Trh GRC 2026: Co říkají Forrester, Verdantix a GRC 20/20 o AI a platformách

Proč se v roce 2026 vyplatí podívat na analytiky

Téměř každý dodavatel GRC softwaru mluví v roce 2026 o AI agentech. Kdo si však přečte aktuální analýzy velkých pozorovatelů trhu, najde výrazně střízlivější bilanci. Forrester, Verdantix a GRC 20/20 Research docházejí nezávisle na sobě k podobnému výsledku: platformy GRC se musí zásadně změnit a funkce AI, které se dnes prodávají, to zatím téměř nedokážou.

Pro firmy, které právě vybírají platformu GRC nebo modernizují svůj systém řízení bezpečnosti informací, je to důležité vodítko. Tento článek shrnuje veřejně dostupné výsledky tří analýz, ukazuje jejich společné rysy a odvozuje z nich kontrolní otázky pro výběr.

Tři analýzy v přehledu

Forrester: Od System of Record k System of Action

Na konci května 2026 zveřejnil Forrester Wave pro platformy pro governance, řízení rizik a compliance a hodnotil v ní dvanáct dodavatelů. Analytici Paul McKay a Cody Scott popisují trh, který čelí silnému protivětru: mnoho platforem stále vyžaduje příliš mnoho ručního zadávání dat, nabízí jen jednoduchou automatizaci workflow a je pro svůj dnešní účel příliš složité, těžkopádné a drahé. Forrester

Zároveň Forrester očekává, že se účel těchto platforem v příštích 18 až 24 měsících zásadně změní. Dosud byly nástroje GRC především System of Record: zaznamenávají výsledky hodnocení rizik, kontrol compliance a interních auditů. V budoucnu se z nich má stát System of Action, který práci orchestruje a přináší výsledky, místo aby jen ukládal data. Platforma přitom zůstává místem rozhodujících dat, ale využívá automatizaci napříč širším ekosystémem. Dodavatelé k tomu stále častěji spolupracují se specialisty na data o rizicích a regulatorní obsah, místo aby vše stavěli sami.

Čtyři další zjištění jsou pro výběr platformy obzvlášť relevantní:

• AI dnes přináší malou přidanou hodnotu. Většina funkcí AI vylepšuje to, co už existuje, místo aby práci zásadně měnila. Zákazníci uvádějí jako překážky funkční omezení a vysoké náklady. Nejžádanější je něco velmi konkrétního: výrazně rychlejší hodnocení rizik a kontroly compliance.
• Continuous Controls Monitoring je nejslabším kritériem celého hodnocení. Mnoho platforem ho využívá jen ke sběru důkazů pro interní audit. Skutečná hodnota podle Forresteru spočívá v průběžném sledování, zda kontroly fungují a zda se dodržují politiky, a v tom, že se při odchylkách zahájí náprava. Více o tomto přístupu si přečtěte v článku Průběžné monitorování opatření: vězte, co signál prokazuje.
• Více dat neznamená automaticky lépe. Forrester to přirovnává k bezpečnostní analytice: tam přineslo skutečný užitek teprve zaměření na jasně definované případy užití. Pro GRC analytici doporučují knihovny s konkrétními případy monitorování a obvyklými prahovými hodnotami, aby se sbírala jen data, která jsou skutečně potřeba.
• Nikdo neví, jak AI zpoplatnit. Modely sahají od bezplatného zahrnutí přes pevné doplňkové balíčky až po účtování za každý řízený případ užití AI. Zákazníci často platí dvakrát: za AI v platformě a za samostatný modul pro správu AI. Mnoho referenčních zákazníků nedokázalo posoudit přínos své investice do AI.

Verdantix: Funkce rostou rychleji než jejich vysvětlitelnost

Verdantix v rámci Green Quadrant GRC Software 2025 porovnal 15 dodavatelů v deseti kategoriích schopností a výsledky porovnal s finančními a zákaznickými daty. Verdantix V doprovodném článku o AI v GRC je zjištění, které stojí za pozornost: každá platforma, která u vestavěných funkcí AI dosáhla nejvyššího hodnocení, získala u vysvětlitelnosti a správy modelů jen jeden až dva body. Blog Verdantix

Chatboty a automatizované testy kontrol se tedy dostávají na trh rychleji než auditní stopy, údaje o míře spolehlivosti a zprávy o modelovém riziku, které budou dozorové orgány v budoucnu vyžadovat. Verdantix výslovně odkazuje na akt EU o umělé inteligenci: účet za chybějící vysvětlitelnost bude brzy splatný. Jaké normy zde právě vznikají, si přečtěte v článku ISO/IEC 27090, EN 18286 a IEEE 2863: tři nové normy pro správu AI roku 2026 v přehledu.

S tím souvisejí tři další výsledky:

• Vysoké skóre AI samo o sobě neprodává. Pokročilá AI vzbuzuje zájem, ale pokud jsou základní moduly GRC slabé, zájemci váhají. Udržitelný růst nadále závisí na šíři pokrytí a na implementaci po nákupu.
• Síla v AI nevede k vyšší míře prodlužování smluv. Verdantix nenašel spolehlivou souvislost. Zákazníci více dbají na stabilitu platformy, rychlé zavedení a dobrou podporu.
• Hloubka vyžaduje investice. Nejzřetelnější byla souvislost mezi rozpočtem na vývoj a skutečnou vyspělostí AI. Bez trvalých investic zůstane u povrchních widgetů AI.

Pro příští roky Verdantix očekává, že se jednoduché funkce AI, jako je generativní vyhledávání a shrnutí, stanou standardem. Konkurence se tím přesouvá k transparentnosti, dohledu a souladu s regulací. Pro dodavatele s vysokým podílem vývoje vidí Verdantix vzácnou příležitost předstihnout zavedené dodavatele, pokud dodají hloubku AI, kvalitu dat a transparentnost.

GRC 20/20: Orchestrace vyžaduje odpovědnost

Michael Rasmussen, zakladatel GRC 20/20 Research, zveřejnil v říjnu 2026 143stránkovou Market Perspective „GRC 7.0 – GRC Orchestrate“. GRC 20/20 Jeho teze zní: AI činí viditelné softwarové funkce levnými a zaměnitelnými. Cenné se naopak stávají spolehlivé informace, obchodní kontext, odborná metodika a provádění, za které někdo nese odpovědnost.

GRC 7.0 popisuje jako architekturu, která kolem rozhodujících Systems of Record klade tři systémy: jeden, který rozpoznává a zařazuje změny, jeden, který provádí práci v rámci jasných oprávnění a ověřuje její výsledek, a jeden, se kterým lze schopnosti GRC dohledatelně přizpůsobovat. Rasmussen to výslovně odlišuje od pouhého hromadění funkcí AI. Jak tento model vypadá v detailu a co znamená pro praxi, jsme shrnuli v článku GRC 7.0: Co znamená GRC Orchestrate Michaela Rasmussena pro firmy.

Co mají tři analýzy společného

Při čtení tří analýz vedle sebe se ukazují čtyři společné linie:

Analýzy si v žádném podstatném bodě neodporují. Osvětlují tutéž změnu ze tří směrů: Forrester z pohledu hodnocení zákazníků, Verdantix ze srovnání funkcí s obchodními čísly a GRC 20/20 z pohledu architektury.

Na co by firmy měly při výběru dbát

Pro firmy, které právě vybírají platformu GRC, například pro NIS2, ISO/IEC 27001 nebo akt EU o umělé inteligenci, vyplývají ze zjištění Forresteru a Verdantixu čtyři kontrolní otázky:

• Odkud pochází hodnocení? Lze u každého výsledku AI agenta dohledat, o jaký požadavek, jaký důkaz a jaké zdůvodnění se opírá?
• Co se monitoruje? Sbírá platforma jen důkazy pro příští audit, nebo průběžně ukazuje, zda opatření fungují?
• Co to konkrétně ušetří? O kolik rychlejší budou hodnocení rizik a gap analýzy? To je podle Forresteru přínos, který zákazníci hledají nejvíce.
• Jak je AI zpoplatněna? Je jasné, co funkce AI stojí a co přinášejí, nebo pro správu AI přibude další modul?

Úplný katalog kritérií pro výběr najdete v článku Jak vybrat nejlepší GRC software.

Jak to vidíme v Secani

Analýzy potvrzují směr, kterým se se Secani ubíráme. Agent Secani má převzít rozsáhlou přípravnou práci: zpřístupňovat informace, navrhovat přiřazení, shromažďovat důkazy a vysvětlovat mezery. Rozhodnutí zůstává na člověku a musí být později dohledatelné. Jak přemýšlíme o vazbě mezi požadavkem, důkazem a verdiktem, popisuje článek AI v GRC: citovat neznamená ověřit.

Měřítkem proto není, kolik funkcí AI platforma má. Ale zda lze u každého hodnocení odpovědět, proč platí, kdo za ně odpovídá a co by se muselo změnit, aby bylo znovu přezkoumáno.

Závěr

Forrester, Verdantix a GRC 20/20 popisují v roce 2026 tutéž změnu: platformy GRC mají vykonávat práci a přinášet výsledky, místo aby jen ukládaly data. AI je k tomu důležitým nástrojem, ale už ne rozlišujícím znakem. Rozdíl dělá dohledatelnost, jasná odpovědnost a solidní základy. Kdo vybírá platformu GRC, měl by se ptát právě na to a nechat si odpovědi ukázat na vlastním případu užití.

Zdroje

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29. května 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27. srpna 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, říjen 2026)