備好文件

流程：

1. 登入系統，進入「我的工作」
2. 篩選 PROCESSING 狀態的任務
3. 勾選已準備好的 10 個任務
4. 點擊「批次完成」，填寫統一的完成說明：「已上傳 Q1 季度合規證據」
5. 確認送出 → 系統逐筆完成任務
6. 查看結果：10 筆成功、0 筆失敗
7. 審核人員收到通知，開始審查

UC-05：管理者批次設定任務（Excel 匯入匯出）

情境： 新專案有 60 個 Job 需要設定任務類型和指派人員

流程：

1. （管理者） 進入 Task Setup 頁面，點擊「匯出 Excel」
2. 下載 Excel 範本（已帶出所有 Job，含控制項群組、控制項、檢查項目等唯讀資訊）
3. 在 Excel 中填寫：
   • 任務類型（下拉選單：general / survey）
   • 指派人員（逗號分隔 login_name：如 john, mary, bob）
   • 參與部門（逗號分隔部門名稱）
   • 設備（逗號分隔設備名稱）
4. 上傳 Excel → 系統驗證 → 顯示預覽：55 筆有效、5 筆有錯
5. 在前端表格修正錯誤 → 重新驗證 → 全部有效
6. 確認匯入 → 60 筆任務設定完成

UC-06：管理者批次維護 SSP 現況

情境： 需要更新 17 個控制項和 59 個檢查項目的實作狀態

流程：

1. （管理者） 進入 SSP 現況頁面，點擊「匯出 Excel」
2. 下載 Excel（控制項行 + 檢查項目行，已帶出現有值）
3. 修改實作狀態（下拉選單）和現況描述
4. 上傳 Excel → 驗證 → 確認匯入
5. 所有控制項與檢查項目的現況說明同步更新

UC-07：稽核人員使用 Dashboard 快速進入稽核

情境： 外部稽核人員同時負責 3 個專案的稽核

流程：

1. 登入系統，進入「我的稽核任務」頁面
2. 看到 3 個 AP：
   • CMMC L2 稽核（稽核中，判定進度 12/17，證據就緒 55/59）
   • ISO 27001 覆核（稽核中，判定進度 88/93，證據就緒 110/110）
   • SOC 2 稽核（矯正中，等待覆核）
3. 選擇證據就緒率最高的 ISO 27001 覆核，點擊「進入稽核」
4. 直接進入稽核頁面，開始審查剩餘 5 個控制項
5. 完成後回到 Dashboard，繼續處理 CMMC L2

UC-08：管理者使用程序書池批次管理參考文件

情境： 組織有 15 份程序書，需關聯到 17 個控制項和 59 個檢查項目

流程：

1. （管理者） 進入 SSP 程序書管理頁面
2. 拖拽批次上傳 15 份程序書到池中
3. 為每份程序書填寫描述（如「BT-I-B-13-存取控制管理程序書」）
4. 方式 A：在控制項/AO 詳情頁，點擊「關聯程序書」→ 從池中多選
5. 方式 B：匯出 SSP 現況 Excel → 在 I 欄填入程序書名稱（逗號分隔）→ 匯入
6. 同一份程序書可關聯到多個控制項/AO，不需重複上傳

八、系統流程圖

8.1 AP 狀態流轉

                    [建立 AP]
                        ↓
                   preparing
                        ↓ activate（管理者）
                    active
                        ↓ launch-audit（管理者）
                   auditing
                        ↓ confirm-audit（稽核人員）
              ┌─────────────────────┐
              │ 全部 pass/na？      │
              │  是                 │ 否
              ↓                     ↓
           closed              remediation
                                    ↓ close-round（管理者，POA&M 全關）
                               auditing（run_no++）
                                    ↓ confirm-audit
                              ┌─────────────────────┐
                              │ 全部 pass/na？      │
                              │  是                 │ 否
                              ↓                     ↓
                           closed              remediation（再循環）

8.2 工作項目（Job）狀態流轉

[建立 Job / 指派人員]
        ↓
     TODO
        ↓ 工作流程自動推進
  PROCESSING
        ↓ 完成任務（單筆或批次）
  COMPLETED
        ↓
   ┌────────────┐
   │ 審核通過？ │
   │  是        │ 否（退回）
   ↓            ↓
 signed      PROCESSING（重新執行）

8.3 批次匯入匯出流程

     匯出 Excel                    匯入 Excel
    GET /export                   POST /import
        ↓                              ↓
   下載 .xlsx                     驗證結果預覽
  （黃底=可編輯）                  （有效/錯誤）
        ↓                              ↓
   離線編輯                    ┌────────┴────────┐
                               │有錯誤           │全部有效
                               ↓                 ↓
                          前端修正         POST /confirm
                               ↓           批次寫入完成
                     POST /validate
                     （可重複多次）

九、名詞對照表

十、前端畫面與功能路徑對照

供 BDD 測試規格撰寫參考。每個功能標示前端 URL 路徑、所在頁面、操作位置。

10.1 頁面路由總覽

10.2 Phase 1 準備階段 — 功能位置

10.3 Phase 2 執行階段 — 功能位置

10.4 Phase 3 稽核階段 — 功能位置

10.5 Phase 4 矯正階段 — 功能位置

10.6 共用功能 — 批次匯入 Dialog 流程

兩個匯入 Dialog（SSP / Job）共用相同的 3 步驟 UI：

Step 0（上傳檔案）
├── 拖拽區（dashed border）或點擊選擇 .xlsx
├── 選檔後顯示檔名 + 大小 + 「上傳並驗證」按鈕
└── 可重新選擇檔案

Step 1（預覽與編輯）
├── 摘要 Tag：「N 筆有效」「M 筆錯誤」
├── 篩選 Tab：全部 / 有效 / 錯誤
├── DataTable：可編輯欄位（Dropdown / InputText），錯誤行紅色左邊框
├── 「重新驗證」按鈕（編輯過才啟用，POST /validate）
├── 「匯入全部 (N)」按鈕（有編輯時 disabled，需先重新驗證）
└── 錯誤欄位有 p-invalid 紅框

Step 2（匯入結果）
├── 成功 icon + 更新筆數
├── 若有 skipped_count > 0，顯示跳過筆數
└── 「關閉」→ 刷新頁面

10.7 功能入口快速查找（BDD Given/When 參考）