提案送上去，過了兩週回來，少了一席。

你簽了字，因為爭下去也沒用，而且少一席看起來還撐得住。

那一刻你做的事情，比妥協嚴重一點：你替公司做了一個風險決定，但沒有人把它寫下來。

今天是 9 月 11 日，CRA 第 14 條的通報義務正式生效。對多數公司來說，今天跟昨天最大的差別在於：那個沒有被寫下來的風險決定，從今天起有了法律後果。

刪一席，工作不會跟著消失

這是編制討論裡最常被跳過的一句。

刪掉一席，那份工作不會蒸發。它會變成三種狀態之一：由別人兼著做、做得比較慢、或者不做。

前兩種還好，第三種才是問題，因為**「不做」很少經過決定，多半是默默發生的**。沒有人開會宣布「我們決定不做每日情資研判」，只是某一週開始沒人做了，然後就一直沒人做。

編制表把這件事顯性化。表上每一席背後，是某件事在某段時間內會不會被做完。刪一席，等於把某件事的完成機率往下調，而那個調整沒有留下紀錄。

這件事關乎的是決策品質，不是自保

有人會覺得寫下「砍到這裡會壞掉什麼」是在留後路。

實務上它有三個更實際的作用。

**第一，讓決策的人拿到完整資訊。**核准的人不在你的工作現場，他不知道砍掉那一席之後，週末進來的通報要到週一才會有人看。你不說，他就不知道；他不知道，那個決定就是在資訊不完整的情況下做的。

**第二，把後續的延誤變成已知風險。**同樣是「技術文件晚了一季」，事前寫過風險聲明跟沒寫過，性質完全不同。前者是照計畫發生的已知取捨，後者是失職。

**第三，它會改變提案本身。**逼自己寫出每一席的失敗後果，你會發現有些席次其實講不出具體壞處。那幾席本來就該砍。

保固書上會寫「本保固不含人為損壞、進水」。那句話的作用在於把界線寫清楚，讓雙方事後不必吵。沒有寫排除項目的保固，出事時爭的會是「你當初本來就該涵蓋」。

後果要寫成看得到的事，不要寫形容詞

風險聲明寫壞的方式只有一種：寫成形容詞。

「資安風險提高」「應變能力下降」「合規曝險增加」——這幾句看起來很專業，實際上不傳遞任何資訊，核准的人讀完不會改變任何決定。

要寫成可觀察的事件。對照一下：

右邊那四句都可以被驗證，而且可以被排進行事曆追蹤。左邊那四句只能被感覺。

**一句話的判準：這個後果有沒有辦法在事情發生時被指認出來。**答不出來的，就是還沒寫清楚。

有人被規定必須寫得具體

這週剛好有一個現成的例子，可以看看「可觀察的後果」寫出來長什麼樣。

一家美國上市的醫療器材製造商在 8 月 25 日發現資安事件，隔天就向美國證管會提交 8-K，9 月 8 日再提交一次進度更新。文件裡的敘述很具體：未經授權的活動造成網路中斷，影響製造以及處理與出貨客戶訂單的能力；截至 9 月 8 日，配送網路大幅恢復、全球多數製造廠已復工；公司認為這件事對第三季與全年營運結果可能有重大影響，且難以達成原先的營收成長與 EPS 財測區間。

它沒有寫「資安風險升高」，也沒有寫「營運受到影響」。它寫的是哪些能力停了、恢復到什麼程度、哪一個具體的數字承諾達不到。

理由很現實：上市公司的重大事件揭露有法律責任，形容詞在那個場合沒有用。

**你的編制提案沒有法律責任，但道理一樣。**當你被迫用可觀察的語言寫後果，你自己也會第一次看清楚那個後果到底是什麼。很多人寫到一半會發現，原來連自己都不確定砍掉那一席會壞掉什麼。那個發現本身，比提案過不過更有價值。

補一句免得誤會：這件事跟 CRA 第 14 條無關。被打的是公司自己的系統，不是他們賣出去的產品有弱點遭到利用。兩種不同的資安事件，兩套不同的通報制度，這條界線 Day 09 講過。

承諾一個做不到的日期，比少要一席更傷

這是我覺得最值得講的一段。

少一席的後果是進度變慢。進度慢可以解釋，也可以補救，而且通常還在內部範圍。

承諾一個做不到的日期，後果是到期日那天你同時失去兩樣東西：**進度，還有信用。**而信用一旦掉了，下一次要資源會更難，於是進度更慢，然後又要再承諾一次。

想像建商為了讓客戶簽約，給了一個做不到的交屋日。買家會照那個日期退租、搬家、辦貸款、讓小孩轉學。誠實說「要多三個月」的建商挨一次罵；給假日期的那個，到最後賠的是整批客戶的信任。

日期一旦說出口，別人就會根據它做決定。

在 CRA 的語境下這件事更嚴重，因為有些日期不只是內部溝通。支援期間的結束年月要對外公開標示、技術文件要能隨時被調閱、給客戶的合規承諾會被寫進合約。這些場合寫下的日期是證據，不是溝通用語。

所以我的做法是：寧可在提案裡寫一個保守的日期，加一句「若第二階段人力到位可提前」，也不要寫一個要靠加班才成立的日期。

交付物：編制與風險對照表

貼在提案第四節，接在刪減順序後面。

三個提醒。

**第一，最後一列請照抄，不要客氣。**通報決策人這一席如果被砍，寫「無人可代」是誠實的，因為 CRA 的責任在公司身上，不會因為沒有人被指定就消失。

**第二，第四欄比第三欄重要。**寫得出「什麼時候看得出來」，代表這個後果是真的；寫不出來，多半是你在猜。

**第三，這張表送出去之後要留檔，而且留在你自己手上一份。**用途不在將來追究誰，而是半年後大家都忘記當初談過什麼的時候，還有一份東西可以對。

明天 Day 12：誰握有那 24 小時

CRA 第 14 條通報義務今天正式生效。人數推導了六天，真正的答案是那一席由誰坐。決策權為什麼必須單一、代理人為什麼不能空白，以及台北比中歐快六到七小時這件事會怎麼咬你。

順便問一句。上面那張表：

你現在填得出第三欄嗎？

（a）每一席都寫得出來　（b）寫得出一半　（c）只有通報決策人那列寫得出來　（d）發現自己一直在寫形容詞

留個字母就好，不用打長篇。我第一次寫的時候是（d），四句全是形容詞。

這系列每天更新，覺得有用的話訂閱一下，我盡量不寫廢話。

參考：Regulation (EU) 2024/2847 第 13(8)、14、31 條；8-K 案例取自 Boston Scientific Corporation 於 2026/09/08 向美國證管會提交之 Form 8-K（Item 1.05），原文見 SEC EDGAR。風險聲明寫法與對照表為個人整理，非法規明文。