GRC 9.0: porque é que a última geração se chama Embedded GRC – uma previsão

Onde termina o modelo de Rasmussen

Michael Rasmussen descreve o mercado de GRC em gerações. A GRC 7.0, «GRC Orchestrate», é para ele o presente até cerca de 2030: uma articulação entre contexto de decisão (Intelligence), agentes com competências claramente reguladas (Action) e capacidades que as áreas de negócio constroem elas próprias (Configuration). Para o período a partir de cerca de 2030, esboça a GRC 8.0, «Quantum GRC»: gémeos digitais da empresa com os quais as organizações simulam futuros possíveis antes de decidirem – chama-lhe um «Risk Holodeck». GRC 20/20 Enquadrámos o modelo em detalhe em GRC 7.0: o que o GRC Orchestrate de Michael Rasmussen significa para as organizações.

Depois disso, o modelo termina. Rasmussen não descreve uma geração 9.0 e, tanto quanto sabemos, ninguém mais a definiu.

Este artigo preenche essa lacuna com uma avaliação própria. É importante dizê-lo desde já: o que se segue não é um modelo de analista nem um resumo de investigação alheia, mas a nossa previsão fundamentada – derivada de desenvolvimentos que já hoje são comprováveis. No final, apresentamos as objeções que pesam contra ela.

Uma pergunta ordena todas as gerações

Quem lê as gerações 1.0 a 8.0 de seguida percebe que, no essencial, respondem à mesma pergunta: onde acontece a governação?

Seguindo esta linha, falta exatamente um lugar: o próprio sistema. Não uma ferramenta de GRC ao lado do negócio, mas a governação como propriedade dos sistemas que fazem funcionar o negócio.

A nossa tese: a GRC 9.0 é Embedded GRC

Esperamos que a próxima geração comece por volta de 2035 e tenha três características.

A conformidade torna-se uma propriedade dos sistemas

Hoje, as equipas comprovam a posteriori que os sistemas cumprem os requisitos: recolhem capturas de ecrã, exportam relatórios, preenchem modelos de auditoria. Na próxima geração, as aplicações nascem com compromissos de controlo legíveis por máquina, e a evidência surge na operação como subproduto. Os blocos de construção para isso já existem: o OSCAL descreve requisitos, controlos e avaliações de forma legível por máquina (ver O que é o OSCAL?), o FedRAMP já aceita pacotes neste formato (ver O FedRAMP passa a ser legível por máquina), as SBOM e as CBOM descrevem componentes de software e de criptografia. Uma auditoria verifica então o sistema gerador e a sua configuração – e já não mil comprovativos isolados.

A confiança troca-se entre organizações de máquina para máquina

Avaliar fornecedores significa hoje: enviar questionários, arquivar respostas, repetir anualmente. A NIS2 e o DORA já impõem obrigações às cadeias de abastecimento, com gestão de riscos e compromissos contratuais, e o Cyber Resilience Act traz, a partir do final de 2027, SBOM legíveis por máquina como documentação do fabricante. O próximo passo é previsível: um fornecedor comprova um controlo uma única vez, com assinatura criptográfica, e todos os clientes assumem essa evidência de forma automática. O questionário não morre por proibição, mas por se ter tornado supérfluo.

O recurso escasso é a responsabilidade

A tese central do próprio Rasmussen sobre a GRC 7.0 é: a IA torna as funcionalidades de software baratas; valiosas tornam-se a informação fiável, o contexto e a responsabilidade. Levado até ao fim, isto significa: quando os agentes avaliam, simulam e executam, resta como núcleo humano exatamente uma tarefa – decidir quem responde pelo quê e que risco uma organização assume conscientemente. O System of Record da próxima geração já não é, por isso, um arquivo de documentos, mas um registo de decisões e competências.

Porquê a partir de 2035

Um ano numa previsão é atacável, por isso fundamentamo-lo duplamente.

Primeiro, o ritmo do próprio modelo: segundo Rasmussen, a GRC 7.0 vai de 2025 a 2030 e a GRC 8.0 começa por volta de 2030. As gerações mais recentes duram cerca de cinco anos; a próxima começaria, portanto, por volta de 2035.

Segundo, a regulação aponta, de forma independente, para o mesmo ano. Até 2035, a transição à escala da UE para a criptografia pós-quântica deverá estar em grande parte concluída, e o projeto NIST IR 8547 faz o RSA e a ECC expirarem depois de 2035 (os prazos em detalhe: Criptografia pós-quântica: os prazos de 2026, 2030 e 2035 e o que é vinculativo). No caminho até lá, os inventários criptográficos, as CBOM e as evidências legíveis por máquina estão a surgir em larga escala – como recomendação urgente do roteiro da UE e da diretriz alemã, para as entidades NIS2 também juridicamente sustentados através do estado da técnica. Precisamente a infraestrutura que o Embedded GRC pressupõe está, portanto, a nascer agora – não por visão, mas impulsionada pela regulação.

Mais precisos do que «a partir de cerca de 2035» não queremos ser. Datar uma previsão a oito anos com um ano ao algarismo exato seria uma falsa precisão.

Duas objeções que levamos a sério

A objeção do holodeck. A GRC 8.0 pressupõe uma qualidade de dados que muitas organizações hoje nem sequer alcançam para o seu inventário criptográfico – que o roteiro da UE prevê até ao final de 2026 e que em muitos sítios está apenas agora a nascer. Esperamos, por isso, que a simulação funcione primeiro em recortes estreitos e bem modeláveis, por exemplo cenários de cadeia de abastecimento ou de falha, e não como gémeo de toda a empresa. Quem hoje distribui orçamento deveria investi-lo mais em qualidade de dados do que em ferramentas de simulação.

A antítese: fragmentação em vez de fusão. Também pode correr de outra forma. A regulação cresce atualmente mais depressa do que a sua harmonização: o Regulamento IA, o DORA, a NIS2, o Cyber Resilience Act e vias nacionais próprias impõem, cada um, requisitos próprios com canais de comunicação próprios. Em vez de uma disciplina convergente, poderiam voltar a surgir silos por domínio jurídico – desta vez, cada um com os seus próprios agentes. Isso seria a GRC 1.0 a um nível mais elevado. Qual das duas direções vence decide-se pela questão de saber se os formatos legíveis por máquina se tornam transversais aos domínios jurídicos ou próprios de cada regulação.

O que compensa já hoje

O lado prático desta previsão: a preparação é a mesma, concretize-se ela ou não. Quem hoje mantém requisitos, medidas e evidências de forma estruturada e legível por máquina está bem posicionado para qualquer das duas direções – para o Embedded GRC, desde logo, e num mundo fragmentado um acervo estruturado é a única hipótese realista de servir vários domínios jurídicos sem trabalho em duplicado. O mesmo vale para a delimitação de competências: quem hoje regista o que um agente pode propor e o que uma pessoa tem de decidir constrói o registo de decisões que mais tarde formará o núcleo.

Por isso, com a categoria GRC não desaparece o trabalho. O que se desloca é aquilo que as pessoas fazem: menos reunir comprovativos, mais tomar decisões e responder por elas.

Conclusão

A nossa previsão numa frase: a GRC 9.0 começa por volta de 2035, chama-se, na substância, Embedded GRC – a governação como propriedade dos sistemas, confiança federada entre organizações, a responsabilidade como última instância humana – e é a última geração, porque depois dela a governação deixa de ser uma categoria própria. Nada nisto é certo, exceto a direção da infraestrutura: requisitos, inventários e evidências legíveis por máquina estão a impor-se, impulsionados pela regulação. Se daí resulta fusão ou fragmentação permanece em aberto. A preparação é a mesma em ambos os casos.

Fontes

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, outubro de 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 de outubro de 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream do NIS Cooperation Group, junho de 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 de novembro de 2024)