A GRC-piac 2026-ban: mit mond a Forrester, a Verdantix és a GRC 20/20 az MI-ről és a platformokról

Miért érdemes 2026-ban az elemzőkre figyelni

2026-ban szinte minden GRC-szoftver szállítója MI-ügynökökről beszél. Aki azonban elolvassa a nagy piacfigyelők friss elemzéseit, jóval józanabb mérleggel találkozik. A Forrester, a Verdantix és a GRC 20/20 Research egymástól függetlenül hasonló eredményre jut: a GRC-platformoknak alapvetően meg kell változniuk, a ma értékesített MI-funkciók pedig ezt eddig alig teljesítik.

Azoknak a vállalatoknak, amelyek éppen GRC-platformot választanak vagy információbiztonsági irányítási rendszerüket korszerűsítik, ez fontos iránymutatás. Ez a cikk összefoglalja a három elemzés nyilvánosan elérhető eredményeit, bemutatja a közös pontokat, és ellenőrző kérdéseket fogalmaz meg a kiválasztáshoz.

A három elemzés egy pillantással

Forrester: a System of Recordtól a System of Actionig

2026 május végén a Forrester közzétette az irányítási, kockázatkezelési és megfelelőségi platformokról szóló Wave-et, amelyben tizenkét szállítót értékelt. Paul McKay és Cody Scott elemzők erős ellenszéllel küzdő piacot írnak le: sok platform még mindig túl sok kézi adatbevitelt igényel, csak egyszerű munkafolyamat-automatizálást kínál, és mai céljához képest túl összetett, túl nehézkes és túl drága. Forrester

A Forrester ugyanakkor arra számít, hogy ezeknek a platformoknak a célja a következő 18–24 hónapban alapvetően megváltozik. A GRC-eszközök eddig elsősorban System of Record szerepet töltöttek be: rögzítik a kockázatértékelések, a megfelelőségi ellenőrzések és a belső auditok eredményeit. A jövőben System of Action rendszerré kell válniuk, amely összehangolja a munkát és eredményeket hoz, ahelyett hogy csak adatokat tárolna. A platform közben a mérvadó adatok helye marad, de egy tágabb ökoszisztémán átívelő automatizálást használ. A szállítók ehhez egyre gyakrabban működnek együtt kockázati adatokra és szabályozási tartalmakra szakosodott partnerekkel, ahelyett hogy mindent maguk építenének.

Négy további megállapítás különösen fontos a platform kiválasztásához:

• Az MI ma kevés hozzáadott értéket teremt. A legtöbb MI-funkció a meglévőt javítja, ahelyett hogy alapvetően átalakítaná a munkát. Az ügyfelek akadályként a funkcionális korlátokat és a magas költségeket említik. A legkeresettebb valami nagyon konkrét: jelentősen gyorsabb kockázatértékelések és megfelelőségi ellenőrzések.
• A Continuous Controls Monitoring a teljes értékelés leggyengébb szempontja. Sok platform csak arra használja, hogy bizonyítékokat gyűjtsön a belső ellenőrzés számára. A Forrester szerint a valódi érték abban rejlik, hogy folyamatosan figyelemmel kísérik, működnek-e a kontrollok és betartják-e a szabályzatokat, eltérés esetén pedig korrekciót indítanak. Erről a megközelítésről bővebben itt olvashat: A kontrollok folyamatos monitorozása: tudja, mit bizonyít a jelzés.
• A több adat nem automatikusan jobb. A Forrester párhuzamot von a biztonsági analitikával: ott csak a világosan meghatározott felhasználási esetekre való összpontosítás hozott valódi hasznot. A GRC-hez az elemzők konkrét monitorozási esetekből és szokásos küszöbértékekből álló könyvtárakat javasolnak, hogy csak a valóban szükséges adatokat gyűjtsék.
• Senki sem tudja, hogyan kellene az MI-t beárazni. A modellek az ingyenesen benne foglalt funkcióktól a fix kiegészítő csomagokon át az irányított MI-felhasználási esetenkénti elszámolásig terjednek. Az ügyfelek gyakran kétszer fizetnek: a platformba épített MI-ért és egy külön MI-irányítási modulért. Sok referenciaügyfél nem tudta megítélni, mit kapott az MI-be fektetett pénzéért.

Verdantix: a funkciók gyorsabban nőnek, mint a magyarázhatóságuk

A Verdantix a Green Quadrant GRC Software 2025 keretében 15 szállítót hasonlított össze tíz képességkategóriában, és az eredményeket pénzügyi és ügyféladatokkal vetette össze. Verdantix A GRC-beli MI-ről szóló kísérő cikkben szerepel egy figyelemre méltó megállapítás: minden platform, amely a beágyazott MI-funkciók terén a legmagasabb pontszámot érte el, a modellek magyarázhatósága és irányítása terén csak egy-két pontot kapott. Verdantix-blog

A chatbotok és az automatizált kontrolltesztek tehát gyorsabban jutnak el a piacra, mint azok az auditnyomok, megbízhatósági mutatók és modellkockázati jelentések, amelyeket a felügyeleti hatóságok a jövőben megkövetelnek majd. A Verdantix kifejezetten utal az EU MI-rendeletére: a hiányzó magyarázhatóság számlája hamarosan esedékessé válik. Hogy milyen szabványok születnek éppen ezen a területen, azt az ISO/IEC 27090, EN 18286 és IEEE 2863: 2026 három új MI-irányítási szabványa egy pillantással című cikkben olvashatja.

Ehhez illeszkedik további három eredmény:

• Egy magas MI-pontszám önmagában nem ad el. A fejlett MI felkelti az érdeklődést, de ha a mögöttes GRC-modulok szegényesek, az érdeklődők habozni kezdenek. A tartós növekedés továbbra is a lefedettség szélességén és a vásárlás utáni bevezetésen múlik.
• Az MI-képességek erőssége nem vezet magasabb szerződésmegújítási arányhoz. A Verdantix nem talált megbízható összefüggést. Az ügyfelek inkább a platform stabilitására, a gyors bevezetésre és a jó támogatásra figyelnek.
• A mélységhez befektetés kell. A legegyértelműbb összefüggés a fejlesztési költségvetés és a valódi MI-érettség között mutatkozott. Tartós befektetés nélkül felszínes MI-widgeteknél marad a dolog.

A következő évekre a Verdantix arra számít, hogy az egyszerű MI-funkciók, például a generatív keresés és az összefoglalók, alapkövetelménnyé válnak. A verseny így az átláthatóság, a felügyelet és a szabályozási megfelelés felé tolódik. A magas fejlesztési aránnyal működő szállítók számára a Verdantix ritka lehetőséget lát arra, hogy megelőzzék a régóta jelen lévő szállítókat, feltéve, hogy MI-mélységben, adatminőségben és átláthatóságban teljesítenek.

GRC 20/20: az orkesztrációhoz felelősség kell

Michael Rasmussen, a GRC 20/20 Research alapítója 2026 októberében 143 oldalas Market Perspective-et tett közzé „GRC 7.0 – GRC Orchestrate” címmel. GRC 20/20 Tézise: az MI olcsóvá és felcserélhetővé teszi a látható szoftverfunkciókat. Értékessé ezzel szemben a megbízható információk, az üzleti kontextus, a szakmai módszertan és az olyan végrehajtás válik, amelyért valaki felelősséget visel.

A GRC 7.0-t olyan architektúraként írja le, amely a mérvadó Systems of Record köré három rendszert helyez: egyet, amely felismeri és értelmezi a változásokat, egyet, amely világos jogosultságok keretében végzi el a munkát és ellenőrzi annak eredményét, és egyet, amellyel a GRC-képességek nyomon követhető módon igazíthatók. Rasmussen ezt kifejezetten elhatárolja az MI-funkciók puszta halmozásától. Hogy ez a modell részleteiben hogyan néz ki, és mit jelent a gyakorlatban, azt a GRC 7.0: mit jelent Michael Rasmussen GRC Orchestrate modellje a vállalatok számára című cikkünkben foglaltuk össze.

Mi a közös a három elemzésben

Ha a három elemzést egymás mellett olvassuk, négy közös vonal rajzolódik ki:

Az elemzések egyetlen lényeges pontban sem mondanak ellent egymásnak. Ugyanazt a változást három irányból világítják meg: a Forrester az ügyfélértékelések, a Verdantix a funkciók és az üzleti számok összevetése, a GRC 20/20 pedig az architektúra szemszögéből.

Mire figyeljenek a vállalatok a kiválasztásnál

Azok a vállalatok, amelyek éppen GRC-platformot választanak, például a NIS2, az ISO/IEC 27001 vagy az EU MI-rendelete miatt, a Forrester és a Verdantix megállapításaiból négy ellenőrző kérdést vezethetnek le:

• Honnan származik egy értékelés? Visszakövethető-e egy MI-ügynök minden eredményéről, hogy melyik követelményre, melyik bizonyítékra és milyen indoklásra támaszkodik?
• Mit figyel a rendszer? A platform csak a következő audithoz gyűjt bizonyítékokat, vagy folyamatosan mutatja, hogy az intézkedések hatásosak-e?
• Konkrétan mennyit takarít meg? Mennyivel gyorsulnak a kockázatértékelések és a hiányelemzések? A Forrester szerint ez az a haszon, amelyet az ügyfelek a leginkább keresnek.
• Hogyan árazzák az MI-t? Világos-e, mibe kerülnek az MI-funkciók és mit nyújtanak, vagy az MI-irányításhoz még egy modul jár?

A kiválasztás teljes kritériumkatalógusát a Hogyan válassza ki a legjobb GRC-szoftvert című cikkünkben találja.

Hogyan látjuk ezt a Secaninál

Az elemzések megerősítik azt az irányt, amelyet a Secanival követünk. A Secani-ügynök feladata, hogy elvégezze a kiterjedt előkészítő munkát: feltárja az információkat, hozzárendeléseket javasoljon, összegyűjtse a bizonyítékokat és megmagyarázza a hiányosságokat. A döntés az embernél marad, és később is visszakövethetőnek kell lennie. Arról, hogyan gondolkodunk a követelmény, a bizonyíték és az ítélet közötti kapcsolatról, az MI a GRC-ben: a hivatkozás nem ellenőrzés című cikk szól.

A mérce ezért nem az, hogy egy platform hány MI-funkcióval rendelkezik. Hanem az, hogy minden értékelésről megválaszolható-e, miért érvényes, ki felel érte, és minek kellene megváltoznia ahhoz, hogy újra felülvizsgálják.

Összegzés

A Forrester, a Verdantix és a GRC 20/20 2026-ban ugyanazt a változást írja le: a GRC-platformoknak munkát kell elvégezniük és eredményeket kell hozniuk, ahelyett hogy csak adatokat tárolnának. Az MI ehhez fontos eszköz, de már nem megkülönböztető tényező. A különbséget a nyomon követhetőség, az egyértelmű felelősség és a szilárd alapok jelentik. Aki GRC-platformot választ, pontosan ezekre kérdezzen rá, és kérje, hogy a válaszokat a saját felhasználási esetén mutassák be.

Források

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 2026. május 29.)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 2025. augusztus 27.)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, 2026. október)