GRC 7.0: hvad Michael Rasmussens GRC Orchestrate betyder for virksomheder

Derfor diskuteres GRC 7.0 netop nu

Michael Rasmussen har præget begrebet GRC. Efter egen fremstilling beskrev han i februar 2002 som analytiker hos Forrester Research for første gang governance, risikostyring og compliance som en integreret tilgang og skabte akronymet til det. GRC 20/20 I dag leder han analysehuset GRC 20/20 Research og inddeler markedet i generationer.

I oktober 2026 udgav han en 143 sider lang Market Perspective om emnet: “GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market”. GRC 20/20 Den fulde rapport er forbeholdt kunder. Den offentlige sammenfatning, indholdsfortegnelsen og flere frit tilgængelige indlæg fra Rasmussen viser dog tydeligt, hvad det drejer sig om. Denne artikel opsummerer modellen og viser, hvilke spørgsmål virksomheder kan udlede af den til valg og drift af deres GRC-værktøjer.

Kernetesen: funktioner bliver billige, ansvar bliver værdifuldt

Rasmussens udgangspunkt er en forskydning i markedet. Kunstig intelligens gør synlige softwarefunktioner mindre knappe. Samtidig vinder fire ting i betydning: pålidelige oplysninger, forretningskontekst, specialiseret faglig metodik og en udførelse, som nogen står til ansvar for. GRC 20/20

Heraf følger rapportens centrale afgrænsning: GRC 7.0 er en driftsarkitektur, ikke en samling AI-funktioner. Et chatvindue kan forbedre betjeningen, men erstatter ikke arbejdet med arkitektur og metodik, skriver Rasmussen. GRC 20/20 Målestokken formulerer han lige så klart: Teknologi skal forbedre effektivitet, virkning, robusthed og agilitet gennem bedre beslutninger og resultater, der kan efterprøves.

Fra GRC 1.0 til 6.0: generationer, ikke en købsanbefaling

Rasmussen beskriver markedets udvikling i generationer. Han understreger, at der er tale om kapabiliteter, der overlapper hinanden, ikke om en trappestige og ikke om en opfordring til at købe otte platforme efter hinanden. GRC 20/20

De hidtidige generationers grænse beskriver Rasmussen sådan: Et system kan indeholde fremragende registreringer og alligevel lade menneskene i stikken, når det gælder om at sætte konteksten sammen, beslutte det næste skridt og opbygge den nødvendige kapabilitet. Netop her sætter GRC 7.0 ind.

De tre systemer i GRC 7.0

System of Record forbliver grundlaget. Omkring det lægger GRC 7.0 et orkestreringssystem, der forbinder tre systemer, som supplerer hinanden. GRC 20/20

System of Intelligence: fra signal til beslutningskontekst

System of Intelligence indsamler interne og eksterne signaler og gør dem til beslutningskontekst. En forstyrrelse hos en leverandør, et nyt regulatorisk krav eller en afvigelse i præstationen skal forbindes med de berørte mål, services, forpligtelser og afhængigheder. Det nyttige resultat er en begrundet forklaring af konsekvenser og muligheder, herunder manglende oplysninger og usikkerheder.

Rasmussen lægger her vægt på en sondring: Ledere skal kunne se, hvad der er et sikkert faktum, hvad der er en slutning, og hvad der er en antagelse, som kan ændre beslutningen. Rapportens indholdsfortegnelse nævner i den forbindelse blandt andet oplysningers oprindelse og tidspunkt, entity resolution, ontologier og adgangskontrollerede forespørgsler.

System of Action: udførelse med klare beføjelser

System of Action koordinerer reaktionen. Agenter kan arbejde selvstændigt inden for fastlagte grænser, handle delvist autonomt med menneskelig godkendelse og afstemme opgaver på tværs af mennesker og systemer. En agent kan indsamle evidens, forberede en konsekvensanalyse, sende en beslutning videre eller udføre en tilladt ændring.

Det afgørende er, at beføjelsen er udtrykkeligt reguleret: hvad der må ske, under hvilke betingelser, hvem der er ansvarlig, og hvordan resultatet kontrolleres. Rasmussen viser det med to eksempler. Evnen til at anbefale en leverandør betyder ikke beføjelsen til at godkende den. Og et afsluttet workflow beviser ikke, at en service er genoprettet. Systemet skal forbinde handlinger med et observerbart forretningsresultat og eskalere, når beføjelser eller evidens ikke rækker.

System of Configuration: opbyg kapabiliteter i fagsprog

System of Configuration skal opbygge og tilpasse GRC-kapabiliteter hurtigt, i fagområdets eget sprog. Et team beskriver, hvad det har brug for, for eksempel en ny vurdering eller en proces for forpligtelser, og teknologien hjælper med at generere datastrukturer, relationer, regler, brugerflader og integrationer til det.

Rasmussen knytter dette løfte til klare betingelser: validering, rettigheder, test og kontrolleret udrulning. En klart beskrevet hensigt er begyndelsen på en pålidelig kapabilitet, ikke et bevis for, at det genererede resultat er korrekt. I rapporten hedder det derfor, at test skal være uafhængige nok til at kunne udfordre genereringen, og at udrulningen er en governancebeslutning.

Værdien ligger i forbindelsen

Hver for sig er ingen af de tre systemer nye. Forskellen gøres af forbindelsen mellem dem: Intelligence opdager en ændret situation, Action koordinerer en passende reaktion, Configuration opbygger den kapabilitet, som den nye situation kræver. Læring må gerne forbedre samspillet, men uden at et system i stilhed omskriver sine egne beføjelser.

Agenter gør sig fortjent til deres beføjelser

I en tidligere artikelserie om GRC Orchestrate beskriver Rasmussen agenter som en del af en cyklus af observation, analyse, handling og eskalering. Overstiger en situation en agents tærskel, informerer den det ansvarlige menneske. GRC 20/20

Han indrømmer dér også, at markedet stadig er i begyndelsen. AI er hidtil først og fremmest kommet ind via enkeltstående funktioner, for eksempel risikovurderinger, regulatorisk mapping og chatgrænseflader. Egentlig orkestrering af koordinerede agenter er stadig under udvikling. Som forudsætninger frem mod 2030 nævner han:

• ensartede taksonomier og metadata på tværs af alle GRC-områder
• politikker, risici, kontroller og forpligtelser i maskinlæsbar form
• etiske og operationelle rammer for AI's adfærd
• en governancekultur, der behandler AI som en deltager, ikke kun som et værktøj

For virksomheder er især det andet punkt en god prøvesten. Den, der allerede i dag vedligeholder krav, kontroller og evidens struktureret og maskinlæsbart, for eksempel i det åbne format OSCAL, skaber det grundlag, som agenter kan arbejde pålideligt på. Læs mere i Hvad er OSCAL?

Udsyn: GRC 8.0 og digitale tvillinger

For tiden fra omkring 2030 beskriver Rasmussen GRC 8.0, “Quantum GRC”. Hermed menes dybe digitale tvillinger af virksomheden og dens forsyningskæde på tre niveauer: strategisk retning, mål og præstation samt drift og udførelse. Organisationer skal dermed kunne spille mulige fremtider igennem, før de lægger sig fast. Rasmussen taler om et “Risk Holodeck”. GRC 20/20

Han placerer det udtrykkeligt som en fremtidsvision, ikke som en kapabilitet, der allerede er tilgængelig. Også en overbevisende præsenteret simulering kan være forkert; dens værdi afhænger af kvaliteten af modellen og oplysningerne og af en ærlig håndtering af det, der forbliver ukendt. Med kvantecomputere i bogstavelig forstand har begrebet kun perifert at gøre; rapporten behandler det som et selvstændigt spørgsmål.

Hvilke spørgsmål virksomheder bør stille leverandørerne nu

Rasmussen anbefaler ikke at udskifte et fungerende grundlag uden grund. At udskifte et system, blot fordi dets generationsnummer lyder umoderne, er en dyr misforståelse. I stedet bør virksomheder få leverandørerne til at demonstrere et sammenhængende forretningsscenarie og samtidig spørge: GRC 20/20

1. Hvilket mål tjener denne kapabilitet, og hvordan måles forbedringen?
2. Hvordan bliver en intern eller ekstern ændring til relevant information?
3. Hvad må systemet selv gøre, hvad kræver menneskelig godkendelse, og hvordan håndhæves beføjelserne?
4. Kan en meningsfuld kapabilitet opbygges i fagsprog, og kan resultatet efterfølgende kontrolleres og testes?
5. Hvordan opfører systemet sig, når oplysninger er modstridende, en afhængighed mangler, eller en godkender ikke kan nås?
6. Hvilken evidens dokumenterer, at det ønskede resultat faktisk er indtruffet?

Som start anbefaler han en snævert afgrænset fremgangsmåde: ét mål, én afgrænset use case, én ansvarlig person, én udgangsværdi og én robusthedstest. Der skal måles på de forventede resultater og den samlede driftsindsats, herunder kontrol, korrektion, integration og tilsyn. Evidensen afgør så, om der udvides, tilpasses eller stoppes.

Hvad vi hos Secani tager med os

Mest nyttig finder vi Rasmussens sondring mellem evnen til at foreslå noget og beføjelsen til at beslutte det. Efter den indretter vi Secani-agenten: Den forbereder vurderinger, skaber sammenhænge og begrunder sine forslag. Beslutningen om, hvorvidt en kontrol anses for effektiv, eller en risiko accepteres, skal forblive hos den ansvarlige person. Hvorfor heller ikke et kildelink alene er nok til det, beskriver vi i AI i GRC: en kildehenvisning er ikke en verifikation.

Lige så vigtigt er for os Rasmussens krav om, at krav, kontroller og evidens skal være maskinlæsbare. En agent kan kun arbejde lige så pålideligt som den struktur, den bygger på. Hvordan de store analysehuse samlet set udtaler sig om markedet, kan du læse i GRC-markedet 2026: hvad Forrester, Verdantix og GRC 20/20 siger om AI og platforme.

Konklusion

GRC 7.0 er mindre en ny produktkategori end en målestok. Rasmussen beskriver en arkitektur, hvor autoritative data, beslutningskontekst, kontrolleret udførelse og tilpasning, der kan efterprøves, virker sammen. AI-agenter er en vigtig byggesten i den, men kun et fremskridt, når deres beføjelser er klart reguleret, og deres resultater bliver kontrolleret. Virksomheder bør derfor få leverandørerne til at vise på deres egen use case, hvor en agent kun foreslår, hvor den må handle, og hvem der i hvert enkelt tilfælde bærer ansvaret.

Kilder

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. oktober 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10. juli 2025)