GRC 7.0: mitä Michael Rasmussenin GRC Orchestrate tarkoittaa yrityksille

Miksi GRC 7.0:sta keskustellaan juuri nyt

Michael Rasmussen on GRC-käsitteen luoja. Oman kertomansa mukaan hän kuvasi helmikuussa 2002 Forrester Researchin analyytikkona ensimmäisen kerran hallinnon, riskienhallinnan ja vaatimustenmukaisuuden integroituna lähestymistapana ja loi sille lyhenteen. GRC 20/20 Nykyään hän johtaa analyysitalo GRC 20/20 Researchia ja jäsentää markkinan sukupolviin.

Lokakuussa 2026 hän julkaisi aiheesta 143-sivuisen Market Perspective -raportin: ”GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market”. GRC 20/20 Koko raportti on vain asiakkaiden saatavilla. Julkinen tiivistelmä, sisällysluettelo ja useat Rasmussenin vapaasti luettavat kirjoitukset kertovat kuitenkin selvästi, mistä on kyse. Tämä artikkeli tiivistää mallin ja näyttää, mitä kysymyksiä yritykset voivat siitä johtaa GRC-työkalujensa valintaan ja käyttöön.

Keskeinen teesi: toiminnoista tulee halpoja, vastuusta arvokasta

Rasmussenin lähtökohta on markkinoiden murros. Tekoäly tekee näkyvistä ohjelmistotoiminnoista vähemmän niukkoja. Samalla neljän asian merkitys kasvaa: luotettava tieto, liiketoimintakonteksti, erikoistunut asiantunteva menetelmäosaaminen ja suorittaminen, josta joku kantaa vastuun. GRC 20/20

Tästä seuraa raportin keskeinen rajaus: GRC 7.0 on toiminta-arkkitehtuuri, ei tekoälytoimintojen kokoelma. Chat-ikkuna voi parantaa käytettävyyttä, mutta se ei korvaa arkkitehtuuriin ja menetelmiin liittyvää työtä, Rasmussen kirjoittaa. GRC 20/20 Mittapuun hän muotoilee yhtä selvästi: teknologian on parannettava tehokkuutta, vaikuttavuutta, resilienssiä ja ketteryyttä parempien päätösten ja tarkistettavissa olevien tulosten avulla.

GRC 1.0:sta 6.0:aan: sukupolvia, ei ostosuositus

Rasmussen kuvaa markkinoiden kehitystä sukupolvina. Hän korostaa, että kyse on päällekkäisistä kyvykkyyksistä, ei portaikosta eikä kehotuksesta ostaa kahdeksan alustaa peräkkäin. GRC 20/20

Aiempien sukupolvien rajan Rasmussen kuvaa näin: järjestelmä voi sisältää erinomaisia tallenteita ja silti jättää ihmiset yksin, kun pitää koota konteksti, päättää seuraavasta askeleesta ja rakentaa tarvittava kyvykkyys. Juuri tähän GRC 7.0 tarttuu.

GRC 7.0:n kolme järjestelmää

System of Record pysyy perustana. Sen ympärille GRC 7.0 rakentaa orkestrointijärjestelmän, joka yhdistää kolme toisiaan täydentävää järjestelmää. GRC 20/20

System of Intelligence: signaalista päätöksenteon kontekstiksi

System of Intelligence kerää sisäisiä ja ulkoisia signaaleja ja muuttaa ne päätöksenteon kontekstiksi. Toimittajan häiriö, uusi sääntelyvaatimus tai poikkeama suorituskyvyssä on kytkettävä niihin tavoitteisiin, palveluihin, velvoitteisiin ja riippuvuuksiin, joihin se vaikuttaa. Hyödyllinen tulos on perusteltu selitys seurauksista ja vaihtoehdoista, puuttuvat tiedot ja epävarmuudet mukaan lukien.

Rasmussen painottaa tässä yhtä erottelua: johtajien on pystyttävä näkemään, mikä on varmistettu tosiasia, mikä päätelmä ja mikä oletus, joka voisi muuttaa päätöstä. Raportin sisällysluettelo mainitsee tähän liittyen muun muassa tiedon alkuperän ja ajankohdan, entity resolutionin, ontologiat ja käyttöoikeustarkistetut kyselyt.

System of Action: suorittaminen selkein valtuuksin

System of Action koordinoi reagointia. Agentit voivat toimia itsenäisesti määriteltyjen rajojen sisällä, toimia osittain autonomisesti ihmisen hyväksynnällä ja sovittaa tehtäviä yhteen ihmisten ja järjestelmien välillä. Agentti voi kerätä näyttöä, valmistella vaikutusanalyysin, välittää päätöksen eteenpäin tai toteuttaa sallitun muutoksen.

Ratkaisevaa on, että valtuudet on määritelty nimenomaisesti: mitä saa tapahtua, millä edellytyksillä, kuka on vastuussa ja miten tulos tarkistetaan. Rasmussen havainnollistaa tätä kahdella esimerkillä. Kyky suositella toimittajaa ei tarkoita valtuutta hyväksyä sitä. Eikä valmistunut työnkulku todista, että palvelu on palautettu. Järjestelmän on kytkettävä toimet havaittavaan liiketoimintatulokseen ja eskaloitava, kun valtuudet tai näyttö eivät riitä.

System of Configuration: kyvykkyyksien rakentaminen asiantuntijakielellä

System of Configurationin on määrä rakentaa ja mukauttaa GRC-kyvykkyyksiä nopeasti, liiketoiminta-alueen omalla kielellä. Tiimi kuvaa, mitä se tarvitsee, esimerkiksi uuden arvioinnin tai velvoitteiden prosessin, ja teknologia auttaa luomaan sitä varten tietorakenteet, suhteet, säännöt, käyttöliittymät ja integraatiot.

Rasmussen liittää tähän lupaukseen selkeät ehdot: validoinnin, käyttöoikeudet, testauksen ja hallitun käyttöönoton. Selkeästi kuvattu tarkoitus on luotettavan kyvykkyyden alku, ei todiste siitä, että tuotettu tulos on oikein. Raportissa todetaankin, että testien on oltava riittävän riippumattomia kyseenalaistaakseen generoinnin ja että käyttöönotto on hallintopäätös.

Arvo syntyy yhteydestä

Yksikään kolmesta järjestelmästä ei ole sellaisenaan uusi. Eron tekee niiden yhteys: Intelligence havaitsee muuttuneen tilanteen, Action koordinoi asianmukaisen reaktion, Configuration rakentaa kyvykkyyden, jota uusi tilanne vaatii. Oppiminen saa parantaa yhteispeliä, mutta ilman että mikään järjestelmä hiljaa kirjoittaa omia valtuuksiaan uusiksi.

Agentit ansaitsevat valtuutensa

Aiemmassa GRC Orchestrate -kirjoitussarjassaan Rasmussen kuvaa agentit osana havainnoinnin, analysoinnin, toiminnan ja eskaloinnin sykliä. Jos tilanne ylittää agentin kynnyksen, se ilmoittaa asiasta vastuussa olevalle ihmiselle. GRC 20/20

Hän myöntää siinä myös, että markkinat ovat vasta alussa. Tekoäly on tähän asti tullut mukaan lähinnä yksittäisten toimintojen kautta, kuten riskiarvioinnit, sääntelyvaatimusten mappaus ja chat-käyttöliittymät. Koordinoitujen agenttien todellinen orkestrointi on vasta muotoutumassa. Edellytyksiksi vuoteen 2030 mennessä hän nimeää:

• yhtenäiset taksonomiat ja metatiedot kaikilla GRC-alueilla
• politiikat, riskit, hallintakeinot ja velvoitteet koneluettavassa muodossa
• eettiset ja operatiiviset suojakaiteet tekoälyn käyttäytymiselle
• hallintokulttuuri, joka kohtelee tekoälyä osallisena eikä pelkkänä työkaluna

Yrityksille erityisesti toinen kohta on hyvä koetinkivi. Joka jo nyt ylläpitää vaatimuksia, hallintakeinoja ja näyttöä jäsennellysti ja koneluettavasti, esimerkiksi avoimessa OSCAL-muodossa, luo perustan, jonka varassa agentit voivat toimia luotettavasti. Lue lisää artikkelista Mikä on OSCAL?

Näkymät: GRC 8.0 ja digitaaliset kaksoset

Noin vuodesta 2030 eteenpäin Rasmussen kuvaa GRC 8.0:aa, ”Quantum GRC:tä”. Sillä tarkoitetaan yrityksen ja sen toimitusketjun syviä digitaalisia kaksosia kolmella tasolla: strateginen suunta, tavoitteet ja suorituskyky sekä toiminta ja toteutus. Niiden avulla organisaatioiden on määrä käydä läpi mahdollisia tulevaisuuksia ennen kuin ne sitoutuvat. Rasmussen puhuu ”Risk Holodeckista”. GRC 20/20

Hän luokittelee tämän nimenomaisesti tulevaisuuden visioksi eikä jo saatavilla olevaksi kyvykkyydeksi. Vakuuttavasti esitettykin simulaatio voi olla väärä; sen arvo riippuu mallin ja tiedon laadusta sekä rehellisestä suhtautumisesta siihen, mikä jää tuntemattomaksi. Kirjaimellisessa mielessä kvanttilaskennan kanssa termillä on vain vähän tekemistä; raportti käsittelee sitä omana kysymyksenään.

Mitä kysymyksiä yritysten kannattaa nyt esittää toimittajille

Rasmussen suosittelee, ettei toimivia perusteita vaihdeta ilman painavaa syytä. Järjestelmän vaihtaminen vain siksi, että sen sukupolvinumero kuulostaa vanhanaikaiselta, on kallis väärinkäsitys. Sen sijaan yritysten kannattaa pyytää toimittajia esittelemään yhtenäinen liiketoimintaskenaario ja kysyä samalla: GRC 20/20

1. Mitä tavoitetta tämä kyvykkyys palvelee, ja miten parannusta mitataan?
2. Miten sisäisestä tai ulkoisesta muutoksesta tulee merkityksellistä tietoa?
3. Mitä järjestelmä saa tehdä itse, mikä vaatii ihmisen hyväksynnän ja miten valtuudet pannaan täytäntöön?
4. Voiko mielekkään kyvykkyyden rakentaa asiantuntijakielellä, ja voiko tuloksen sen jälkeen tarkistaa ja testata?
5. Miten järjestelmä toimii, kun tiedot ovat ristiriitaisia, riippuvuus puuttuu tai hyväksyjää ei tavoiteta?
6. Mikä näyttö osoittaa, että haluttu tulos on todella toteutunut?

Aloitukseen hän suosittelee tiukasti rajattua etenemistapaa: yksi tavoite, yksi rajattu käyttötapaus, yksi vastuuhenkilö, yksi lähtötaso ja yksi resilienssitesti. Mitattavia ovat oletetut tulokset ja koko toiminnan kokonaisvaiva, mukaan lukien tarkistus, korjaus, integrointi ja valvonta. Näyttö ratkaisee sitten, laajennetaanko, mukautetaanko vai lopetetaanko.

Mitä me Secanilla otamme tästä mukaan

Hyödyllisimpänä pidämme Rasmussenin erottelua kyvyn ehdottaa jotain ja valtuuden päättää siitä välillä. Sen mukaan suuntaamme Secani-agentin toimintaa: se valmistelee arviot, luo yhteyksiä ja perustelee ehdotuksensa. Päätös siitä, katsotaanko hallintakeino tehokkaaksi tai hyväksytäänkö riski, on tarkoitus jättää vastuuhenkilölle. Miksi siihen ei riitä pelkkä lähdelinkkikään, kerromme artikkelissa Tekoäly GRC:ssä: lähdeviite ei ole tarkistus.

Yhtä tärkeä meille on Rasmussenin edellytys, että vaatimukset, hallintakeinot ja näyttö ovat koneluettavia. Agentti voi toimia vain niin luotettavasti kuin rakenne, jonka varaan se rakentuu. Mitä suuret analyysitalot kaiken kaikkiaan sanovat markkinoista, voit lukea artikkelista GRC-markkinat 2026: mitä Forrester, Verdantix ja GRC 20/20 sanovat tekoälystä ja alustoista.

Yhteenveto

GRC 7.0 on vähemmän uusi tuotekategoria kuin arviointikriteeri. Rasmussen kuvaa arkkitehtuuria, jossa määräävä data, päätöksenteon konteksti, hallittu suorittaminen ja tarkistettavissa oleva mukauttaminen toimivat yhdessä. Tekoälyagentit ovat siinä tärkeä rakennuspalikka, mutta edistysaskel vain silloin, kun niiden valtuudet on määritelty selkeästi ja niiden tulokset tarkistetaan. Yritysten kannattaakin pyytää toimittajia näyttämään yrityksen omassa käyttötapauksessa, missä agentti vain ehdottaa, missä se saa toimia ja kuka kulloinkin kantaa vastuun.

Lähteet

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, lokakuu 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. lokakuuta 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10. heinäkuuta 2025)