GRC 7.0: vad Michael Rasmussens GRC Orchestrate innebär för organisationer

Därför diskuteras GRC 7.0 just nu

Michael Rasmussen myntade begreppet GRC. Enligt egen uppgift beskrev han i februari 2002, som analytiker på Forrester Research, för första gången styrning, riskhantering och regelefterlevnad som ett integrerat arbetssätt och skapade akronymen för det. GRC 20/20 I dag leder han analyshuset GRC 20/20 Research och delar in marknaden i generationer.

I oktober 2026 publicerade han en 143 sidor lång Market Perspective i ämnet: ”GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market”. GRC 20/20 Den fullständiga rapporten är förbehållen kunder. Den offentliga sammanfattningen, innehållsförteckningen och flera fritt tillgängliga artiklar av Rasmussen visar dock tydligt vad det handlar om. Den här artikeln sammanfattar modellen och visar vilka frågor organisationer kan härleda ur den för valet och driften av sina GRC-verktyg.

Kärntesen: funktioner blir billiga, ansvar blir värdefullt

Rasmussens utgångspunkt är en förskjutning på marknaden. Artificiell intelligens gör synliga programvarufunktioner mindre knappa. Samtidigt blir fyra saker viktigare: tillförlitlig information, affärskontext, specialiserad ämnesmetodik och ett utförande som någon bär ansvaret för. GRC 20/20

Av detta följer rapportens centrala avgränsning: GRC 7.0 är en driftsarkitektur, inte en samling AI-funktioner. Ett chattfönster kan förbättra användningen, men ersätter inte arbetet med arkitektur och metodik, skriver Rasmussen. GRC 20/20 Ribban formulerar han lika tydligt: tekniken måste förbättra effektivitet, ändamålsenlighet, motståndskraft och flexibilitet genom bättre beslut och verifierbara resultat.

Från GRC 1.0 till 6.0: generationer, inte en köprekommendation

Rasmussen beskriver marknadens utveckling i generationer. Han betonar att det handlar om förmågor som överlappar varandra, inte om en stege och inte om en uppmaning att köpa åtta plattformar efter varandra. GRC 20/20

De tidigare generationernas gräns beskriver Rasmussen så här: ett system kan innehålla utmärkta registreringar och ändå lämna människorna ensamma när det gäller att sätta ihop sammanhanget, besluta om nästa steg och bygga upp den förmåga som behövs. Det är precis här som GRC 7.0 kommer in.

De tre systemen i GRC 7.0

System of Record förblir grunden. Runt det lägger GRC 7.0 ett orkestreringssystem som förbinder tre kompletterande system. GRC 20/20

System of Intelligence: från signal till beslutsunderlag

System of Intelligence samlar in interna och externa signaler och gör dem till beslutsunderlag. En störning hos en leverantör, ett nytt regulatoriskt krav eller en avvikelse i resultaten måste kopplas till de berörda målen, tjänsterna, skyldigheterna och beroendena. Det användbara resultatet är en motiverad förklaring av konsekvenserna och alternativen, inklusive saknad information och osäkerheter.

Rasmussen lägger här vikt vid en distinktion: chefer måste kunna se vad som är ett säkerställt faktum, vad som är en slutsats och vad som är ett antagande som skulle kunna ändra beslutet. Rapportens innehållsförteckning nämner för detta bland annat informationens ursprung och tidpunkt, entity resolution, ontologier och behörighetskontrollerade sökningar.

System of Action: utförande med tydliga befogenheter

System of Action samordnar responsen. Agenter kan arbeta självständigt inom fastställda gränser, agera delvis autonomt med mänskligt godkännande och samordna uppgifter mellan människor och system. En agent kan samla in bevis, förbereda en konsekvensanalys, vidarebefordra ett beslut eller genomföra en tillåten ändring.

Det avgörande är att befogenheten är uttryckligen reglerad: vad som får hända, under vilka villkor, vem som är ansvarig och hur resultatet kontrolleras. Rasmussen konkretiserar detta med två exempel. Förmågan att rekommendera en leverantör innebär inte befogenheten att godkänna den. Och ett avslutat arbetsflöde bevisar inte att en tjänst har återställts. Systemet måste koppla handlingar till ett observerbart affärsresultat och eskalera när befogenheter eller bevis inte räcker till.

System of Configuration: bygga förmågor på verksamhetens språk

System of Configuration ska snabbt bygga upp och anpassa GRC-förmågor, på verksamhetsområdets eget språk. Ett team beskriver vad det behöver, till exempel en ny bedömning eller en process för skyldigheter, och tekniken hjälper till att generera datastrukturer, relationer, regler, gränssnitt och integrationer för det.

Rasmussen kopplar detta löfte till tydliga villkor: validering, behörigheter, tester och kontrollerad driftsättning. En tydligt beskriven avsikt är början på en tillförlitlig förmåga, inte ett bevis för att det genererade resultatet stämmer. I rapporten står det följaktligen att tester måste vara tillräckligt oberoende för att kunna ifrågasätta genereringen, och att driftsättningen är ett styrningsbeslut.

Värdet ligger i kopplingen

Inget av de tre systemen är nytt i sig. Skillnaden ligger i hur de kopplas samman: Intelligence upptäcker ett förändrat läge, Action samordnar en lämplig respons, Configuration bygger upp den förmåga som det nya läget kräver. Lärande får förbättra samspelet, men utan att ett system i det tysta skriver om sina egna befogenheter.

Agenter förtjänar sina befogenheter

I en tidigare artikelserie om GRC Orchestrate beskriver Rasmussen agenter som en del av en cykel av att observera, analysera, agera och eskalera. Om en situation överskrider en agents tröskel informerar den ansvarig människa. GRC 20/20

Där medger han också att marknaden fortfarande står i början. AI har hittills främst kommit in via enskilda funktioner, som riskbedömningar, regulatorisk mappning och chattgränssnitt. Verklig orkestrering av samordnade agenter håller fortfarande på att växa fram. Som förutsättningar fram till 2030 nämner han:

• enhetliga taxonomier och metadata över alla GRC-områden
• policyer, risker, kontroller och skyldigheter i maskinläsbar form
• etiska och operativa skyddsräcken för AI:s beteende
• en styrningskultur som behandlar AI som en deltagare, inte bara som ett verktyg

För organisationer är framför allt den andra punkten en bra prövosten. Den som redan i dag förvaltar krav, åtgärder och bevis strukturerat och maskinläsbart, till exempel i det öppna formatet OSCAL, skapar den grund som agenter kan arbeta tillförlitligt på. Läs mer i Vad är OSCAL?

Utblick: GRC 8.0 och digitala tvillingar

För tiden från omkring 2030 beskriver Rasmussen GRC 8.0, ”Quantum GRC”. Med det avses djupa digitala tvillingar av organisationen och dess leveranskedja på tre nivåer: strategisk inriktning, mål och resultat samt drift och utförande. Organisationer ska med hjälp av dem kunna spela igenom möjliga framtider innan de binder sig. Rasmussen talar om ett ”Risk Holodeck”. GRC 20/20

Han placerar detta uttryckligen som en framtidsvision, inte som en förmåga som redan finns. Även en övertygande presenterad simulering kan vara fel; dess värde hänger på kvaliteten i modellen och informationen och på ett ärligt förhållningssätt till det som förblir okänt. Med kvantdatorer i bokstavlig mening har begreppet bara perifert att göra; rapporten behandlar det som en separat fråga.

Vilka frågor organisationer bör ställa till leverantörer nu

Rasmussen rekommenderar att inte byta ut fungerande grunder i onödan. Att byta ett system bara för att dess generationsnummer låter omodernt vore ett dyrt missförstånd. I stället bör organisationer låta leverantörer demonstrera ett sammanhängande affärsscenario och då fråga: GRC 20/20

1. Vilket mål tjänar den här förmågan, och hur mäts förbättringen?
2. Hur blir en intern eller extern förändring till relevant information?
3. Vad får systemet göra själv, vad kräver mänskligt godkännande, och hur upprätthålls befogenheterna?
4. Går det att bygga en meningsfull förmåga på verksamhetens språk, och kan resultatet sedan granskas och testas?
5. Hur beter sig systemet när information är motstridig, ett beroende saknas eller en person som ska godkänna inte går att nå?
6. Vilket bevis visar att det önskade resultatet faktiskt har uppnåtts?

Som start rekommenderar han ett snävt avgränsat tillvägagångssätt: ett mål, ett avgränsat användningsfall, en ansvarig person, ett utgångsvärde och ett motståndskraftstest. Det som ska mätas är de antagna resultaten och hela driftsinsatsen, inklusive granskning, korrigering, integration och tillsyn. Bevisen avgör sedan om arbetet utökas, justeras eller stoppas.

Vad vi på Secani tar med oss

Mest användbar tycker vi att Rasmussens distinktion mellan förmågan att föreslå något och befogenheten att besluta om det är. Efter den riktar vi in Secani-agenten: den förbereder bedömningar, skapar sammanhang och motiverar sina förslag. Beslutet om huruvida en åtgärd anses effektiv eller en risk accepteras ska ligga kvar hos den ansvariga personen. Varför inte heller en källänk ensam räcker för det beskriver vi i AI inom GRC: att citera är inte att verifiera.

Lika viktigt för oss är Rasmussens krav på att krav, åtgärder och bevis ska vara maskinläsbara. En agent kan bara arbeta så tillförlitligt som den struktur den bygger på. Hur de stora analyshusen uttalar sig om marknaden som helhet kan du läsa i GRC-marknaden 2026: vad Forrester, Verdantix och GRC 20/20 säger om AI och plattformar.

Slutsats

GRC 7.0 är mindre en ny produktkategori än en måttstock för granskning. Rasmussen beskriver en arkitektur där auktoritativa data, beslutsunderlag, kontrollerat utförande och verifierbar anpassning samverkar. AI-agenter är en viktig byggsten i den, men bara ett framsteg när deras befogenheter är tydligt reglerade och deras resultat kontrolleras. Organisationer bör därför låta leverantörerna visa på det egna användningsfallet var en agent bara föreslår, var den får agera och vem som bär ansvaret i respektive fall.

Källor

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 oktober 2026)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 juli 2025)