GRC 9.0 : pourquoi la dernière génération s'appelle Embedded GRC – un pronostic

Là où s’arrête le modèle de Rasmussen

Michael Rasmussen décrit le marché de la GRC en générations. Pour lui, GRC 7.0, « GRC Orchestrate », est le présent jusqu’à 2030 environ : une interaction entre le contexte de décision (intelligence), des agents aux pouvoirs clairement encadrés (action) et des capacités que les métiers construisent eux-mêmes (configuration). Pour la période à partir de 2030 environ, il esquisse GRC 8.0, « Quantum GRC » : des jumeaux numériques de l’entreprise avec lesquels les organisations jouent des futurs possibles avant de décider – il parle d’un « Risk Holodeck ». GRC 20/20 Nous avons analysé le modèle en détail dans GRC 7.0 : ce que GRC Orchestrate de Michael Rasmussen signifie pour les organisations.

Ensuite, le modèle s’arrête. Rasmussen ne décrit pas de génération 9.0, et à notre connaissance personne d’autre ne l’a définie non plus.

Cet article comble cette lacune avec une appréciation qui nous est propre. Il est important de le préciser d’emblée : ce qui suit n’est ni un modèle d’analyste ni un résumé de recherches tierces, mais notre pronostic argumenté – déduit d’évolutions qui peuvent déjà être étayées aujourd’hui. À la fin, nous nommons les objections qui s’y opposent.

Une question ordonne toutes les générations

Si l’on lit les générations 1.0 à 8.0 à la suite, elles répondent au fond à la même question : où la gouvernance a-t-elle lieu ?

Si l’on suit cette ligne, il manque exactement un lieu : le système lui-même. Non pas un outil GRC à côté de l’activité, mais la gouvernance comme propriété des systèmes qui font tourner l’activité.

Notre thèse : GRC 9.0 est Embedded GRC

Nous nous attendons à ce que la prochaine génération commence vers 2035 et présente trois caractéristiques.

La conformité devient une propriété des systèmes

Aujourd’hui, les équipes prouvent a posteriori que les systèmes satisfont aux exigences : elles collectent des captures d’écran, exportent des rapports, remplissent des modèles d’audit. Dans la prochaine génération, les applications viennent au monde avec des engagements de contrôle lisibles par machine, et la preuve naît en exploitation comme sous-produit. Les briques existent : OSCAL décrit les exigences, les contrôles et les évaluations sous une forme lisible par machine (voir Qu'est-ce qu'OSCAL ?), FedRAMP accepte déjà des dossiers dans ce format (voir FedRAMP passe au lisible par machine), les SBOM et les CBOM décrivent les composants logiciels et cryptographiques. Un audit examine alors le système générateur et sa configuration – et non plus mille justificatifs individuels.

La confiance s’échange entre organisations de machine à machine

Évaluer un fournisseur signifie aujourd’hui : envoyer des questionnaires, classer les réponses, recommencer chaque année. NIS2 et DORA soumettent déjà les chaînes d’approvisionnement à des obligations, avec gestion des risques et engagements contractuels, et le Cyber Resilience Act apporte à partir de fin 2027 des SBOM lisibles par machine comme documentation du fabricant. L’étape suivante est prévisible : un fournisseur prouve un contrôle une seule fois, avec une signature cryptographique, et tous ses clients reprennent la preuve de manière automatisée. Le questionnaire ne meurt pas d’une interdiction, mais de son inutilité.

La ressource rare est la responsabilité

La thèse centrale de Rasmussen sur GRC 7.0 est la suivante : l’IA rend les fonctionnalités logicielles bon marché ; ce qui prend de la valeur, ce sont les informations fiables, le contexte et la responsabilité. Poussé jusqu’au bout, cela signifie : quand des agents évaluent, simulent et exécutent, il reste comme cœur humain exactement une tâche – décider qui répond de quoi et quel risque une organisation assume consciemment. Le System of Record de la prochaine génération n’est donc plus une archive de documents, mais un registre de décisions et de pouvoirs.

Pourquoi à partir de 2035

Une année dans un pronostic prête le flanc à la critique, c’est pourquoi nous la justifions doublement.

Premièrement, le rythme du modèle lui-même : selon Rasmussen, GRC 7.0 court de 2025 à 2030, GRC 8.0 commence vers 2030. Les générations récentes durent environ cinq ans, la suivante commencerait donc vers 2035.

Deuxièmement, la réglementation pointe indépendamment vers la même année. D’ici 2035, la transition de l’UE vers la cryptographie post-quantique doit être largement achevée, et le projet NIST IR 8547 fait expirer RSA et ECC après 2035 (les échéances en détail : Cryptographie post-quantique : les échéances 2026, 2030 et 2035 et ce qui est contraignant). Sur ce chemin, les inventaires cryptographiques, les CBOM et les preuves lisibles par machine apparaissent à grande échelle – en tant que recommandation pressante de la feuille de route de l’UE et de la ligne directrice allemande, et, pour les entités NIS2, juridiquement étayés par l’état de l’art. L’infrastructure même que présuppose Embedded GRC est donc en train de naître – non par vision, mais portée par la réglementation.

Nous ne voulons pas être plus précis que « à partir de 2035 environ ». Donner à un pronostic sur huit ans une année au chiffre près serait une fausse précision.

Deux objections que nous prenons au sérieux

L’objection du Holodeck. GRC 8.0 présuppose une qualité de données que beaucoup d’organisations n’atteignent aujourd’hui même pas pour leur inventaire cryptographique – que la feuille de route de l’UE prévoit d’ici fin 2026 et qui, en de nombreux endroits, commence à peine à exister. Nous nous attendons donc à ce que la simulation porte d’abord sur des périmètres étroits et bien modélisables, par exemple des scénarios de chaîne d’approvisionnement ou de panne, et non comme jumeau de l’entreprise entière. Qui répartit un budget aujourd’hui devrait l’investir dans la qualité des données plutôt que dans des outils de simulation.

La contre-thèse : fragmentation plutôt que fusion. Les choses peuvent aussi tourner autrement. La réglementation croît actuellement plus vite que son harmonisation : le règlement sur l’IA, DORA, NIS2, le Cyber Resilience Act et des voies nationales particulières posent chacun leurs propres exigences avec leurs propres canaux de déclaration. Au lieu d’une discipline convergente, des silos par domaine juridique pourraient réapparaître – cette fois chacun avec ses propres agents. Ce serait GRC 1.0 à un niveau supérieur. Laquelle des deux directions l’emporte se décidera selon que les formats lisibles par machine deviennent transversaux aux domaines juridiques ou propres à chaque réglementation.

Ce qui porte déjà aujourd’hui

Ce qu’il y a de pratique dans ce pronostic : la préparation est la même, qu’il se réalise ou non. Qui gère dès aujourd’hui ses exigences, mesures et preuves de manière structurée et lisible par machine est bien positionné pour chacune des deux directions – pour Embedded GRC de toute façon, et dans un monde fragmenté, un référentiel structuré est la seule chance réaliste de servir plusieurs domaines juridiques sans travail en double. Il en va de même pour la délimitation des pouvoirs : qui consigne aujourd’hui ce qu’un agent peut proposer et ce qu’une personne doit décider construit le registre de décisions qui formera plus tard le cœur.

C’est pourquoi, avec la catégorie GRC, ce n’est pas le travail qui disparaît. Ce qui se déplace, c’est ce que font les personnes : moins rassembler de justificatifs, davantage prendre des décisions et en répondre.

Conclusion

Notre pronostic en une phrase : GRC 9.0 commence vers 2035, s’appelle en substance Embedded GRC – la gouvernance comme propriété des systèmes, une confiance fédérée entre organisations, la responsabilité comme dernière instance humaine – et constitue la dernière génération, parce que la gouvernance n’est ensuite plus une catégorie à part. Rien n’y est certain, sauf la direction de l’infrastructure : les exigences, inventaires et preuves lisibles par machine s’imposent, portés par la réglementation. Que cela débouche sur une fusion ou une fragmentation reste ouvert. La préparation est la même dans les deux cas.

Sources

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octobre 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 octobre 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream du NIS Cooperation Group, juin 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 novembre 2024)