本卡為 FR-139 母案。顧問在合規資源庫把訪談結果寫完整並存版，送審時鎖一版給稽核；專案直接看資源庫那份、只看不改。拆三個子需求、十一張實作卡（T-1～T-10、T-2b）。子卡清單在末段。
顧問到客戶現場訪談，手上拿的就是系統可下載的「現況資料 Excel」（訪談表）。回來把訪談表匯入合規資源庫，之後同一份表會隨訪談次數反覆匯入、一次一次累積。顧問逐條整理控制項與底下的檢查項目（AO）：實施狀態、現況說明、備註，碰到「部分實作」的條目，還要寫出缺了什麼（缺失）和怎麼補（缺失修改建議），手上有可直接給客戶用的範本就附在建議下面（建議附件）——這就是正式稽核前的事前稽核。
每整理一輪顧問就存一版，可看舊版、可比對兩版差異、可整份還原。顧問啟動專案後，專案直接看資源庫那一份，客戶的專案管理者在規劃頁只能指派工作，不能改內容；顧問繼續訪談、匯入、整理，專案即時看得到。顧問覺得可以請外部稽核了就按「送審」：系統存一版、凍結一份給稽核輪、資源庫鎖住不能改；稽核輪進入整改就解鎖，顧問繼續整理，覆核送審再鎖一次。
CRA 漏洞通報條的例子：實施狀態＝部分實作；現況＝只有提供 E-Mail 收信接收通報；備註＝連 email 都未開通；缺失＝無通報平台、也沒有公告、也沒有通報手冊；缺失修改建議＝提供通報平台網址、官網公告通報方式、提供手冊下載；建議附件＝通報流程手冊範本.pdf。
gap、recommendation（ns https://guidant.ai/ns/oscal），IR 與 AO 兩層都有。與實施狀態、現況說明走同一條路，啟動、凍結、存版整列複製自動帶走；不加套件實體欄、不開側表。compliance.ssp_control_attachments，不進程序書池：程序書是客戶自己的 SOP、要進稽核凍結；建議附件是給客戶的範本，存版／還原／複製資源庫要帶、稽核凍結不帶。混在同一池，稽核側每個讀程序書的地方都要多一個過濾，漏一處建議範本就跑進稽核基準。living_ssp_id 直接等於 template_ssp_id；資源庫只要曾綁過任何專案（不分進行中／結案／封存）就不能再啟動，新年度一律走「複製資源庫」；資源庫有專案綁著不能刪。資源庫沒有公版（公版是框架層概念）。submit、記 audit_round_id）→ 凍結快照給稽核輪 → 資源庫鎖寫」，覆核送審同一套。鎖寫區間：當前輪次 audit_planning／auditing／pending_reverify 鎖，remediation 與 closed 解鎖。metadata.version／metadata.revisions（revision links 帶 rel=predecessor-version）；舊版內容用套件 snapshot_ssp 整份複製成獨立 SSP；只多一張索引表 compliance.ssp_versions（owner_type＋owner_id，第一版只有資源庫用）。OSCAL 各表不加版本欄。import-backup），匯入後不另存。pending_reverify（design 只寫 audit_planning／auditing）。