GRC 7.0: Čo znamená GRC Orchestrate Michaela Rasmussena pre firmy

Prečo sa o GRC 7.0 diskutuje práve teraz

Michael Rasmussen dal pojmu GRC meno. Podľa vlastného opisu prvýkrát opísal governance, riadenie rizík a compliance ako integrovaný prístup vo februári 2002 ako analytik spoločnosti Forrester Research a vytvoril preň túto skratku. GRC 20/20 Dnes vedie analytickú spoločnosť GRC 20/20 Research a člení trh do generácií.

V októbri 2026 k tomu zverejnil 143-stranovú Market Perspective: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Úplná správa je vyhradená klientom. Verejné zhrnutie, obsah a niekoľko voľne dostupných Rasmussenových článkov však jasne ukazujú, o čo ide. Tento článok model zhŕňa a ukazuje, aké otázky z neho môžu firmy odvodiť pre výber a prevádzku svojich nástrojov GRC.

Hlavná téza: funkcie zlacňujú, zodpovednosť naberá na hodnote

Rasmussen vychádza z posunu na trhu. Umelá inteligencia robí viditeľné softvérové funkcie menej vzácnymi. Zároveň naberajú na význame štyri veci: spoľahlivé informácie, obchodný kontext, špecializovaná odborná metodika a vykonávanie, za ktoré niekto nesie zodpovednosť. GRC 20/20

Z toho vyplýva ústredné vymedzenie správy: GRC 7.0 je prevádzková architektúra, nie hromada funkcií AI. Okno chatu môže zlepšiť ovládanie, nenahradí však prácu na architektúre a metodike, píše Rasmussen. GRC 20/20 Latku formuluje rovnako jasne: technológia musí zlepšovať efektivitu, účinnosť, odolnosť a agilitu prostredníctvom lepších rozhodnutí a overiteľných výsledkov.

Od GRC 1.0 po 6.0: generácie, nie odporúčanie na kúpu

Rasmussen opisuje vývoj trhu v generáciách. Zdôrazňuje, že ide o vzájomne sa prekrývajúce schopnosti, nie o rebríček a nie o výzvu kupovať osem platforiem jednu po druhej. GRC 20/20

Hranicu doterajších generácií Rasmussen opisuje takto: systém môže obsahovať vynikajúce záznamy, a napriek tomu nechať ľudí samých, keď ide o zostavenie kontextu, rozhodnutie o ďalšom kroku a vybudovanie potrebnej schopnosti. Práve tu GRC 7.0 nastupuje.

Tri systémy GRC 7.0

System of Record zostáva základom. Okolo neho GRC 7.0 kladie systém orchestrácie, ktorý prepája tri vzájomne sa dopĺňajúce systémy. GRC 20/20

System of Intelligence: od signálu k rozhodovaciemu kontextu

System of Intelligence zhromažďuje interné a externé signály a vytvára z nich rozhodovací kontext. Výpadok u dodávateľa, nová regulačná požiadavka alebo odchýlka vo výkonnosti musia byť prepojené s dotknutými cieľmi, službami, povinnosťami a závislosťami. Užitočným výsledkom je zdôvodnené vysvetlenie dôsledkov a možností vrátane chýbajúcich informácií a neistôt.

Rasmussen pritom kladie dôraz na jedno rozlíšenie: vedúci pracovníci musia rozpoznať, čo je overený fakt, čo je záver a čo je predpoklad, ktorý by mohol rozhodnutie zmeniť. Obsah správy k tomu okrem iného uvádza pôvod a časové zaradenie informácií, entity resolution, ontológie a dopyty s kontrolou oprávnení.

System of Action: vykonávanie s jasnými oprávneniami

System of Action koordinuje reakciu. Agenti môžu v rámci stanovených hraníc pracovať samostatne, konať poloautonómne so schválením človekom a zlaďovať úlohy naprieč ľuďmi a systémami. Agent môže zhromažďovať dôkazy, pripraviť analýzu dopadov, postúpiť rozhodnutie ďalej alebo vykonať povolenú zmenu.

Rozhodujúce je, že oprávnenia sú výslovne upravené: čo sa smie stať, za akých podmienok, kto je zodpovedný a ako sa výsledok overí. Rasmussen to dokladá dvoma príkladmi. Schopnosť odporučiť dodávateľa neznamená oprávnenie schváliť ho. A dokončený workflow nedokazuje, že služba je obnovená. Systém musí prepájať kroky s pozorovateľným obchodným výsledkom a eskalovať, keď oprávnenia alebo dôkazy nestačia.

System of Configuration: budovanie schopností v odbornom jazyku

System of Configuration má rýchlo budovať a prispôsobovať schopnosti GRC, a to v jazyku daného útvaru. Tím opíše, čo potrebuje, napríklad nové hodnotenie alebo proces pre povinnosti, a technológia mu pomôže vytvoriť na to dátové štruktúry, vzťahy, pravidlá, rozhrania a integrácie.

Rasmussen spája tento prísľub s jasnými podmienkami: validáciou, oprávneniami, testami a riadeným nasadením. Jasne opísaný zámer je začiatkom spoľahlivej schopnosti, nie dôkazom, že vygenerovaný výsledok je správny. Správa preto uvádza, že testy musia byť dostatočne nezávislé, aby mohli generovanie spochybniť, a že nasadenie je rozhodnutím v oblasti governance.

Hodnota spočíva v prepojení

Sám osebe nie je žiadny z troch systémov nový. Rozdiel robí ich prepojenie: Intelligence rozpozná zmenenú situáciu, Action koordinuje primeranú reakciu, Configuration vybuduje schopnosť, ktorú nová situácia vyžaduje. Učenie smie súhru zlepšovať, ale bez toho, aby systém potichu prepisoval svoje vlastné oprávnenia.

Agenti si svoje oprávnenia musia zaslúžiť

V staršej sérii článkov o GRC Orchestrate opisuje Rasmussen agentov ako súčasť cyklu pozorovania, analýzy, konania a eskalácie. Ak situácia prekročí prah agenta, agent informuje príslušného človeka. GRC 20/20

Pripúšťa tam aj to, že trh je ešte len na začiatku. AI podľa neho doteraz prichádzala hlavne v podobe jednotlivých funkcií, napríklad hodnotení rizík, regulačného mapovania a rozhraní chatu. Skutočná orchestrácia koordinovaných agentov ešte len vzniká. Ako predpoklady do roku 2030 uvádza:

• jednotné taxonómie a metadáta naprieč všetkými oblasťami GRC
• politiky, riziká, kontroly a povinnosti v strojovo čitateľnej podobe
• etické a prevádzkové mantinely pre správanie AI
• kultúru governance, ktorá s AI zaobchádza ako s účastníkom, nielen ako s nástrojom

Pre firmy je dobrým meradlom predovšetkým druhý bod. Kto už dnes spravuje požiadavky, opatrenia a dôkazy štruktúrovane a strojovo čitateľne, napríklad v otvorenom formáte OSCAL, vytvára základ, na ktorom môžu agenti spoľahlivo pracovať. Viac si prečítajte v článku Čo je OSCAL?

Výhľad: GRC 8.0 a digitálne dvojčatá

Pre obdobie približne od roku 2030 opisuje Rasmussen GRC 8.0, „Quantum GRC“. Ide o hlboké digitálne dvojčatá firmy a jej dodávateľského reťazca na troch úrovniach: strategické smerovanie, ciele a výkonnosť a tiež prevádzka a realizácia. Organizácie si s ich pomocou majú prehrať možné budúcnosti skôr, než sa zaviažu. Rasmussen hovorí o „Risk Holodeck“. GRC 20/20

Výslovne to zaraďuje medzi vízie budúcnosti, nie medzi už dostupné schopnosti. Aj presvedčivo znázornená simulácia sa môže mýliť; jej hodnota závisí od kvality modelu a informácií a od poctivého zaobchádzania s tým, čo zostáva neznáme. S kvantovými počítačmi v doslovnom zmysle má tento pojem spoločné len málo, správa to rozoberá ako samostatnú otázku.

Aké otázky by firmy mali teraz klásť dodávateľom

Rasmussen odporúča nenahrádzať fungujúce základy bez nutnosti. Vymeniť systém len preto, že jeho číslo generácie znie zastaralo, je podľa neho drahé nedorozumenie. Namiesto toho by si firmy mali nechať od dodávateľov predviesť ucelený obchodný scenár a pritom sa pýtať: GRC 20/20

1. Akému cieľu táto schopnosť slúži a ako sa meria zlepšenie?
2. Ako sa z internej alebo externej zmeny stane relevantná informácia?
3. Čo smie systém robiť sám, čo vyžaduje schválenie človekom a ako sa oprávnenia vynucujú?
4. Dá sa v odbornom jazyku vybudovať zmysluplná schopnosť a dá sa výsledok následne skontrolovať a otestovať?
5. Ako sa systém správa, keď sú informácie protichodné, chýba závislosť alebo schvaľujúca osoba nie je dostupná?
6. Aký dôkaz preukazuje, že požadovaný výsledok skutočne nastal?

Na začiatok radí úzko vymedzený postup: jeden cieľ, jeden ohraničený prípad použitia, jedna zodpovedná osoba, jedna východisková hodnota a jeden test odolnosti. Merať sa majú predpokladané výsledky a celková prevádzková náročnosť vrátane kontroly, opráv, integrácie a dohľadu. Dôkazy potom rozhodnú, či sa bude rozširovať, upravovať, alebo zastavovať.

Čo si z toho v Secani berieme

Najužitočnejšie nám pripadá Rasmussenovo rozlíšenie medzi schopnosťou niečo navrhnúť a oprávnením o tom rozhodnúť. Podľa neho nastavujeme agenta Secani: pripravuje hodnotenia, vytvára súvislosti a zdôvodňuje svoje návrhy. Rozhodnutie, či sa opatrenie považuje za účinné alebo či sa riziko akceptuje, má zostať na zodpovednej osobe. Prečo na to ani samotný odkaz na zdroj nestačí, opisujeme v článku AI v GRC: citovať neznamená overiť.

Rovnako dôležitá je pre nás Rasmussenova výzva k strojovo čitateľným požiadavkám, opatreniam a dôkazom. Agent môže pracovať len tak spoľahlivo, ako spoľahlivá je štruktúra, na ktorej stavia. Ako sa veľké analytické spoločnosti vyjadrujú k trhu celkovo, si prečítajte v článku Trh GRC 2026: Čo hovoria Forrester, Verdantix a GRC 20/20 o AI a platformách.

Záver

GRC 7.0 nie je ani tak novou produktovou kategóriou ako skôr meradlom na posúdenie. Rasmussen opisuje architektúru, v ktorej spolupôsobia rozhodujúce údaje, rozhodovací kontext, riadené vykonávanie a overiteľné prispôsobovanie. AI agenti sú v nej dôležitým stavebným kameňom, ale pokrokom sú len vtedy, keď sú ich oprávnenia jasne upravené a ich výsledky sa overujú. Firmy by si preto mali na vlastnom prípade použitia nechať ukázať, kde agent len navrhuje, kde smie konať a kto v jednotlivých prípadoch nesie zodpovednosť.

Zdroje

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, október 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. októbra 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10. júla 2025)