GRC 7.0 : ce que GRC Orchestrate de Michael Rasmussen signifie pour les organisations

Pourquoi GRC 7.0 fait débat aujourd’hui

Michael Rasmussen est à l’origine du terme GRC. Selon ses propres dires, il a décrit pour la première fois la gouvernance, la gestion des risques et la conformité comme une approche intégrée en février 2002, alors analyste chez Forrester Research, et a créé l’acronyme à cette occasion. GRC 20/20 Il dirige aujourd’hui le cabinet d’analyse GRC 20/20 Research et classe le marché en générations.

En octobre 2026, il a publié à ce sujet une Market Perspective de 143 pages : « GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market ». GRC 20/20 Le rapport complet est réservé aux clients. La synthèse publique, la table des matières et plusieurs articles librement accessibles de Rasmussen montrent toutefois clairement de quoi il s’agit. Cet article résume le modèle et présente les questions que les organisations peuvent en tirer pour le choix et l’exploitation de leurs outils GRC.

La thèse centrale : les fonctionnalités deviennent bon marché, la responsabilité prend de la valeur

Le point de départ de Rasmussen est un basculement du marché. L’intelligence artificielle rend les fonctionnalités logicielles visibles moins rares. Dans le même temps, quatre éléments gagnent en importance : des informations fiables, le contexte métier, une méthodologie spécialisée et une exécution dont quelqu’un assume la responsabilité. GRC 20/20

Il en découle la distinction centrale du rapport : GRC 7.0 est une architecture opérationnelle, et non une accumulation de fonctionnalités d’IA. Une fenêtre de chat peut améliorer l’utilisation, mais elle ne remplace pas le travail sur l’architecture et la méthodologie, écrit Rasmussen. GRC 20/20 Il formule tout aussi clairement le critère d’évaluation : la technologie doit améliorer l’efficience, l’efficacité, la résilience et l’agilité grâce à de meilleures décisions et à des résultats vérifiables.

De GRC 1.0 à 6.0 : des générations, pas une recommandation d’achat

Rasmussen décrit l’évolution du marché en générations. Il souligne qu’il s’agit de capacités qui se superposent, et non d’une échelle de niveaux ni d’une invitation à acheter huit plateformes l’une après l’autre. GRC 20/20

Rasmussen décrit ainsi la limite des générations précédentes : un système peut contenir d’excellents enregistrements et laisser malgré tout les personnes seules lorsqu’il s’agit de reconstituer le contexte, de décider de l’étape suivante et de développer la capacité nécessaire. C’est précisément là qu’intervient GRC 7.0.

Les trois systèmes de GRC 7.0

Le System of Record reste le socle. Autour de lui, GRC 7.0 place un système d’orchestration qui relie trois systèmes complémentaires. GRC 20/20

System of Intelligence : du signal au contexte de décision

Le System of Intelligence collecte des signaux internes et externes et les transforme en contexte de décision. Une perturbation chez un fournisseur, une nouvelle exigence réglementaire ou un écart de performance doivent être reliés aux objectifs, services, obligations et dépendances concernés. Le résultat utile est une explication argumentée des conséquences et des options, y compris des informations manquantes et des incertitudes.

Rasmussen insiste sur une distinction : les dirigeants doivent pouvoir reconnaître ce qui relève d’un fait établi, ce qui relève d’une déduction et ce qui relève d’une hypothèse susceptible de modifier la décision. La table des matières du rapport cite notamment à cet effet l’origine et l’horodatage des informations, l’entity resolution, les ontologies et les requêtes soumises au contrôle des autorisations.

System of Action : une exécution avec des pouvoirs clairement définis

Le System of Action coordonne la réponse. Les agents peuvent travailler de manière autonome dans des limites définies, agir de manière semi-autonome avec une validation humaine et coordonner des tâches entre personnes et systèmes. Un agent peut collecter des preuves, préparer une analyse d’impact, transmettre une décision ou exécuter une modification autorisée.

L’essentiel est que les pouvoirs soient expressément définis : ce qui peut se produire, dans quelles conditions, qui en est responsable et comment le résultat est vérifié. Rasmussen l’illustre par deux exemples. La capacité de recommander un fournisseur ne confère pas le pouvoir de l’approuver. Et un workflow terminé ne prouve pas qu’un service a été rétabli. Le système doit relier les actions à un résultat métier observable et escalader lorsque les pouvoirs ou les preuves sont insuffisants.

System of Configuration : développer des capacités dans le langage métier

Le System of Configuration doit permettre de développer et d’adapter rapidement des capacités GRC, dans le langage du métier. Une équipe décrit ce dont elle a besoin, par exemple une nouvelle évaluation ou un processus pour les obligations, et la technologie aide à générer les structures de données, les relations, les règles, les interfaces et les intégrations correspondantes.

Rasmussen associe cette promesse à des conditions claires : validation, autorisations, tests et déploiement contrôlé. Une intention clairement décrite est le point de départ d’une capacité fiable, et non la preuve que le résultat généré est correct. Le rapport indique en conséquence que les tests doivent être suffisamment indépendants pour remettre en question la génération et que le déploiement est une décision de gouvernance.

La valeur réside dans la connexion

Pris isolément, aucun des trois systèmes n’est nouveau. C’est leur connexion qui fait la différence : l’intelligence détecte un changement de situation, l’action coordonne une réponse appropriée, la configuration développe la capacité qu’exige la nouvelle situation. L’apprentissage peut améliorer cette interaction, mais sans qu’un système réécrive discrètement ses propres pouvoirs.

Les agents doivent mériter leurs pouvoirs

Dans une série d’articles antérieure consacrée à GRC Orchestrate, Rasmussen décrit les agents comme partie d’un cycle consistant à observer, analyser, agir et escalader. Lorsqu’une situation dépasse le seuil d’un agent, celui-ci informe la personne responsable. GRC 20/20

Il y reconnaît également que le marché n’en est qu’à ses débuts. Jusqu’à présent, l’IA est surtout arrivée sous forme de fonctionnalités isolées, comme les évaluations des risques, la mise en correspondance réglementaire et les interfaces de chat. Une véritable orchestration d’agents coordonnés reste en cours d’émergence. Il cite comme conditions préalables d’ici 2030 :

• des taxonomies et des métadonnées unifiées dans tous les domaines de la GRC
• des politiques, des risques, des contrôles et des obligations sous une forme lisible par machine
• des garde-fous éthiques et opérationnels pour le comportement de l’IA
• une culture de gouvernance qui traite l’IA comme un acteur à part entière, et pas seulement comme un outil

Pour les organisations, le deuxième point constitue un bon test. Celles qui gèrent dès aujourd’hui leurs exigences, mesures et preuves de manière structurée et lisible par machine, par exemple dans le format ouvert OSCAL, créent le socle sur lequel les agents peuvent travailler de manière fiable. Pour en savoir plus, lisez Qu'est-ce qu'OSCAL ?

Perspectives : GRC 8.0 et les jumeaux numériques

Pour la période à partir de 2030 environ, Rasmussen décrit GRC 8.0, « Quantum GRC ». Il s’agit de jumeaux numériques approfondis de l’organisation et de sa chaîne d’approvisionnement sur trois niveaux : l’orientation stratégique, les objectifs et la performance, ainsi que l’exploitation et l’exécution. Les organisations doivent ainsi pouvoir simuler les futurs possibles avant de s’engager. Rasmussen parle d’un « Risk Holodeck ». GRC 20/20

Il présente expressément cela comme une vision d’avenir, et non comme une capacité déjà disponible. Même une simulation présentée de manière convaincante peut être erronée ; sa valeur dépend de la qualité du modèle et des informations, ainsi que d’une gestion honnête de ce qui reste inconnu. Le terme n’a qu’un rapport marginal avec l’informatique quantique au sens littéral ; le rapport traite cette question séparément.

Les questions que les organisations devraient poser dès maintenant aux éditeurs

Rasmussen recommande de ne pas remplacer sans nécessité des fondations qui fonctionnent. Remplacer un système uniquement parce que son numéro de génération semble dépassé serait un malentendu coûteux. Les organisations devraient plutôt demander aux éditeurs de leur présenter un scénario métier cohérent et poser les questions suivantes : GRC 20/20

1. À quel objectif cette capacité répond-elle, et comment l’amélioration est-elle mesurée ?
2. Comment un changement interne ou externe devient-il une information pertinente ?
3. Que peut faire le système de lui-même, qu’est-ce qui nécessite une validation humaine, et comment les pouvoirs sont-ils appliqués ?
4. Peut-on développer une capacité utile dans le langage métier, et peut-on ensuite vérifier et tester le résultat ?
5. Comment le système se comporte-t-il lorsque les informations sont contradictoires, qu’une dépendance manque ou qu’une personne chargée de la validation est injoignable ?
6. Quelle preuve démontre que le résultat souhaité s’est effectivement produit ?

Pour démarrer, il conseille une approche étroitement délimitée : un objectif, un cas d’usage circonscrit, une personne responsable, une valeur de référence et un test de résilience. Il convient de mesurer les résultats escomptés et l’effort d’exploitation total, y compris la vérification, la correction, l’intégration et la supervision. Les preuves décident alors s’il faut étendre, ajuster ou arrêter.

Ce que nous en retenons chez Secani

Ce que nous trouvons le plus utile, c’est la distinction que fait Rasmussen entre la capacité de proposer quelque chose et le pouvoir d’en décider. C’est sur elle que nous alignons l’agent Secani : il prépare les évaluations, établit des liens et justifie ses propositions. La décision de considérer une mesure comme efficace ou d’accepter un risque doit rester du ressort de la personne responsable. Nous expliquons pourquoi un lien vers une source ne suffit pas non plus à lui seul dans L’IA dans la GRC : citer n’est pas vérifier.

Nous accordons la même importance à l’appel de Rasmussen en faveur d’exigences, de mesures et de preuves lisibles par machine. Un agent ne peut pas être plus fiable que la structure sur laquelle il s’appuie. Pour découvrir ce que les grands cabinets d’analyse disent du marché dans son ensemble, lisez Marché de la GRC en 2026 : ce que Forrester, Verdantix et GRC 20/20 disent de l’IA et des plateformes.

Conclusion

GRC 7.0 est moins une nouvelle catégorie de produits qu’un critère d’évaluation. Rasmussen décrit une architecture dans laquelle les données de référence, le contexte de décision, l’exécution contrôlée et l’adaptation vérifiable fonctionnent ensemble. Les agents IA en sont un élément important, mais ne représentent un progrès que si leurs pouvoirs sont clairement définis et leurs résultats vérifiés. Les organisations devraient donc se faire montrer, sur leur propre cas d’usage, où un agent se contente de proposer, où il est autorisé à agir et qui porte la responsabilité dans chaque cas.

Sources

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octobre 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 octobre 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 juillet 2025)