CRA 由哪個部門主導？哪些單位要配合？

直答：CRA 沒有指定由哪個部門負責，義務主體是「製造商」這個法律主體（第 13 條）。實務上，最終負責應落在對產品設計與上市決策有權責的產品事業單位；產品資安或法遵單位提供專業與監督（第二道防線）；內部稽核做獨立確信（第三道防線）。資訊部門管的是公司內部系統，產品資安不應預設交給它。

先看法規把工作分給了誰

判斷誰該主導的四個準則

1. 誰對產品設計與上市有決定權：擔任最終負責（A）。支援期多長、要不要延後上市，都是產品決策。
2. 誰能在 24 小時內動員研發並對外通報：擔任通報流程的執行者（R），通常是 PSIRT 或產品資安窗口，且要事先取得授權。
3. 誰掌握供應商與元件清單：負責第三方元件盡職調查，通常是採購或供應鏈管理，搭配研發。
4. 誰獨立於產品線：負責監督與確信，不能和最終負責落在同一人。

公司裡只有資訊部門懂資安時，可以借調資訊部門的人支援，但最終負責仍應在產品線。因為研發流程、元件清單與上市決策都不在資訊部門手上。

責任矩陣（RACI）怎麼用

R＝執行、A＝最終負責、C＝事前諮詢、I＝事後告知。原則只有一條最常被違反：每一項工作只能有一個 A。兩列示範如下：

其餘工作（技術文件、第三方元件盡職調查、支援期決定、漏洞處理、定期查核）要依產品線數量、是否有自有品牌、供應鏈角色與既有制度分派，各公司結果不同。完整的工作清單與責任矩陣，積穗在免費機制診斷時依貴公司的組織與產品線提供。

和三道防線的關係

依 IIA 三道防線模型（2020 年發布、2024 年更新）：

• 治理單位（董事會）：對利害關係人承擔監督責任，並把責任與資源委派給管理階層。
• 第一道（管理階層的第一線角色）：領導並指揮行動，包括管理風險。對應產品事業單位、研發與 PSIRT 的日常執行。
• 第二道（管理階層的第二線角色）：提供互補的專業、支援、監控與挑戰，並報告風險管理（含控制）的適足性與有效性。對應產品資安治理或法遵單位。
• 第三道（內部稽核）：對治理單位負主要責任、獨立於管理階層，提供獨立客觀的確信與建議。

規模小的公司可以合併角色，但「最終負責」與「獨立確信」不要落在同一人身上。

怎麼接上你現有的制度

CRA 的工作不必另起一套制度。下表四個接點，都是公開發行公司或上市上櫃公司本來就有的制度，可以由原本的負責人在原本的流程裡順帶完成。非公開發行公司不受這些準則與守則規範，可以自願參考同樣的接法。

兩點要分清楚：

• 通報的對象不同：資通安全管控指引的通報程序處理公司自己資通系統的事件；CRA 第 14 條處理產品中被積極利用的漏洞與嚴重事件。所以是在同一套程序裡加一條路徑，觸發條件和對外窗口要分開寫。
• 守則與準則的性質不同：內控處理準則是公開發行公司必須遵循的規定；治理、風險管理守則與資安管控指引多為「宜」「得」的實務指引，公司可依規模與產業特性採行。

控制點放在哪個循環的哪一步、自行評估項目怎麼寫，依貴公司既有的內控制度，於免費機制診斷時提供。

常見誤區

• 預設資訊部門負責：產品研發流程與元件清單不在資訊部門手上，風險評估與技術文件會失去依據。
• 只指派窗口、沒有授權：第 14 條要求 24 小時內早期預警，窗口若無權決定是否通報，時限就守不住。
• 把通報流程排在符合性評估之後：第 14 條通報義務自 2026 年 9 月 11 日已適用，含已上市產品，應優先建立。

積穗怎麼協助

積穗科研由同一個團隊從法規判定、流程到技術控制一次規劃，副總、董事級顧問全程親自輔導、不外包；只做輔導、不做驗證發證。我們協助產品線把前述責任矩陣與第 14 條通報流程落到實際的單位與授權。