GRC 9.0: Proč se poslední generace jmenuje Embedded GRC – prognóza

Kde Rasmussenův model končí

Michael Rasmussen popisuje trh GRC v generacích. GRC 7.0, „GRC Orchestrate“, je pro něj současnost přibližně do roku 2030: souhra rozhodovacího kontextu (Intelligence), agentů s jasně upravenými oprávněními (Action) a schopností, které si odborné útvary budují samy (Configuration). Pro období přibližně od roku 2030 načrtává GRC 8.0, „Quantum GRC“: digitální dvojčata firmy, s nimiž si organizace přehrávají možné budoucnosti dříve, než se rozhodnou – nazývá to „Risk Holodeck“. GRC 20/20 Model jsme podrobně zařadili v článku GRC 7.0: Co znamená GRC Orchestrate Michaela Rasmussena pro firmy.

Potom model končí. Generaci 9.0 Rasmussen nepopisuje, a pokud víme, nedefinoval ji ani nikdo jiný.

Tento článek tuto mezeru vyplňuje vlastním odhadem. To je důležité předeslat: co následuje, není model analytika ani shrnutí cizího výzkumu, nýbrž naše zdůvodněná prognóza – odvozená z vývoje, který je už dnes doložitelný. Na závěr uvádíme námitky, které proti ní mluví.

Jedna otázka řadí všechny generace

Kdo čte generace 1.0 až 8.0 za sebou, zjistí, že v jádru odpovídají na stejnou otázku: kde se governance odehrává?

Sledujeme-li tuto linii, chybí přesně jedno místo: systém samotný. Ne nástroj GRC vedle byznysu, nýbrž governance jako vlastnost systémů, které byznys provozují.

Naše teze: GRC 9.0 je Embedded GRC

Očekáváme, že příští generace začne kolem roku 2035 a bude mít tři znaky.

Compliance se stane vlastností systémů

Dnes týmy dodatečně prokazují, že systémy splňují požadavky: sbírají snímky obrazovky, exportují zprávy, vyplňují auditní šablony. V příští generaci přicházejí aplikace na svět se strojově čitelnými přísliby kontrol a důkaz vzniká za provozu jako vedlejší produkt. Stavební kameny k tomu existují: OSCAL popisuje požadavky, kontroly a hodnocení strojově čitelně (viz Co je OSCAL?), FedRAMP už balíčky v tomto formátu přijímá (viz FedRAMP přechází na strojově čitelná data), SBOM a CBOM popisují softwarové a kryptografické komponenty. Audit pak prověřuje generující systém a jeho konfiguraci – nikoli už tisíc jednotlivých dokladů.

Důvěra se mezi organizacemi vyměňuje strojově

Hodnocení dodavatelů dnes znamená: rozesílat dotazníky, zakládat odpovědi, každoročně opakovat. NIS2 a DORA už ukládají dodavatelským řetězcům povinnosti – řízení rizik a smluvní závazky – a Cyber Resilience Act přinese od konce roku 2027 strojově čitelné SBOM jako dokumentaci výrobce. Další krok je předvídatelný: dodavatel doloží kontrolu jednou, kryptograficky podepsanou, a všichni odběratelé důkaz převezmou strojově. Dotazník nezemře na zákaz, nýbrž na svou zbytečnost.

Vzácným zdrojem je odpovědnost

Rasmussenova vlastní hlavní teze ke GRC 7.0 zní: AI zlevňuje softwarové funkce; hodnotnými se stávají spolehlivé informace, kontext a odpovědnost. Domyšleno do konce to znamená: když agenti hodnotí, simulují a provádějí, zůstává jako lidské jádro přesně jeden úkol – rozhodovat, kdo za co ručí a jaké riziko firma vědomě nese. System of Record příští generace proto už není archivem dokumentů, nýbrž registrem rozhodnutí a oprávnění.

Proč od roku 2035

Letopočet v prognóze je napadnutelný, proto jej zdůvodňujeme dvakrát.

Za prvé takt samotného modelu: GRC 7.0 běží podle Rasmussena od roku 2025 do roku 2030, GRC 8.0 začíná kolem roku 2030. Mladší generace trvají zhruba pět let, příští by tedy začala kolem roku 2035.

Za druhé regulace nezávisle na tom ukazuje na stejný rok. Do roku 2035 má být celounijní přechod na postkvantovou kryptografii z velké části dokončen a návrh NIST IR 8547 nechává RSA a ECC po roce 2035 doběhnout (termíny podrobně: Postkvantová kryptografie: termíny 2026, 2030 a 2035 a co z nich je závazné). Cestou k tomu plošně vznikají kryptografické inventury, CBOM a strojově čitelné důkazy – jako naléhavé doporučení plánu EU a německých pokynů, pro subjekty spadající pod NIS2 navíc právně podložené přes požadavek na stav techniky. Přesně ta infrastruktura, kterou Embedded GRC předpokládá, tedy právě vzniká – ne z vize, nýbrž poháněna regulací.

Přesnější než „zhruba od roku 2035“ být nechceme. Opatřit prognózu na osm let letopočtem na číslici přesně by byla zdánlivá přesnost.

Dvě námitky, které bereme vážně

Námitka holodecku. GRC 8.0 předpokládá kvalitu dat, jaké mnohé organizace dnes nedosahují ani u své kryptografické inventury – se kterou plán EU počítá do konce roku 2026 a která na mnoha místech teprve vzniká. Očekáváme proto, že simulace se nejprve osvědčí v úzkých, dobře modelovatelných výsecích, například ve scénářích dodavatelského řetězce nebo výpadků, a ne jako dvojče celé firmy. Kdo dnes rozděluje rozpočet, měl by jej vložit spíše do kvality dat než do simulačních nástrojů.

Protiteze: roztříštění místo splynutí. Může to dopadnout i jinak. Regulace v současnosti roste rychleji než její harmonizace: akt o AI, DORA, NIS2, Cyber Resilience Act a národní zvláštní cesty kladou každý vlastní požadavky s vlastními ohlašovacími kanály. Místo konvergentní disciplíny by mohla znovu vzniknout sila podle jednotlivých právních oblastí – tentokrát každé s vlastními agenty. To by bylo GRC 1.0 na vyšší úrovni. Který z obou směrů zvítězí, se rozhodne podle toho, zda se strojově čitelné formáty stanou společnými napříč právními oblastmi, nebo zůstanou vlastní každé regulaci.

Co se vyplatí už dnes

Praktická stránka této prognózy: příprava je stejná bez ohledu na to, zda se naplní. Kdo už dnes spravuje požadavky, opatření a důkazy strukturovaně a strojově čitelně, je dobře připraven na oba směry – na Embedded GRC tak jako tak, a v roztříštěném světě je strukturovaná datová základna jedinou realistickou šancí, jak obsloužit více právních oblastí bez vícenásobné práce. Totéž platí pro vymezení oprávnění: kdo dnes zaznamenává, co smí agent navrhovat a o čem musí rozhodnout člověk, buduje registr rozhodnutí, který později vytvoří jádro.

Proto s kategorií GRC nezmizí práce. Posouvá se to, co lidé dělají: méně shromažďování dokladů, více rozhodování a nesení odpovědnosti.

Závěr

Naše prognóza v jedné větě: GRC 9.0 začne kolem roku 2035, věcně se jmenuje Embedded GRC – governance jako vlastnost systémů, federovaná důvěra mezi organizacemi, odpovědnost jako poslední lidská instance – a je poslední generací, protože governance potom už není samostatnou kategorií. Jisté na tom není nic kromě směru infrastruktury: strojově čitelné požadavky, inventury a důkazy se prosazují, poháněny regulací. Zda z toho vznikne splynutí, nebo roztříštění, zůstává otevřené. Příprava je v obou případech stejná.

Zdroje

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, říjen 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. října 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupiny NIS Cooperation Group, červen 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12. listopadu 2024)