GRC 7.0: kaj GRC Orchestrate Michaela Rasmussena pomeni za podjetja

Zakaj se o GRC 7.0 razpravlja prav zdaj

Michael Rasmussen je skoval pojem GRC. Po lastnih besedah je upravljanje, obvladovanje tveganj in skladnost februarja 2002 kot analitik pri Forrester Research prvič opisal kot celovit pristop in zanj ustvaril kratico. GRC 20/20 Danes vodi analitsko hišo GRC 20/20 Research in trg razvršča v generacije.

Oktobra 2026 je o tem objavil 143-stransko Market Perspective: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market“. GRC 20/20 Celotno poročilo je na voljo le strankam. Javni povzetek, kazalo in več prosto dostopnih Rasmussenovih prispevkov pa jasno pokažejo, za kaj gre. Ta prispevek povzema model in prikazuje, katera vprašanja lahko podjetja iz njega izpeljejo za izbiro in delovanje svojih orodij GRC.

Osrednja teza: funkcije se pocenijo, odgovornost postaja dragocena

Rasmussenovo izhodišče je premik na trgu. Umetna inteligenca naredi vidne funkcije programske opreme manj redke. Hkrati pridobivajo pomen štiri stvari: zanesljive informacije, poslovni kontekst, specializirana strokovna metodologija in izvajanje, za katero nekdo nosi odgovornost. GRC 20/20

Iz tega izhaja osrednja razmejitev poročila: GRC 7.0 je operativna arhitektura, ne kopica funkcij umetne inteligence. Okno za klepet lahko izboljša uporabo, ne nadomesti pa dela na arhitekturi in metodologiji, piše Rasmussen. GRC 20/20 Merilo oblikuje enako jasno: tehnologija mora z boljšimi odločitvami in preverljivimi rezultati izboljšati učinkovitost, uspešnost, odpornost in agilnost.

Od GRC 1.0 do 6.0: generacije, ne nakupno priporočilo

Rasmussen razvoj trga opisuje v generacijah. Poudarja, da gre za zmogljivosti, ki se prekrivajo, ne za lestvico in ne za poziv, naj podjetja kupijo osem platform drugo za drugo. GRC 20/20

Mejo dosedanjih generacij Rasmussen opiše takole: sistem lahko vsebuje odlične zapise in kljub temu pusti ljudi same, ko je treba sestaviti kontekst, se odločiti o naslednjem koraku in zgraditi potrebno zmogljivost. Prav tu nastopi GRC 7.0.

Trije sistemi GRC 7.0

System of Record ostaja temelj. Okoli njega GRC 7.0 postavi sistem orkestracije, ki povezuje tri dopolnjujoče se sisteme. GRC 20/20

System of Intelligence: od signala do konteksta za odločanje

System of Intelligence zbira notranje in zunanje signale ter iz njih ustvarja kontekst za odločanje. Motnjo pri dobavitelju, novo regulativno zahtevo ali odstopanje v uspešnosti je treba povezati s prizadetimi cilji, storitvami, obveznostmi in odvisnostmi. Uporaben rezultat je utemeljena razlaga posledic in možnosti, vključno z manjkajočimi informacijami in negotovostmi.

Rasmussen pri tem poudarja razlikovanje: vodstveni kadri morajo prepoznati, kaj je preverjeno dejstvo, kaj sklep in kaj predpostavka, ki bi lahko spremenila odločitev. Kazalo poročila za to med drugim navaja izvor in časovno umestitev informacij, entity resolution, ontologije in poizvedbe s preverjanjem pooblastil.

System of Action: izvajanje z jasnimi pooblastili

System of Action usklajuje odziv. Agenti lahko znotraj določenih meja delajo samostojno, delujejo delno samostojno s človeško odobritvijo in usklajujejo naloge med ljudmi in sistemi. Agent lahko zbira dokazila, pripravi analizo vpliva, posreduje odločitev naprej ali izvede dovoljeno spremembo.

Odločilno je, da so pooblastila izrecno urejena: kaj se sme zgoditi, pod katerimi pogoji, kdo je odgovoren in kako se rezultat preveri. Rasmussen to ponazori z dvema primeroma. Zmožnost priporočiti dobavitelja ne pomeni pooblastila, da ga odobri. In zaključen delovni tok ne dokazuje, da je storitev obnovljena. Sistem mora dejanja povezati z opazljivim poslovnim rezultatom in stopnjevati zadevo, kadar pooblastila ali dokazila ne zadostujejo.

System of Configuration: gradnja zmogljivosti v strokovnem jeziku

System of Configuration naj hitro gradi in prilagaja zmogljivosti GRC, in sicer v jeziku strokovnega področja. Ekipa opiše, kaj potrebuje, na primer novo oceno ali proces za obveznosti, tehnologija pa ji pomaga ustvariti podatkovne strukture, razmerja, pravila, uporabniške vmesnike in integracije.

Rasmussen to obljubo povezuje z jasnimi pogoji: validacijo, pooblastili, testi in nadzorovano uvedbo. Jasno opisan namen je začetek zanesljive zmogljivosti, ne dokaz, da je ustvarjeni rezultat pravilen. V poročilu je zato zapisano, da morajo biti testi dovolj neodvisni, da lahko generiranje postavijo pod vprašaj, uvedba pa je odločitev s področja upravljanja.

Vrednost je v povezavi

Sam zase noben od treh sistemov ni nov. Razliko naredi njihova povezava: Intelligence prepozna spremenjene razmere, Action usklajuje ustrezen odziv, Configuration zgradi zmogljivost, ki jo nove razmere zahtevajo. Učenje sme součinkovanje izboljšati, vendar ne tako, da bi sistem tiho prepisal lastna pooblastila.

Agenti si pooblastila zaslužijo

V zgodnejši seriji prispevkov o GRC Orchestrate Rasmussen agente opisuje kot del cikla opazovanja, analize, ukrepanja in stopnjevanja. Kadar razmere presežejo prag agenta, ta obvesti pristojnega človeka. GRC 20/20

Tam tudi priznava, da je trg šele na začetku. Umetna inteligenca je doslej prišla predvsem prek posameznih funkcij, na primer ocen tveganj, regulativnega preslikavanja in klepetalnih vmesnikov. Prava orkestracija usklajenih agentov šele nastaja. Kot pogoje do leta 2030 navaja:

• enotne taksonomije in metapodatke na vseh področjih GRC
• politike, tveganja, kontrole in obveznosti v strojno berljivi obliki
• etične in operativne varovalke za vedenje umetne inteligence
• kulturo upravljanja, ki umetno inteligenco obravnava kot udeleženca, ne le kot orodje

Za podjetja je predvsem druga točka dober preizkusni kamen. Kdor že danes zahteve, ukrepe in dokazila vodi strukturirano in strojno berljivo, na primer v odprtem formatu OSCAL, ustvarja temelj, na katerem lahko agenti zanesljivo delajo. Več o tem preberite v prispevku Kaj je OSCAL?

Pogled naprej: GRC 8.0 in digitalni dvojčki

Za obdobje od približno leta 2030 Rasmussen opisuje GRC 8.0, „Quantum GRC“. Mišljeni so globoki digitalni dvojčki podjetja in njegove dobavne verige na treh ravneh: strateška usmeritev, cilji in uspešnost ter poslovanje in izvajanje. Organizacije naj bi z njimi preigrale možne prihodnosti, preden se zavežejo. Rasmussen govori o „Risk Holodeck“. GRC 20/20

To izrecno uvršča med vizije prihodnosti, ne med že razpoložljive zmogljivosti. Tudi prepričljivo prikazana simulacija je lahko napačna, njena vrednost je odvisna od kakovosti modela in informacij ter od poštenega ravnanja s tem, kar ostaja neznano. S kvantnim računalništvom v dobesednem pomenu ima izraz le malo opraviti, poročilo to obravnava kot ločeno vprašanje.

Katera vprašanja naj podjetja zdaj zastavijo ponudnikom

Rasmussen priporoča, naj podjetja delujočih temeljev ne zamenjujejo brez potrebe. Zamenjati sistem samo zato, ker se njegova številka generacije sliši zastarelo, je po njegovem drag nesporazum. Namesto tega naj si podjetja pri ponudnikih ogledajo predstavitev povezanega poslovnega scenarija in pri tem vprašajo: GRC 20/20

1. Kateremu cilju služi ta zmogljivost in kako se meri izboljšanje?
2. Kako iz notranje ali zunanje spremembe nastane relevantna informacija?
3. Kaj sme sistem storiti sam, kaj potrebuje človeško odobritev in kako se pooblastila uveljavljajo?
4. Ali je mogoče smiselno zmogljivost zgraditi v strokovnem jeziku in ali je mogoče rezultat nato pregledati in preizkusiti?
5. Kako se sistem odzove, kadar so informacije protislovne, manjka odvisnost ali oseba, ki odobri, ni dosegljiva?
6. Katero dokazilo potrjuje, da je želeni rezultat dejansko nastopil?

Za začetek svetuje ozko omejen pristop: en cilj, en omejen primer uporabe, ena odgovorna oseba, ena izhodiščna vrednost in en test odpornosti. Meriti je treba predvidene rezultate in celoten operativni napor, vključno s pregledom, popravki, integracijo in nadzorom. Dokazila nato odločijo, ali se pristop razširi, prilagodi ali ustavi.

Kaj iz tega odnesemo pri Secani

Najbolj koristno se nam zdi Rasmussenovo razlikovanje med zmožnostjo nekaj predlagati in pooblastilom o tem odločiti. Po njem usmerjamo agenta Secani: pripravlja ocene, vzpostavlja povezave in utemeljuje svoje predloge. Odločitev, ali ukrep velja za učinkovit ali se tveganje sprejme, naj ostane pri odgovorni osebi. Zakaj za to tudi povezava do vira sama ne zadostuje, opisujemo v prispevku Umetna inteligenca v GRC: navajanje vira ni preverjanje.

Enako pomembna je za nas Rasmussenova zahteva po strojno berljivih zahtevah, ukrepih in dokazilih. Agent lahko dela le tako zanesljivo, kot je zanesljiva struktura, na kateri temelji. Kako se velike analitske hiše na splošno izrekajo o trgu, preberite v prispevku Trg GRC 2026: kaj Forrester, Verdantix in GRC 20/20 pravijo o umetni inteligenci in platformah.

Sklep

GRC 7.0 je manj nova kategorija izdelkov in bolj merilo za preverjanje. Rasmussen opisuje arhitekturo, v kateri součinkujejo merodajni podatki, kontekst za odločanje, nadzorovano izvajanje in preverljivo prilagajanje. Agenti umetne inteligence so v njej pomemben gradnik, vendar so napredek le, če so njihova pooblastila jasno urejena in se njihovi rezultati preverjajo. Podjetja naj si zato na lastnem primeru uporabe dajo pokazati, kje agent le predlaga, kje sme ukrepati in kdo v posameznem primeru nosi odgovornost.

Viri

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. oktober 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10. julij 2025)