GRC 7.0: Was Michael Rasmussens GRC Orchestrate für Unternehmen bedeutet

Warum GRC 7.0 gerade jetzt diskutiert wird

Michael Rasmussen hat den Begriff GRC geprägt. Nach eigener Darstellung hat er Governance, Risk Management und Compliance im Februar 2002 als Analyst bei Forrester Research erstmals als integrierten Ansatz beschrieben und das Akronym dafür geschaffen. GRC 20/20 Heute leitet er das Analysehaus GRC 20/20 Research und ordnet den Markt in Generationen ein.

Im Oktober 2026 hat er dazu eine 143-seitige Market Perspective veröffentlicht: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Der vollständige Bericht ist Kunden vorbehalten. Die öffentliche Zusammenfassung, das Inhaltsverzeichnis und mehrere frei zugängliche Beiträge von Rasmussen zeigen aber deutlich, worum es geht. Dieser Beitrag fasst das Modell zusammen und zeigt, welche Fragen Unternehmen daraus für die Auswahl und den Betrieb ihrer GRC-Werkzeuge ableiten können.

Die Kernthese: Funktionen werden billig, Verantwortung wird wertvoll

Rasmussens Ausgangspunkt ist eine Verschiebung im Markt. Künstliche Intelligenz macht sichtbare Software-Funktionen weniger knapp. Gleichzeitig gewinnen vier Dinge an Bedeutung: verlässliche Informationen, Geschäftskontext, spezialisierte Fachmethodik und eine Ausführung, für die jemand Verantwortung trägt. GRC 20/20

Daraus folgt die zentrale Abgrenzung des Berichts: GRC 7.0 ist eine Betriebsarchitektur, keine Ansammlung von KI-Funktionen. Ein Chatfenster kann die Bedienung verbessern, ersetzt aber nicht die Arbeit an Architektur und Methodik, schreibt Rasmussen. GRC 20/20 Die Messlatte formuliert er ebenso klar: Technologie muss Effizienz, Wirksamkeit, Resilienz und Agilität durch bessere Entscheidungen und überprüfbare Ergebnisse verbessern.

Von GRC 1.0 bis 6.0: Generationen, keine Kaufempfehlung

Rasmussen beschreibt die Entwicklung des Marktes in Generationen. Er betont, dass es sich um sich überlagernde Fähigkeiten handelt, nicht um eine Stufenleiter und nicht um die Aufforderung, acht Plattformen nacheinander zu kaufen. GRC 20/20

Die Grenze der bisherigen Generationen beschreibt Rasmussen so: Ein System kann hervorragende Aufzeichnungen enthalten und die Menschen trotzdem allein lassen, wenn es darum geht, den Kontext zusammenzusetzen, über den nächsten Schritt zu entscheiden und die nötige Fähigkeit aufzubauen. Genau hier setzt GRC 7.0 an.

Die drei Systeme von GRC 7.0

Das System of Record bleibt die Grundlage. Um es herum legt GRC 7.0 ein System der Orchestrierung, das drei sich ergänzende Systeme verbindet. GRC 20/20

System of Intelligence: vom Signal zum Entscheidungskontext

Das System of Intelligence sammelt interne und externe Signale und macht daraus Entscheidungskontext. Eine Lieferantenstörung, eine neue regulatorische Vorgabe oder eine Abweichung in der Leistung muss mit den betroffenen Zielen, Services, Pflichten und Abhängigkeiten verbunden werden. Das nützliche Ergebnis ist eine begründete Erklärung der Folgen und Optionen, einschließlich fehlender Informationen und Unsicherheiten.

Rasmussen legt dabei Wert auf eine Unterscheidung: Führungskräfte müssen erkennen können, was eine gesicherte Tatsache ist, was eine Schlussfolgerung und was eine Annahme, die die Entscheidung ändern könnte. Das Inhaltsverzeichnis des Berichts nennt dafür unter anderem Herkunft und Zeitpunkt von Informationen, Entity Resolution, Ontologien und berechtigungsgeprüfte Abfragen.

System of Action: Ausführung mit klaren Befugnissen

Das System of Action koordiniert die Reaktion. Agenten können innerhalb festgelegter Grenzen selbstständig arbeiten, teilautonom mit menschlicher Freigabe handeln und Aufgaben über Menschen und Systeme hinweg abstimmen. Ein Agent kann Nachweise sammeln, eine Auswirkungsanalyse vorbereiten, eine Entscheidung weiterleiten oder eine erlaubte Änderung ausführen.

Entscheidend ist, dass die Befugnis ausdrücklich geregelt ist: was passieren darf, unter welchen Bedingungen, wer verantwortlich ist und wie das Ergebnis überprüft wird. Rasmussen macht das an zwei Beispielen fest. Die Fähigkeit, einen Lieferanten zu empfehlen, bedeutet nicht die Befugnis, ihn freizugeben. Und ein abgeschlossener Workflow beweist nicht, dass ein Service wiederhergestellt ist. Das System muss Handlungen mit einem beobachtbaren Geschäftsergebnis verbinden und eskalieren, wenn Befugnisse oder Nachweise nicht ausreichen.

System of Configuration: Fähigkeiten in Fachsprache aufbauen

Das System of Configuration soll GRC-Fähigkeiten schnell aufbauen und anpassen, in der Sprache des Fachbereichs. Ein Team beschreibt, was es braucht, etwa eine neue Bewertung oder einen Prozess für Pflichten, und die Technologie hilft, Datenstrukturen, Beziehungen, Regeln, Oberflächen und Integrationen dafür zu erzeugen.

Rasmussen verbindet dieses Versprechen mit klaren Bedingungen: Validierung, Berechtigungen, Tests und kontrollierte Bereitstellung. Eine klar beschriebene Absicht ist der Anfang einer verlässlichen Fähigkeit, kein Beweis, dass das erzeugte Ergebnis stimmt. Im Bericht heißt es entsprechend, Tests müssten unabhängig genug sein, um die Generierung infrage zu stellen, und die Bereitstellung sei eine Governance-Entscheidung.

Der Wert liegt in der Verbindung

Für sich genommen ist keines der drei Systeme neu. Den Unterschied macht ihre Verbindung: Intelligence erkennt eine veränderte Lage, Action koordiniert eine angemessene Reaktion, Configuration baut die Fähigkeit auf, die die neue Lage verlangt. Lernen darf das Zusammenspiel verbessern, aber ohne dass ein System still seine eigenen Befugnisse umschreibt.

Agenten verdienen sich ihre Befugnisse

In einer früheren Beitragsreihe zu GRC Orchestrate beschreibt Rasmussen Agenten als Teil eines Zyklus aus Beobachten, Analysieren, Handeln und Eskalieren. Übersteigt eine Situation die Schwelle eines Agenten, informiert er den zuständigen Menschen. GRC 20/20

Er räumt dort auch ein, dass der Markt noch am Anfang steht. KI sei bisher vor allem über einzelne Funktionen angekommen, etwa Risikobewertungen, regulatorisches Mapping und Chat-Oberflächen. Echte Orchestrierung koordinierter Agenten sei noch im Entstehen. Als Voraussetzungen bis 2030 nennt er:

• einheitliche Taxonomien und Metadaten über alle GRC-Bereiche
• Richtlinien, Risiken, Kontrollen und Pflichten in maschinenlesbarer Form
• ethische und operative Leitplanken für das Verhalten von KI
• eine Governance-Kultur, die KI als Beteiligten behandelt, nicht nur als Werkzeug

Für Unternehmen ist vor allem der zweite Punkt ein guter Prüfstein. Wer Anforderungen, Maßnahmen und Nachweise heute schon strukturiert und maschinenlesbar pflegt, etwa im offenen Format OSCAL, schafft die Grundlage, auf der Agenten verlässlich arbeiten können. Mehr dazu lesen Sie in Was ist OSCAL?

Ausblick: GRC 8.0 und digitale Zwillinge

Für die Zeit ab etwa 2030 beschreibt Rasmussen GRC 8.0, „Quantum GRC“. Gemeint sind tiefe digitale Zwillinge des Unternehmens und seiner Lieferkette auf drei Ebenen: strategische Ausrichtung, Ziele und Leistung sowie Betrieb und Ausführung. Organisationen sollen damit mögliche Zukünfte durchspielen, bevor sie sich festlegen. Rasmussen spricht von einem „Risk Holodeck“. GRC 20/20

Er ordnet das ausdrücklich als Zukunftsvision ein, nicht als bereits verfügbare Fähigkeit. Auch eine überzeugend dargestellte Simulation kann falsch sein, ihr Wert hängt an der Qualität des Modells, der Informationen und an einem ehrlichen Umgang mit dem, was unbekannt bleibt. Mit Quantencomputing im wörtlichen Sinn hat der Begriff nur am Rande zu tun, der Bericht behandelt das als eigene Frage.

Welche Fragen Unternehmen Anbietern jetzt stellen sollten

Rasmussen empfiehlt, funktionierende Grundlagen nicht ohne Not zu ersetzen. Ein System nur deshalb auszutauschen, weil seine Generationsnummer unmodern klingt, sei ein teures Missverständnis. Stattdessen sollten Unternehmen sich von Anbietern ein zusammenhängendes Geschäftsszenario vorführen lassen und dabei fragen: GRC 20/20

1. Welchem Ziel dient diese Fähigkeit, und wie wird die Verbesserung gemessen?
2. Wie wird aus einer internen oder externen Veränderung relevante Information?
3. Was darf das System selbst tun, was braucht menschliche Freigabe, und wie werden Befugnisse durchgesetzt?
4. Lässt sich eine sinnvolle Fähigkeit in Fachsprache aufbauen, und kann man das Ergebnis anschließend prüfen und testen?
5. Wie verhält sich das System, wenn Informationen widersprüchlich sind, eine Abhängigkeit fehlt oder eine freigebende Person nicht erreichbar ist?
6. Welcher Nachweis belegt, dass das gewünschte Ergebnis tatsächlich eingetreten ist?

Für den Einstieg rät er zu einem eng begrenzten Vorgehen: ein Ziel, ein abgegrenzter Anwendungsfall, eine verantwortliche Person, ein Ausgangswert und ein Resilienztest. Gemessen werden sollen die angenommenen Ergebnisse und der gesamte Betriebsaufwand, einschließlich Prüfung, Korrektur, Integration und Aufsicht. Die Nachweise entscheiden dann, ob ausgeweitet, angepasst oder gestoppt wird.

Was wir bei Secani daraus mitnehmen

Am hilfreichsten finden wir Rasmussens Unterscheidung zwischen der Fähigkeit, etwas vorzuschlagen, und der Befugnis, es zu entscheiden. Danach richten wir den Secani-Agenten aus: Er bereitet Bewertungen vor, stellt Zusammenhänge her und begründet seine Vorschläge. Die Entscheidung, ob eine Maßnahme als wirksam gilt oder ein Risiko akzeptiert wird, soll bei der verantwortlichen Person bleiben. Warum dafür auch ein Quellenlink allein nicht genügt, beschreiben wir in KI in GRC: Zitieren ist nicht Prüfen.

Ebenso wichtig ist für uns Rasmussens Forderung nach maschinenlesbaren Anforderungen, Maßnahmen und Nachweisen. Ein Agent kann nur so verlässlich arbeiten wie die Struktur, auf der er aufsetzt. Wie sich die großen Analysehäuser insgesamt zum Markt äußern, lesen Sie in GRC-Markt 2026: Was Forrester, Verdantix und GRC 20/20 über KI und Plattformen sagen.

Fazit

GRC 7.0 ist weniger eine neue Produktkategorie als ein Prüfmaßstab. Rasmussen beschreibt eine Architektur, in der maßgebliche Daten, Entscheidungskontext, kontrollierte Ausführung und überprüfbare Anpassung zusammenwirken. KI-Agenten sind darin ein wichtiger Baustein, aber nur dann ein Fortschritt, wenn ihre Befugnisse klar geregelt sind und ihre Ergebnisse überprüft werden. Unternehmen sollten sich deshalb am eigenen Anwendungsfall zeigen lassen, wo ein Agent nur vorschlägt, wo er handeln darf und wer jeweils die Verantwortung trägt.

Quellen

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, Oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14.10.2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10.07.2025)