GRC 9.0: Prečo sa posledná generácia volá Embedded GRC – prognóza

Kde Rasmussenov model končí

Michael Rasmussen opisuje trh GRC v generáciách. GRC 7.0, „GRC Orchestrate“, je preňho prítomnosť približne do roku 2030: súhra rozhodovacieho kontextu (Intelligence), agentov s jasne upravenými oprávneniami (Action) a schopností, ktoré si odborné útvary budujú samy (Configuration). Pre obdobie približne od roku 2030 načrtáva GRC 8.0, „Quantum GRC“: digitálne dvojčatá firmy, s ktorými si organizácie prehrajú možné budúcnosti, skôr než sa rozhodnú – nazýva to „Risk Holodeck“. GRC 20/20 Model sme podrobne zaradili v článku GRC 7.0: Čo znamená GRC Orchestrate Michaela Rasmussena pre firmy.

Potom model končí. Generáciu 9.0 Rasmussen neopisuje a pokiaľ vieme, nedefinoval ju ani nikto iný.

Tento článok vypĺňa medzeru vlastnou úvahou. To treba povedať hneď na úvod: čo nasleduje, nie je analytický model ani zhrnutie cudzieho výskumu, ale naša odôvodnená prognóza – odvodená z vývoja, ktorý je už dnes doložiteľný. Na konci uvádzame námietky, ktoré hovoria proti nej.

Jedna otázka usporadúva všetky generácie

Keď si generácie 1.0 až 8.0 prečítame za sebou, odpovedajú v jadre na tú istú otázku: Kde sa odohráva governance?

Ak túto líniu sledujeme ďalej, chýba už presne jedno miesto: samotný systém. Nie nástroj GRC vedľa biznisu, ale governance ako vlastnosť systémov, ktoré biznis prevádzkujú.

Naša téza: GRC 9.0 je Embedded GRC

Očakávame, že nasledujúca generácia začne približne od roku 2035 a bude mať tri znaky.

Compliance sa stane vlastnosťou systémov

Dnes tímy dodatočne preukazujú, že systémy spĺňajú požiadavky: zbierajú snímky obrazovky, exportujú reporty, vypĺňajú šablóny pre audit. V nasledujúcej generácii prichádzajú aplikácie na svet so strojovo čitateľnými prísľubmi kontrol a dôkaz vzniká v prevádzke ako vedľajší produkt. Stavebné kamene na to existujú: OSCAL opisuje požiadavky, kontroly a hodnotenia strojovo čitateľne (pozri Čo je OSCAL?), FedRAMP už prijíma balíky v tomto formáte (pozri FedRAMP prechádza na strojovo čitateľné údaje), SBOM a CBOM opisujú softvérové a kryptografické komponenty. Audit potom preveruje systém, ktorý dôkazy vytvára, a jeho konfiguráciu – a už nie tisíc jednotlivých dokladov.

Dôvera sa bude medzi organizáciami vymieňať strojovo

Hodnotenie dodávateľov dnes znamená: rozoslať dotazníky, založiť odpovede, každý rok zopakovať. NIS2 a DORA už ukladajú dodávateľským reťazcom povinnosti – riadenie rizík a zmluvné záväzky – a Cyber Resilience Act prinesie od konca roka 2027 strojovo čitateľné SBOM ako dokumentáciu výrobcu. Ďalší krok je predvídateľný: dodávateľ doloží kontrolu raz, kryptograficky podpísanú, a všetci odberatelia prevezmú dôkaz strojovo. Dotazník nezomrie na zákaz, ale na svoju nadbytočnosť.

Vzácnym zdrojom je zodpovednosť

Rasmussenova vlastná kľúčová téza ku GRC 7.0 znie: AI robí softvérové funkcie lacnými; hodnotu získavajú spoľahlivé informácie, kontext a zodpovednosť. Domyslené do konca to znamená: keď agenti hodnotia, simulujú a vykonávajú, zostáva ako ľudské jadro presne jedna úloha – rozhodnúť, kto za čo ručí a aké riziko organizácia vedome nesie. System of Record nasledujúcej generácie preto už nie je archív dokumentov, ale register rozhodnutí a oprávnení.

Prečo od roku 2035

Letopočet v prognóze je ľahko napadnuteľný, preto ho odôvodňujeme dvojako.

Po prvé takt samotného modelu: GRC 7.0 beží podľa Rasmussena od roku 2025 do 2030, GRC 8.0 začína okolo roku 2030. Mladšie generácie trvajú približne päť rokov, ďalšia by teda začala okolo roku 2035.

Po druhé regulácia nezávisle od toho ukazuje na ten istý rok. Do roku 2035 má byť prechod na postkvantovú kryptografiu v celej EÚ z veľkej časti dokončený a návrh NIST IR 8547 necháva RSA a ECC po roku 2035 doslúžiť (termíny podrobne: Postkvantová kryptografia: termíny 2026, 2030 a 2035 a čo z nich je záväzné). Na ceste k tomu plošne vznikajú kryptografické inventáre, CBOM a strojovo čitateľné dôkazy – ako naliehavé odporúčanie plánu EÚ a nemeckého usmernenia, pre subjekty podľa NIS2 navyše právne podložené cez požiadavku na stav techniky. Práve infraštruktúra, ktorú Embedded GRC predpokladá, teda práve vzniká – nie z vízie, ale poháňaná reguláciou.

Presnejší ako „približne od roku 2035“ byť nechceme. Opatriť prognózu na osem rokov dopredu letopočtom presným na jednotky by bola zdanlivá presnosť.

Dve námietky, ktoré berieme vážne

Námietka holodecku. GRC 8.0 predpokladá kvalitu údajov, akú mnohé organizácie dnes nedosahujú ani pri svojom kryptografickom inventári – s ktorým plán EÚ počíta do konca roka 2026 a ktorý na mnohých miestach ešte len vzniká. Očakávame preto, že simulácia sa najprv osvedčí v úzkych, dobre modelovateľných výsekoch, napríklad pri scenároch dodávateľských reťazcov alebo výpadkov, a nie ako dvojča celej firmy. Kto dnes rozdeľuje rozpočet, mal by ho vložiť skôr do kvality údajov než do simulačných nástrojov.

Protitéza: fragmentácia namiesto splývania. Môže to dopadnúť aj inak. Regulácia v súčasnosti rastie rýchlejšie než jej harmonizácia: akt o umelej inteligencii, DORA, NIS2, Cyber Resilience Act a národné osobitné cesty kladú každý vlastné požiadavky s vlastnými ohlasovacími kanálmi. Namiesto konvergentnej disciplíny by mohli znova vzniknúť silá podľa jednotlivých právnych oblastí – tentoraz každé s vlastnými agentmi. To by bolo GRC 1.0 na vyššej úrovni. O tom, ktorý z oboch smerov zvíťazí, rozhodne, či sa strojovo čitateľné formáty stanú prierezovými naprieč právnymi oblasťami, alebo vzniknú vlastné pre každú reguláciu.

Čo sa oplatí už dnes

Praktické na tejto prognóze je: príprava je rovnaká bez ohľadu na to, či sa naplní. Kto už dnes spravuje požiadavky, opatrenia a dôkazy štruktúrovane a strojovo čitateľne, je správne pripravený na oba smery – na Embedded GRC tak či tak a vo fragmentovanom svete je štruktúrovaný fond jedinou realistickou šancou obslúžiť viacero právnych oblastí bez viacnásobnej práce. To isté platí pre vymedzenie oprávnení: kto dnes zaznamenáva, čo smie agent navrhnúť a o čom musí rozhodnúť človek, buduje register rozhodnutí, ktorý neskôr vytvorí jadro.

Preto s kategóriou GRC nezmizne práca. Posúva sa to, čo ľudia robia: menej zhromažďovania dokladov, viac rozhodovania a zodpovednosti za rozhodnutia.

Záver

Naša prognóza v jednej vete: GRC 9.0 začne okolo roku 2035, vecne sa volá Embedded GRC – governance ako vlastnosť systémov, federovaná dôvera medzi organizáciami, zodpovednosť ako posledná ľudská inštancia – a je poslednou generáciou, pretože governance potom už nie je samostatnou kategóriou. Isté na tom nie je nič okrem smeru infraštruktúry: strojovo čitateľné požiadavky, inventáre a dôkazy sa presadzujú, poháňané reguláciou. Či z toho vznikne splývanie, alebo fragmentácia, je otvorené. Príprava je v oboch prípadoch rovnaká.

Zdroje

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, október 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. októbra 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupiny NIS Cooperation Group, jún 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12. novembra 2024)