GRC 7.0: ce înseamnă GRC Orchestrate al lui Michael Rasmussen pentru organizații

De ce se discută despre GRC 7.0 tocmai acum

Michael Rasmussen a creat termenul GRC. Potrivit propriei relatări, în februarie 2002, ca analist la Forrester Research, a descris pentru prima dată guvernanța, managementul riscului și conformitatea ca pe o abordare integrată și a creat acronimul pentru aceasta. GRC 20/20 Astăzi conduce firma de analiză GRC 20/20 Research și clasifică piața pe generații.

În octombrie 2026, a publicat pe această temă o Market Perspective de 143 de pagini: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market”. GRC 20/20 Raportul complet este rezervat clienților. Rezumatul public, cuprinsul și mai multe articole ale lui Rasmussen accesibile gratuit arată însă clar despre ce este vorba. Acest articol rezumă modelul și arată ce întrebări pot deduce organizațiile din el pentru selecția și operarea instrumentelor lor GRC.

Teza centrală: funcțiile devin ieftine, responsabilitatea devine valoroasă

Punctul de plecare al lui Rasmussen este o schimbare pe piață. Inteligența artificială face funcțiile software vizibile mai puțin rare. În același timp, patru lucruri câștigă în importanță: informațiile fiabile, contextul de business, metodologia de specialitate și o execuție pentru care cineva poartă responsabilitatea. GRC 20/20

De aici rezultă delimitarea centrală a raportului: GRC 7.0 este o arhitectură operațională, nu o acumulare de funcții de IA. O fereastră de chat poate îmbunătăți utilizarea, dar nu înlocuiește munca asupra arhitecturii și metodologiei, scrie Rasmussen. GRC 20/20 La fel de clar formulează și criteriul: tehnologia trebuie să îmbunătățească eficiența, eficacitatea, reziliența și agilitatea prin decizii mai bune și rezultate verificabile.

De la GRC 1.0 la 6.0: generații, nu o recomandare de cumpărare

Rasmussen descrie evoluția pieței în generații. El subliniază că este vorba despre capabilități care se suprapun, nu despre o scară și nici despre îndemnul de a cumpăra opt platforme una după alta. GRC 20/20

Limita generațiilor de până acum o descrie Rasmussen astfel: un sistem poate conține înregistrări excelente și totuși să lase oamenii singuri atunci când trebuie să asambleze contextul, să decidă următorul pas și să construiască capabilitatea necesară. Exact aici intervine GRC 7.0.

Cele trei sisteme ale GRC 7.0

System of Record rămâne fundamentul. În jurul lui, GRC 7.0 așază un sistem de orchestrare care conectează trei sisteme complementare. GRC 20/20

System of Intelligence: de la semnal la contextul deciziei

System of Intelligence colectează semnale interne și externe și le transformă în context pentru decizii. O perturbare la un furnizor, o nouă cerință de reglementare sau o abatere de performanță trebuie conectată cu obiectivele, serviciile, obligațiile și dependențele afectate. Rezultatul util este o explicație argumentată a consecințelor și opțiunilor, inclusiv a informațiilor lipsă și a incertitudinilor.

Rasmussen pune accent pe o distincție: conducătorii trebuie să poată recunoaște ce este un fapt stabilit, ce este o concluzie și ce este o ipoteză care ar putea schimba decizia. Cuprinsul raportului menționează în acest sens, printre altele, proveniența și momentul informațiilor, Entity Resolution, ontologiile și interogările cu verificarea drepturilor de acces.

System of Action: execuție cu competențe clare

System of Action coordonează reacția. Agenții pot lucra independent în limite stabilite, pot acționa semiautonom cu aprobare umană și pot coordona sarcini între oameni și sisteme. Un agent poate colecta dovezi, pregăti o analiză de impact, redirecționa o decizie sau executa o modificare permisă.

Decisiv este ca autoritatea să fie reglementată explicit: ce are voie să se întâmple, în ce condiții, cine este responsabil și cum este verificat rezultatul. Rasmussen ilustrează acest lucru prin două exemple. Capacitatea de a recomanda un furnizor nu înseamnă autoritatea de a-l aproba. Iar un flux de lucru încheiat nu dovedește că un serviciu a fost restabilit. Sistemul trebuie să lege acțiunile de un rezultat de business observabil și să escaladeze atunci când competențele sau dovezile nu sunt suficiente.

System of Configuration: construirea capabilităților în limbajul de business

System of Configuration ar trebui să construiască și să adapteze rapid capabilități GRC, în limbajul departamentului respectiv. O echipă descrie de ce are nevoie, de exemplu o nouă evaluare sau un proces pentru obligații, iar tehnologia ajută la generarea structurilor de date, relațiilor, regulilor, interfețelor și integrărilor necesare.

Rasmussen leagă această promisiune de condiții clare: validare, drepturi de acces, teste și implementare controlată. O intenție clar descrisă este începutul unei capabilități fiabile, nu dovada că rezultatul generat este corect. În consecință, raportul afirmă că testele trebuie să fie suficient de independente pentru a pune la îndoială generarea, iar implementarea este o decizie de guvernanță.

Valoarea stă în conexiune

Luat separat, niciunul dintre cele trei sisteme nu este nou. Diferența o face conexiunea lor: Intelligence recunoaște o situație schimbată, Action coordonează o reacție adecvată, Configuration construiește capabilitatea pe care o cere noua situație. Învățarea poate îmbunătăți interacțiunea, dar fără ca vreun sistem să-și rescrie în tăcere propriile competențe.

Agenții își câștigă competențele

Într-o serie anterioară de articole despre GRC Orchestrate, Rasmussen descrie agenții ca parte a unui ciclu de observare, analiză, acțiune și escaladare. Dacă o situație depășește pragul unui agent, acesta informează persoana responsabilă. GRC 20/20

Tot acolo admite că piața se află încă la început. IA a sosit până acum mai ales prin funcții individuale, precum evaluările de risc, maparea reglementărilor și interfețele de chat. Adevărata orchestrare a unor agenți coordonați abia se conturează. Drept condiții prealabile până în 2030 menționează:

• taxonomii și metadate unitare în toate domeniile GRC
• politici, riscuri, controale și obligații în formă lizibilă automat
• limite de protecție etice și operaționale pentru comportamentul IA
• o cultură a guvernanței care tratează IA ca participant, nu doar ca instrument

Pentru organizații, în special al doilea punct este un bun criteriu de verificare. Cine gestionează deja astăzi cerințele, măsurile și dovezile în mod structurat și lizibil automat, de exemplu în formatul deschis OSCAL, creează baza pe care agenții pot lucra în mod fiabil. Mai multe despre aceasta citiți în Ce este OSCAL?

Perspectivă: GRC 8.0 și gemenii digitali

Pentru perioada de după aproximativ 2030, Rasmussen descrie GRC 8.0, „Quantum GRC”. Este vorba despre gemeni digitali profunzi ai organizației și ai lanțului său de aprovizionare, pe trei niveluri: orientarea strategică, obiectivele și performanța, precum și operațiunile și execuția. Cu ajutorul lor, organizațiile ar trebui să poată simula viitoruri posibile înainte de a se angaja. Rasmussen vorbește despre un „Risk Holodeck”. GRC 20/20

El încadrează acest lucru explicit ca viziune de viitor, nu ca o capabilitate deja disponibilă. Chiar și o simulare prezentată convingător poate fi greșită; valoarea ei depinde de calitatea modelului, a informațiilor și de o abordare onestă a ceea ce rămâne necunoscut. Cu calculul cuantic în sens literal, termenul are doar o legătură marginală; raportul tratează acest aspect ca pe o chestiune separată.

Ce întrebări ar trebui să le adreseze acum organizațiile furnizorilor

Rasmussen recomandă ca fundamentele care funcționează să nu fie înlocuite fără necesitate. A schimba un sistem doar pentru că numărul generației sale sună demodat ar fi o neînțelegere costisitoare. În schimb, organizațiile ar trebui să le ceară furnizorilor să le prezinte un scenariu de business coerent și să întrebe: GRC 20/20

1. Cărui obiectiv îi servește această capabilitate și cum este măsurată îmbunătățirea?
2. Cum devine o schimbare internă sau externă informație relevantă?
3. Ce are voie sistemul să facă singur, ce necesită aprobare umană și cum sunt impuse competențele?
4. Se poate construi o capabilitate relevantă în limbajul de business și se poate apoi verifica și testa rezultatul?
5. Cum se comportă sistemul atunci când informațiile sunt contradictorii, lipsește o dependență sau persoana care trebuie să aprobe nu este disponibilă?
6. Ce dovadă atestă că rezultatul dorit s-a produs cu adevărat?

Pentru început, el recomandă o abordare strict delimitată: un obiectiv, un caz de utilizare bine delimitat, o persoană responsabilă, o valoare de referință și un test de reziliență. Ar trebui măsurate rezultatele presupuse și efortul operațional total, inclusiv verificarea, corectarea, integrarea și supravegherea. Dovezile decid apoi dacă abordarea este extinsă, ajustată sau oprită.

Ce reținem la Secani

Cea mai utilă ni se pare distincția lui Rasmussen între capacitatea de a propune ceva și autoritatea de a decide asupra acelui lucru. După ea ne orientăm agentul Secani: pregătește evaluări, stabilește legături și își justifică propunerile. Decizia dacă o măsură este considerată eficace sau dacă un risc este acceptat trebuie să rămână la persoana responsabilă. De ce nici un link către sursă nu este suficient în sine pentru aceasta descriem în AI în GRC: a cita nu înseamnă a verifica.

La fel de importantă este pentru noi insistența lui Rasmussen asupra cerințelor, măsurilor și dovezilor lizibile automat. Un agent poate lucra doar atât de fiabil cât de fiabilă este structura pe care se sprijină. Ce spun marile firme de analiză despre piață în ansamblu citiți în Piața GRC în 2026: ce spun Forrester, Verdantix și GRC 20/20 despre IA și platforme.

Concluzie

GRC 7.0 este mai puțin o nouă categorie de produse și mai mult un criteriu de verificare. Rasmussen descrie o arhitectură în care datele de referință, contextul deciziilor, execuția controlată și adaptarea verificabilă funcționează împreună. Agenții IA sunt o componentă importantă a acesteia, dar reprezintă un progres doar dacă competențele lor sunt clar reglementate și rezultatele lor sunt verificate. De aceea, organizațiile ar trebui să ceară să li se arate, pe propriul caz de utilizare, unde un agent doar propune, unde are voie să acționeze și cine poartă de fiecare dată responsabilitatea.

Surse

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octombrie 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 octombrie 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 iulie 2025)