GRC 7.0: Co znamená GRC Orchestrate Michaela Rasmussena pro firmy

Proč se o GRC 7.0 diskutuje právě teď

Michael Rasmussen dal pojmu GRC jméno. Podle vlastního popisu poprvé popsal governance, řízení rizik a compliance jako integrovaný přístup v únoru 2002 jako analytik společnosti Forrester Research a vytvořil pro něj tuto zkratku. GRC 20/20 Dnes vede analytickou společnost GRC 20/20 Research a člení trh do generací.

V říjnu 2026 k tomu zveřejnil 143stránkovou Market Perspective: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Úplná zpráva je vyhrazena klientům. Veřejné shrnutí, obsah a několik volně dostupných Rasmussenových článků však jasně ukazují, o co jde. Tento článek model shrnuje a ukazuje, jaké otázky z něj mohou firmy odvodit pro výběr a provoz svých nástrojů GRC.

Hlavní teze: funkce zlevňují, odpovědnost nabývá na hodnotě

Rasmussen vychází z posunu na trhu. Umělá inteligence činí viditelné softwarové funkce méně vzácnými. Zároveň nabývají na významu čtyři věci: spolehlivé informace, obchodní kontext, specializovaná odborná metodika a provádění, za které někdo nese odpovědnost. GRC 20/20

Z toho vyplývá ústřední vymezení zprávy: GRC 7.0 je provozní architektura, nikoli hromada funkcí AI. Chatovací okno může zlepšit ovládání, nenahradí však práci na architektuře a metodice, píše Rasmussen. GRC 20/20 Laťku formuluje stejně jasně: technologie musí zlepšovat efektivitu, účinnost, odolnost a agilitu prostřednictvím lepších rozhodnutí a ověřitelných výsledků.

Od GRC 1.0 po 6.0: generace, nikoli doporučení k nákupu

Rasmussen popisuje vývoj trhu v generacích. Zdůrazňuje, že jde o vzájemně se překrývající schopnosti, nikoli o žebříček a nikoli o výzvu kupovat osm platforem jednu po druhé. GRC 20/20

Hranici dosavadních generací Rasmussen popisuje takto: systém může obsahovat vynikající záznamy, a přesto nechat lidi samotné, když jde o sestavení kontextu, rozhodnutí o dalším kroku a vybudování potřebné schopnosti. Právě zde GRC 7.0 nastupuje.

Tři systémy GRC 7.0

System of Record zůstává základem. Kolem něj GRC 7.0 klade systém orchestrace, který propojuje tři vzájemně se doplňující systémy. GRC 20/20

System of Intelligence: od signálu k rozhodovacímu kontextu

System of Intelligence shromažďuje interní a externí signály a vytváří z nich rozhodovací kontext. Výpadek u dodavatele, nový regulatorní požadavek nebo odchylka ve výkonnosti musí být propojeny s dotčenými cíli, službami, povinnostmi a závislostmi. Užitečným výsledkem je zdůvodněné vysvětlení důsledků a možností, včetně chybějících informací a nejistot.

Rasmussen přitom klade důraz na jedno rozlišení: vedoucí pracovníci musí poznat, co je ověřený fakt, co je závěr a co je předpoklad, který by mohl rozhodnutí změnit. Obsah zprávy k tomu mimo jiné uvádí původ a časové zařazení informací, entity resolution, ontologie a dotazy s kontrolou oprávnění.

System of Action: provádění s jasnými oprávněními

System of Action koordinuje reakci. Agenti mohou v rámci stanovených hranic pracovat samostatně, jednat poloautonomně se schválením člověkem a slaďovat úkoly napříč lidmi a systémy. Agent může shromažďovat důkazy, připravit analýzu dopadů, předat rozhodnutí dál nebo provést povolenou změnu.

Rozhodující je, že oprávnění jsou výslovně upravena: co se smí stát, za jakých podmínek, kdo je odpovědný a jak se výsledek ověří. Rasmussen to dokládá dvěma příklady. Schopnost doporučit dodavatele neznamená oprávnění ho schválit. A dokončený workflow nedokazuje, že je služba obnovena. Systém musí propojovat kroky s pozorovatelným obchodním výsledkem a eskalovat, když oprávnění nebo důkazy nestačí.

System of Configuration: budování schopností v odborném jazyce

System of Configuration má rychle budovat a přizpůsobovat schopnosti GRC, a to v jazyce daného útvaru. Tým popíše, co potřebuje, například nové hodnocení nebo proces pro povinnosti, a technologie mu pomůže vytvořit k tomu datové struktury, vztahy, pravidla, rozhraní a integrace.

Rasmussen spojuje tento slib s jasnými podmínkami: validací, oprávněními, testy a řízeným nasazením. Jasně popsaný záměr je začátkem spolehlivé schopnosti, nikoli důkazem, že vygenerovaný výsledek je správný. Zpráva proto uvádí, že testy musí být dostatečně nezávislé, aby mohly generování zpochybnit, a že nasazení je rozhodnutím v oblasti governance.

Hodnota spočívá v propojení

Sám o sobě není žádný ze tří systémů nový. Rozdíl dělá jejich propojení: Intelligence rozpozná změněnou situaci, Action koordinuje přiměřenou reakci, Configuration vybuduje schopnost, kterou nová situace vyžaduje. Učení smí souhru zlepšovat, ale aniž by systém potichu přepisoval svá vlastní oprávnění.

Agenti si svá oprávnění musí zasloužit

V dřívější sérii článků o GRC Orchestrate popisuje Rasmussen agenty jako součást cyklu pozorování, analýzy, jednání a eskalace. Pokud situace překročí práh agenta, agent informuje příslušného člověka. GRC 20/20

Přiznává tam také, že trh je teprve na začátku. AI podle něj dosud přicházela hlavně v podobě jednotlivých funkcí, například hodnocení rizik, regulatorního mapování a chatovacích rozhraní. Skutečná orchestrace koordinovaných agentů teprve vzniká. Jako předpoklady do roku 2030 uvádí:

• jednotné taxonomie a metadata napříč všemi oblastmi GRC
• politiky, rizika, kontroly a povinnosti ve strojově čitelné podobě
• etické a provozní mantinely pro chování AI
• kulturu governance, která s AI zachází jako s účastníkem, nejen jako s nástrojem

Pro firmy je dobrým měřítkem především druhý bod. Kdo už dnes spravuje požadavky, opatření a důkazy strukturovaně a strojově čitelně, například v otevřeném formátu OSCAL, vytváří základ, na kterém mohou agenti spolehlivě pracovat. Více si přečtěte v článku Co je OSCAL?

Výhled: GRC 8.0 a digitální dvojčata

Pro období přibližně od roku 2030 popisuje Rasmussen GRC 8.0, „Quantum GRC“. Jde o hluboká digitální dvojčata firmy a jejího dodavatelského řetězce na třech úrovních: strategické směřování, cíle a výkonnost a také provoz a realizace. Organizace si s jejich pomocí mají přehrát možné budoucnosti dříve, než se zavážou. Rasmussen mluví o „Risk Holodeck“. GRC 20/20

Výslovně to řadí mezi vize budoucnosti, nikoli mezi již dostupné schopnosti. I přesvědčivě znázorněná simulace se může mýlit; její hodnota závisí na kvalitě modelu a informací a na poctivém zacházení s tím, co zůstává neznámé. S kvantovými počítači v doslovném smyslu má tento pojem společného jen málo, zpráva to pojednává jako samostatnou otázku.

Jaké otázky by firmy nyní měly klást dodavatelům

Rasmussen doporučuje nenahrazovat fungující základy bez nutnosti. Vyměnit systém jen proto, že jeho číslo generace zní zastarale, je podle něj drahé nedorozumění. Místo toho by si firmy měly nechat od dodavatelů předvést ucelený obchodní scénář a přitom se ptát: GRC 20/20

1. Jakému cíli tato schopnost slouží a jak se měří zlepšení?
2. Jak se z interní nebo externí změny stane relevantní informace?
3. Co smí systém dělat sám, co vyžaduje schválení člověkem a jak se oprávnění vynucují?
4. Lze v odborném jazyce vybudovat smysluplnou schopnost a lze výsledek následně zkontrolovat a otestovat?
5. Jak se systém chová, když jsou informace rozporné, chybí závislost nebo schvalující osoba není dostupná?
6. Jaký důkaz dokládá, že požadovaný výsledek skutečně nastal?

Pro začátek radí úzce vymezený postup: jeden cíl, jeden ohraničený případ užití, jedna odpovědná osoba, jedna výchozí hodnota a jeden test odolnosti. Měřit se mají předpokládané výsledky a celková provozní náročnost, včetně kontroly, oprav, integrace a dohledu. Důkazy pak rozhodnou, zda se bude rozšiřovat, upravovat, nebo zastavovat.

Co si z toho v Secani bereme

Nejužitečnější nám připadá Rasmussenovo rozlišení mezi schopností něco navrhnout a oprávněním o tom rozhodnout. Podle něj nastavujeme agenta Secani: připravuje hodnocení, vytváří souvislosti a zdůvodňuje své návrhy. Rozhodnutí, zda se opatření považuje za účinné nebo zda se riziko přijímá, má zůstat na odpovědné osobě. Proč k tomu nestačí ani samotný odkaz na zdroj, popisujeme v článku AI v GRC: citovat neznamená ověřit.

Stejně důležitý je pro nás Rasmussenův požadavek, aby požadavky, opatření a důkazy byly strojově čitelné. Agent může pracovat jen tak spolehlivě, jak spolehlivá je struktura, na které staví. Jak se velké analytické společnosti vyjadřují k trhu celkově, si přečtěte v článku Trh GRC 2026: Co říkají Forrester, Verdantix a GRC 20/20 o AI a platformách.

Závěr

GRC 7.0 není ani tak novou produktovou kategorií jako spíše měřítkem pro posouzení. Rasmussen popisuje architekturu, v níž spolupůsobí rozhodující data, rozhodovací kontext, řízené provádění a ověřitelné přizpůsobování. AI agenti jsou v ní důležitým stavebním kamenem, ale pokrokem jsou jen tehdy, když jsou jejich oprávnění jasně upravena a jejich výsledky se ověřují. Firmy by si proto měly nechat na vlastním případu užití ukázat, kde agent pouze navrhuje, kde smí jednat a kdo v každém případě nese odpovědnost.

Zdroje

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, říjen 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. října 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10. července 2025)