GRC-markedet 2026: hvad Forrester, Verdantix og GRC 20/20 siger om AI og platforme

Derfor er det værd at se på analytikerne i 2026

Næsten alle leverandører af GRC-software taler i 2026 om AI-agenter. Læser man de aktuelle analyser fra de store markedsobservatører, finder man dog en langt mere nøgtern status. Forrester, Verdantix og GRC 20/20 Research når uafhængigt af hinanden frem til et lignende resultat: GRC-platforme skal ændre sig grundlæggende, og de AI-funktioner, der sælges i dag, leverer endnu kun lidt af det.

For virksomheder, der er ved at vælge en GRC-platform eller modernisere deres ledelsessystem for informationssikkerhed, er det en vigtig pejling. Denne artikel opsummerer de offentligt tilgængelige resultater af de tre analyser, viser fællestrækkene og udleder spørgsmål, du kan stille, når du vælger.

De tre analyser i overblik

Forrester: fra System of Record til System of Action

I slutningen af maj 2026 udgav Forrester sin Wave for governance-, risk- og compliance-platforme og vurderede i den forbindelse tolv leverandører. Analytikerne Paul McKay og Cody Scott beskriver et marked med meget modvind: Mange platforme kræver stadig for meget manuel dataindtastning, tilbyder kun enkel workflowautomatisering og er for komplekse, for tunge og for dyre til deres nuværende formål. Forrester

Samtidig forventer Forrester, at formålet med disse platforme ændrer sig grundlæggende i løbet af de næste 18 til 24 måneder. Hidtil har GRC-værktøjer først og fremmest været et System of Record: De registrerer resultaterne af risikovurderinger, compliancegennemgange og interne revisioner. Fremover skal de blive et System of Action, der orkestrerer arbejde og leverer resultater i stedet for blot at opbevare data. Platformen forbliver stedet for de autoritative data, men udnytter automatisering på tværs af et bredere økosystem. Leverandørerne samarbejder i stigende grad med specialister i risikodata og regulatorisk indhold i stedet for selv at bygge det hele.

Fire yderligere konklusioner er særligt relevante, når man vælger en platform:

• AI giver i dag kun lidt merværdi. De fleste AI-funktioner forbedrer det eksisterende i stedet for at ændre arbejdet grundlæggende. Kunderne nævner funktionelle begrænsninger og høje omkostninger som barrierer. Mest efterspurgt er noget meget konkret: markant hurtigere risikovurderinger og compliancegennemgange.
• Continuous Controls Monitoring er det svageste kriterium i hele vurderingen. Mange platforme bruger det kun til at indsamle evidens til den interne revision. Den egentlige værdi ligger ifølge Forrester i løbende at overvåge, om kontrollerne virker, og om politikkerne overholdes, og i at sætte korrektioner i gang ved afvigelser. Læs mere om denne tilgang i Kontinuerlig kontrolovervågning: vid, hvad signalet beviser.
• Flere data er ikke automatisk bedre. Forrester drager en parallel til sikkerhedsanalyse: Dér gav først koncentrationen om klart definerede use cases reel nytte. For GRC anbefaler analytikerne biblioteker med konkrete overvågningsscenarier og gængse tærskelværdier, så kun de data, der virkelig er brug for, bliver indsamlet.
• Ingen ved, hvordan AI skal prissættes. Modellerne spænder fra gratis inkluderet over faste tillægspakker til afregning pr. styret AI-use case. Ofte betaler kunderne dobbelt: for AI i platformen og for et separat modul til AI-governance. Mange referencekunder kunne ikke vurdere modværdien af deres AI-investering.

Verdantix: funktionerne vokser hurtigere end deres forklarbarhed

Til Green Quadrant GRC Software 2025 har Verdantix sammenlignet 15 leverandører i ti kapabilitetskategorier og holdt resultaterne op mod finansielle data og kundedata. Verdantix I den ledsagende artikel om AI i GRC står et resultat, der får en til at spærre øjnene op: Hver platform, der opnåede topkarakter for indbyggede AI-funktioner, fik kun et til to point for forklarbarhed og governance af modellerne. Verdantix-blog

Chatbots og automatiserede kontroltest kommer altså hurtigere på markedet end de revisionsspor, konfidensangivelser og modelrisikorapporter, som tilsynsmyndighederne fremover vil kræve. Verdantix henviser udtrykkeligt til EU's AI-forordning: Regningen for manglende forklarbarhed forfalder snart. Hvilke standarder der er ved at opstå her, kan du læse i ISO/IEC 27090, EN 18286 og IEEE 2863: de 3 nye standarder for AI-governance i 2026 i overblik.

Tre yderligere resultater passer ind i billedet:

• En høj AI-score sælger ikke alene. Avanceret AI vækker interesse, men hvis de underliggende GRC-moduler er tynde, tøver interessenterne. Bæredygtig vækst afhænger fortsat af dækningens bredde og af implementeringen efter købet.
• AI-styrke fører ikke til højere fornyelsesrater. Verdantix fandt ingen pålidelig sammenhæng. Kunderne lægger mere vægt på platformens stabilitet, en hurtig implementering og god support.
• Dybde kræver investering. Tydeligst var sammenhængen mellem udviklingsbudget og reel AI-modenhed. Uden vedvarende investering bliver det ved overfladiske AI-widgets.

For de kommende år forventer Verdantix, at enkle AI-funktioner som generativ søgning og opsummeringer bliver standard. Konkurrencen flytter sig dermed til gennemsigtighed, tilsyn og regulatorisk egnethed. For leverandører med en høj andel af udvikling ser Verdantix et sjældent vindue til at overhale etablerede leverandører, forudsat at de leverer på AI-dybde, datakvalitet og gennemsigtighed.

GRC 20/20: orkestrering kræver ansvar

Michael Rasmussen, grundlægger af GRC 20/20 Research, udgav i oktober 2026 en 143 sider lang Market Perspective om “GRC 7.0 – GRC Orchestrate”. GRC 20/20 Hans tese: AI gør synlige softwarefunktioner billige og udskiftelige. Værdifulde bliver derimod pålidelige oplysninger, forretningskontekst, faglig metodik og udførelse, som nogen står til ansvar for.

GRC 7.0 beskriver han som en arkitektur, der lægger tre systemer omkring de autoritative Systems of Record: ét, der opdager og vurderer forandringer, ét, der udfører arbejde inden for klare beføjelser og kontrollerer resultatet, og ét, hvormed GRC-kapabiliteter kan tilpasses sporbart. Rasmussen adskiller det udtrykkeligt fra en blot og bar samling af AI-funktioner. Hvordan modellen ser ud i detaljer, og hvad den betyder i praksis, har vi opsummeret i GRC 7.0: hvad Michael Rasmussens GRC Orchestrate betyder for virksomheder.

Hvad de tre analyser har til fælles

Læser man de tre analyser side om side, tegner der sig fire fælles linjer:

Analyserne modsiger ikke hinanden på noget væsentligt punkt. De belyser den samme forandring fra tre retninger: Forrester ud fra kundevurderingerne, Verdantix ud fra sammenstillingen af funktioner med forretningstal og GRC 20/20 ud fra arkitekturens perspektiv.

Hvad virksomheder bør være opmærksomme på, når de vælger

For virksomheder, der er ved at vælge en GRC-platform, for eksempel til NIS2, ISO/IEC 27001 eller EU's AI-forordning, giver Forresters og Verdantix' resultater fire spørgsmål:

• Hvor kommer en vurdering fra? Kan man for hvert resultat fra en AI-agent spore, hvilket krav, hvilken evidens og hvilken begrundelse det bygger på?
• Hvad overvåges? Indsamler platformen kun evidens til den næste revision, eller viser den løbende, om kontrollerne virker?
• Hvad sparer det konkret? Hvor meget hurtigere bliver risikovurderinger og gap-analyser? Det er ifølge Forrester den nytte, kunderne efterspørger mest.
• Hvordan prissættes AI? Er det klart, hvad AI-funktionerne koster, og hvad de leverer, eller kommer der et ekstra modul til AI-governance oveni?

Det fulde kriteriekatalog til valget finder du i Sådan vælger du den bedste GRC-software.

Sådan ser vi det hos Secani

Analyserne bekræfter en retning, som vi forfølger med Secani. Secani-agenten skal tage sig af omfattende forarbejde: åbne informationer op, foreslå tilknytninger, samle evidens og forklare huller. Beslutningen forbliver hos mennesket, og den skal kunne spores senere. Hvordan vi tænker om forbindelsen mellem krav, evidens og vurdering, beskriver artiklen AI i GRC: en kildehenvisning er ikke en verifikation.

Målestokken er derfor ikke, hvor mange AI-funktioner en platform har. Men om man for hver vurdering kan svare på, hvorfor den gælder, hvem der står til ansvar for den, og hvad der skulle ændre sig, for at den bliver vurderet på ny.

Konklusion

Forrester, Verdantix og GRC 20/20 beskriver i 2026 den samme forandring: GRC-platforme skal udføre arbejde og levere resultater i stedet for blot at opbevare data. AI er et vigtigt værktøj til det, men ikke længere en differentiator. Forskellen gøres af sporbarhed, klart ansvar og et solidt grundlag. Den, der vælger en GRC-platform, bør spørge netop ind til det og få svarene demonstreret på sin egen use case.

Kilder

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29. maj 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27. august 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)