GRC rinka 2026 m.: ką Forrester, Verdantix ir GRC 20/20 sako apie DI ir platformas

Kodėl 2026 m. verta pažvelgti į analitikų vertinimus

Beveik kiekvienas GRC programinės įrangos tiekėjas 2026 m. kalba apie DI agentus. Tačiau perskaičius naujausias didžiųjų rinkos stebėtojų analizes, matyti kur kas blaivesnis vaizdas. Forrester, Verdantix ir GRC 20/20 Research nepriklausomai vienas nuo kito prieina prie panašaus rezultato: GRC platformos turi iš esmės pasikeisti, o šiandien parduodamos DI funkcijos iki šiol to beveik nepasiekia.

Įmonėms, kurios šiuo metu renkasi GRC platformą arba modernizuoja savo informacijos saugumo valdymo sistemą, tai svarbus orientyras. Šiame straipsnyje apibendrinami viešai prieinami trijų analizių rezultatai, parodomi jų bendri bruožai ir iš jų išvedami klausimai, padėsiantys pasirinkti.

Trys analizės trumpai

Forrester: nuo System of Record prie System of Action

2026 m. gegužės pabaigoje Forrester paskelbė valdymo, rizikos ir atitikties platformų Wave vertinimą, kuriame įvertino dvylika tiekėjų. Analitikai Paulas McKay ir Cody Scottas aprašo rinką, kurioje daug priešpriešinio vėjo: daugelis platformų vis dar reikalauja per daug rankinio duomenų įvedimo, siūlo tik paprastą darbo eigų automatizavimą ir dabartinei paskirčiai yra per sudėtingos, per gremėzdiškos ir per brangios. Forrester

Kartu Forrester tikisi, kad per ateinančius 18–24 mėnesius šių platformų paskirtis iš esmės pasikeis. Iki šiol GRC įrankiai pirmiausia buvo System of Record: jie fiksuoja rizikos vertinimų, atitikties patikrinimų ir vidaus auditų rezultatus. Ateityje jie turi tapti System of Action, kuri orkestruoja darbą ir pateikia rezultatus, o ne tik saugo duomenis. Platforma ir toliau lieka autoritetingų duomenų vieta, tačiau naudoja automatizavimą platesnėje ekosistemoje. Tam tiekėjai vis dažniau bendradarbiauja su rizikos duomenų ir reguliavimo turinio specialistais, užuot viską kūrę patys.

Renkantis platformą ypač svarbios dar keturios išvados:

• DI šiandien suteikia mažai pridėtinės vertės. Dauguma DI funkcijų gerina tai, kas jau yra, o ne iš esmės keičia darbą. Klientai kaip kliūtis nurodo funkcinius apribojimus ir dideles sąnaudas. Labiausiai pageidaujama labai konkretaus dalyko: gerokai greitesnių rizikos vertinimų ir atitikties patikrinimų.
• Continuous Controls Monitoring yra silpniausias viso vertinimo kriterijus. Daugelis platformų jį naudoja tik įrodymams vidaus auditui rinkti. Pasak Forrester, tikroji vertė yra nuolat stebėti, ar kontrolės priemonės veikia ir ar laikomasi politikų, o nukrypimų atveju inicijuoti taisymus. Daugiau apie šį požiūrį skaitykite straipsnyje Nuolatinė kontrolės priemonių stebėsena: žinokite, ką įrodo signalas.
• Daugiau duomenų nebūtinai reiškia geriau. Forrester brėžia paralelę su saugumo analitika: ten tikrąją naudą atnešė tik susitelkimas į aiškiai apibrėžtus naudojimo atvejus. GRC srityje analitikai rekomenduoja bibliotekas su konkrečiais stebėsenos atvejais ir įprastomis ribinėmis vertėmis, kad būtų renkami tik tie duomenys, kurių iš tiesų reikia.
• Niekas nežino, kaip įkainoti DI. Modeliai svyruoja nuo nemokamai įtrauktų funkcijų iki fiksuotų papildomų paketų ir atsiskaitymo už kiekvieną valdomą DI naudojimo atvejį. Dažnai klientai moka dvigubai: už DI platformoje ir už atskirą DI valdymo modulį. Daugelis rekomendacijas teikiančių klientų negalėjo įvertinti savo DI investicijos grąžos.

Verdantix: funkcijos auga sparčiau nei jų paaiškinamumas

Rengdama Green Quadrant GRC Software 2025 Verdantix palygino 15 tiekėjų dešimtyje gebėjimų kategorijų ir rezultatus sugretino su finansiniais bei klientų duomenimis. Verdantix Lydimajame straipsnyje apie DI GRC srityje pateikiama išvada, verčianti suklusti: kiekviena platforma, gavusi aukščiausią įvertinimą už įdiegtas DI funkcijas, už modelių paaiškinamumą ir valdymą gavo tik nuo vieno iki dviejų balų. Verdantix tinklaraštis

Pokalbių robotai ir automatizuoti kontrolės priemonių testai taigi pasiekia rinką greičiau nei audito sekos, patikimumo nuorodos ir modelių rizikos ataskaitos, kurių ateityje reikalaus priežiūros institucijos. Verdantix aiškiai nurodo ES dirbtinio intelekto aktą: sąskaitą už paaiškinamumo trūkumą netrukus teks apmokėti. Kokie standartai šioje srityje šiuo metu rengiami, skaitykite straipsnyje ISO/IEC 27090, EN 18286 ir IEEE 2863: trys nauji 2026 m. DI valdymo standartai trumpai.

Su tuo dera dar trys rezultatai:

• Vien aukštas DI įvertinimas neparduoda. Pažangus DI sukelia susidomėjimą, tačiau jei pagrindiniai GRC moduliai yra skurdūs, potencialūs klientai dvejoja. Tvarus augimas ir toliau priklauso nuo aprėpties pločio ir diegimo po pirkimo.
• DI stiprumas nelemia didesnio sutarčių pratęsimo rodiklio. Verdantix nerado patikimo ryšio. Klientai daugiau dėmesio skiria platformos stabilumui, greitam diegimui ir geram palaikymui.
• Gilumui reikia investicijų. Aiškiausias buvo ryšys tarp kūrimo biudžeto ir tikrosios DI brandos. Be nuolatinių investicijų lieka tik paviršutiniški DI valdikliai.

Ateinantiems metams Verdantix prognozuoja, kad paprastos DI funkcijos, tokios kaip generatyvinė paieška ir santraukos, taps standartu. Taigi konkurencija persikelia į skaidrumą, priežiūrą ir atitiktį reguliavimui. Tiekėjams, kurių kūrimo dalis didelė, Verdantix įžvelgia retą galimybę aplenkti įsitvirtinusius tiekėjus, jei tik jie užtikrins DI gilumą, duomenų kokybę ir skaidrumą.

GRC 20/20: orkestravimui reikia atsakomybės

GRC 20/20 Research įkūrėjas Michaelas Rasmussenas 2026 m. spalį paskelbė 143 puslapių Market Perspective tema „GRC 7.0 – GRC Orchestrate“. GRC 20/20 Jo tezė: DI matomas programinės įrangos funkcijas paverčia pigiomis ir pakeičiamomis. Vertingi tampa patikima informacija, verslo kontekstas, dalykinė metodika ir vykdymas, už kurį kažkas prisiima atsakomybę.

GRC 7.0 jis apibūdina kaip architektūrą, kuri aplink autoritetingas Systems of Record išdėsto tris sistemas: vieną, kuri atpažįsta ir įvertina pokyčius, kitą, kuri atlieka darbą aiškių įgaliojimų ribose ir patikrina jo rezultatą, ir trečią, kuria GRC gebėjimus galima atsekamai pritaikyti. Rasmussenas tai aiškiai atskiria nuo paprasto DI funkcijų rinkinio. Kaip šis modelis atrodo išsamiau ir ką jis reiškia praktikoje, apibendrinome straipsnyje GRC 7.0: ką Michaelio Rasmusseno GRC Orchestrate reiškia įmonėms.

Kas bendra šioms trims analizėms

Skaitant visas tris analizes greta, išryškėja keturios bendros linijos:

Analizės neprieštarauja viena kitai nė vienu esminiu klausimu. Jos nušviečia tą patį pokytį iš trijų pusių: Forrester – iš klientų vertinimų perspektyvos, Verdantix – sugretindama funkcijas su verslo rodikliais, o GRC 20/20 – iš architektūros perspektyvos.

Į ką įmonėms atkreipti dėmesį renkantis

Įmonėms, kurios šiuo metu renkasi GRC platformą, pavyzdžiui, NIS2, ISO/IEC 27001 ar ES dirbtinio intelekto akto reikmėms, iš Forrester ir Verdantix išvadų kyla keturi tikrinimo klausimai:

• Iš kur kilo vertinimas? Ar kiekvienam DI agento rezultatui galima atsekti, kuriuo reikalavimu, kuriuo įrodymu ir kuriuo pagrindimu jis remiasi?
• Kas stebima? Ar platforma tik renka įrodymus kitam auditui, ar nuolat rodo, ar kontrolės priemonės veikia?
• Ką tai konkrečiai sutaupo? Kiek greitesni tampa rizikos vertinimai ir spragų analizės? Pasak Forrester, būtent šios naudos klientai ieško labiausiai.
• Kaip įkainojamas DI? Ar aišku, kiek kainuoja DI funkcijos ir ką jos daro, ar DI valdymui prisideda dar vienas modulis?

Visą atrankos kriterijų sąrašą rasite straipsnyje Kaip pasirinkti geriausią GRC programinę įrangą.

Kaip tai matome Secani

Analizės patvirtina kryptį, kurios laikomės kurdami Secani. Secani agentas turi atlikti didelę parengiamojo darbo dalį: išgauti informaciją, siūlyti susiejimus, sujungti įrodymus ir paaiškinti spragas. Sprendimas lieka žmogui, ir vėliau jis turi būti atsekamas. Kaip mąstome apie ryšį tarp reikalavimo, įrodymo ir verdikto, aprašoma straipsnyje DI GRC srityje: citavimas nėra patikrinimas.

Todėl matas yra ne tai, kiek DI funkcijų turi platforma. O tai, ar apie kiekvieną vertinimą galima atsakyti, kodėl jis galioja, kas už jį atsako ir kas turėtų pasikeisti, kad jis būtų peržiūrėtas iš naujo.

Išvada

Forrester, Verdantix ir GRC 20/20 2026 m. aprašo tą patį pokytį: GRC platformos turi atlikti darbą ir pateikti rezultatus, o ne tik saugoti duomenis. DI tam yra svarbus įrankis, bet nebe skiriamasis bruožas. Skirtumą lemia atsekamumas, aiški atsakomybė ir tvirti pagrindai. Tas, kas renkasi GRC platformą, turėtų klausti būtent to ir paprašyti parodyti atsakymus savo naudojimo atvejo pavyzdžiu.

Šaltiniai

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 2026 m. gegužės 29 d.)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 2025 m. rugpjūčio 27 d.)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, 2026 m. spalis)