GRC 7.0: che cosa significa GRC Orchestrate di Michael Rasmussen per le organizzazioni

Perché proprio ora si discute di GRC 7.0

Michael Rasmussen ha coniato il termine GRC. Secondo quanto da lui stesso riferito, nel febbraio 2002, come analista di Forrester Research, descrisse per la prima volta governance, risk management e compliance come un approccio integrato e creò l'acronimo. GRC 20/20 Oggi dirige la società di analisi GRC 20/20 Research e classifica il mercato in generazioni.

Nell'ottobre 2026 ha pubblicato in merito una Market Perspective di 143 pagine: «GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market». GRC 20/20 Il report completo è riservato ai clienti. La sintesi pubblica, l'indice e diversi articoli liberamente accessibili di Rasmussen mostrano però chiaramente di che cosa si tratta. Questo articolo riassume il modello e mostra quali domande le organizzazioni possono ricavarne per la scelta e la gestione dei propri strumenti GRC.

La tesi centrale: le funzionalità diventano economiche, la responsabilità acquista valore

Il punto di partenza di Rasmussen è uno spostamento del mercato. L'intelligenza artificiale rende le funzionalità software visibili meno scarse. Allo stesso tempo quattro elementi acquistano importanza: informazioni affidabili, contesto di business, metodologia specialistica ed esecuzione di cui qualcuno si assume la responsabilità. GRC 20/20

Ne deriva la distinzione centrale del report: GRC 7.0 è un'architettura operativa, non un insieme di funzionalità di IA. Una finestra di chat può migliorare l'usabilità, ma non sostituisce il lavoro su architettura e metodologia, scrive Rasmussen. GRC 20/20 Con altrettanta chiarezza formula il metro di giudizio: la tecnologia deve migliorare efficienza, efficacia, resilienza e agilità attraverso decisioni migliori e risultati verificabili.

Da GRC 1.0 a 6.0: generazioni, non un consiglio d'acquisto

Rasmussen descrive l'evoluzione del mercato in generazioni. Sottolinea che si tratta di capacità che si sovrappongono, non di una scala a gradini né dell'invito ad acquistare otto piattaforme una dopo l'altra. GRC 20/20

Rasmussen descrive così il limite delle generazioni precedenti: un sistema può contenere registrazioni eccellenti e tuttavia lasciare sole le persone quando si tratta di ricostruire il contesto, decidere il passo successivo e sviluppare la capacità necessaria. È proprio qui che interviene GRC 7.0.

I tre sistemi di GRC 7.0

Il System of Record resta la base. Attorno a esso GRC 7.0 colloca un sistema di orchestrazione che collega tre sistemi complementari. GRC 20/20

System of Intelligence: dal segnale al contesto decisionale

Il System of Intelligence raccoglie segnali interni ed esterni e li trasforma in contesto decisionale. Un'interruzione presso un fornitore, un nuovo requisito normativo o uno scostamento nelle performance devono essere collegati agli obiettivi, ai servizi, agli obblighi e alle dipendenze interessati. Il risultato utile è una spiegazione motivata delle conseguenze e delle opzioni, comprese le informazioni mancanti e le incertezze.

Rasmussen insiste su una distinzione: i dirigenti devono poter riconoscere che cosa è un fatto accertato, che cosa è una deduzione e che cosa è un'ipotesi che potrebbe cambiare la decisione. A tal fine l'indice del report cita, tra l'altro, provenienza e data delle informazioni, entity resolution, ontologie e interrogazioni soggette a controllo delle autorizzazioni.

System of Action: esecuzione con poteri chiari

Il System of Action coordina la risposta. Gli agenti possono lavorare in autonomia entro limiti stabiliti, agire in modo semi-autonomo con approvazione umana e coordinare attività tra persone e sistemi. Un agente può raccogliere evidenze, preparare un'analisi d'impatto, inoltrare una decisione o eseguire una modifica consentita.

Ciò che conta è che i poteri siano regolati in modo esplicito: che cosa può accadere, a quali condizioni, chi è responsabile e come viene verificato il risultato. Rasmussen lo illustra con due esempi. La capacità di raccomandare un fornitore non implica il potere di approvarlo. E un workflow completato non dimostra che un servizio sia stato ripristinato. Il sistema deve collegare le azioni a un risultato di business osservabile ed effettuare un'escalation quando poteri o evidenze non sono sufficienti.

System of Configuration: costruire capacità nel linguaggio del business

Il System of Configuration deve consentire di costruire e adattare rapidamente capacità GRC, nel linguaggio della funzione aziendale. Un team descrive ciò di cui ha bisogno, per esempio una nuova valutazione o un processo per gli obblighi, e la tecnologia aiuta a generare le strutture dati, le relazioni, le regole, le interfacce e le integrazioni necessarie.

Rasmussen lega questa promessa a condizioni chiare: validazione, autorizzazioni, test e rilascio controllato. Un'intenzione descritta con chiarezza è l'inizio di una capacità affidabile, non la prova che il risultato generato sia corretto. Il report afferma di conseguenza che i test devono essere sufficientemente indipendenti da mettere in discussione la generazione e che il rilascio è una decisione di governance.

Il valore sta nel collegamento

Presi singolarmente, nessuno dei tre sistemi è nuovo. A fare la differenza è il loro collegamento: intelligence rileva una situazione cambiata, action coordina una risposta adeguata, configuration costruisce la capacità richiesta dalla nuova situazione. L'apprendimento può migliorare l'interazione, ma senza che un sistema riscriva silenziosamente i propri poteri.

Gli agenti si guadagnano i propri poteri

In una precedente serie di articoli su GRC Orchestrate, Rasmussen descrive gli agenti come parte di un ciclo fatto di osservare, analizzare, agire ed effettuare un'escalation. Se una situazione supera la soglia di un agente, questo informa la persona responsabile. GRC 20/20

Lì ammette anche che il mercato è ancora agli inizi. Finora l'IA è arrivata soprattutto attraverso singole funzionalità, come valutazioni del rischio, mappatura normativa e interfacce di chat. Una vera orchestrazione di agenti coordinati è ancora in fase di sviluppo. Come prerequisiti entro il 2030 indica:

• tassonomie e metadati uniformi in tutti gli ambiti della GRC
• policy, rischi, controlli e obblighi in forma leggibile dalle macchine
• guardrail etici e operativi per il comportamento dell'IA
• una cultura della governance che tratti l'IA come un soggetto partecipante, non solo come uno strumento

Per le organizzazioni è soprattutto il secondo punto a costituire un buon banco di prova. Chi già oggi gestisce requisiti, controlli ed evidenze in forma strutturata e leggibile dalle macchine, per esempio nel formato aperto OSCAL, crea la base su cui gli agenti possono lavorare in modo affidabile. Per saperne di più leggete Che cos'è OSCAL?

Prospettive: GRC 8.0 e i digital twin

Per il periodo a partire dal 2030 circa, Rasmussen descrive GRC 8.0, «Quantum GRC». Si intendono digital twin approfonditi dell'organizzazione e della sua supply chain su tre livelli: orientamento strategico, obiettivi e performance, operatività ed esecuzione. Le organizzazioni dovrebbero così poter simulare futuri possibili prima di prendere un impegno. Rasmussen parla di un «Risk Holodeck». GRC 20/20

Lo presenta esplicitamente come una visione del futuro, non come una capacità già disponibile. Anche una simulazione presentata in modo convincente può essere sbagliata: il suo valore dipende dalla qualità del modello e delle informazioni e da una gestione onesta di ciò che resta ignoto. Con il quantum computing in senso letterale il termine ha a che fare solo marginalmente; il report tratta la questione separatamente.

Quali domande le organizzazioni dovrebbero porre ora ai fornitori

Rasmussen raccomanda di non sostituire senza necessità fondamenta che funzionano. Sostituire un sistema solo perché il suo numero di generazione sembra superato sarebbe un costoso malinteso. Le organizzazioni dovrebbero invece farsi mostrare dai fornitori uno scenario di business coerente e chiedere: GRC 20/20

1. A quale obiettivo serve questa capacità e come viene misurato il miglioramento?
2. Come un cambiamento interno o esterno diventa un'informazione rilevante?
3. Che cosa può fare il sistema da solo, che cosa richiede un'approvazione umana e come vengono fatti rispettare i poteri?
4. È possibile costruire una capacità utile nel linguaggio del business e poi verificarne e testarne il risultato?
5. Come si comporta il sistema quando le informazioni sono contraddittorie, manca una dipendenza o una persona incaricata dell'approvazione non è raggiungibile?
6. Quale evidenza dimostra che il risultato desiderato si è effettivamente verificato?

Per iniziare consiglia un approccio molto circoscritto: un obiettivo, un caso d'uso delimitato, una persona responsabile, un valore di partenza e un test di resilienza. Vanno misurati i risultati attesi e l'intero onere operativo, compresi verifica, correzione, integrazione e supervisione. Sono poi le evidenze a decidere se estendere, adattare o interrompere.

Che cosa ne ricaviamo in Secani

Ciò che troviamo più utile è la distinzione di Rasmussen tra la capacità di proporre qualcosa e il potere di deciderlo. È su questa che orientiamo l'agente Secani: prepara le valutazioni, stabilisce collegamenti e motiva le proprie proposte. La decisione se un controllo sia da considerare efficace o se un rischio venga accettato deve restare alla persona responsabile. Perché anche un link alla fonte da solo non basti lo spieghiamo in IA nella GRC: citare non significa verificare.

Altrettanto importante per noi è la richiesta di Rasmussen di requisiti, controlli ed evidenze leggibili dalle macchine. Un agente può lavorare in modo affidabile solo quanto lo è la struttura su cui si basa. Che cosa dicono complessivamente del mercato le grandi società di analisi lo potete leggere in Il mercato GRC nel 2026: che cosa dicono Forrester, Verdantix e GRC 20/20 su IA e piattaforme.

Conclusione

GRC 7.0 è meno una nuova categoria di prodotto che un metro di giudizio. Rasmussen descrive un'architettura in cui dati di riferimento, contesto decisionale, esecuzione controllata e adattamento verificabile operano insieme. Gli agenti IA ne sono un elemento importante, ma rappresentano un progresso solo se i loro poteri sono regolati con chiarezza e i loro risultati vengono verificati. Le organizzazioni dovrebbero quindi farsi mostrare, sul proprio caso d'uso, dove un agente si limita a proporre, dove può agire e chi ne porta di volta in volta la responsabilità.

Fonti

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, ottobre 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 ottobre 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 luglio 2025)