Il mercato GRC nel 2026: che cosa dicono Forrester, Verdantix e GRC 20/20 su IA e piattaforme

Perché nel 2026 vale la pena guardare agli analisti

Nel 2026 quasi tutti i fornitori di software GRC parlano di agenti IA. Chi legge le analisi attuali dei grandi osservatori del mercato trova però un bilancio decisamente più sobrio. Forrester, Verdantix e GRC 20/20 Research arrivano, in modo indipendente l'uno dall'altro, a un risultato simile: le piattaforme GRC devono cambiare radicalmente, e le funzionalità di IA vendute oggi finora ci riescono ben poco.

Per le organizzazioni che stanno scegliendo una piattaforma GRC o modernizzando il proprio sistema di gestione della sicurezza delle informazioni, si tratta di un orientamento importante. Questo articolo riassume i risultati pubblicamente disponibili delle tre analisi, ne mostra i punti in comune e ne ricava domande da porre durante la selezione.

Le tre analisi a colpo d'occhio

Forrester: dal System of Record al System of Action

A fine maggio 2026 Forrester ha pubblicato la Wave dedicata alle piattaforme di governance, risk e compliance, valutando dodici fornitori. Gli analisti Paul McKay e Cody Scott descrivono un mercato con forti venti contrari: molte piattaforme richiedono ancora troppo inserimento manuale dei dati, offrono solo un'automazione semplice dei workflow e sono troppo complesse, troppo macchinose e troppo costose per lo scopo attuale. Forrester

Allo stesso tempo Forrester si aspetta che lo scopo di queste piattaforme cambi radicalmente nei prossimi 18-24 mesi. Finora gli strumenti GRC sono stati soprattutto un System of Record: registrano i risultati delle valutazioni del rischio, delle verifiche di conformità e degli audit interni. In futuro dovranno diventare un System of Action, che orchestra il lavoro e produce risultati invece di limitarsi ad archiviare dati. La piattaforma resta il luogo dei dati di riferimento, ma sfrutta l'automazione all'interno di un ecosistema più ampio. A tal fine i fornitori collaborano sempre più spesso con specialisti di dati di rischio e contenuti normativi, anziché sviluppare tutto in proprio.

Altri quattro risultati sono particolarmente rilevanti per la scelta di una piattaforma:

• Oggi l'IA porta poco valore aggiunto. La maggior parte delle funzionalità di IA migliora l'esistente invece di trasformare radicalmente il lavoro. I clienti indicano come ostacoli i limiti funzionali e i costi elevati. Il vantaggio più richiesto è molto concreto: valutazioni del rischio e verifiche di conformità nettamente più rapide.
• Il monitoraggio continuo dei controlli è il criterio più debole dell'intera valutazione. Molte piattaforme lo usano solo per raccogliere evidenze per l'internal audit. Secondo Forrester, il vero valore sta nel monitorare costantemente se i controlli sono efficaci e se le policy vengono rispettate, e nell'avviare correzioni in caso di scostamenti. Per approfondire questo approccio, leggete Monitoraggio continuo dei controlli: sapere che cosa dimostra il segnale.
• Più dati non significa automaticamente meglio. Forrester traccia un parallelo con la security analytics: lì solo la concentrazione su casi d'uso chiaramente definiti ha portato un reale beneficio. Per la GRC gli analisti raccomandano librerie di casi di monitoraggio concreti con soglie consuete, in modo da raccogliere solo i dati effettivamente necessari.
• Nessuno sa come prezzare l'IA. I modelli vanno dall'inclusione gratuita a pacchetti aggiuntivi fissi fino alla fatturazione per singolo caso d'uso di IA governato. Spesso i clienti pagano due volte: per l'IA nella piattaforma e per un modulo separato di governance dell'IA. Molti clienti di riferimento non sono stati in grado di valutare il ritorno del proprio investimento in IA.

Verdantix: le funzionalità crescono più rapidamente della loro spiegabilità

Per il Green Quadrant GRC Software 2025 Verdantix ha confrontato 15 fornitori in dieci categorie di capacità e ha incrociato i risultati con dati finanziari e dei clienti. Verdantix L'articolo di accompagnamento sull'IA nella GRC contiene un risultato che fa riflettere: ogni piattaforma che ha ottenuto il punteggio massimo per le funzionalità di IA integrate ha raggiunto solo da uno a due punti per spiegabilità e governance dei modelli. Blog di Verdantix

Chatbot e test automatizzati dei controlli arrivano quindi sul mercato più rapidamente degli audit trail, degli indicatori di confidenza e dei report sul rischio di modello che le autorità di vigilanza richiederanno in futuro. Verdantix rimanda esplicitamente all'AI Act dell'UE: il conto per la mancanza di spiegabilità arriverà presto. Quali norme stanno nascendo in questo ambito lo potete leggere in ISO/IEC 27090, EN 18286 e IEEE 2863: i 3 nuovi standard di governance dell'IA del 2026 a colpo d'occhio.

Altri tre risultati vanno nella stessa direzione:

• Un punteggio elevato sull'IA da solo non vende. L'IA avanzata suscita interesse, ma se i moduli GRC sottostanti sono scarni, i potenziali clienti esitano. Una crescita sostenibile dipende ancora dall'ampiezza della copertura e dall'implementazione dopo l'acquisto.
• La forza nell'IA non porta a tassi di rinnovo più elevati. Verdantix non ha trovato alcuna correlazione affidabile. I clienti badano di più alla stabilità della piattaforma, a un'introduzione rapida e a un buon supporto.
• La profondità richiede investimenti. La correlazione più evidente era tra budget di sviluppo e reale maturità nell'IA. Senza investimenti costanti si resta a widget di IA superficiali.

Per i prossimi anni Verdantix prevede che funzionalità di IA semplici, come la ricerca generativa e i riassunti, diventino lo standard. La competizione si sposta quindi su trasparenza, supervisione e aderenza normativa. Per i fornitori con un'elevata quota di sviluppo Verdantix vede una rara finestra di opportunità per superare i fornitori affermati, a condizione che mantengano le promesse su profondità dell'IA, qualità dei dati e trasparenza.

GRC 20/20: l'orchestrazione richiede responsabilità

Nell'ottobre 2026 Michael Rasmussen, fondatore di GRC 20/20 Research, ha pubblicato una Market Perspective di 143 pagine su «GRC 7.0 – GRC Orchestrate». GRC 20/20 La sua tesi: l'IA rende le funzionalità software visibili economiche e intercambiabili. Acquistano valore, invece, informazioni affidabili, contesto di business, metodologia specialistica ed esecuzione di cui qualcuno risponde.

Descrive GRC 7.0 come un'architettura che colloca tre sistemi attorno ai systems of record di riferimento: uno che rileva e interpreta i cambiamenti, uno che esegue il lavoro entro poteri chiaramente definiti e ne verifica il risultato, e uno che consente di adattare le capacità GRC in modo tracciabile. Rasmussen distingue esplicitamente tutto questo da un semplice insieme di funzionalità di IA. Abbiamo riassunto nel dettaglio com'è fatto questo modello e che cosa significa nella pratica in GRC 7.0: che cosa significa GRC Orchestrate di Michael Rasmussen per le organizzazioni.

Che cosa hanno in comune le tre analisi

Leggendo le tre analisi una accanto all'altra emergono quattro linee comuni:

Le analisi non si contraddicono su alcun punto essenziale. Illuminano lo stesso cambiamento da tre direzioni: Forrester dal punto di vista delle valutazioni dei clienti, Verdantix dal confronto tra funzionalità e dati economici e GRC 20/20 dalla prospettiva dell'architettura.

A che cosa dovrebbero prestare attenzione le organizzazioni nella scelta

Per le organizzazioni che stanno scegliendo una piattaforma GRC, per esempio per NIS2, la ISO/IEC 27001 o l'AI Act dell'UE, dai risultati di Forrester e Verdantix emergono quattro domande di verifica:

• Da dove proviene una valutazione? Per ogni risultato di un agente IA è possibile ricostruire su quale requisito, quale evidenza e quale motivazione si basa?
• Che cosa viene monitorato? La piattaforma raccoglie solo evidenze per il prossimo audit o mostra costantemente se i controlli sono efficaci?
• Che cosa si risparmia concretamente? Quanto diventano più rapide le valutazioni del rischio e le gap analysis? Secondo Forrester è questo il beneficio che i clienti cercano di più.
• Come viene prezzata l'IA? È chiaro quanto costano le funzionalità di IA e che cosa offrono, oppure per la governance dell'IA si aggiunge un ulteriore modulo?

Trovate il catalogo completo dei criteri di selezione in Come scegliere il miglior software GRC.

Come la vediamo in Secani

Le analisi confermano una direzione che perseguiamo con Secani. L'agente Secani deve farsi carico di un ampio lavoro preparatorio: reperire informazioni, proporre associazioni, raccogliere le evidenze ed evidenziare le lacune spiegandole. La decisione resta all'essere umano e deve poter essere ricostruita in seguito. Come concepiamo il legame tra requisito, evidenza e giudizio è descritto nell'articolo IA nella GRC: citare non significa verificare.

Il metro di giudizio non è quindi quante funzionalità di IA abbia una piattaforma, ma se per ogni valutazione si può rispondere al perché sia valida, a chi ne risponda e a che cosa dovrebbe cambiare perché venga riesaminata.

Conclusione

Nel 2026 Forrester, Verdantix e GRC 20/20 descrivono lo stesso cambiamento: le piattaforme GRC devono svolgere il lavoro e produrre risultati invece di limitarsi ad archiviare dati. L'IA è uno strumento importante a tal fine, ma non è più un elemento distintivo. A fare la differenza sono tracciabilità, responsabilità chiare e fondamentali solidi. Chi sceglie una piattaforma GRC dovrebbe chiedere proprio questo e farsi mostrare le risposte sul proprio caso d'uso.

Fonti

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 maggio 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 agosto 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, ottobre 2026)