Concept Fable精修版
Governance, Risk, and Compliance, GRC · Governance
先读故事。这里不急着给定义，先让问题自己长出来。
寓言故事
大商号分号渐多，总号分别记录经营规矩、可能损失和合规凭证。三本册各自完整，却没人能回答某个自动化用例由谁批准、风险如何处理、证据在哪里。
总管事为每条政策指定负责人，为每项风险登记控制措施和期限，再把控制结果映射到必须满足的法规或合同条款。
分号不再只口头承诺“已经注意”，而是定期提交访问记录、审批单、测试结果和整改状态。没有证据的控制，在审计时仍然等于没有完成。
新规发布时，系统先找出受影响的用例和控制，再安排复核与改造。风险登记册、政策库和证据库保持关联，管理者能看到缺口和责任人。
GRC 不是把三个部门的表格堆在一起，而是把治理决策、风险处置、控制执行和合规证明放进同一条可问责的运营链。
概念落点
Governance, Risk, and Compliance, GRC 是把组织治理、风险流程、控制、政策、审计和合规义务整合管理的 discipline。企业 Agent 场景中，GRC 需要连接 AI 政策、用例审批、风险评估、风险登记册、控制框架、控制所有人、合规映射、审计证据和缺陷整改。它的核心价值是提供一个共同事实源，让自动化能力在可授权、可监控、可证明和可问责的框架内扩展。
它重要的地方在于：它不只是一个术语，而是在真实 AI / Agent 系统里会反复出现的结构性问题。理解它，才能判断什么时候该加模型，什么时候该改流程，什么时候该补治理。
故事对应
Soloharness 判断
这个概念的实战价值，是帮你把“看起来聪明的 AI 功能”拆成可交付、可验收、可治理的工作单元。