GRC 7.0: mida Michael Rasmusseni GRC Orchestrate ettevõtetele tähendab

Miks arutatakse GRC 7.0 üle just praegu

Michael Rasmussen on GRC mõiste looja. Tema enda sõnul kirjeldas ta 2002. aasta veebruaris Forrester Researchi analüütikuna esimest korda juhtimist, riskijuhtimist ja vastavust integreeritud lähenemisena ning lõi selle jaoks akronüümi. GRC 20/20 Täna juhib ta analüüsimaja GRC 20/20 Research ja jaotab turu põlvkondadeks.

2026. aasta oktoobris avaldas ta sel teemal 143-leheküljelise Market Perspective'i: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Täielik aruanne on mõeldud ainult klientidele. Avalik kokkuvõte, sisukord ja mitu Rasmusseni vabalt kättesaadavat kirjutist näitavad aga selgelt, millest on jutt. See artikkel võtab mudeli kokku ja näitab, milliseid küsimusi saavad ettevõtted sellest tuletada oma GRC-tööriistade valikuks ja kasutamiseks.

Põhitees: funktsioonid muutuvad odavaks, vastutus väärtuslikuks

Rasmusseni lähtekoht on nihe turul. Tehisintellekt muudab nähtavad tarkvarafunktsioonid vähem defitsiitseks. Samal ajal kasvab nelja asja tähtsus: usaldusväärne teave, ärikontekst, spetsialiseeritud valdkondlik metoodika ja täitmine, mille eest keegi vastutab. GRC 20/20

Sellest tuleneb aruande keskne piiritlus: GRC 7.0 on tegevusarhitektuur, mitte tehisintellekti funktsioonide kogum. Vestlusaken võib kasutamist parandada, kuid ei asenda tööd arhitektuuri ja metoodikaga, kirjutab Rasmussen. GRC 20/20 Mõõdupuu sõnastab ta sama selgelt: tehnoloogia peab parandama tõhusust, mõjusust, vastupidavust ja paindlikkust paremate otsuste ja kontrollitavate tulemuste kaudu.

GRC 1.0-st 6.0-ni: põlvkonnad, mitte ostusoovitus

Rasmussen kirjeldab turu arengut põlvkondadena. Ta rõhutab, et tegemist on üksteisega kattuvate võimekustega, mitte trepiastmestiku ega üleskutsega osta kaheksa platvormi üksteise järel. GRC 20/20

Senimaiste põlvkondade piiri kirjeldab Rasmussen nii: süsteem võib sisaldada suurepäraseid kirjeid ja jätta inimesed ometi üksi, kui on vaja konteksti kokku panna, järgmise sammu üle otsustada ja vajalikku võimekust üles ehitada. Just siin tuleb mängu GRC 7.0.

GRC 7.0 kolm süsteemi

System of Record jääb aluseks. Selle ümber paigutab GRC 7.0 orkestreerimissüsteemi, mis ühendab kolm üksteist täiendavat süsteemi. GRC 20/20

System of Intelligence: signaalist otsustuskontekstini

System of Intelligence kogub sise- ja välissignaale ning muudab need otsustuskontekstiks. Tarnija häire, uus regulatiivne nõue või kõrvalekalle tulemuslikkuses tuleb siduda mõjutatud eesmärkide, teenuste, kohustuste ja sõltuvustega. Kasulik tulemus on põhjendatud selgitus tagajärgedest ja valikuvõimalustest, sealhulgas puuduvast teabest ja ebakindlustest.

Rasmussen peab siin oluliseks üht eristust: juhid peavad suutma näha, mis on kindel fakt, mis järeldus ja mis eeldus, mis võiks otsust muuta. Aruande sisukord nimetab selle juures muu hulgas teabe päritolu ja ajahetke, entity resolution'it, ontoloogiaid ja õigustega kontrollitud päringuid.

System of Action: täitmine selgete volitustega

System of Action koordineerib reageerimist. Agendid võivad töötada iseseisvalt kindlaksmääratud piirides, tegutseda osaliselt autonoomselt inimese heakskiiduga ning kooskõlastada ülesandeid inimeste ja süsteemide vahel. Agent võib koguda tõendeid, valmistada ette mõjuanalüüsi, edastada otsuse või teha lubatud muudatuse.

Otsustav on see, et volitus on sõnaselgelt reguleeritud: mis tohib juhtuda, millistel tingimustel, kes vastutab ja kuidas tulemust kontrollitakse. Rasmussen toob selle kohta kaks näidet. Võime soovitada tarnijat ei tähenda volitust see heaks kiita. Ja lõpetatud töövoog ei tõenda, et teenus on taastatud. Süsteem peab siduma tegevused jälgitava äritulemusega ja eskaleerima, kui volitustest või tõenditest ei piisa.

System of Configuration: võimekuste ülesehitamine erialakeeles

System of Configuration peab GRC-võimekusi kiiresti üles ehitama ja kohandama, valdkonna enda keeles. Meeskond kirjeldab, mida ta vajab, näiteks uut hindamist või kohustuste protsessi, ja tehnoloogia aitab selle jaoks luua andmestruktuurid, seosed, reeglid, kasutajaliidesed ja integratsioonid.

Rasmussen seob selle lubaduse selgete tingimustega: valideerimine, õigused, testimine ja kontrollitud juurutamine. Selgelt kirjeldatud kavatsus on usaldusväärse võimekuse algus, mitte tõend, et loodud tulemus on õige. Aruandes öeldakse vastavalt, et testid peavad olema piisavalt sõltumatud, et genereerimist kahtluse alla seada, ja et juurutamine on juhtimisotsus.

Väärtus peitub seoses

Ükski kolmest süsteemist ei ole iseenesest uus. Vahe teeb nende seos: Intelligence tuvastab muutunud olukorra, Action koordineerib asjakohase reageerimise, Configuration ehitab üles võimekuse, mida uus olukord nõuab. Õppimine võib koosmõju parandada, kuid ilma et ükski süsteem vaikselt oma volitusi ümber kirjutaks.

Agendid teenivad oma volitused välja

Varasemas GRC Orchestrate'i artiklisarjas kirjeldab Rasmussen agente osana vaatlemise, analüüsimise, tegutsemise ja eskaleerimise tsüklist. Kui olukord ületab agendi läve, teavitab ta vastutavat inimest. GRC 20/20

Ta tunnistab seal ka, et turg on alles alguses. Tehisintellekt on seni jõudnud kohale peamiselt üksikute funktsioonide kaudu, näiteks riskihindamised, regulatiivne vastavusse viimine ja vestlusliidesed. Koordineeritud agentide tõeline orkestreerimine on alles kujunemas. Eeldustena aastaks 2030 nimetab ta:

• ühtsed taksonoomiad ja metaandmed kõigis GRC-valdkondades
• poliitikad, riskid, kontrollimeetmed ja kohustused masinloetaval kujul
• eetilised ja operatiivsed piirded tehisintellekti käitumisele
• juhtimiskultuur, mis kohtleb tehisintellekti osalisena, mitte üksnes tööriistana

Ettevõtetele on eriti teine punkt hea proovikivi. Kes juba täna haldab nõudeid, kontrollimeetmeid ja tõendeid struktureeritult ja masinloetavalt, näiteks avatud vormingus OSCAL, loob aluse, millel agendid saavad usaldusväärselt töötada. Lähemalt saate lugeda artiklist Mis on OSCAL?

Väljavaade: GRC 8.0 ja digitaalsed kaksikud

Ajaks alates umbes 2030. aastast kirjeldab Rasmussen GRC 8.0, „Quantum GRC“. Selle all mõeldakse ettevõtte ja selle tarneahela sügavaid digitaalseid kaksikuid kolmel tasandil: strateegiline suund, eesmärgid ja tulemuslikkus ning tegevus ja täitmine. Organisatsioonid peaksid saama nende abil võimalikke tulevikustsenaariume läbi mängida enne, kui nad end millegagi siduvad. Rasmussen räägib „Risk Holodeckist“. GRC 20/20

Ta liigitab selle sõnaselgelt tulevikuvisiooniks, mitte juba kättesaadavaks võimekuseks. Ka veenvalt esitatud simulatsioon võib olla vale; selle väärtus sõltub mudeli ja teabe kvaliteedist ning ausast suhtumisest sellesse, mis jääb teadmata. Kvantarvutitega sõna otseses mõttes on mõistel vaid kaudselt pistmist; aruanne käsitleb seda eraldi küsimusena.

Milliseid küsimusi peaksid ettevõtted praegu pakkujatele esitama

Rasmussen soovitab mitte asendada toimivaid aluseid ilma tungiva vajaduseta. Süsteemi väljavahetamine ainult seetõttu, et selle põlvkonnanumber kõlab vanamoodsalt, on kallis arusaamatus. Selle asemel peaksid ettevõtted laskma pakkujatel näidata terviklikku äristsenaariumi ja küsima samal ajal: GRC 20/20

1. Millist eesmärki see võimekus teenib ja kuidas paranemist mõõdetakse?
2. Kuidas saab sisemisest või välisest muutusest asjakohane teave?
3. Mida tohib süsteem ise teha, mis vajab inimese heakskiitu ja kuidas volitusi jõustatakse?
4. Kas mõtestatud võimekust saab üles ehitada erialakeeles ning kas tulemust saab seejärel kontrollida ja testida?
5. Kuidas süsteem käitub, kui teave on vastuoluline, mõni sõltuvus puudub või heakskiitjat ei ole võimalik kätte saada?
6. Milline tõend näitab, et soovitud tulemus on tegelikult saavutatud?

Alustuseks soovitab ta kitsalt piiritletud lähenemist: üks eesmärk, üks piiritletud kasutusjuht, üks vastutav isik, üks lähteväärtus ja üks vastupidavustest. Mõõta tuleb eeldatavaid tulemusi ja kogu tegevuskulu, sealhulgas kontrolli, parandusi, integratsiooni ja järelevalvet. Seejärel otsustavad tõendid, kas laiendada, kohandada või peatada.

Mida me Secanis sellest kaasa võtame

Kõige kasulikumaks peame Rasmusseni eristust võime vahel midagi ette panna ja volituse vahel selle üle otsustada. Selle järgi suuname Secani agendi tööd: see valmistab hinnangud ette, loob seoseid ja põhjendab oma ettepanekuid. Otsus selle kohta, kas kontrollimeedet loetakse toimivaks või risk aktsepteeritakse, peab jääma vastutavale isikule. Miks selleks ka ainult allikalingist ei piisa, kirjeldame artiklis Tehisintellekt GRC-s: viitamine ei ole kontrollimine.

Sama oluline on meie jaoks Rasmusseni nõue, et nõuded, kontrollimeetmed ja tõendid oleksid masinloetavad. Agent saab töötada ainult nii usaldusväärselt, kui usaldusväärne on struktuur, millele ta tugineb. Kuidas suured analüüsimajad turgu tervikuna hindavad, saate lugeda artiklist GRC-turg 2026: mida Forrester, Verdantix ja GRC 20/20 ütlevad tehisintellekti ja platvormide kohta.

Kokkuvõte

GRC 7.0 on vähem uus tootekategooria kui hindamise mõõdupuu. Rasmussen kirjeldab arhitektuuri, milles autoriteetsed andmed, otsustuskontekst, kontrollitud täitmine ja kontrollitav kohandamine toimivad koos. Tehisintellekti agendid on selles oluline ehituskivi, kuid edasiminek ainult siis, kui nende volitused on selgelt reguleeritud ja nende tulemusi kontrollitakse. Seetõttu peaksid ettevõtted laskma pakkujatel ettevõtte enda kasutusjuhu põhjal näidata, kus agent ainult teeb ettepanekuid, kus ta tohib tegutseda ja kes igal juhul vastutust kannab.

Allikad

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktoober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. oktoober 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10. juuli 2025)