責任矩陣

1）目的和價值

RACI矩陣使角色和決策點對流程的每個步驟都透明，降低了運營風險並加快了協調。

• 消除灰色地帶和重復工作；
• 確保政策和控制要求可以執行；
• 通過可證明的角色分配簡化審核。

2）術語和變體

R （Responsible）-執行工作/任務。
A（Accountable）-承擔最終責任，批準結果（每任務一次）。
C（咨詢）-咨詢,參與決策前（雙向通信）。
I （Informed）-在決定（單向通信）後通知。

• RASCI：添加S（支持）-執行者操作支持。
• DACI： D （Driver）、A （Approver）、C（貢獻者）、I （Informed）-強調驅動程序。
• RAPID： Recommend、Agree、Perform、Input、Decide-對於產品解決方案很有用。

3） RACI設計原則

1.每項任務一個A是明確的問責制。
2.只要需要R，就可以避免「R over」。
3.C-本質上不是「以防萬一」（否則會抑制流量）。
4.我是有針對性的：通知那些行動取決於結果的人。
5.與DoA/SoD的聯系：權力和職責劃分不應與RACI發生沖突。
6.審查：RACI → PR/review/哈希收據更改 →發布。

4）在哪裏應用

事件和危機（IB/付款/隱私）。
DSAR/撤回/數據刪除。
VRM/登錄和合作夥伴審核。
CI/CD中的發行版和合規門。
營銷和負責任的廣告。
支付糾紛/充電包。
BCP/DR演習和法律保留。

5）角色（示例字典）

Board/Комитет, CEO/ExCom, Head of Compliance, Legal/DPO, Risk Office, Internal Audit, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operations, HR/L&D, Product/Engineering, Regional Leads.

6） RACI矩陣示例

6.1隱私事件（數據泄露）

6.2 DSAR：訪問/刪除

6.3搶購關鍵供應商（VRM）

6.4合規門發布

7）與DoA/SoD和策略的聯系

DoA （Delegation of Authority）： A必須擁有DoA中規定的批準權。
SoD（職責分級）：在關鍵步驟上,R和A不會與付款/管理行動的執行相結合。
策略/標準：矩陣的每行都引用控制語句和SOP。

8）創建和修改RACI的過程

1.刪除當前過程（E2E圖,解決方案點）。
2.從字典中定義角色,與域所有者協調。
3.在步驟/決策級別填充RACI，檢查與DoA/SoD的沖突。
4.在實踐中驗證（桌頂模擬）。
5.批準並發布到存儲庫（Git）,包括Wiki/Portal。
6.相關性支持：觸發-改變組織結構,尤爾.更新，審計/事件的結果。
7.審查和證據：公關歷史，哈希收據，WORM檔案。

9）度量標準和dashbords

RACI Coverage：使用新鮮矩陣的關鍵過程的百分比。
Single-A Compliance：目標比例恰好為1 A（目標100%）。
C/I噪音等級：多余的同意/通知（趨勢↓）。
時間到決定：RACI步驟匹配的中位數。
SoD沖突：已識別和封閉的角色沖突。
審核就緒性：與策略/控制/SOP和事件相關的矩陣比例。

Dashbords：Process Map+RACI覆蓋，RACI的領先時間，Org Heatmap（批準瓶頸）。

10） SOP（標準程序）

SOP-1： RACI設計

制圖過程→矩陣草稿→ DoA/SoD驗證→試點/模擬→委員會批準→發布。

SOP-2： 季度審查

組織結構/策略更改的收集→矩陣修訂→公關更新→受影響的角色的read-&-attest。

SOP-3： 觸發事件

事件發生後-RACI調整（例如，A/C增強，R分散）→ SOP/Controlles → Retest更新。

SOP-4： 培訓

矩陣閱讀和案例微課程；A/R角色強制性。

11）模板

11.1 RACI表（Markdown）

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11.2 YAML工件（策略即代碼綁定）

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11.3 RACI更改卡

理由（事件/審計/法律更新）

新/新角色分配

對DoA/SoD的影響

培訓/溝通計劃

引用PR/哈希收據

12）整合

策略存儲庫：從矩陣到控制斷言的鏈接。
GRC：版本存儲和read-&-attest。
HRIS/LMS：A/R的角色配置文件→培訓。
ITSM/Jira：RACI步驟下的批準和SLA任務。
CCM：自動反駁操作元數據（例如管理日誌、發行版）中是否存在A/R。

13）反模式

每個任務兩個或更多A。
「R」和「C/I for check」 →通道的過熱和延遲。
RACI與DoA/SoD和控制器無關。
一次性矩陣不經過審核和驗證。
屏幕截圖代替活文物（沒有可證明性）。
A/R缺乏培訓→「紙質」合規性。

14）成熟度模型（M0-M4）

M0 Ad-hoc：角色是非虛構的，匹配是混亂的。
M1基本：RACI關鍵流程,手動更新。
M2托管：與DoA/SoD的通信，存儲庫，季度修訂，read-＆-attest。
M3集成：YAML矩陣，PR過程，綁定到控制/SSM和ITSM-SLA。
M4持續保證：優化建議（瓶頸）、SoD自動反駁、Lead Time分析師和「what-if」。

15）相關維基文章

公司治理框架

授權矩陣（DoA）和職責分工（SoD）

連續合規性監控（CCM）

策略和規範存儲庫

跨部門檢查

危機管理和溝通

合並路線圖

KPI和合規度量

結果

RACI矩陣不僅是一個表格，而且是一個可管理機制：一個負責結果的人，清晰的執行者和參與者，可證明的權力和控制關系，定期審核和培訓。這樣的系統可以消除延遲，降低風險並默認進行「試用就緒」過程。