GRC 7.0: какво означава GRC Orchestrate на Michael Rasmussen за организациите

Защо GRC 7.0 се обсъжда точно сега

Michael Rasmussen е въвел понятието GRC. По собствените му думи през февруари 2002 г., като анализатор във Forrester Research, той за първи път описва управлението, управлението на риска и съответствието като интегриран подход и създава съкращението за него. GRC 20/20 Днес той ръководи аналитичната компания GRC 20/20 Research и класифицира пазара по поколения.

През октомври 2026 г. той публикува по тази тема 143-странична Market Perspective: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Пълният доклад е достъпен само за клиенти. Публичното обобщение, съдържанието и няколко свободно достъпни статии на Rasmussen обаче ясно показват за какво става дума. Тази статия обобщава модела и показва какви въпроси организациите могат да изведат от него за избора и работата със своите GRC инструменти.

Основната теза: функциите поевтиняват, отговорността става ценна

Отправната точка на Rasmussen е промяна на пазара. Изкуственият интелект прави видимите софтуерни функции по-малко оскъдни. Същевременно четири неща придобиват все по-голямо значение: надеждната информация, бизнес контекстът, специализираната експертна методология и изпълнението, за което някой носи отговорност. GRC 20/20

От това следва централното разграничение в доклада: GRC 7.0 е оперативна архитектура, а не натрупване на функции с ИИ. Един чат прозорец може да подобри работата с продукта, но не замества работата по архитектурата и методологията, пише Rasmussen. GRC 20/20 Също толкова ясно той формулира и мерилото: технологията трябва да подобрява ефективността, резултатността, устойчивостта и гъвкавостта чрез по-добри решения и резултати, които могат да бъдат проверени.

От GRC 1.0 до 6.0: поколения, а не препоръка за покупка

Rasmussen описва развитието на пазара в поколения. Той подчертава, че става дума за наслагващи се възможности, а не за стълба и не за призив да се купят осем платформи една след друга. GRC 20/20

Rasmussen описва ограничението на досегашните поколения така: една система може да съдържа отлични записи и въпреки това да остави хората сами, когато трябва да сглобят контекста, да решат каква да е следващата стъпка и да изградят нужната възможност. Точно тук се намесва GRC 7.0.

Трите системи на GRC 7.0

System of Record остава основата. Около нея GRC 7.0 разполага система за оркестрация, която свързва три взаимно допълващи се системи. GRC 20/20

System of Intelligence: от сигнала към контекста за решение

System of Intelligence събира вътрешни и външни сигнали и ги превръща в контекст за вземане на решения. Смущение при доставчик, ново регулаторно изискване или отклонение в резултатите трябва да бъдат свързани със засегнатите цели, услуги, задължения и зависимости. Полезният резултат е обосновано обяснение на последиците и възможностите, включително липсващата информация и несигурностите.

Rasmussen държи на едно разграничение: ръководителите трябва да могат да разпознаят кое е установен факт, кое е извод и кое е допускане, което би могло да промени решението. Съдържанието на доклада посочва за целта, наред с другото, произхода и момента на информацията, Entity Resolution, онтологиите и заявките с проверка на правата за достъп.

System of Action: изпълнение с ясни правомощия

System of Action координира реакцията. Агентите могат да работят самостоятелно в определени граници, да действат полуавтономно с одобрение от човек и да съгласуват задачи между хора и системи. Един агент може да събира доказателства, да подготви анализ на въздействието, да препрати решение или да извърши разрешена промяна.

Решаващото е правомощията да са изрично уредени: какво може да се случи, при какви условия, кой носи отговорност и как се проверява резултатът. Rasmussen илюстрира това с два примера. Способността да препоръчаш доставчик не означава правомощие да го одобриш. А приключил работен процес не доказва, че дадена услуга е възстановена. Системата трябва да свързва действията с наблюдаем бизнес резултат и да ескалира, когато правомощията или доказателствата не са достатъчни.

System of Configuration: изграждане на възможности на езика на бизнеса

System of Configuration трябва да изгражда и адаптира бързо GRC възможности на езика на съответното звено. Един екип описва от какво има нужда, например нова оценка или процес за задълженията, а технологията помага да се създадат съответните структури от данни, връзки, правила, интерфейси и интеграции.

Rasmussen свързва това обещание с ясни условия: валидиране, права за достъп, тестове и контролирано внедряване. Ясно описаното намерение е началото на надеждна възможност, а не доказателство, че генерираният резултат е верен. Съответно в доклада се казва, че тестовете трябва да са достатъчно независими, за да могат да поставят генерирането под въпрос, а внедряването е решение в сферата на управлението.

Стойността е във връзката

Сама по себе си нито една от трите системи не е нова. Разликата я прави тяхната връзка: Intelligence разпознава променената ситуация, Action координира подходяща реакция, Configuration изгражда възможността, която новата ситуация изисква. Ученето може да подобрява взаимодействието, но без някоя система тихомълком да пренаписва собствените си правомощия.

Агентите заслужават своите правомощия

В по-ранна поредица от статии за GRC Orchestrate Rasmussen описва агентите като част от цикъл от наблюдение, анализ, действие и ескалация. Когато дадена ситуация надхвърли прага на агента, той информира отговорния човек. GRC 20/20

Там той признава също, че пазарът е още в началото. Досега ИИ е навлязъл главно чрез отделни функции, например оценки на риска, регулаторно съпоставяне и чат интерфейси. Истинската оркестрация на координирани агенти все още тепърва се появява. Като предпоставки до 2030 г. той посочва:

• единни таксономии и метаданни във всички области на GRC
• политики, рискове, контроли и задължения в машинночетим вид
• етични и оперативни предпазни граници за поведението на ИИ
• култура на управление, която третира ИИ като участник, а не само като инструмент

За организациите особено вторият пункт е добър критерий за проверка. Който още днес поддържа изискванията, мерките и доказателствата структурирано и в машинночетим вид, например в отворения формат OSCAL, създава основата, върху която агентите могат да работят надеждно. Повече за това прочетете в Какво е OSCAL?

Поглед напред: GRC 8.0 и цифровите близнаци

За периода от около 2030 г. Rasmussen описва GRC 8.0, „Quantum GRC“. Става дума за дълбоки цифрови близнаци на организацията и нейната верига на доставки на три нива: стратегическа насока, цели и резултати, както и операции и изпълнение. С тяхна помощ организациите трябва да могат да разиграват възможни бъдещи сценарии, преди да се обвържат с решение. Rasmussen говори за „Risk Holodeck“. GRC 20/20

Той изрично определя това като визия за бъдещето, а не като вече налична възможност. Дори убедително представена симулация може да е погрешна – стойността ѝ зависи от качеството на модела и на информацията и от честното отношение към онова, което остава неизвестно. С квантовите изчисления в буквалния смисъл понятието има само косвена връзка; докладът разглежда това като отделен въпрос.

Какви въпроси организациите трябва да зададат на доставчиците сега

Rasmussen препоръчва работещите основи да не се заменят без нужда. Да смениш система само защото номерът на поколението ѝ звучи остарял, е скъпо недоразумение. Вместо това организациите трябва да поискат от доставчиците да им покажат един свързан бизнес сценарий и да питат: GRC 20/20

1. На каква цел служи тази възможност и как се измерва подобрението?
2. Как една вътрешна или външна промяна се превръща в релевантна информация?
3. Какво може системата да прави сама, какво изисква одобрение от човек и как се налагат правомощията?
4. Може ли да се изгради смислена възможност на езика на бизнеса и може ли след това резултатът да бъде проверен и тестван?
5. Как се държи системата, когато информацията е противоречива, липсва зависимост или човекът, който трябва да одобри, е недостъпен?
6. Какво доказателство потвърждава, че желаният резултат действително е настъпил?

За начало той съветва тясно ограничен подход: една цел, един ясно очертан случай на употреба, един отговорен човек, една изходна стойност и един тест за устойчивост. Трябва да се измерват очакваните резултати и цялото оперативно натоварване, включително проверката, корекциите, интеграцията и надзора. След това доказателствата решават дали подходът да се разшири, адаптира или спре.

Какво извличаме от това в Secani

Най-полезно намираме разграничението на Rasmussen между способността да предложиш нещо и правомощието да решиш за него. Спрямо него ориентираме агента на Secani: той подготвя оценки, установява връзки и обосновава предложенията си. Решението дали дадена мярка се счита за ефективна или дали даден риск се приема трябва да остане у отговорното лице. Защо за това не е достатъчна и само връзка към източника, описваме в ИИ в GRC: цитирането не е проверка.

Също толкова важно за нас е изискването на Rasmussen за машинночетими изисквания, мерки и доказателства. Един агент може да работи само толкова надеждно, колкото е надеждна структурата, върху която стъпва. Какво казват големите аналитични компании за пазара като цяло, прочетете в Пазарът на GRC през 2026 г.: какво казват Forrester, Verdantix и GRC 20/20 за ИИ и платформите.

Заключение

GRC 7.0 е не толкова нова продуктова категория, колкото мерило за проверка. Rasmussen описва архитектура, в която меродавните данни, контекстът за решения, контролираното изпълнение и проверимото адаптиране работят заедно. ИИ агентите са важен градивен елемент в нея, но представляват напредък само ако правомощията им са ясно уредени и резултатите им се проверяват. Затова организациите трябва да поискат да им бъде показано върху собствения им случай на употреба къде агентът само предлага, къде има право да действа и кой носи отговорността във всеки отделен случай.

Източници

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, октомври 2026 г.)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 октомври 2026 г.)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 юли 2025 г.)