GRC 9.0: por qué la última generación se llama Embedded GRC – un pronóstico

Donde termina el modelo de Rasmussen

Michael Rasmussen describe el mercado GRC en generaciones. Para él, GRC 7.0, «GRC Orchestrate», es el presente hasta aproximadamente 2030: una interacción entre contexto de decisión (inteligencia), agentes con competencias claramente reguladas (acción) y capacidades que las propias áreas de negocio construyen (configuración). Para el periodo a partir de aproximadamente 2030 esboza GRC 8.0, «Quantum GRC»: gemelos digitales de la empresa con los que las organizaciones ensayan futuros posibles antes de decidir – él lo llama un «Risk Holodeck». GRC 20/20 El modelo en detalle lo analizamos en GRC 7.0: qué significa GRC Orchestrate de Michael Rasmussen para las organizaciones.

Después, el modelo termina. Rasmussen no describe una generación 9.0 y, que sepamos, tampoco la ha definido nadie más.

Este artículo llena ese vacío con una valoración propia. Es importante adelantarlo: lo que sigue no es un modelo de analistas ni un resumen de investigaciones ajenas, sino nuestro pronóstico razonado, derivado de evoluciones que ya hoy pueden documentarse. Al final nombramos las objeciones que lo contradicen.

Una pregunta ordena todas las generaciones

Si se leen las generaciones 1.0 a 8.0 una tras otra, en el fondo responden a la misma pregunta: ¿dónde tiene lugar la gobernanza?

Si se sigue esta línea, falta exactamente un lugar: el propio sistema. No una herramienta GRC junto al negocio, sino la gobernanza como propiedad de los sistemas que operan el negocio.

Nuestra tesis: GRC 9.0 es Embedded GRC

Esperamos que la próxima generación comience hacia 2035 y tenga tres características.

El cumplimiento se convierte en una propiedad de los sistemas

Hoy, los equipos demuestran a posteriori que los sistemas cumplen los requisitos: recopilan capturas de pantalla, exportan informes, rellenan plantillas de auditoría. En la próxima generación, las aplicaciones vienen al mundo con compromisos de control legibles por máquina, y la evidencia surge en la operación como subproducto. Los componentes para ello existen: OSCAL describe requisitos, controles y evaluaciones de forma legible por máquina (véase ¿Qué es OSCAL?), FedRAMP ya acepta paquetes en este formato (véase FedRAMP se vuelve legible por máquina), los SBOM y los CBOM describen los componentes de software y de criptografía. Una auditoría examina entonces el sistema generador y su configuración – ya no mil evidencias individuales.

La confianza se intercambia entre organizaciones de forma automatizada

Evaluar a un proveedor significa hoy: enviar cuestionarios, archivar respuestas, repetirlo cada año. NIS2 y DORA ya imponen obligaciones a las cadenas de suministro, con gestión de riesgos y compromisos contractuales, y el Cyber Resilience Act trae a partir de finales de 2027 SBOM legibles por máquina como documentación del fabricante. El siguiente paso es previsible: un proveedor acredita un control una sola vez, con firma criptográfica, y todos sus clientes adoptan la evidencia de forma automatizada. El cuestionario no muere por una prohibición, sino por su propia superfluidad.

El recurso escaso es la responsabilidad

La propia tesis central de Rasmussen sobre GRC 7.0 dice: la IA abarata las funcionalidades de software; lo que gana valor son la información fiable, el contexto y la responsabilidad. Llevado hasta el final, eso significa: cuando los agentes evalúan, simulan y ejecutan, queda como núcleo humano exactamente una tarea – decidir quién responde de qué y qué riesgo asume conscientemente una organización. El System of Record de la próxima generación ya no es, por tanto, un archivo de documentos, sino un registro de decisiones y competencias.

Por qué a partir de 2035

Un año concreto en un pronóstico es atacable, por eso lo fundamentamos por partida doble.

Primero, el ritmo del propio modelo: según Rasmussen, GRC 7.0 va de 2025 a 2030 y GRC 8.0 comienza hacia 2030. Las generaciones más recientes duran unos cinco años, así que la siguiente comenzaría hacia 2035.

Segundo, la regulación apunta de forma independiente al mismo año. Para 2035, la transición de toda la UE a la criptografía poscuántica debe estar en gran parte concluida, y el borrador NIST IR 8547 deja expirar RSA y ECC después de 2035 (los plazos en detalle: Criptografía poscuántica: los plazos de 2026, 2030 y 2035 y cuáles son vinculantes). En el camino hacia allí, los inventarios criptográficos, los CBOM y las evidencias legibles por máquina están surgiendo por todas partes – como recomendación urgente de la hoja de ruta de la UE y de la directriz alemana, y para las entidades NIS2 también respaldados jurídicamente a través del estado de la técnica. Precisamente la infraestructura que Embedded GRC presupone está surgiendo ahora mismo – no por visión, sino impulsada por la regulación.

No queremos ser más precisos que «a partir de aproximadamente 2035». Dotar a un pronóstico a ocho años de un año exacto hasta la última cifra sería una falsa precisión.

Dos objeciones que nos tomamos en serio

La objeción del Holodeck. GRC 8.0 presupone una calidad de datos que muchas organizaciones hoy no alcanzan ni siquiera para su inventario criptográfico – el que la hoja de ruta de la UE prevé para finales de 2026 y que en muchos lugares apenas está empezando a existir. Por eso esperamos que la simulación funcione primero en recortes estrechos y bien modelables, por ejemplo escenarios de cadena de suministro o de interrupciones, y no como gemelo de la empresa entera. Quien reparte presupuesto hoy debería invertirlo antes en calidad de datos que en herramientas de simulación.

La antítesis: fragmentación en lugar de fusión. También puede ocurrir de otra manera. La regulación crece actualmente más deprisa que su armonización: el Reglamento de IA, DORA, NIS2, el Cyber Resilience Act y vías nacionales particulares plantean cada uno sus propios requisitos con sus propios canales de notificación. En lugar de una disciplina convergente podrían surgir de nuevo silos por ámbito jurídico – esta vez cada uno con sus propios agentes. Eso sería GRC 1.0 a un nivel superior. Cuál de las dos direcciones gana se decidirá según si los formatos legibles por máquina llegan a ser transversales a los ámbitos jurídicos o propios de cada regulación.

Lo que ya sostiene hoy

Lo práctico de este pronóstico: la preparación es la misma, se cumpla o no. Quien ya hoy mantiene requisitos, medidas y evidencias de forma estructurada y legible por máquina está bien posicionado para cualquiera de las dos direcciones – para Embedded GRC en todo caso, y en un mundo fragmentado un repositorio estructurado es la única posibilidad realista de atender varios ámbitos jurídicos sin trabajo duplicado. Lo mismo vale para la delimitación de competencias: quien deja constancia hoy de qué puede proponer un agente y qué debe decidir una persona está construyendo el registro de decisiones que más tarde formará el núcleo.

Por eso, con la categoría GRC no desaparece el trabajo. Lo que se desplaza es lo que hacen las personas: menos recopilar evidencias, más tomar decisiones y responder de ellas.

Conclusión

Nuestro pronóstico en una frase: GRC 9.0 comienza hacia 2035, se llama en esencia Embedded GRC – la gobernanza como propiedad de los sistemas, confianza federada entre organizaciones, la responsabilidad como última instancia humana – y es la última generación, porque después la gobernanza ya no es una categoría propia. Nada de esto es seguro salvo la dirección de la infraestructura: los requisitos, inventarios y evidencias legibles por máquina se están imponiendo, impulsados por la regulación. Si de ello resulta fusión o fragmentación está abierto. La preparación es la misma en ambos casos.

Fuentes

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octubre de 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 de octubre de 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream del NIS Cooperation Group, junio de 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 de noviembre de 2024)