GRC 7.0: wat GRC Orchestrate van Michael Rasmussen betekent voor organisaties

Waarom GRC 7.0 juist nu wordt besproken

Michael Rasmussen heeft de term GRC gemunt. Volgens zijn eigen weergave beschreef hij governance, risicomanagement en compliance in februari 2002 als analist bij Forrester Research voor het eerst als geïntegreerde aanpak en bedacht hij daarvoor het acroniem. GRC 20/20 Vandaag leidt hij het analistenbureau GRC 20/20 Research en deelt hij de markt in generaties in.

In oktober 2026 publiceerde hij daarover een Market Perspective van 143 pagina's: “GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market”. GRC 20/20 Het volledige rapport is voorbehouden aan klanten. De openbare samenvatting, de inhoudsopgave en meerdere vrij toegankelijke artikelen van Rasmussen laten echter duidelijk zien waar het om gaat. Dit artikel vat het model samen en laat zien welke vragen organisaties eruit kunnen afleiden voor de selectie en het beheer van hun GRC-tools.

De kernstelling: functies worden goedkoop, verantwoordelijkheid wordt waardevol

Het uitgangspunt van Rasmussen is een verschuiving in de markt. Kunstmatige intelligentie maakt zichtbare softwarefuncties minder schaars. Tegelijkertijd winnen vier dingen aan belang: betrouwbare informatie, bedrijfscontext, gespecialiseerde vakinhoudelijke methodiek en een uitvoering waarvoor iemand verantwoordelijkheid draagt. GRC 20/20

Daaruit volgt het centrale onderscheid van het rapport: GRC 7.0 is een operationele architectuur, geen verzameling AI-functies. Een chatvenster kan de bediening verbeteren, maar vervangt niet het werk aan architectuur en methodiek, schrijft Rasmussen. GRC 20/20 De lat legt hij even duidelijk: technologie moet efficiëntie, effectiviteit, veerkracht en wendbaarheid verbeteren door betere beslissingen en controleerbare resultaten.

Van GRC 1.0 tot 6.0: generaties, geen koopadvies

Rasmussen beschrijft de ontwikkeling van de markt in generaties. Hij benadrukt dat het gaat om elkaar overlappende capaciteiten, niet om een trap en niet om een oproep om acht platforms na elkaar te kopen. GRC 20/20

De grens van de eerdere generaties beschrijft Rasmussen zo: een systeem kan uitstekende registraties bevatten en mensen toch aan hun lot overlaten wanneer het erom gaat de context samen te stellen, over de volgende stap te beslissen en de benodigde capaciteit op te bouwen. Precies daar begint GRC 7.0.

De drie systemen van GRC 7.0

Het System of Record blijft de basis. Daaromheen legt GRC 7.0 een orkestratiesysteem dat drie elkaar aanvullende systemen verbindt. GRC 20/20

System of Intelligence: van signaal naar beslissingscontext

Het System of Intelligence verzamelt interne en externe signalen en maakt er beslissingscontext van. Een verstoring bij een leverancier, een nieuwe wettelijke eis of een afwijking in de prestaties moet worden verbonden met de betrokken doelen, diensten, verplichtingen en afhankelijkheden. Het nuttige resultaat is een onderbouwde uitleg van de gevolgen en opties, inclusief ontbrekende informatie en onzekerheden.

Rasmussen hecht daarbij aan een onderscheid: leidinggevenden moeten kunnen zien wat een vastgesteld feit is, wat een conclusie en wat een aanname die de beslissing zou kunnen veranderen. De inhoudsopgave van het rapport noemt daarvoor onder meer herkomst en tijdstip van informatie, entity resolution, ontologieën en op bevoegdheden gecontroleerde zoekopdrachten.

System of Action: uitvoering met duidelijke bevoegdheden

Het System of Action coördineert de reactie. Agents kunnen binnen vastgelegde grenzen zelfstandig werken, semi-autonoom handelen met menselijke vrijgave en taken afstemmen over mensen en systemen heen. Een agent kan bewijs verzamelen, een impactanalyse voorbereiden, een beslissing doorsturen of een toegestane wijziging uitvoeren.

Doorslaggevend is dat de bevoegdheid uitdrukkelijk geregeld is: wat er mag gebeuren, onder welke voorwaarden, wie verantwoordelijk is en hoe het resultaat wordt gecontroleerd. Rasmussen maakt dat concreet met twee voorbeelden. Het vermogen om een leverancier aan te bevelen betekent niet de bevoegdheid om hem goed te keuren. En een afgeronde workflow bewijst niet dat een dienst is hersteld. Het systeem moet handelingen verbinden met een waarneembaar bedrijfsresultaat en escaleren wanneer bevoegdheden of bewijs tekortschieten.

System of Configuration: capaciteiten opbouwen in vaktaal

Het System of Configuration moet GRC-capaciteiten snel opbouwen en aanpassen, in de taal van het vakgebied. Een team beschrijft wat het nodig heeft, bijvoorbeeld een nieuwe beoordeling of een proces voor verplichtingen, en de technologie helpt daarvoor datastructuren, relaties, regels, interfaces en integraties te genereren.

Rasmussen verbindt deze belofte met duidelijke voorwaarden: validatie, bevoegdheden, tests en gecontroleerde uitrol. Een helder beschreven bedoeling is het begin van een betrouwbare capaciteit, geen bewijs dat het gegenereerde resultaat klopt. In het rapport staat dan ook dat tests onafhankelijk genoeg moeten zijn om de generatie ter discussie te stellen, en dat de uitrol een governancebeslissing is.

De waarde zit in de verbinding

Op zichzelf is geen van de drie systemen nieuw. Het verschil zit in hun verbinding: Intelligence herkent een veranderde situatie, Action coördineert een passende reactie, Configuration bouwt de capaciteit op die de nieuwe situatie vraagt. Leren mag het samenspel verbeteren, maar zonder dat een systeem stilletjes zijn eigen bevoegdheden herschrijft.

Agents verdienen hun bevoegdheden

In een eerdere artikelreeks over GRC Orchestrate beschrijft Rasmussen agents als onderdeel van een cyclus van observeren, analyseren, handelen en escaleren. Overschrijdt een situatie de drempel van een agent, dan informeert hij de verantwoordelijke mens. GRC 20/20

Hij erkent daar ook dat de markt nog aan het begin staat. AI zou tot nu toe vooral via afzonderlijke functies zijn binnengekomen, zoals risicobeoordelingen, regulatory mapping en chatinterfaces. Echte orkestratie van gecoördineerde agents zou nog in ontwikkeling zijn. Als voorwaarden tot 2030 noemt hij:

• uniforme taxonomieën en metadata over alle GRC-domeinen
• beleid, risico's, controls en verplichtingen in machineleesbare vorm
• ethische en operationele vangrails voor het gedrag van AI
• een governancecultuur die AI als betrokkene behandelt, niet alleen als hulpmiddel

Voor organisaties is vooral het tweede punt een goede toetssteen. Wie eisen, maatregelen en bewijs nu al gestructureerd en machineleesbaar beheert, bijvoorbeeld in het open formaat OSCAL, legt de basis waarop agents betrouwbaar kunnen werken. Meer daarover leest u in Wat is OSCAL?

Vooruitblik: GRC 8.0 en digital twins

Voor de periode vanaf circa 2030 beschrijft Rasmussen GRC 8.0, “Quantum GRC”. Daarmee bedoelt hij diepgaande digital twins van de organisatie en haar toeleveringsketen op drie niveaus: strategische richting, doelen en prestaties, en operatie en uitvoering. Organisaties moeten daarmee mogelijke toekomsten kunnen doorspelen voordat ze zich vastleggen. Rasmussen spreekt van een “Risk Holodeck”. GRC 20/20

Hij plaatst dat uitdrukkelijk als toekomstvisie, niet als een capaciteit die al beschikbaar is. Ook een overtuigend gepresenteerde simulatie kan onjuist zijn; haar waarde hangt af van de kwaliteit van het model en van de informatie, en van een eerlijke omgang met wat onbekend blijft. Met quantumcomputing in letterlijke zin heeft de term slechts zijdelings te maken; het rapport behandelt dat als een aparte vraag.

Welke vragen organisaties aanbieders nu moeten stellen

Rasmussen raadt aan om een werkende basis niet zonder noodzaak te vervangen. Een systeem alleen vervangen omdat het generatienummer ouderwets klinkt, noemt hij een duur misverstand. In plaats daarvan zouden organisaties aanbieders een samenhangend bedrijfsscenario moeten laten demonstreren en daarbij vragen: GRC 20/20

1. Welk doel dient deze capaciteit, en hoe wordt de verbetering gemeten?
2. Hoe wordt een interne of externe verandering relevante informatie?
3. Wat mag het systeem zelf doen, wat vraagt menselijke vrijgave, en hoe worden bevoegdheden afgedwongen?
4. Kan een zinvolle capaciteit in vaktaal worden opgebouwd, en kan het resultaat daarna worden gecontroleerd en getest?
5. Hoe gedraagt het systeem zich wanneer informatie tegenstrijdig is, een afhankelijkheid ontbreekt of een persoon die moet vrijgeven niet bereikbaar is?
6. Welk bewijs toont aan dat het gewenste resultaat daadwerkelijk is bereikt?

Om te beginnen adviseert hij een nauw afgebakende aanpak: één doel, één afgebakende use case, één verantwoordelijke persoon, één uitgangswaarde en één veerkrachttest. Gemeten moeten worden de veronderstelde resultaten en de volledige operationele inspanning, inclusief controle, correctie, integratie en toezicht. Het bewijs bepaalt dan of er wordt uitgebreid, bijgestuurd of gestopt.

Wat wij er bij Secani uit meenemen

Het nuttigst vinden we het onderscheid dat Rasmussen maakt tussen het vermogen om iets voor te stellen en de bevoegdheid om erover te beslissen. Daarop richten we de Secani-agent in: hij bereidt beoordelingen voor, legt verbanden en onderbouwt zijn voorstellen. De beslissing of een maatregel als doeltreffend geldt of een risico wordt geaccepteerd, hoort bij de verantwoordelijke persoon te blijven. Waarom ook een bronlink daarvoor alleen niet volstaat, beschrijven we in AI in GRC: citeren is niet toetsen.

Even belangrijk is voor ons dat Rasmussen machineleesbare eisen, maatregelen en bewijs verlangt. Een agent kan alleen zo betrouwbaar werken als de structuur waarop hij steunt. Hoe de grote analistenbureaus zich in het algemeen over de markt uitlaten, leest u in GRC-markt 2026: wat Forrester, Verdantix en GRC 20/20 zeggen over AI en platforms.

Conclusie

GRC 7.0 is minder een nieuwe productcategorie dan een toetsingsmaatstaf. Rasmussen beschrijft een architectuur waarin gezaghebbende gegevens, beslissingscontext, gecontroleerde uitvoering en controleerbare aanpassing samenwerken. AI-agents zijn daarin een belangrijke bouwsteen, maar alleen een vooruitgang als hun bevoegdheden duidelijk geregeld zijn en hun resultaten worden gecontroleerd. Organisaties zouden zich daarom aan de hand van de eigen use case moeten laten tonen waar een agent alleen voorstelt, waar hij mag handelen en wie telkens de verantwoordelijkheid draagt.

Bronnen

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 oktober 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 juli 2025)