GRC-markt 2026: wat Forrester, Verdantix en GRC 20/20 zeggen over AI en platforms

Waarom een blik op de analisten in 2026 de moeite waard is

Bijna elke aanbieder van GRC-software heeft het in 2026 over AI-agents. Wie de recente analyses van de grote marktwatchers leest, vindt echter een duidelijk nuchtere balans. Forrester, Verdantix en GRC 20/20 Research komen onafhankelijk van elkaar tot een vergelijkbare conclusie: GRC-platforms moeten fundamenteel veranderen, en de AI-functies die vandaag worden verkocht, maken dat tot nu toe nauwelijks waar.

Voor organisaties die nu een GRC-platform kiezen of hun managementsysteem voor informatiebeveiliging moderniseren, is dat een belangrijk houvast. Dit artikel vat de openbaar beschikbare resultaten van de drie analyses samen, laat de overeenkomsten zien en leidt er toetsvragen voor de selectie uit af.

De drie analyses in één oogopslag

Forrester: van System of Record naar System of Action

Eind mei 2026 publiceerde Forrester de Wave voor governance-, risk- en complianceplatforms, waarvoor twaalf aanbieders werden beoordeeld. De analisten Paul McKay en Cody Scott beschrijven een markt met veel tegenwind: veel platforms vragen nog te veel handmatige gegevensinvoer, bieden alleen eenvoudige workflowautomatisering en zijn voor hun huidige doel te complex, te log en te duur. Forrester

Tegelijkertijd verwacht Forrester dat het doel van deze platforms de komende 18 tot 24 maanden fundamenteel verandert. Tot nu toe waren GRC-tools vooral een System of Record: ze leggen de resultaten van risicobeoordelingen, compliancecontroles en interne audits vast. In de toekomst moeten ze een System of Action worden, dat werk orkestreert en resultaten oplevert in plaats van alleen gegevens op te slaan. Het platform blijft daarbij de plek van de gezaghebbende gegevens, maar benut automatisering in een breder ecosysteem. Aanbieders werken daarvoor steeds vaker samen met specialisten in risicodata en regelgevingscontent, in plaats van alles zelf te bouwen.

Vier andere bevindingen zijn bijzonder relevant voor de keuze van een platform:

• AI levert vandaag weinig meerwaarde op. De meeste AI-functies verbeteren wat er al is, in plaats van werk fundamenteel te veranderen. Klanten noemen functionele beperkingen en hoge kosten als drempels. Het meest gevraagd is iets heel concreets: aanzienlijk snellere risicobeoordelingen en compliancecontroles.
• Continuous controls monitoring is het zwakste criterium van de hele beoordeling. Veel platforms gebruiken het alleen om bewijs voor de interne audit te verzamelen. De echte waarde ligt volgens Forrester in het doorlopend bewaken of controls werken en of beleid wordt nageleefd, en in het in gang zetten van correcties bij afwijkingen. Meer over deze aanpak leest u in Continuous controls monitoring: weet wat het signaal bewijst.
• Meer gegevens zijn niet automatisch beter. Forrester trekt een parallel met security-analytics: daar leverde pas de focus op duidelijk afgebakende use cases echt nut op. Voor GRC bevelen de analisten bibliotheken aan met concrete monitoringscenario's en gangbare drempelwaarden, zodat alleen de gegevens worden verzameld die echt nodig zijn.
• Niemand weet hoe AI geprijsd moet worden. De modellen lopen uiteen van gratis inbegrepen via vaste aanvullende pakketten tot facturering per beheerde AI-use case. Vaak betalen klanten dubbel: voor AI in het platform en voor een aparte module voor AI-governance. Veel referentieklanten konden de tegenwaarde van hun AI-investering niet inschatten.

Verdantix: functies groeien sneller dan hun uitlegbaarheid

Voor de Green Quadrant GRC Software 2025 vergeleek Verdantix 15 aanbieders in tien capaciteitscategorieën en legde de resultaten naast financiële en klantgegevens. Verdantix In het begeleidende artikel over AI in GRC staat een bevinding die de aandacht trekt: elk platform dat de hoogste score behaalde voor ingebedde AI-functies, kwam bij uitlegbaarheid en governance van de modellen slechts op één tot twee punten. Verdantix-blog

Chatbots en geautomatiseerde controltests komen dus sneller op de markt dan de audittrails, betrouwbaarheidsindicaties en modelrisicorapporten die toezichthouders in de toekomst zullen eisen. Verdantix verwijst uitdrukkelijk naar de EU AI Act: de rekening voor ontbrekende uitlegbaarheid zal binnenkort komen. Welke normen hier op dit moment ontstaan, leest u in ISO/IEC 27090, EN 18286 en IEEE 2863: de 3 nieuwe AI-governancenormen van 2026 in één oogopslag.

Drie andere resultaten sluiten daarbij aan:

• Een hoge AI-score alleen verkoopt niet. Geavanceerde AI wekt interesse, maar als de onderliggende GRC-modules mager zijn, aarzelen geïnteresseerden. Duurzame groei blijft afhangen van de breedte van de dekking en van de implementatie na de aankoop.
• AI-kracht leidt niet tot hogere verlengingspercentages. Verdantix vond geen betrouwbaar verband. Klanten letten meer op platformstabiliteit, een snelle invoering en goede support.
• Diepgang vraagt investering. Het duidelijkst was het verband tussen ontwikkelbudget en echte AI-volwassenheid. Zonder duurzame investering blijft het bij oppervlakkige AI-widgets.

Voor de komende jaren verwacht Verdantix dat eenvoudige AI-functies zoals generatieve zoekfuncties en samenvattingen standaard worden. De concurrentie verschuift daarmee naar transparantie, toezicht en aansluiting bij de regelgeving. Voor aanbieders met een groot ontwikkelaandeel ziet Verdantix een zeldzame kans om gevestigde aanbieders in te halen, mits ze leveren op AI-diepgang, datakwaliteit en transparantie.

GRC 20/20: orkestratie vraagt verantwoordelijkheid

Michael Rasmussen, oprichter van GRC 20/20 Research, publiceerde in oktober 2026 een Market Perspective van 143 pagina's over “GRC 7.0 – GRC Orchestrate”. GRC 20/20 Zijn stelling: AI maakt zichtbare softwarefuncties goedkoop en inwisselbaar. Waardevol worden daarentegen betrouwbare informatie, bedrijfscontext, vakinhoudelijke methodiek en uitvoering waarvoor iemand verantwoordelijkheid draagt.

GRC 7.0 beschrijft hij als een architectuur die drie systemen rond de gezaghebbende Systems of Record legt: een dat veranderingen herkent en duidt, een dat werk binnen duidelijke bevoegdheden uitvoert en het resultaat ervan controleert, en een waarmee GRC-capaciteiten herleidbaar kunnen worden aangepast. Rasmussen onderscheidt dat uitdrukkelijk van een loutere verzameling AI-functies. Hoe dit model er in detail uitziet en wat het voor de praktijk betekent, hebben we samengevat in GRC 7.0: wat GRC Orchestrate van Michael Rasmussen betekent voor organisaties.

Wat de drie analyses gemeen hebben

Wie de drie analyses naast elkaar leest, ziet vier gemeenschappelijke lijnen:

De analyses spreken elkaar op geen enkel wezenlijk punt tegen. Ze belichten dezelfde verandering uit drie richtingen: Forrester vanuit klantbeoordelingen, Verdantix vanuit de vergelijking van functies met bedrijfscijfers en GRC 20/20 vanuit het perspectief van de architectuur.

Waar organisaties op moeten letten bij de selectie

Voor organisaties die nu een GRC-platform kiezen, bijvoorbeeld voor NIS2, ISO/IEC 27001 of de EU AI Act, volgen uit de bevindingen van Forrester en Verdantix vier toetsvragen:

• Waar komt een beoordeling vandaan? Is voor elk resultaat van een AI-agent na te gaan op welke eis, welk bewijs en welke onderbouwing het steunt?
• Wat wordt bewaakt? Verzamelt het platform alleen bewijs voor de volgende audit, of laat het doorlopend zien of maatregelen werken?
• Wat bespaart het concreet? Hoeveel sneller worden risicobeoordelingen en gap-analyses? Dat is volgens Forrester het nut waar klanten het meest naar zoeken.
• Hoe wordt AI geprijsd? Is duidelijk wat de AI-functies kosten en wat ze opleveren, of komt er voor AI-governance nog een module bij?

De volledige catalogus met selectiecriteria vindt u in Zo kiest u de beste GRC-software.

Hoe wij dit bij Secani zien

De analyses bevestigen een richting die we met Secani volgen. De Secani-agent moet uitgebreid voorbereidend werk overnemen: informatie ontsluiten, koppelingen voorstellen, bewijs samenbrengen en hiaten uitleggen. De beslissing blijft bij de mens, en die moet later herleidbaar zijn. Hoe we denken over de verbinding tussen eis, bewijs en oordeel, beschrijft het artikel AI in GRC: citeren is niet toetsen.

De maatstaf is daarom niet hoeveel AI-functies een platform heeft, maar of zich voor elke beoordeling laat beantwoorden waarom die geldt, wie ervoor verantwoordelijk is en wat er zou moeten veranderen om haar opnieuw te toetsen.

Conclusie

Forrester, Verdantix en GRC 20/20 beschrijven in 2026 dezelfde verandering: GRC-platforms moeten werk verzetten en resultaten opleveren in plaats van alleen gegevens op te slaan. AI is daarvoor een belangrijk hulpmiddel, maar geen onderscheidend kenmerk meer. Het verschil maken herleidbaarheid, duidelijke verantwoordelijkheid en een solide basis. Wie een GRC-platform kiest, moet precies daarnaar vragen en zich de antwoorden laten tonen aan de hand van de eigen use case.

Bronnen

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 mei 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 augustus 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)