Mercado de GRC em 2026: o que dizem a Forrester, a Verdantix e a GRC 20/20 sobre IA e plataformas

Porque vale a pena olhar para os analistas em 2026

Em 2026, quase todos os fornecedores de software de GRC falam de agentes de IA. Quem lê as análises mais recentes dos grandes observadores do mercado encontra, porém, um balanço bem mais sóbrio. A Forrester, a Verdantix e a GRC 20/20 Research chegam, de forma independente, a uma conclusão semelhante: as plataformas de GRC têm de mudar profundamente, e as funcionalidades de IA que hoje se vendem pouco contribuem, até agora, para isso.

Para as organizações que estão a escolher uma plataforma de GRC ou a modernizar o seu sistema de gestão da segurança da informação, isto é uma orientação importante. Este artigo resume os resultados publicamente disponíveis das três análises, mostra o que têm em comum e deriva perguntas de verificação para a seleção.

As três análises em resumo

Forrester: do System of Record ao System of Action

No final de maio de 2026, a Forrester publicou a Wave dedicada às plataformas de governação, risco e conformidade, para a qual avaliou doze fornecedores. Os analistas Paul McKay e Cody Scott descrevem um mercado com muitos ventos contrários: muitas plataformas ainda exigem demasiada introdução manual de dados, oferecem apenas automatização simples de fluxos de trabalho e são demasiado complexas, pesadas e caras para o fim a que hoje se destinam. Forrester

Ao mesmo tempo, a Forrester espera que a finalidade destas plataformas mude profundamente nos próximos 18 a 24 meses. Até agora, as ferramentas de GRC eram sobretudo um System of Record: registam os resultados de avaliações de risco, verificações de conformidade e auditorias internas. No futuro, deverão tornar-se um System of Action, que orquestra trabalho e produz resultados, em vez de se limitar a arquivar dados. A plataforma continua a ser o lugar dos dados de referência, mas recorre à automatização num ecossistema mais amplo. Para isso, os fornecedores trabalham cada vez mais com especialistas em dados de risco e conteúdos regulamentares, em vez de construírem tudo sozinhos.

Há outras quatro conclusões especialmente relevantes para a escolha de uma plataforma:

• Hoje, a IA traz pouco valor acrescentado. A maioria das funcionalidades de IA melhora o que já existe, em vez de transformar o trabalho de forma profunda. Os clientes apontam limitações funcionais e custos elevados como obstáculos. O mais procurado é algo muito concreto: avaliações de risco e verificações de conformidade muito mais rápidas.
• A monitorização contínua de controlos é o critério mais fraco de toda a avaliação. Muitas plataformas usam-na apenas para recolher evidências para a auditoria interna. Segundo a Forrester, o verdadeiro valor está em monitorizar continuamente se os controlos funcionam e se as políticas são cumpridas, e em desencadear correções quando há desvios. Saiba mais sobre esta abordagem em Monitorização contínua de controlos: saber o que o sinal prova.
• Mais dados não são automaticamente melhores. A Forrester traça um paralelo com a análise de segurança: aí, só a concentração em casos de uso bem definidos trouxe benefícios reais. Para a GRC, os analistas recomendam bibliotecas com casos de monitorização concretos e limiares habituais, para que se recolham apenas os dados realmente necessários.
• Ninguém sabe como cobrar a IA. Os modelos vão desde a inclusão gratuita, passando por pacotes adicionais fixos, até à faturação por caso de uso de IA gerido. Muitas vezes, os clientes pagam a dobrar: pela IA na plataforma e por um módulo separado de governação da IA. Muitos clientes de referência não conseguiram avaliar o retorno do seu investimento em IA.

Verdantix: as funcionalidades crescem mais depressa do que a sua explicabilidade

Para o Green Quadrant GRC Software 2025, a Verdantix comparou 15 fornecedores em dez categorias de capacidades e cruzou os resultados com dados financeiros e de clientes. Verdantix No artigo que o acompanha sobre IA em GRC surge uma conclusão que chama a atenção: todas as plataformas que obtiveram a pontuação máxima em funcionalidades de IA incorporadas ficaram apenas com um a dois pontos em explicabilidade e governação dos modelos. Blogue da Verdantix

Ou seja, os chatbots e os testes automatizados de controlos chegam ao mercado mais depressa do que as pistas de auditoria, as indicações de confiança e os relatórios de risco de modelos que as autoridades de supervisão vão exigir. A Verdantix remete expressamente para o Regulamento da IA da UE: a fatura pela falta de explicabilidade não tardará a chegar. Que normas estão a surgir nesta área, pode ler em ISO/IEC 27090, EN 18286 e IEEE 2863: as 3 novas normas de governação da IA de 2026 em resumo.

Outros três resultados vão no mesmo sentido:

• Uma pontuação elevada em IA, por si só, não vende. A IA avançada desperta interesse, mas quando os módulos de GRC subjacentes são pobres, os potenciais clientes hesitam. O crescimento sustentável continua a depender da amplitude da cobertura e da implementação após a compra.
• A força em IA não se traduz em taxas de renovação mais altas. A Verdantix não encontrou nenhuma relação fiável. Os clientes dão mais importância à estabilidade da plataforma, a uma implementação rápida e a um bom suporte.
• A profundidade exige investimento. A relação mais clara foi entre o orçamento de desenvolvimento e a verdadeira maturidade em IA. Sem investimento continuado, fica-se por widgets de IA superficiais.

Para os próximos anos, a Verdantix espera que funcionalidades de IA simples, como a pesquisa generativa e os resumos, se tornem padrão. A concorrência desloca-se assim para a transparência, a supervisão e a adequação regulamentar. Para fornecedores com uma elevada quota de desenvolvimento, a Verdantix vê uma rara janela de oportunidade para ultrapassar os fornecedores estabelecidos, desde que cumpram em profundidade de IA, qualidade dos dados e transparência.

GRC 20/20: a orquestração exige responsabilidade

Michael Rasmussen, fundador da GRC 20/20 Research, publicou em outubro de 2026 uma Market Perspective de 143 páginas sobre «GRC 7.0 – GRC Orchestrate». GRC 20/20 A sua tese: a IA torna as funcionalidades visíveis do software baratas e substituíveis. Ganham valor, em contrapartida, a informação fiável, o contexto de negócio, a metodologia especializada e uma execução pela qual alguém responde.

Descreve a GRC 7.0 como uma arquitetura que coloca três sistemas em torno dos Systems of Record de referência: um que deteta e enquadra mudanças, um que executa trabalho dentro de competências claras e verifica o seu resultado, e um que permite adaptar as capacidades de GRC de forma rastreável. Rasmussen distingue isto expressamente de um mero conjunto de funcionalidades de IA. Resumimos em pormenor como é este modelo e o que significa na prática em GRC 7.0: o que o GRC Orchestrate de Michael Rasmussen significa para as organizações.

O que as três análises têm em comum

Lidas lado a lado, as três análises revelam quatro linhas comuns:

As análises não se contradizem em nenhum ponto essencial. Iluminam a mesma mudança a partir de três direções: a Forrester do ponto de vista das avaliações dos clientes, a Verdantix a partir do cruzamento das funcionalidades com os números de negócio e a GRC 20/20 na perspetiva da arquitetura.

O que as organizações devem ter em conta na seleção

Para as organizações que estão a escolher uma plataforma de GRC, por exemplo para a NIS2, a ISO/IEC 27001 ou o Regulamento da IA da UE, das conclusões da Forrester e da Verdantix decorrem quatro perguntas de verificação:

• De onde vem uma avaliação? Para cada resultado de um agente de IA, é possível rastrear em que requisito, em que evidência e em que fundamentação se apoia?
• O que é monitorizado? A plataforma limita-se a recolher evidências para a próxima auditoria, ou mostra continuamente se as medidas funcionam?
• Quanto se poupa, em concreto? Quanto mais rápidas ficam as avaliações de risco e as análises de lacunas? Segundo a Forrester, é este o benefício que os clientes mais procuram.
• Como é cobrada a IA? É claro quanto custam as funcionalidades de IA e o que fazem, ou é necessário mais um módulo para a governação da IA?

Pode encontrar o catálogo completo de critérios para a seleção em Como escolher o melhor software de GRC.

Como vemos isto na Secani

As análises confirmam uma direção que seguimos com a Secani. O agente da Secani deve assumir um trabalho preparatório extenso: tornar a informação acessível, propor correspondências, reunir evidências e explicar lacunas. A decisão continua a ser da pessoa, e tem de poder ser rastreada mais tarde. A forma como pensamos a ligação entre requisito, evidência e juízo é descrita no artigo IA em GRC: citar não é verificar.

Por isso, o critério não é quantas funcionalidades de IA uma plataforma tem, mas sim se, para cada avaliação, é possível responder porque é válida, quem responde por ela e o que teria de mudar para que voltasse a ser verificada.

Conclusão

Em 2026, a Forrester, a Verdantix e a GRC 20/20 descrevem a mesma mudança: as plataformas de GRC devem realizar trabalho e produzir resultados, em vez de se limitarem a arquivar dados. A IA é uma ferramenta importante para isso, mas já não é um fator de diferenciação. O que faz a diferença é a rastreabilidade, a responsabilidade clara e fundamentos sólidos. Quem escolhe uma plataforma de GRC deve perguntar exatamente por isso e pedir que lhe mostrem as respostas no seu próprio caso de uso.

Fontes

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 de maio de 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 de agosto de 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, outubro de 2026)