GRC tržište 2026.: što Forrester, Verdantix i GRC 20/20 kažu o umjetnoj inteligenciji i platformama

Zašto se 2026. isplati pogledati analitičare

Gotovo svaki ponuđač GRC softvera 2026. govori o UI agentima. Tko pročita aktualne analize velikih promatrača tržišta, pronaći će ipak znatno trjezniju bilancu. Forrester, Verdantix i GRC 20/20 Research neovisno jedni o drugima dolaze do sličnog zaključka: GRC platforme moraju se iz temelja promijeniti, a funkcije umjetne inteligencije koje se danas prodaju to zasad gotovo ne ostvaruju.

Za organizacije koje upravo biraju GRC platformu ili moderniziraju svoj sustav upravljanja informacijskom sigurnošću to je važna orijentacija. Ovaj članak sažima javno dostupne rezultate triju analiza, pokazuje njihove zajedničke točke i iz njih izvodi pitanja za provjeru pri odabiru.

Tri analize ukratko

Forrester: od System of Record do System of Action

Krajem svibnja 2026. Forrester je objavio Wave za platforme za upravljanje, rizike i usklađenost te u njemu ocijenio dvanaest ponuđača. Analitičari Paul McKay i Cody Scott opisuju tržište s mnogo protuvjetra: mnoge platforme i dalje zahtijevaju previše ručnog unosa podataka, nude tek jednostavnu automatizaciju tijekova rada i za svoju su današnju svrhu presložene, pretrome i preskupe. Forrester

Istodobno Forrester očekuje da će se svrha tih platformi u sljedećih 18 do 24 mjeseca iz temelja promijeniti. Dosad su GRC alati prije svega bili System of Record: bilježe rezultate procjena rizika, provjera usklađenosti i internih revizija. Ubuduće bi trebali postati System of Action koji orkestrira rad i isporučuje rezultate, umjesto da samo pohranjuje podatke. Platforma pritom ostaje mjesto mjerodavnih podataka, ali koristi automatizaciju u širem ekosustavu. Ponuđači zato sve češće surađuju sa specijalistima za podatke o rizicima i regulatorni sadržaj, umjesto da sve grade sami.

Četiri daljnja nalaza posebno su važna za odabir platforme:

• Umjetna inteligencija danas donosi malo dodane vrijednosti. Većina funkcija umjetne inteligencije poboljšava postojeće, umjesto da iz temelja mijenja rad. Kupci kao prepreke navode funkcionalna ograničenja i visoke troškove. Najtraženije je nešto vrlo konkretno: znatno brže procjene rizika i provjere usklađenosti.
• Continuous Controls Monitoring najslabiji je kriterij cijele ocjene. Mnoge ga platforme koriste samo za prikupljanje dokaza za internu reviziju. Prava vrijednost prema Forresteru leži u kontinuiranom praćenju djeluju li kontrole i poštuju li se politike te u pokretanju korekcija kod odstupanja. Više o tom pristupu pročitajte u članku Kontinuirani nadzor kontrola: znajte što signal dokazuje.
• Više podataka nije automatski bolje. Forrester povlači paralelu sa sigurnosnom analitikom: ondje je tek usredotočenost na jasno definirane slučajeve uporabe donijela stvarnu korist. Za GRC analitičari preporučuju biblioteke s konkretnim slučajevima nadzora i uobičajenim pragovima, kako bi se prikupljali samo podaci koji su doista potrebni.
• Nitko ne zna kako naplaćivati umjetnu inteligenciju. Modeli sežu od besplatnog uključivanja preko fiksnih dodatnih paketa do naplate po upravljanom slučaju uporabe umjetne inteligencije. Kupci često plaćaju dvaput, za umjetnu inteligenciju u platformi i za zaseban modul za upravljanje umjetnom inteligencijom. Mnogi referentni kupci nisu mogli procijeniti protuvrijednost svojeg ulaganja u umjetnu inteligenciju.

Verdantix: funkcije rastu brže od njihove objašnjivosti

Verdantix je za Green Quadrant GRC Software 2025 usporedio 15 ponuđača u deset kategorija sposobnosti i rezultate usporedio s financijskim podacima i podacima o kupcima. Verdantix U pratećem članku o umjetnoj inteligenciji u GRC-u nalazi se nalaz koji privlači pozornost: svaka platforma koja je kod ugrađenih funkcija umjetne inteligencije postigla najvišu ocjenu dobila je za objašnjivost i upravljanje modelima samo jedan do dva boda. Verdantix blog

Chatbotovi i automatizirana testiranja kontrola dakle dolaze na tržište brže od revizijskih tragova, podataka o razini pouzdanosti i izvješća o riziku modela koje će nadzorna tijela ubuduće zahtijevati. Verdantix izričito upućuje na Akt EU-a o umjetnoj inteligenciji: račun za nedostatak objašnjivosti uskoro će doći na naplatu. Koje norme ovdje upravo nastaju, pročitajte u članku ISO/IEC 27090, EN 18286 i IEEE 2863: tri nove norme za upravljanje umjetnom inteligencijom u 2026. ukratko.

Tome odgovaraju još tri rezultata:

• Visok rezultat za umjetnu inteligenciju sam po sebi ne prodaje. Napredna umjetna inteligencija budi interes, ali ako su temeljni GRC moduli oskudni, zainteresirani kupci oklijevaju. Održivi rast i dalje ovisi o širini pokrivenosti i o implementaciji nakon kupnje.
• Snaga u umjetnoj inteligenciji ne dovodi do viših stopa obnove ugovora. Verdantix nije pronašao pouzdanu povezanost. Kupci više pažnje posvećuju stabilnosti platforme, brzom uvođenju i dobroj podršci.
• Dubina zahtijeva ulaganje. Najjasnija je bila povezanost između proračuna za razvoj i stvarne zrelosti umjetne inteligencije. Bez trajnog ulaganja sve ostaje na površnim UI widgetima.

Za sljedeće godine Verdantix očekuje da će jednostavne funkcije umjetne inteligencije, poput generativnog pretraživanja i sažimanja, postati standard. Tržišno natjecanje time se premješta na transparentnost, nadzor i regulatornu usklađenost. Za ponuđače s visokim udjelom razvoja Verdantix vidi rijetku priliku da prestignu etablirane ponuđače, pod uvjetom da isporuče dubinu umjetne inteligencije, kvalitetu podataka i transparentnost.

GRC 20/20: orkestracija zahtijeva odgovornost

Michael Rasmussen, osnivač GRC 20/20 Researcha, u listopadu 2026. objavio je Market Perspective od 143 stranice o „GRC 7.0 – GRC Orchestrate“. GRC 20/20 Njegova teza: umjetna inteligencija čini vidljive softverske funkcije jeftinima i zamjenjivima. Vrijedni pak postaju pouzdane informacije, poslovni kontekst, stručna metodologija i izvršavanje za koje netko snosi odgovornost.

GRC 7.0 opisuje kao arhitekturu koja oko mjerodavnih Systems of Record postavlja tri sustava: jedan koji prepoznaje i razvrstava promjene, jedan koji izvršava rad u okviru jasnih ovlasti i provjerava njegov rezultat te jedan kojim se GRC sposobnosti mogu sljedivo prilagođavati. Rasmussen to izričito razgraničava od pukog gomilanja funkcija umjetne inteligencije. Kako taj model izgleda u pojedinostima i što znači za praksu, saželi smo u članku GRC 7.0: što GRC Orchestrate Michaela Rasmussena znači za organizacije.

Što je zajedničko trima analizama

Čitaju li se tri analize jedna uz drugu, pojavljuju se četiri zajedničke linije:

Analize si ni u jednoj bitnoj točki ne proturječe. Istu promjenu osvjetljavaju iz triju smjerova: Forrester iz perspektive ocjena kupaca, Verdantix iz usporedbe funkcija s poslovnim brojkama, a GRC 20/20 iz perspektive arhitekture.

Na što organizacije trebaju paziti pri odabiru

Za organizacije koje upravo biraju GRC platformu, primjerice za NIS2, ISO/IEC 27001 ili Akt EU-a o umjetnoj inteligenciji, iz nalaza Forrestera i Verdantixa proizlaze četiri pitanja za provjeru:

• Odakle dolazi procjena? Može li se za svaki rezultat UI agenta utvrditi na koji se zahtjev, koji dokaz i koje obrazloženje oslanja?
• Što se nadzire? Prikuplja li platforma samo dokaze za sljedeću reviziju ili kontinuirano pokazuje djeluju li mjere?
• Koliko se time konkretno štedi? Koliko brže postaju procjene rizika i analize nedostataka? To je prema Forresteru korist koju kupci najviše traže.
• Kako se naplaćuje umjetna inteligencija? Je li jasno koliko funkcije umjetne inteligencije stoje i što donose ili se za upravljanje umjetnom inteligencijom dodaje još jedan modul?

Cjelovit katalog kriterija za odabir pronaći ćete u članku Kako odabrati najbolji GRC softver.

Kako to vidimo u Secaniju

Analize potvrđuju smjer kojim idemo sa Secanijem. Agent Secani treba preuzeti opsežan pripremni rad: učiniti informacije dostupnima, predlagati povezivanja, objedinjavati dokaze i objašnjavati nedostatke. Odluka ostaje na čovjeku i kasnije mora biti sljediva. Kako razmišljamo o vezi između zahtjeva, dokaza i presude, opisuje članak Umjetna inteligencija u GRC-u: navođenje izvora nije provjera.

Mjerilo stoga nije koliko funkcija umjetne inteligencije platforma ima. Nego može li se za svaku procjenu odgovoriti zašto vrijedi, tko za nju odgovara i što bi se moralo promijeniti da bi se ponovno provjerila.

Zaključak

Forrester, Verdantix i GRC 20/20 u 2026. opisuju istu promjenu: GRC platforme trebaju obavljati rad i isporučivati rezultate, umjesto da samo pohranjuju podatke. Umjetna inteligencija za to je važan alat, ali više nije razlikovno obilježje. Razliku čine sljedivost, jasna odgovornost i čvrsti temelji. Tko bira GRC platformu, trebao bi pitati upravo o tome i zatražiti da mu se odgovori pokažu na vlastitom slučaju uporabe.

Izvori

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29. svibnja 2026.)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27. kolovoza 2025.)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, listopad 2026.)