GRC 9.0: perché l'ultima generazione si chiama Embedded GRC – una previsione

Dove finisce il modello di Rasmussen

Michael Rasmussen descrive il mercato GRC in generazioni. Per lui GRC 7.0, «GRC Orchestrate», è il presente fino al 2030 circa: un'interazione tra contesto decisionale (intelligence), agenti con poteri chiaramente regolati (action) e capacità che le funzioni di business costruiscono da sole (configuration). Per il periodo dal 2030 circa delinea GRC 8.0, «Quantum GRC»: gemelli digitali dell'azienda con cui le organizzazioni mettono alla prova futuri possibili prima di decidere – lo chiama un «Risk Holodeck». GRC 20/20 Il modello nel dettaglio lo abbiamo analizzato in GRC 7.0: che cosa significa GRC Orchestrate di Michael Rasmussen per le organizzazioni.

Dopo di che, il modello finisce. Rasmussen non descrive una generazione 9.0 e, per quanto ne sappiamo, nessun altro l'ha definita.

Questo articolo colma la lacuna con una valutazione nostra. È importante premetterlo: quanto segue non è un modello di analisti né una sintesi di ricerche altrui, ma la nostra previsione motivata – derivata da sviluppi già documentabili oggi. Alla fine nominiamo le obiezioni che la contraddicono.

Una domanda ordina tutte le generazioni

Se si leggono le generazioni dalla 1.0 alla 8.0 una dopo l'altra, in fondo rispondono alla stessa domanda: dove ha luogo la governance?

Se si segue questa linea, manca esattamente un luogo: il sistema stesso. Non uno strumento GRC accanto al business, ma la governance come proprietà dei sistemi che fanno funzionare il business.

La nostra tesi: GRC 9.0 è Embedded GRC

Ci aspettiamo che la prossima generazione inizi intorno al 2035 e abbia tre caratteristiche.

La compliance diventa una proprietà dei sistemi

Oggi i team dimostrano a posteriori che i sistemi soddisfano i requisiti: raccolgono screenshot, esportano report, compilano modelli di audit. Nella prossima generazione le applicazioni vengono al mondo con impegni di controllo leggibili dalle macchine, e l'evidenza nasce nell'esercizio come sottoprodotto. I mattoni esistono già: OSCAL descrive requisiti, controlli e valutazioni in forma leggibile dalle macchine (si veda Che cos'è OSCAL?), FedRAMP accetta già pacchetti in questo formato (si veda FedRAMP diventa leggibile dalle macchine), gli SBOM e i CBOM descrivono i componenti software e crittografici. Un audit esamina allora il sistema che genera le evidenze e la sua configurazione – non più mille giustificativi singoli.

La fiducia si scambia tra organizzazioni in modo automatizzato

Valutare un fornitore oggi significa: inviare questionari, archiviare le risposte, ripetere ogni anno. NIS2 e DORA impongono già obblighi alle catene di fornitura, con gestione dei rischi e impegni contrattuali, e il Cyber Resilience Act introduce dalla fine del 2027 gli SBOM leggibili dalle macchine come documentazione del produttore. Il passo successivo è prevedibile: un fornitore attesta un controllo una sola volta, con firma crittografica, e tutti i suoi clienti riprendono l'evidenza in modo automatizzato. Il questionario non muore per un divieto, ma per la propria superfluità.

La risorsa scarsa è la responsabilità

La tesi centrale dello stesso Rasmussen su GRC 7.0 dice: l'IA rende economiche le funzionalità software; diventano preziosi le informazioni affidabili, il contesto e la responsabilità. Portato fino in fondo, significa: quando gli agenti valutano, simulano ed eseguono, come nucleo umano resta esattamente un compito – decidere chi risponde di che cosa e quale rischio un'organizzazione si assume consapevolmente. Il System of Record della prossima generazione non è quindi più un archivio di documenti, ma un registro di decisioni e poteri.

Perché dal 2035

Un anno in una previsione è attaccabile, perciò lo motiviamo due volte.

Primo, il ritmo del modello stesso: secondo Rasmussen GRC 7.0 va dal 2025 al 2030, GRC 8.0 inizia intorno al 2030. Le generazioni più recenti durano circa cinque anni, la prossima inizierebbe quindi intorno al 2035.

Secondo, la regolamentazione indica indipendentemente lo stesso anno. Entro il 2035 la transizione dell'intera UE alla crittografia post-quantistica dovrebbe essere in gran parte conclusa, e la bozza NIST IR 8547 fa scadere RSA ed ECC dopo il 2035 (le scadenze nel dettaglio: Crittografia post-quantistica: le scadenze del 2026, 2030 e 2035 e cosa è vincolante). Lungo questo percorso stanno nascendo su larga scala inventari crittografici, CBOM ed evidenze leggibili dalle macchine – come raccomandazione urgente della roadmap dell'UE e della linea guida tedesca, per i soggetti NIS2 anche giuridicamente fondati attraverso lo stato dell'arte. Proprio l'infrastruttura che Embedded GRC presuppone sta quindi nascendo adesso – non per visione, ma spinta dalla regolamentazione.

Non vogliamo essere più precisi di «dal 2035 circa». Dare a una previsione su otto anni un anno esatto alla cifra sarebbe falsa precisione.

Due obiezioni che prendiamo sul serio

L'obiezione del Holodeck. GRC 8.0 presuppone una qualità dei dati che molte organizzazioni oggi non raggiungono nemmeno per il proprio inventario crittografico – quello che la roadmap dell'UE prevede entro la fine del 2026 e che in molti luoghi sta appena nascendo. Ci aspettiamo perciò che la simulazione regga dapprima in ambiti ristretti e ben modellabili, per esempio scenari di catena di fornitura o di interruzione, e non come gemello dell'intera azienda. Chi distribuisce il budget oggi dovrebbe investirlo nella qualità dei dati piuttosto che in strumenti di simulazione.

La controtesi: frammentazione invece di fusione. Può anche andare diversamente. La regolamentazione cresce attualmente più in fretta della sua armonizzazione: il regolamento sull'IA, DORA, NIS2, il Cyber Resilience Act e percorsi nazionali particolari pongono ciascuno requisiti propri con canali di segnalazione propri. Invece di una disciplina convergente potrebbero nascere di nuovo silos per ambito giuridico – questa volta ciascuno con i propri agenti. Sarebbe GRC 1.0 a un livello più alto. Quale delle due direzioni vinca si deciderà a seconda che i formati leggibili dalle macchine diventino trasversali agli ambiti giuridici o specifici di ciascuna regolamentazione.

Che cosa regge già oggi

L'aspetto pratico di questa previsione: la preparazione è la stessa, che si avveri o no. Chi già oggi gestisce requisiti, misure ed evidenze in forma strutturata e leggibile dalle macchine è posizionato bene per entrambe le direzioni – per Embedded GRC comunque, e in un mondo frammentato un patrimonio strutturato è l'unica possibilità realistica di servire più ambiti giuridici senza lavoro duplicato. Lo stesso vale per la delimitazione dei poteri: chi oggi mette per iscritto che cosa un agente può proporre e che cosa una persona deve decidere costruisce il registro delle decisioni che più tardi ne formerà il nucleo.

Per questo, con la categoria GRC non scompare il lavoro. Si sposta ciò che fanno le persone: meno raccogliere giustificativi, più prendere decisioni e risponderne.

Conclusione

La nostra previsione in una frase: GRC 9.0 inizia intorno al 2035, si chiama nella sostanza Embedded GRC – la governance come proprietà dei sistemi, fiducia federata tra organizzazioni, la responsabilità come ultima istanza umana – ed è l'ultima generazione, perché dopo la governance non è più una categoria a sé. Di certo non c'è nulla, tranne la direzione dell'infrastruttura: requisiti, inventari ed evidenze leggibili dalle macchine si stanno affermando, spinti dalla regolamentazione. Se ne nascerà fusione o frammentazione è aperto. La preparazione è la stessa in entrambi i casi.

Fonti

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, ottobre 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 ottobre 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream del NIS Cooperation Group, giugno 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 novembre 2024)