GRC 7.0: mit jelent Michael Rasmussen GRC Orchestrate modellje a vállalatok számára

Miért éppen most beszélnek a GRC 7.0-ról

Michael Rasmussen alkotta meg a GRC fogalmát. Saját elmondása szerint 2002 februárjában, a Forrester Research elemzőjeként írta le először az irányítást, a kockázatkezelést és a megfelelést integrált megközelítésként, és ehhez hozta létre a betűszót. GRC 20/20 Ma a GRC 20/20 Research elemzőházat vezeti, és generációkba sorolja a piacot.

2026 októberében ehhez egy 143 oldalas Market Perspective-et tett közzé: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market”. GRC 20/20 A teljes jelentés az ügyfelek számára érhető el. A nyilvános összefoglaló, a tartalomjegyzék és Rasmussen több szabadon hozzáférhető írása azonban világosan megmutatja, miről van szó. Ez a cikk összefoglalja a modellt, és bemutatja, milyen kérdéseket vezethetnek le belőle a vállalatok GRC-eszközeik kiválasztásához és üzemeltetéséhez.

A központi tézis: a funkciók olcsóvá válnak, a felelősség felértékelődik

Rasmussen kiindulópontja egy piaci elmozdulás. A mesterséges intelligencia kevésbé szűkössé teszi a látható szoftverfunkciókat. Ezzel egy időben négy dolog jelentősége nő: a megbízható információké, az üzleti kontextusé, a speciális szakmai módszertané és az olyan végrehajtásé, amelyért valaki felelősséget visel. GRC 20/20

Ebből következik a jelentés központi elhatárolása: a GRC 7.0 működési architektúra, nem pedig MI-funkciók halmaza. Egy csevegőablak javíthatja a kezelhetőséget, de nem helyettesíti az architektúrán és a módszertanon végzett munkát, írja Rasmussen. GRC 20/20 A mércét ugyanilyen világosan fogalmazza meg: a technológiának jobb döntések és ellenőrizhető eredmények révén kell javítania a hatékonyságot, az eredményességet, a rezilienciát és az agilitást.

A GRC 1.0-tól a 6.0-ig: generációk, nem vásárlási ajánlás

Rasmussen generációkban írja le a piac fejlődését. Hangsúlyozza, hogy egymásra rétegződő képességekről van szó, nem lépcsőfokokról, és nem arról, hogy egymás után nyolc platformot kellene megvásárolni. GRC 20/20

A korábbi generációk korlátját Rasmussen így írja le: egy rendszer tartalmazhat kiváló nyilvántartásokat, és mégis magukra hagyhatja az embereket, amikor össze kell rakni a kontextust, dönteni kell a következő lépésről, és ki kell építeni a szükséges képességet. A GRC 7.0 éppen itt lép be.

A GRC 7.0 három rendszere

A System of Record marad az alap. Köré a GRC 7.0 egy orkesztrációs rendszert helyez, amely három, egymást kiegészítő rendszert kapcsol össze. GRC 20/20

System of Intelligence: a jelzéstől a döntési kontextusig

A System of Intelligence belső és külső jelzéseket gyűjt, és döntési kontextust alkot belőlük. Egy beszállítói fennakadást, egy új szabályozási előírást vagy egy teljesítménybeli eltérést össze kell kapcsolni az érintett célokkal, szolgáltatásokkal, kötelezettségekkel és függőségekkel. A hasznos eredmény a következmények és a lehetőségek megindokolt magyarázata, beleértve a hiányzó információkat és a bizonytalanságokat is.

Rasmussen itt egy megkülönböztetésre helyez hangsúlyt: a vezetőknek fel kell tudniuk ismerni, mi a megalapozott tény, mi a következtetés, és mi az a feltételezés, amely megváltoztathatja a döntést. A jelentés tartalomjegyzéke ehhez többek között az információk eredetét és időpontját, az entity resolutiont, az ontológiákat és a jogosultság-ellenőrzött lekérdezéseket említi.

System of Action: végrehajtás egyértelmű jogosultságokkal

A System of Action összehangolja a reagálást. Az ügynökök meghatározott határokon belül önállóan dolgozhatnak, emberi jóváhagyással részben autonóm módon cselekedhetnek, és embereken és rendszereken átívelően hangolhatják össze a feladatokat. Egy ügynök bizonyítékokat gyűjthet, hatáselemzést készíthet elő, továbbíthat egy döntést, vagy végrehajthat egy engedélyezett változtatást.

A döntő az, hogy a jogosultság kifejezetten szabályozott legyen: mi történhet, milyen feltételekkel, ki a felelős, és hogyan ellenőrzik az eredményt. Rasmussen ezt két példával szemlélteti. Az a képesség, hogy egy rendszer beszállítót ajánljon, nem jelent jogosultságot annak jóváhagyására. Egy lezárt munkafolyamat pedig nem bizonyítja, hogy egy szolgáltatás helyreállt. A rendszernek a műveleteket megfigyelhető üzleti eredménnyel kell összekapcsolnia, és eszkalálnia kell, ha a jogosultságok vagy a bizonyítékok nem elegendők.

System of Configuration: képességek kiépítése szakmai nyelven

A System of Configuration feladata, hogy a GRC-képességeket gyorsan kiépítse és igazítsa, mégpedig az adott szakterület nyelvén. Egy csapat leírja, mire van szüksége, például egy új értékelésre vagy egy kötelezettségekre vonatkozó folyamatra, a technológia pedig segít létrehozni hozzá az adatstruktúrákat, kapcsolatokat, szabályokat, felületeket és integrációkat.

Rasmussen ezt az ígéretet világos feltételekhez köti: validáláshoz, jogosultságokhoz, tesztekhez és ellenőrzött telepítéshez. Egy világosan leírt szándék egy megbízható képesség kezdete, nem pedig annak bizonyítéka, hogy a generált eredmény helyes. A jelentés ennek megfelelően kimondja, hogy a teszteknek elég függetlennek kell lenniük ahhoz, hogy megkérdőjelezhessék a generálást, a telepítés pedig irányítási döntés.

Az érték az összekapcsolásban rejlik

A három rendszer közül önmagában egyik sem új. A különbséget az összekapcsolásuk adja: az Intelligence felismeri a megváltozott helyzetet, az Action összehangolja a megfelelő reagálást, a Configuration pedig kiépíti azt a képességet, amelyet az új helyzet megkövetel. A tanulás javíthatja az összjátékot, de anélkül, hogy egy rendszer csendben átírná a saját jogosultságait.

Az ügynököknek ki kell érdemelniük a jogosultságaikat

A GRC Orchestrate-ről szóló korábbi cikksorozatában Rasmussen az ügynököket a megfigyelés, az elemzés, a cselekvés és az eszkaláció ciklusának részeként írja le. Ha egy helyzet meghaladja egy ügynök küszöbértékét, az ügynök értesíti az illetékes embert. GRC 20/20

Ott azt is elismeri, hogy a piac még az elején tart. Az MI eddig főként egyes funkciókon keresztül jelent meg, például kockázatértékelésekben, szabályozási megfeleltetésben és csevegőfelületekben. Az összehangolt ügynökök valódi orkesztrációja még csak most van kialakulóban. 2030-ig a következő előfeltételeket nevezi meg:

• egységes taxonómiák és metaadatok az összes GRC-területen
• szabályzatok, kockázatok, kontrollok és kötelezettségek géppel olvasható formában
• etikai és működési korlátok az MI viselkedésére
• olyan irányítási kultúra, amely az MI-t résztvevőként kezeli, nem csupán eszközként

A vállalatok számára különösen a második pont jó próbakő. Aki már ma strukturáltan és géppel olvasható módon kezeli a követelményeket, intézkedéseket és bizonyítékokat, például a nyílt OSCAL formátumban, megteremti azt az alapot, amelyen az ügynökök megbízhatóan dolgozhatnak. Erről bővebben itt olvashat: Mi az OSCAL?

Kitekintés: GRC 8.0 és digitális ikrek

A nagyjából 2030 utáni időszakra Rasmussen a GRC 8.0-t, a „Quantum GRC”-t írja le. Ez a vállalat és ellátási lánca mély digitális ikreit jelenti három szinten: stratégiai irány, célok és teljesítmény, valamint működés és végrehajtás. A szervezetek ezek segítségével lejátszhatják a lehetséges jövőket, mielőtt elköteleznék magukat. Rasmussen „Risk Holodeck”-ről beszél. GRC 20/20

Ezt kifejezetten jövőképként, nem pedig már elérhető képességként mutatja be. Egy meggyőzően ábrázolt szimuláció is lehet téves; értéke a modell és az információk minőségén, valamint azon múlik, mennyire őszintén kezeljük azt, ami ismeretlen marad. A szó szoros értelmében vett kvantumszámítástechnikához a fogalomnak csak érintőlegesen van köze, a jelentés ezt külön kérdésként tárgyalja.

Milyen kérdéseket tegyenek fel most a vállalatok a szállítóknak

Rasmussen azt javasolja, hogy a jól működő alapokat ne cseréljék le szükség nélkül. Egy rendszert csak azért lecserélni, mert a generációs száma divatjamúltnak hangzik, szerinte drága félreértés. Ehelyett a vállalatok kérjék meg a szállítókat, hogy mutassanak be egy összefüggő üzleti forgatókönyvet, és közben kérdezzék meg: GRC 20/20

1. Milyen célt szolgál ez a képesség, és hogyan mérik a javulást?
2. Hogyan válik egy belső vagy külső változásból releváns információ?
3. Mit tehet meg a rendszer önállóan, mihez kell emberi jóváhagyás, és hogyan érvényesítik a jogosultságokat?
4. Kiépíthető-e szakmai nyelven egy értelmes képesség, és az eredmény utána ellenőrizhető és tesztelhető-e?
5. Hogyan viselkedik a rendszer, ha az információk ellentmondásosak, hiányzik egy függőség, vagy a jóváhagyó személy nem érhető el?
6. Milyen bizonyíték igazolja, hogy a kívánt eredmény ténylegesen bekövetkezett?

A kezdéshez szűken körülhatárolt megközelítést javasol: egy cél, egy behatárolt felhasználási eset, egy felelős személy, egy kiinduló érték és egy rezilienciateszt. Mérni a feltételezett eredményeket és a teljes működési ráfordítást kell, beleértve az ellenőrzést, a javítást, az integrációt és a felügyeletet. A bizonyítékok döntik el ezután, hogy a megközelítést kiterjesztik, módosítják vagy leállítják.

Mit veszünk át ebből a Secaninál

A leghasznosabbnak Rasmussen megkülönböztetését tartjuk aközött, hogy valaki képes valamit javasolni, és aközött, hogy jogosult dönteni róla. Ehhez igazítjuk a Secani-ügynököt: értékeléseket készít elő, feltárja az összefüggéseket és megindokolja a javaslatait. Arról, hogy egy intézkedés hatásosnak számít-e, vagy egy kockázatot elfogadnak-e, továbbra is a felelős személynek kell döntenie. Hogy ehhez miért nem elég önmagában egy forráshivatkozás sem, azt az MI a GRC-ben: a hivatkozás nem ellenőrzés című cikkben írjuk le.

Ugyanilyen fontos számunkra Rasmussen követelése, hogy a követelmények, intézkedések és bizonyítékok géppel olvashatók legyenek. Egy ügynök csak olyan megbízhatóan dolgozhat, amilyen megbízható az a struktúra, amelyre épül. Hogy a nagy elemzőházak összességében mit mondanak a piacról, arról itt olvashat: A GRC-piac 2026-ban: mit mond a Forrester, a Verdantix és a GRC 20/20 az MI-ről és a platformokról.

Összegzés

A GRC 7.0 kevésbé új termékkategória, sokkal inkább értékelési mérce. Rasmussen olyan architektúrát ír le, amelyben a mérvadó adatok, a döntési kontextus, az ellenőrzött végrehajtás és az ellenőrizhető testreszabás együttműködik. Az MI-ügynökök ennek fontos építőkövei, de csak akkor jelentenek előrelépést, ha jogosultságaik világosan szabályozottak és eredményeiket ellenőrzik. A vállalatok ezért a saját felhasználási esetükön mutattassák be, hol csak javasol egy ügynök, hol cselekedhet, és ki viseli az adott esetben a felelősséget.

Források

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, 2026. október)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 2026. október 14.)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 2025. július 10.)