GRC 7.0: ką Michaelio Rasmusseno GRC Orchestrate reiškia įmonėms

Kodėl apie GRC 7.0 diskutuojama būtent dabar

Michaelas Rasmussenas yra GRC sąvokos autorius. Jo paties teigimu, 2002 m. vasarį, dirbdamas Forrester Research analitiku, jis pirmą kartą aprašė valdymą, rizikos valdymą ir atitiktį kaip integruotą požiūrį ir sukūrė tam akronimą. GRC 20/20 Šiandien jis vadovauja analitikų bendrovei GRC 20/20 Research ir skirsto rinką į kartas.

2026 m. spalį jis šia tema paskelbė 143 puslapių Market Perspective: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Visa ataskaita skirta tik klientams. Tačiau vieša santrauka, turinys ir keli laisvai prieinami Rasmusseno tekstai aiškiai parodo, apie ką kalbama. Šiame straipsnyje apibendrinamas modelis ir parodoma, kokius klausimus įmonės iš jo gali išvesti rinkdamosi ir eksploatuodamos savo GRC įrankius.

Pagrindinė tezė: funkcijos pinga, atsakomybė brangsta

Rasmusseno atspirties taškas yra poslinkis rinkoje. Dirbtinis intelektas matomas programinės įrangos funkcijas daro ne tokias retas. Kartu didėja keturių dalykų reikšmė: patikimos informacijos, verslo konteksto, specializuotos dalykinės metodikos ir vykdymo, už kurį kažkas prisiima atsakomybę. GRC 20/20

Iš to išplaukia pagrindinis ataskaitos skirtis: GRC 7.0 yra veiklos architektūra, o ne DI funkcijų rinkinys. Pokalbių langas gali pagerinti naudojimą, tačiau nepakeičia darbo su architektūra ir metodika, rašo Rasmussenas. GRC 20/20 Kartelę jis suformuluoja taip pat aiškiai: technologija turi gerinti efektyvumą, veiksmingumą, atsparumą ir lankstumą per geresnius sprendimus ir patikrinamus rezultatus.

Nuo GRC 1.0 iki 6.0: kartos, o ne pirkimo rekomendacija

Rasmussenas rinkos raidą aprašo kartomis. Jis pabrėžia, kad tai yra vienas kitą perdengiantys gebėjimai, o ne laiptai ir ne raginimas iš eilės pirkti aštuonias platformas. GRC 20/20

Ankstesnių kartų ribą Rasmussenas aprašo taip: sistemoje gali būti puikių įrašų, tačiau ji vis tiek gali palikti žmones vienus, kai reikia sudėlioti kontekstą, nuspręsti dėl kito žingsnio ir sukurti reikiamą gebėjimą. Būtent čia įsitraukia GRC 7.0.

Trys GRC 7.0 sistemos

System of Record išlieka pagrindu. Aplink ją GRC 7.0 išdėsto orkestravimo sistemą, jungiančią tris viena kitą papildančias sistemas. GRC 20/20

System of Intelligence: nuo signalo iki sprendimų konteksto

System of Intelligence renka vidinius ir išorinius signalus ir paverčia juos sprendimų kontekstu. Tiekėjo veiklos sutrikimas, naujas reguliavimo reikalavimas ar veiklos rezultatų nuokrypis turi būti susieti su paveiktais tikslais, paslaugomis, įpareigojimais ir priklausomybėmis. Naudingas rezultatas yra pagrįstas pasekmių ir galimybių paaiškinimas, įskaitant trūkstamą informaciją ir neapibrėžtumus.

Rasmussenas čia akcentuoja vieną skirtį: vadovai turi matyti, kas yra patvirtintas faktas, kas išvada, o kas prielaida, galinti pakeisti sprendimą. Ataskaitos turinyje šiuo klausimu, be kita ko, minimi informacijos kilmė ir laikas, entity resolution, ontologijos ir prieigos teisėmis patikrinamos užklausos.

System of Action: vykdymas su aiškiais įgaliojimais

System of Action koordinuoja reagavimą. Agentai gali savarankiškai dirbti nustatytose ribose, veikti iš dalies autonomiškai gavę žmogaus patvirtinimą ir derinti užduotis tarp žmonių ir sistemų. Agentas gali surinkti įrodymus, parengti poveikio analizę, perduoti sprendimą toliau arba atlikti leistiną pakeitimą.

Lemiama tai, kad įgaliojimai yra aiškiai sureguliuoti: kas gali įvykti, kokiomis sąlygomis, kas atsakingas ir kaip tikrinamas rezultatas. Rasmussenas tai iliustruoja dviem pavyzdžiais. Gebėjimas rekomenduoti tiekėją nereiškia įgaliojimo jį patvirtinti. O užbaigta darbo eiga neįrodo, kad paslauga atkurta. Sistema turi susieti veiksmus su stebimu verslo rezultatu ir eskaluoti, kai įgaliojimų ar įrodymų nepakanka.

System of Configuration: gebėjimų kūrimas dalykine kalba

System of Configuration turi greitai kurti ir pritaikyti GRC gebėjimus pačios srities kalba. Komanda aprašo, ko jai reikia, pavyzdžiui, naujo vertinimo ar įpareigojimų proceso, o technologija padeda tam sukurti duomenų struktūras, ryšius, taisykles, sąsajas ir integracijas.

Rasmussenas šį pažadą sieja su aiškiomis sąlygomis: validavimu, prieigos teisėmis, testavimu ir kontroliuojamu diegimu. Aiškiai aprašytas ketinimas yra patikimo gebėjimo pradžia, o ne įrodymas, kad sugeneruotas rezultatas teisingas. Atitinkamai ataskaitoje teigiama, kad testai turi būti pakankamai nepriklausomi, kad galėtų kvestionuoti generavimą, o diegimas yra valdymo sprendimas.

Vertė slypi ryšyje

Pati savaime nė viena iš trijų sistemų nėra nauja. Skirtumą lemia jų ryšys: Intelligence atpažįsta pasikeitusią padėtį, Action koordinuoja tinkamą reakciją, Configuration sukuria gebėjimą, kurio reikalauja nauja padėtis. Mokymasis gali gerinti sąveiką, tačiau taip, kad jokia sistema tyliai neperrašytų savo pačios įgaliojimų.

Agentai užsitarnauja savo įgaliojimus

Ankstesnėje straipsnių serijoje apie GRC Orchestrate Rasmussenas agentus aprašo kaip stebėjimo, analizės, veikimo ir eskalavimo ciklo dalį. Jei situacija viršija agento slenkstį, jis informuoja atsakingą žmogų. GRC 20/20

Ten jis taip pat pripažįsta, kad rinka dar tik pradžioje. DI iki šiol atėjo daugiausia per atskiras funkcijas, pavyzdžiui, rizikos vertinimus, reguliavimo reikalavimų susiejimą ir pokalbių sąsajas. Tikrasis koordinuotų agentų orkestravimas dar tik formuojasi. Kaip prielaidas iki 2030 m. jis nurodo:

• vieningas taksonomijas ir metaduomenis visose GRC srityse
• politikas, rizikas, kontrolės priemones ir įpareigojimus mašininiu būdu nuskaitoma forma
• etinius ir veiklos apribojimus DI elgsenai
• valdymo kultūrą, kuri DI laiko dalyviu, o ne vien įrankiu

Įmonėms ypač antrasis punktas yra geras išbandymas. Kas jau šiandien tvarko reikalavimus, kontrolės priemones ir įrodymus struktūruotai ir mašininiu būdu nuskaitoma forma, pavyzdžiui, atviruoju formatu OSCAL, sukuria pagrindą, kuriuo remdamiesi agentai gali patikimai dirbti. Daugiau apie tai skaitykite straipsnyje Kas yra OSCAL?

Perspektyva: GRC 8.0 ir skaitmeniniai dvyniai

Laikotarpiui maždaug nuo 2030 m. Rasmussenas aprašo GRC 8.0 – „Quantum GRC“. Turimi omenyje gilūs įmonės ir jos tiekimo grandinės skaitmeniniai dvyniai trimis lygmenimis: strateginės krypties, tikslų ir veiklos rezultatų bei veiklos ir vykdymo. Organizacijos su jais turėtų galėti išbandyti galimas ateitis prieš priimdamos galutinį sprendimą. Rasmussenas kalba apie „Risk Holodeck“. GRC 20/20

Jis tai aiškiai priskiria ateities vizijai, o ne jau prieinamam gebėjimui. Net ir įtikinamai pateikta simuliacija gali būti klaidinga; jos vertė priklauso nuo modelio ir informacijos kokybės bei nuo sąžiningo požiūrio į tai, kas lieka nežinoma. Su kvantine kompiuterija tiesiogine prasme sąvoka turi tik netiesioginį ryšį; ataskaitoje tai nagrinėjama kaip atskiras klausimas.

Kokius klausimus įmonės turėtų dabar užduoti tiekėjams

Rasmussenas rekomenduoja be reikalo nekeisti veikiančių pagrindų. Pakeisti sistemą vien todėl, kad jos kartos numeris skamba nemadingai, yra brangus nesusipratimas. Vietoj to įmonės turėtų paprašyti tiekėjų pademonstruoti vientisą verslo scenarijų ir kartu paklausti: GRC 20/20

1. Kokiam tikslui tarnauja šis gebėjimas ir kaip matuojamas pagerėjimas?
2. Kaip vidinis ar išorinis pokytis tampa aktualia informacija?
3. Ką sistema gali daryti pati, kam reikia žmogaus patvirtinimo ir kaip užtikrinamas įgaliojimų laikymasis?
4. Ar prasmingą gebėjimą galima sukurti dalykine kalba ir ar rezultatą vėliau galima patikrinti ir išbandyti?
5. Kaip sistema elgiasi, kai informacija prieštaringa, trūksta priklausomybės arba nepavyksta susisiekti su tvirtinančiuoju asmeniu?
6. Koks įrodymas patvirtina, kad norimas rezultatas iš tiesų pasiektas?

Pradžiai jis pataria siaurai apribotą požiūrį: vienas tikslas, vienas apribotas naudojimo atvejis, vienas atsakingas asmuo, viena pradinė vertė ir vienas atsparumo testas. Matuoti reikia numatomus rezultatus ir visas veiklos sąnaudas, įskaitant tikrinimą, taisymą, integravimą ir priežiūrą. Tada įrodymai lemia, ar plėsti, koreguoti, ar sustabdyti.

Ką iš to pasiimame Secani

Naudingiausia mums atrodo Rasmusseno skirtis tarp gebėjimo ką nors pasiūlyti ir įgaliojimo dėl to spręsti. Pagal ją kuriame Secani agentą: jis parengia vertinimus, nustato sąsajas ir pagrindžia savo pasiūlymus. Sprendimas, ar kontrolės priemonė laikoma veiksminga, ar rizika priimama, turi likti atsakingam asmeniui. Kodėl tam nepakanka ir vien nuorodos į šaltinį, aprašome straipsnyje DI GRC srityje: citavimas nėra patikrinimas.

Ne mažiau svarbus mums yra Rasmusseno reikalavimas, kad reikalavimai, kontrolės priemonės ir įrodymai būtų mašininiu būdu nuskaitomi. Agentas gali dirbti tik tiek patikimai, kiek patikima yra struktūra, kuria jis remiasi. Ką didžiosios analitikų bendrovės apskritai sako apie rinką, skaitykite straipsnyje GRC rinka 2026 m.: ką Forrester, Verdantix ir GRC 20/20 sako apie DI ir platformas.

Išvada

GRC 7.0 yra ne tiek nauja produktų kategorija, kiek vertinimo matas. Rasmussenas aprašo architektūrą, kurioje kartu veikia autoritetingi duomenys, sprendimų kontekstas, kontroliuojamas vykdymas ir patikrinamas pritaikymas. DI agentai joje yra svarbus komponentas, tačiau pažanga tik tada, kai jų įgaliojimai aiškiai sureguliuoti, o rezultatai tikrinami. Todėl įmonės turėtų paprašyti tiekėjų pačios įmonės naudojimo atvejo pavyzdžiu parodyti, kur agentas tik siūlo, kur jam leidžiama veikti ir kas kiekvienu atveju prisiima atsakomybę.

Šaltiniai

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, 2026 m. spalis)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 2026 m. spalio 14 d.)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 2025 m. liepos 10 d.)