GRC 7.0: o que o GRC Orchestrate de Michael Rasmussen significa para as organizações

Porque se discute a GRC 7.0 precisamente agora

Michael Rasmussen cunhou o termo GRC. Segundo o próprio, em fevereiro de 2002, enquanto analista da Forrester Research, descreveu pela primeira vez a governação, a gestão do risco e a conformidade como uma abordagem integrada e criou o acrónimo para a designar. GRC 20/20 Hoje dirige a casa de análise GRC 20/20 Research e organiza o mercado em gerações.

Em outubro de 2026, publicou sobre o tema uma Market Perspective de 143 páginas: «GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market». GRC 20/20 O relatório completo está reservado a clientes. O resumo público, o índice e vários artigos de acesso livre de Rasmussen mostram, no entanto, com clareza do que se trata. Este artigo resume o modelo e mostra que perguntas as organizações podem retirar dele para a seleção e a operação das suas ferramentas de GRC.

A tese central: as funcionalidades tornam-se baratas, a responsabilidade torna-se valiosa

O ponto de partida de Rasmussen é uma deslocação no mercado. A inteligência artificial torna as funcionalidades visíveis do software menos escassas. Ao mesmo tempo, quatro coisas ganham importância: informação fiável, contexto de negócio, metodologia especializada e uma execução pela qual alguém é responsável. GRC 20/20

Daqui decorre a distinção central do relatório: a GRC 7.0 é uma arquitetura operacional, não um conjunto de funcionalidades de IA. Uma janela de chat pode melhorar a utilização, mas não substitui o trabalho de arquitetura e de metodologia, escreve Rasmussen. GRC 20/20 Formula a fasquia com a mesma clareza: a tecnologia tem de melhorar a eficiência, a eficácia, a resiliência e a agilidade através de melhores decisões e de resultados verificáveis.

Da GRC 1.0 à 6.0: gerações, não uma recomendação de compra

Rasmussen descreve a evolução do mercado em gerações. Sublinha que se trata de capacidades que se sobrepõem, não de uma escada nem de um convite a comprar oito plataformas sucessivas. GRC 20/20

Rasmussen descreve assim o limite das gerações anteriores: um sistema pode conter registos excelentes e, ainda assim, deixar as pessoas sozinhas quando se trata de reunir o contexto, decidir o passo seguinte e criar a capacidade necessária. É precisamente aí que entra a GRC 7.0.

Os três sistemas da GRC 7.0

O System of Record continua a ser a base. Em torno dele, a GRC 7.0 coloca um sistema de orquestração que liga três sistemas complementares. GRC 20/20

System of Intelligence: do sinal ao contexto de decisão

O System of Intelligence recolhe sinais internos e externos e transforma-os em contexto de decisão. Uma perturbação num fornecedor, uma nova exigência regulamentar ou um desvio no desempenho têm de ser ligados aos objetivos, serviços, obrigações e dependências afetados. O resultado útil é uma explicação fundamentada das consequências e das opções, incluindo a informação em falta e as incertezas.

Rasmussen dá importância a uma distinção: os dirigentes têm de conseguir perceber o que é um facto confirmado, o que é uma conclusão e o que é um pressuposto que poderia alterar a decisão. O índice do relatório menciona, entre outros, a origem e o momento da informação, a resolução de entidades (entity resolution), ontologias e consultas sujeitas a verificação de permissões.

System of Action: execução com competências claras

O System of Action coordena a resposta. Os agentes podem trabalhar de forma autónoma dentro de limites definidos, agir de forma semiautónoma com aprovação humana e articular tarefas entre pessoas e sistemas. Um agente pode recolher evidências, preparar uma análise de impacto, encaminhar uma decisão ou executar uma alteração permitida.

O decisivo é que a competência esteja expressamente regulada: o que pode acontecer, em que condições, quem é responsável e como é verificado o resultado. Rasmussen ilustra isto com dois exemplos. A capacidade de recomendar um fornecedor não significa a competência para o aprovar. E um fluxo de trabalho concluído não prova que um serviço foi reposto. O sistema tem de ligar as ações a um resultado de negócio observável e escalar quando as competências ou as evidências não são suficientes.

System of Configuration: criar capacidades na linguagem do negócio

O System of Configuration deve criar e adaptar rapidamente capacidades de GRC, na linguagem da área de negócio. Uma equipa descreve aquilo de que precisa, por exemplo uma nova avaliação ou um processo para obrigações, e a tecnologia ajuda a gerar para isso estruturas de dados, relações, regras, interfaces e integrações.

Rasmussen associa esta promessa a condições claras: validação, permissões, testes e implementação controlada. Uma intenção claramente descrita é o início de uma capacidade fiável, não a prova de que o resultado gerado está correto. Em conformidade, o relatório afirma que os testes têm de ser suficientemente independentes para pôr em causa a geração e que a implementação é uma decisão de governação.

O valor está na ligação

Isoladamente, nenhum dos três sistemas é novo. A diferença está na sua ligação: a Intelligence deteta uma alteração da situação, a Action coordena uma resposta adequada, a Configuration cria a capacidade que a nova situação exige. A aprendizagem pode melhorar esta articulação, mas sem que um sistema reescreva silenciosamente as suas próprias competências.

Os agentes ganham as suas competências

Numa série anterior de artigos sobre o GRC Orchestrate, Rasmussen descreve os agentes como parte de um ciclo de observar, analisar, agir e escalar. Quando uma situação ultrapassa o limiar de um agente, este informa a pessoa responsável. GRC 20/20

Aí reconhece também que o mercado ainda está no início. Até agora, a IA terá chegado sobretudo através de funcionalidades isoladas, como avaliações de risco, mapeamento regulamentar e interfaces de chat. A verdadeira orquestração de agentes coordenados estaria ainda a surgir. Como pré-requisitos até 2030, aponta:

• taxonomias e metadados uniformes em todos os domínios de GRC
• políticas, riscos, controlos e obrigações em formato legível por máquina
• salvaguardas éticas e operacionais para o comportamento da IA
• uma cultura de governação que trate a IA como interveniente e não apenas como ferramenta

Para as organizações, é sobretudo o segundo ponto que serve de boa pedra de toque. Quem já hoje mantém requisitos, medidas e evidências de forma estruturada e legível por máquina, por exemplo no formato aberto OSCAL, cria a base sobre a qual os agentes podem trabalhar de forma fiável. Saiba mais em O que é o OSCAL?

Perspetivas: a GRC 8.0 e os gémeos digitais

Para o período a partir de cerca de 2030, Rasmussen descreve a GRC 8.0, «Quantum GRC». Trata-se de gémeos digitais profundos da organização e da sua cadeia de abastecimento em três níveis: orientação estratégica, objetivos e desempenho, e operação e execução. Com eles, as organizações deverão poder simular futuros possíveis antes de se comprometerem. Rasmussen fala de um «Risk Holodeck». GRC 20/20

Enquadra isto expressamente como uma visão de futuro, não como uma capacidade já disponível. Mesmo uma simulação apresentada de forma convincente pode estar errada; o seu valor depende da qualidade do modelo, da informação e de uma forma honesta de lidar com aquilo que continua desconhecido. Com a computação quântica em sentido literal, o termo só tem uma relação marginal; o relatório trata isso como uma questão à parte.

Que perguntas as organizações devem fazer já aos fornecedores

Rasmussen recomenda não substituir sem necessidade fundamentos que funcionam. Trocar um sistema só porque o número da sua geração soa antiquado seria um equívoco caro. Em vez disso, as organizações deveriam pedir aos fornecedores que demonstrassem um cenário de negócio coerente e perguntar: GRC 20/20

1. Que objetivo serve esta capacidade, e como é medida a melhoria?
2. Como é que uma mudança interna ou externa se torna informação relevante?
3. O que pode o sistema fazer sozinho, o que exige aprovação humana, e como são impostas as competências?
4. É possível criar uma capacidade útil na linguagem do negócio, e consegue-se depois verificar e testar o resultado?
5. Como se comporta o sistema quando a informação é contraditória, falta uma dependência ou uma pessoa que tem de aprovar não está contactável?
6. Que evidência comprova que o resultado pretendido foi efetivamente alcançado?

Para começar, aconselha uma abordagem estritamente delimitada: um objetivo, um caso de uso circunscrito, uma pessoa responsável, um valor de referência e um teste de resiliência. Devem ser medidos os resultados assumidos e todo o esforço operacional, incluindo verificação, correção, integração e supervisão. As evidências decidem então se se alarga, se ajusta ou se para.

O que retiramos disto na Secani

O que consideramos mais útil é a distinção que Rasmussen faz entre a capacidade de propor algo e a competência para o decidir. É por ela que orientamos o agente da Secani: prepara avaliações, estabelece ligações e fundamenta as suas propostas. A decisão sobre se uma medida é considerada eficaz ou se um risco é aceite deve ficar com a pessoa responsável. Porque é que, também aqui, uma ligação para a fonte, por si só, não basta, descrevemos em IA em GRC: citar não é verificar.

Igualmente importante é, para nós, a exigência de Rasmussen de requisitos, medidas e evidências legíveis por máquina. Um agente só pode trabalhar com a fiabilidade que a estrutura em que assenta lhe permite. Como se pronunciam, no seu conjunto, as grandes casas de análise sobre o mercado, pode ler em Mercado de GRC em 2026: o que dizem a Forrester, a Verdantix e a GRC 20/20 sobre IA e plataformas.

Conclusão

A GRC 7.0 é menos uma nova categoria de produto do que um critério de avaliação. Rasmussen descreve uma arquitetura na qual dados de referência, contexto de decisão, execução controlada e adaptação verificável atuam em conjunto. Os agentes de IA são aí uma peça importante, mas só representam um progresso quando as suas competências estão claramente reguladas e os seus resultados são verificados. Por isso, as organizações deveriam pedir que lhes mostrassem, no seu próprio caso de uso, onde um agente apenas propõe, onde pode agir e quem assume, em cada caso, a responsabilidade.

Fontes

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, outubro de 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 de outubro de 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 de julho de 2025)