Пазарът на GRC през 2026 г.: какво казват Forrester, Verdantix и GRC 20/20 за ИИ и платформите

Защо през 2026 г. си струва да погледнем към анализаторите

През 2026 г. почти всеки доставчик на GRC софтуер говори за ИИ агенти. Който прочете актуалните анализи на големите пазарни наблюдатели обаче, ще открие много по-трезва картина. Forrester, Verdantix и GRC 20/20 Research независимо един от друг стигат до сходен извод: GRC платформите трябва да се променят из основи, а функциите с ИИ, които се продават днес, засега почти не постигат това.

За организациите, които в момента избират GRC платформа или модернизират своята система за управление на информационната сигурност, това е важен ориентир. Тази статия обобщава публично достъпните резултати от трите анализа, показва общото между тях и извежда от тях въпроси за проверка при избора.

Трите анализа накратко

Forrester: от System of Record към System of Action

В края на май 2026 г. Forrester публикува своя Wave за платформи за управление, риск и съответствие, в който оценява дванадесет доставчици. Анализаторите Paul McKay и Cody Scott описват пазар с много насрещен вятър: много платформи все още изискват твърде много ръчно въвеждане на данни, предлагат само проста автоматизация на работните процеси и са твърде сложни, тромави и скъпи за сегашното си предназначение. Forrester

Същевременно Forrester очаква предназначението на тези платформи да се промени из основи през следващите 18 до 24 месеца. Досега GRC инструментите бяха преди всичко System of Record: те съхраняват резултатите от оценките на риска, проверките за съответствие и вътрешните одити. В бъдеще те трябва да се превърнат в System of Action, която оркестрира работата и доставя резултати, вместо само да съхранява данни. Платформата остава мястото на меродавните данни, но използва автоматизация в рамките на по-широка екосистема. За целта доставчиците все по-често си партнират със специалисти по данни за риска и регулаторно съдържание, вместо да изграждат всичко сами.

Четири други констатации са особено важни при избора на платформа:

• Днес ИИ носи малка добавена стойност. Повечето функции с ИИ подобряват съществуващото, вместо да променят работата из основи. Клиентите посочват функционалните ограничения и високите разходи като пречки. Най-търсено е нещо съвсем конкретно: значително по-бързи оценки на риска и проверки за съответствие.
• Continuous Controls Monitoring е най-слабият критерий в цялата оценка. Много платформи го използват само за събиране на доказателства за вътрешния одит. Според Forrester истинската стойност е в това да се следи непрекъснато дали контролите действат и дали политиките се спазват, и при отклонения да се задействат корекции. Повече за този подход прочетете в Непрекъснат мониторинг на контролите: знайте какво доказва сигналът.
• Повече данни не означава автоматично по-добре. Forrester прави паралел със анализа в сигурността: там едва фокусът върху ясно дефинирани случаи на употреба донесе реална полза. За GRC анализаторите препоръчват библиотеки с конкретни случаи за наблюдение и обичайни прагове, така че да се събират само данните, които наистина са нужни.
• Никой не знае как да се ценообразува ИИ. Моделите варират от безплатно включен, през фиксирани допълнителни пакети, до таксуване за всеки управляван случай на употреба на ИИ. Често клиентите плащат двойно – за ИИ в платформата и за отделен модул за управление на ИИ. Много от референтните клиенти не можаха да оценят каква е възвръщаемостта на инвестицията им в ИИ.

Verdantix: функциите растат по-бързо от тяхната обяснимост

За Green Quadrant GRC Software 2025 Verdantix сравнява 15 доставчици в десет категории възможности и съпоставя резултатите с финансови данни и данни за клиентите. Verdantix В придружаващата статия за ИИ в GRC има констатация, която кара човек да се замисли: всяка платформа, получила най-високата оценка за вградени функции с ИИ, е получила само една до две точки за обяснимост и управление на моделите. Блог на Verdantix

С други думи, чатботовете и автоматизираното тестване на контролите излизат на пазара по-бързо от одитните следи, данните за степента на увереност и докладите за риска от моделите, които надзорните органи ще изискват в бъдеще. Verdantix изрично посочва Акта на ЕС за ИИ: сметката за липсващата обяснимост скоро ще трябва да бъде платена. Какви стандарти се появяват в момента в тази област, прочетете в ISO/IEC 27090, EN 18286 и IEEE 2863: трите нови стандарта за управление на ИИ от 2026 г. накратко.

Три други резултата се вписват в тази картина:

• Високата оценка за ИИ сама по себе си не продава. Напредналият ИИ поражда интерес, но ако основните GRC модули са бедни, потенциалните клиенти се колебаят. Устойчивият растеж продължава да зависи от широчината на покритието и от внедряването след покупката.
• Силата в ИИ не води до по-висок процент на подновяване. Verdantix не открива надеждна връзка. Клиентите обръщат повече внимание на стабилността на платформата, бързото внедряване и добрата поддръжка.
• Дълбочината изисква инвестиции. Най-ясна е връзката между бюджета за разработка и реалната зрялост на ИИ. Без трайни инвестиции всичко остава на ниво повърхностни ИИ уиджети.

За следващите години Verdantix очаква простите функции с ИИ като генеративно търсене и обобщения да станат стандарт. Така конкуренцията се измества към прозрачността, надзора и съответствието с регулациите. За доставчиците с висок дял на разработката Verdantix вижда рядък прозорец от възможности да изпреварят утвърдените доставчици, при условие че постигнат резултати по отношение на дълбочината на ИИ, качеството на данните и прозрачността.

GRC 20/20: оркестрацията изисква отговорност

През октомври 2026 г. Michael Rasmussen, основател на GRC 20/20 Research, публикува 143-странична Market Perspective за „GRC 7.0 – GRC Orchestrate“. GRC 20/20 Неговата теза: ИИ прави видимите софтуерни функции евтини и взаимозаменяеми. Ценни стават вместо това надеждната информация, бизнес контекстът, експертната методология и изпълнението, за което някой носи отговорност.

Той описва GRC 7.0 като архитектура, която разполага три системи около меродавните Systems of Record: една, която разпознава и класифицира промените, една, която изпълнява работата в рамките на ясни правомощия и проверява резултата ѝ, и една, с която GRC възможностите могат да се адаптират проследимо. Rasmussen изрично разграничава това от простото натрупване на функции с ИИ. Как изглежда този модел в детайли и какво означава той на практика, обобщихме в GRC 7.0: какво означава GRC Orchestrate на Michael Rasmussen за организациите.

Какво е общото между трите анализа

Ако прочетем трите анализа един до друг, се очертават четири общи линии:

Анализите не си противоречат в нито една съществена точка. Те осветяват една и съща промяна от три посоки: Forrester от гледна точка на оценките на клиентите, Verdantix чрез съпоставяне на функциите с бизнес показателите, а GRC 20/20 от гледна точка на архитектурата.

На какво да обърнат внимание организациите при избора

За организациите, които в момента избират GRC платформа, например за NIS2, ISO/IEC 27001 или Акта на ЕС за ИИ, от констатациите на Forrester и Verdantix произтичат четири въпроса за проверка:

• Откъде идва дадена оценка? Може ли за всеки резултат на ИИ агент да се проследи на кое изискване, кое доказателство и каква обосновка се основава?
• Какво се наблюдава? Платформата само събира ли доказателства за следващия одит, или непрекъснато показва дали мерките действат?
• Какво конкретно спестява това? Колко по-бързи стават оценките на риска и анализите на пропуските? Според Forrester това е ползата, която клиентите търсят най-много.
• Как се ценообразува ИИ? Ясно ли е колко струват функциите с ИИ и какво постигат, или за управлението на ИИ се добавя още един модул?

Пълния каталог от критерии за избора ще намерите в Как да изберете най-добрия GRC софтуер.

Как гледаме на това в Secani

Анализите потвърждават посоката, която следваме със Secani. Агентът на Secani трябва да поеме обширната подготвителна работа: да извлича информация, да предлага съпоставяния, да обединява доказателства и да обяснява пропуските. Решението остава у човека и трябва да може да бъде проследено по-късно. Как мислим за връзката между изискване, доказателство и преценка, описва статията ИИ в GRC: цитирането не е проверка.

Затова мерилото не е колко функции с ИИ има една платформа, а дали за всяка оценка може да се отговори защо е валидна, кой носи отговорност за нея и какво би трябвало да се промени, за да бъде проверена отново.

Заключение

През 2026 г. Forrester, Verdantix и GRC 20/20 описват една и съща промяна: GRC платформите трябва да вършат работа и да доставят резултати, вместо само да съхраняват данни. ИИ е важен инструмент за това, но вече не е отличителен белег. Разликата я правят проследимостта, ясната отговорност и солидните основи. Който избира GRC платформа, трябва да пита точно за това и да поиска отговорите да му бъдат показани върху собствения му случай на употреба.

Източници

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 май 2026 г.)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 август 2025 г.)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, октомври 2026 г.)