GRC 7.0: što GRC Orchestrate Michaela Rasmussena znači za organizacije

Zašto se o GRC 7.0 raspravlja upravo sada

Michael Rasmussen skovao je pojam GRC. Prema vlastitom navodu, u veljači 2002. kao analitičar u Forrester Researchu prvi je put opisao upravljanje, upravljanje rizicima i usklađenost kao integrirani pristup i za to stvorio akronim. GRC 20/20 Danas vodi analitičku kuću GRC 20/20 Research i razvrstava tržište u generacije.

U listopadu 2026. o tome je objavio Market Perspective od 143 stranice: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Cjelovito izvješće dostupno je samo klijentima. Javni sažetak, sadržaj i nekoliko slobodno dostupnih Rasmussenovih članaka ipak jasno pokazuju o čemu je riječ. Ovaj članak sažima model i pokazuje koja pitanja organizacije iz njega mogu izvesti za odabir i rad svojih GRC alata.

Ključna teza: funkcije pojeftinjuju, odgovornost dobiva na vrijednosti

Rasmussenovo je polazište pomak na tržištu. Umjetna inteligencija čini vidljive softverske funkcije manje rijetkima. Istodobno na važnosti dobivaju četiri stvari: pouzdane informacije, poslovni kontekst, specijalizirana stručna metodologija i izvršavanje za koje netko snosi odgovornost. GRC 20/20

Iz toga proizlazi središnje razgraničenje izvješća: GRC 7.0 je operativna arhitektura, a ne gomila funkcija umjetne inteligencije. Prozor za chat može poboljšati korištenje, ali ne zamjenjuje rad na arhitekturi i metodologiji, piše Rasmussen. GRC 20/20 Mjerilo formulira jednako jasno: tehnologija mora poboljšati učinkovitost, djelotvornost, otpornost i agilnost kroz bolje odluke i provjerljive rezultate.

Od GRC 1.0 do 6.0: generacije, a ne preporuka za kupnju

Rasmussen razvoj tržišta opisuje u generacijama. Naglašava da je riječ o sposobnostima koje se preklapaju, a ne o ljestvici i ne o pozivu da se kupi osam platformi jedna za drugom. GRC 20/20

Granicu dosadašnjih generacija Rasmussen opisuje ovako: sustav može sadržavati izvrsne zapise, a ipak ostaviti ljude same kad treba sklopiti kontekst, odlučiti o sljedećem koraku i izgraditi potrebnu sposobnost. Upravo tu nastupa GRC 7.0.

Tri sustava GRC-a 7.0

System of Record ostaje temelj. Oko njega GRC 7.0 postavlja sustav orkestracije koji povezuje tri međusobno komplementarna sustava. GRC 20/20

System of Intelligence: od signala do konteksta za odlučivanje

System of Intelligence prikuplja unutarnje i vanjske signale i iz njih stvara kontekst za odlučivanje. Poremećaj kod dobavljača, novi regulatorni zahtjev ili odstupanje u uspješnosti moraju se povezati s pogođenim ciljevima, uslugama, obvezama i ovisnostima. Koristan rezultat je obrazloženo objašnjenje posljedica i mogućnosti, uključujući informacije koje nedostaju i nesigurnosti.

Rasmussen pritom ističe jedno razlikovanje: rukovoditelji moraju moći prepoznati što je utvrđena činjenica, što zaključak, a što pretpostavka koja bi mogla promijeniti odluku. Sadržaj izvješća za to među ostalim navodi podrijetlo i vremensku oznaku informacija, entity resolution, ontologije i upite uz provjeru ovlasti.

System of Action: izvršavanje s jasnim ovlastima

System of Action koordinira odgovor. Agenti mogu unutar utvrđenih granica raditi samostalno, djelovati djelomično autonomno uz ljudsko odobrenje i usklađivati zadatke među ljudima i sustavima. Agent može prikupljati dokaze, pripremiti analizu utjecaja, proslijediti odluku ili provesti dopuštenu promjenu.

Presudno je da su ovlasti izričito uređene: što se smije dogoditi, pod kojim uvjetima, tko je odgovoran i kako se rezultat provjerava. Rasmussen to pokazuje na dva primjera. Sposobnost da se preporuči dobavljač ne znači ovlast da ga se odobri. A završen tijek rada ne dokazuje da je usluga ponovno uspostavljena. Sustav mora povezati radnje s vidljivim poslovnim rezultatom i eskalirati kad ovlasti ili dokazi nisu dovoljni.

System of Configuration: izgradnja sposobnosti stručnim jezikom

System of Configuration treba brzo graditi i prilagođavati GRC sposobnosti, i to jezikom stručnog područja. Tim opiše što mu treba, primjerice novu procjenu ili proces za obveze, a tehnologija mu pomaže da za to stvori podatkovne strukture, odnose, pravila, sučelja i integracije.

Rasmussen to obećanje povezuje s jasnim uvjetima: validacijom, ovlastima, testovima i kontroliranim uvođenjem. Jasno opisana namjera početak je pouzdane sposobnosti, a ne dokaz da je generirani rezultat točan. U izvješću se stoga navodi da testovi moraju biti dovoljno neovisni da mogu dovesti generiranje u pitanje, a da je uvođenje odluka iz područja upravljanja.

Vrijednost je u povezanosti

Sam za sebe nijedan od triju sustava nije nov. Razliku čini njihova povezanost: Intelligence prepoznaje promijenjenu situaciju, Action koordinira primjeren odgovor, Configuration gradi sposobnost koju nova situacija zahtijeva. Učenje smije poboljšati međudjelovanje, ali bez toga da sustav potiho prepisuje vlastite ovlasti.

Agenti zaslužuju svoje ovlasti

U ranijem nizu članaka o GRC Orchestrateu Rasmussen opisuje agente kao dio ciklusa promatranja, analize, djelovanja i eskalacije. Prijeđe li situacija prag agenta, on obavještava nadležnu osobu. GRC 20/20

Ondje također priznaje da je tržište tek na početku. Umjetna inteligencija dosad je stizala uglavnom kroz pojedinačne funkcije, poput procjena rizika, regulatornog mapiranja i chat sučelja. Prava orkestracija koordiniranih agenata tek nastaje. Kao preduvjete do 2030. navodi:

• jedinstvene taksonomije i metapodatke u svim GRC područjima
• politike, rizike, kontrole i obveze u strojno čitljivom obliku
• etičke i operativne zaštitne mehanizme za ponašanje umjetne inteligencije
• kulturu upravljanja koja umjetnu inteligenciju tretira kao sudionika, a ne samo kao alat

Za organizacije je posebno druga točka dobar kamen kušnje. Tko već danas zahtjeve, mjere i dokaze vodi strukturirano i strojno čitljivo, primjerice u otvorenom formatu OSCAL, stvara temelj na kojem agenti mogu pouzdano raditi. Više o tome pročitajte u članku Što je OSCAL?

Pogled unaprijed: GRC 8.0 i digitalni blizanci

Za razdoblje od otprilike 2030. Rasmussen opisuje GRC 8.0, „Quantum GRC“. Misli se na duboke digitalne blizance organizacije i njezina opskrbnog lanca na trima razinama: strateško usmjerenje, ciljevi i uspješnost te poslovanje i izvršavanje. Organizacije bi njima trebale isprobati moguće budućnosti prije nego što se obvežu. Rasmussen govori o „Risk Holodeck“. GRC 20/20

To izričito svrstava u viziju budućnosti, a ne u već dostupnu sposobnost. I uvjerljivo prikazana simulacija može biti pogrešna; njezina vrijednost ovisi o kvaliteti modela i informacija te o poštenom odnosu prema onome što ostaje nepoznato. S kvantnim računalstvom u doslovnom smislu pojam ima tek rubne veze, izvješće to obrađuje kao zasebno pitanje.

Koja bi pitanja organizacije sada trebale postaviti ponuđačima

Rasmussen preporučuje da se funkcionalni temelji ne zamjenjuju bez potrebe. Zamijeniti sustav samo zato što njegov broj generacije zvuči zastarjelo skupo je nerazumijevanje. Umjesto toga organizacije bi od ponuđača trebale zatražiti prikaz cjelovitog poslovnog scenarija i pritom pitati: GRC 20/20

1. Kojem cilju služi ta sposobnost i kako se mjeri poboljšanje?
2. Kako unutarnja ili vanjska promjena postaje relevantna informacija?
3. Što sustav smije učiniti sam, što zahtijeva ljudsko odobrenje i kako se ovlasti provode?
4. Može li se smislena sposobnost izgraditi stručnim jezikom i može li se rezultat zatim pregledati i testirati?
5. Kako se sustav ponaša kad su informacije proturječne, kad nedostaje ovisnost ili kad osoba koja odobrava nije dostupna?
6. Koji dokaz potvrđuje da je željeni rezultat doista ostvaren?

Za početak savjetuje usko ograničen pristup: jedan cilj, jedan jasno omeđen slučaj uporabe, jedna odgovorna osoba, jedna polazna vrijednost i jedan test otpornosti. Mjeriti treba pretpostavljene rezultate i ukupan operativni napor, uključujući pregled, ispravke, integraciju i nadzor. Dokazi zatim odlučuju hoće li se pristup proširiti, prilagoditi ili zaustaviti.

Što iz toga uzimamo u Secaniju

Najkorisnijim smatramo Rasmussenovo razlikovanje između sposobnosti da se nešto predloži i ovlasti da se o tome odluči. Prema njemu usmjeravamo agenta Secani: on priprema procjene, uspostavlja veze i obrazlaže svoje prijedloge. Odluka o tome smatra li se mjera djelotvornom ili se rizik prihvaća treba ostati na odgovornoj osobi. Zašto za to nije dovoljna ni sama poveznica na izvor, opisujemo u članku Umjetna inteligencija u GRC-u: navođenje izvora nije provjera.

Jednako nam je važno Rasmussenovo traženje strojno čitljivih zahtjeva, mjera i dokaza. Agent može raditi samo onoliko pouzdano koliko je pouzdana struktura na kojoj se temelji. Kako se velike analitičke kuće općenito izražavaju o tržištu, pročitajte u članku GRC tržište 2026.: što Forrester, Verdantix i GRC 20/20 kažu o umjetnoj inteligenciji i platformama.

Zaključak

GRC 7.0 manje je nova kategorija proizvoda, a više mjerilo za provjeru. Rasmussen opisuje arhitekturu u kojoj međusobno djeluju mjerodavni podaci, kontekst za odlučivanje, kontrolirano izvršavanje i provjerljiva prilagodba. UI agenti u njoj su važan gradivni element, ali napredak su samo ako su njihove ovlasti jasno uređene i ako se njihovi rezultati provjeravaju. Organizacije bi stoga trebale tražiti da im se na vlastitom slučaju uporabe pokaže gdje agent samo predlaže, gdje smije djelovati i tko u pojedinom slučaju snosi odgovornost.

Izvori

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, listopad 2026.)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. listopada 2026.)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10. srpnja 2025.)