GRC 7.0: qué significa GRC Orchestrate de Michael Rasmussen para las organizaciones

Por qué se debate GRC 7.0 precisamente ahora

Michael Rasmussen acuñó el término GRC. Según su propio relato, en febrero de 2002, como analista de Forrester Research, describió por primera vez la gobernanza, la gestión de riesgos y el cumplimiento como un enfoque integrado y creó el acrónimo para ello. GRC 20/20 Hoy dirige la firma de análisis GRC 20/20 Research y clasifica el mercado en generaciones.

En octubre de 2026 publicó al respecto una Market Perspective de 143 páginas: «GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market». GRC 20/20 El informe completo está reservado a los clientes. No obstante, el resumen público, el índice y varios artículos de libre acceso de Rasmussen dejan claro de qué se trata. Este artículo resume el modelo y muestra qué preguntas pueden extraer de él las organizaciones para la selección y el funcionamiento de sus herramientas GRC.

La tesis central: las funciones se abaratan, la responsabilidad gana valor

El punto de partida de Rasmussen es un desplazamiento en el mercado. La inteligencia artificial hace que las funciones de software visibles sean menos escasas. Al mismo tiempo, cuatro elementos ganan importancia: la información fiable, el contexto de negocio, la metodología especializada y una ejecución de la que alguien responde. GRC 20/20

De ahí se deriva la distinción central del informe: GRC 7.0 es una arquitectura operativa, no una acumulación de funciones de IA. Una ventana de chat puede mejorar el manejo, pero no sustituye el trabajo sobre la arquitectura y la metodología, escribe Rasmussen. GRC 20/20 Con la misma claridad formula el listón: la tecnología debe mejorar la eficiencia, la eficacia, la resiliencia y la agilidad mediante mejores decisiones y resultados verificables.

De GRC 1.0 a 6.0: generaciones, no una recomendación de compra

Rasmussen describe la evolución del mercado en generaciones. Subraya que se trata de capacidades que se superponen, no de una escalera de niveles ni de una invitación a comprar ocho plataformas una tras otra. GRC 20/20

Rasmussen describe así el límite de las generaciones anteriores: un sistema puede contener registros excelentes y, aun así, dejar solas a las personas cuando se trata de reunir el contexto, decidir el siguiente paso y desarrollar la capacidad necesaria. Justo ahí es donde entra GRC 7.0.

Los tres sistemas de GRC 7.0

El System of Record sigue siendo la base. A su alrededor, GRC 7.0 sitúa un sistema de orquestación que conecta tres sistemas complementarios. GRC 20/20

System of Intelligence: de la señal al contexto de decisión

El System of Intelligence recopila señales internas y externas y las convierte en contexto de decisión. Una interrupción en un proveedor, un nuevo requisito regulatorio o una desviación en el rendimiento deben vincularse con los objetivos, servicios, obligaciones y dependencias afectados. El resultado útil es una explicación razonada de las consecuencias y las opciones, incluida la información que falta y las incertidumbres.

Rasmussen insiste en una distinción: los directivos deben poder reconocer qué es un hecho contrastado, qué es una conclusión y qué es una suposición que podría cambiar la decisión. Para ello, el índice del informe menciona, entre otros aspectos, el origen y la fecha de la información, la entity resolution, las ontologías y las consultas sujetas a control de permisos.

System of Action: ejecución con facultades claras

El System of Action coordina la respuesta. Los agentes pueden trabajar de forma autónoma dentro de unos límites establecidos, actuar de forma semiautónoma con aprobación humana y coordinar tareas entre personas y sistemas. Un agente puede recopilar evidencias, preparar un análisis de impacto, derivar una decisión o ejecutar un cambio permitido.

Lo decisivo es que las facultades estén reguladas de forma explícita: qué puede ocurrir, en qué condiciones, quién es responsable y cómo se verifica el resultado. Rasmussen lo ilustra con dos ejemplos. La capacidad de recomendar un proveedor no implica la facultad de aprobarlo. Y un flujo de trabajo completado no demuestra que un servicio se haya restablecido. El sistema debe vincular las acciones con un resultado de negocio observable y escalar cuando las facultades o las evidencias no sean suficientes.

System of Configuration: crear capacidades en el lenguaje del negocio

El System of Configuration debe permitir crear y adaptar rápidamente capacidades GRC en el lenguaje del área de negocio. Un equipo describe lo que necesita, por ejemplo una nueva evaluación o un proceso para obligaciones, y la tecnología ayuda a generar para ello las estructuras de datos, las relaciones, las reglas, las interfaces y las integraciones.

Rasmussen vincula esta promesa a condiciones claras: validación, permisos, pruebas y un despliegue controlado. Una intención claramente descrita es el comienzo de una capacidad fiable, no la prueba de que el resultado generado sea correcto. En consecuencia, el informe señala que las pruebas deben ser lo bastante independientes como para cuestionar la generación y que el despliegue es una decisión de gobernanza.

El valor está en la conexión

Por separado, ninguno de los tres sistemas es nuevo. Lo que marca la diferencia es su conexión: intelligence detecta un cambio de situación, action coordina una respuesta adecuada y configuration crea la capacidad que exige la nueva situación. El aprendizaje puede mejorar esta interacción, pero sin que ningún sistema reescriba en silencio sus propias facultades.

Los agentes se ganan sus facultades

En una serie de artículos anterior sobre GRC Orchestrate, Rasmussen describe a los agentes como parte de un ciclo de observar, analizar, actuar y escalar. Si una situación supera el umbral de un agente, este informa a la persona responsable. GRC 20/20

Allí reconoce también que el mercado aún está en sus inicios. Hasta ahora, la IA ha llegado sobre todo a través de funciones aisladas, como las evaluaciones de riesgos, el mapeo regulatorio y las interfaces de chat. La verdadera orquestación de agentes coordinados todavía está surgiendo. Como requisitos previos hasta 2030 menciona:

• taxonomías y metadatos unificados en todos los ámbitos de GRC
• políticas, riesgos, controles y obligaciones en un formato legible por máquina
• salvaguardas éticas y operativas para el comportamiento de la IA
• una cultura de gobernanza que trate a la IA como un participante, no solo como una herramienta

Para las organizaciones, el segundo punto es una buena piedra de toque. Quien ya hoy gestiona requisitos, controles y evidencias de forma estructurada y legible por máquina, por ejemplo en el formato abierto OSCAL, crea la base sobre la que los agentes pueden trabajar de forma fiable. Puede leer más en ¿Qué es OSCAL?

Perspectivas: GRC 8.0 y los gemelos digitales

Para el periodo a partir de aproximadamente 2030, Rasmussen describe GRC 8.0, «Quantum GRC». Se refiere a gemelos digitales profundos de la organización y de su cadena de suministro en tres niveles: orientación estratégica, objetivos y rendimiento, y operaciones y ejecución. Con ellos, las organizaciones podrían simular futuros posibles antes de comprometerse. Rasmussen habla de un «Risk Holodeck». GRC 20/20

Lo presenta expresamente como una visión de futuro, no como una capacidad ya disponible. Incluso una simulación presentada de forma convincente puede ser errónea; su valor depende de la calidad del modelo y de la información, y de un tratamiento honesto de lo que sigue siendo desconocido. El término solo guarda una relación marginal con la computación cuántica en sentido literal; el informe trata esa cuestión por separado.

Qué preguntas deberían hacer ahora las organizaciones a los proveedores

Rasmussen recomienda no sustituir sin necesidad unas bases que funcionan. Cambiar un sistema solo porque su número de generación suena anticuado sería un malentendido costoso. En su lugar, las organizaciones deberían pedir a los proveedores que les muestren un escenario de negocio coherente y preguntar: GRC 20/20

1. ¿A qué objetivo sirve esta capacidad y cómo se mide la mejora?
2. ¿Cómo se convierte un cambio interno o externo en información relevante?
3. ¿Qué puede hacer el sistema por sí mismo, qué requiere aprobación humana y cómo se hacen cumplir las facultades?
4. ¿Se puede crear una capacidad útil en el lenguaje del negocio y, después, revisar y probar el resultado?
5. ¿Cómo se comporta el sistema cuando la información es contradictoria, falta una dependencia o no se puede localizar a la persona que debe aprobar?
6. ¿Qué evidencia demuestra que el resultado deseado se ha producido realmente?

Para empezar, aconseja un enfoque muy acotado: un objetivo, un caso de uso delimitado, una persona responsable, un valor de referencia y una prueba de resiliencia. Deben medirse los resultados previstos y el esfuerzo operativo total, incluidos la revisión, la corrección, la integración y la supervisión. Las evidencias deciden entonces si se amplía, se ajusta o se detiene.

Qué nos llevamos de esto en Secani

Lo que más útil nos parece es la distinción de Rasmussen entre la capacidad de proponer algo y la facultad de decidirlo. Con ella orientamos el agente de Secani: prepara evaluaciones, establece relaciones y fundamenta sus propuestas. La decisión de si un control se considera eficaz o si se acepta un riesgo debe quedar en manos de la persona responsable. Explicamos por qué tampoco basta para ello un enlace a la fuente por sí solo en IA en GRC: citar no es verificar.

Igual de importante es para nosotros la exigencia de Rasmussen de contar con requisitos, controles y evidencias legibles por máquina. Un agente solo puede trabajar con la fiabilidad que le permite la estructura sobre la que se apoya. Puede leer qué dicen en conjunto las grandes firmas de análisis sobre el mercado en El mercado GRC en 2026: qué dicen Forrester, Verdantix y GRC 20/20 sobre la IA y las plataformas.

Conclusión

GRC 7.0 es menos una nueva categoría de producto que una vara de medir. Rasmussen describe una arquitectura en la que los datos de referencia, el contexto de decisión, la ejecución controlada y la adaptación verificable funcionan conjuntamente. Los agentes de IA son una pieza importante de ella, pero solo suponen un avance si sus facultades están claramente reguladas y sus resultados se verifican. Por eso, las organizaciones deberían pedir que se les muestre, en su propio caso de uso, dónde un agente solo propone, dónde puede actuar y quién asume en cada caso la responsabilidad.

Fuentes

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octubre de 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 de octubre de 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 de julio de 2025)