Piața GRC în 2026: ce spun Forrester, Verdantix și GRC 20/20 despre IA și platforme

De ce merită o privire asupra analiștilor în 2026

În 2026, aproape fiecare furnizor de software GRC vorbește despre agenți IA. Cine citește însă analizele recente ale marilor observatori ai pieței găsește un bilanț mult mai sobru. Forrester, Verdantix și GRC 20/20 Research ajung, independent unii de alții, la un rezultat asemănător: platformele GRC trebuie să se schimbe fundamental, iar funcțiile de IA vândute astăzi abia dacă reușesc acest lucru deocamdată.

Pentru organizațiile care aleg acum o platformă GRC sau își modernizează sistemul de management al securității informației, aceasta este o orientare importantă. Acest articol rezumă rezultatele disponibile public ale celor trei analize, arată punctele comune și deduce din ele întrebări de verificare pentru selecție.

Cele trei analize pe scurt

Forrester: de la System of Record la System of Action

La sfârșitul lui mai 2026, Forrester a publicat Wave-ul pentru platformele de guvernanță, risc și conformitate, evaluând doisprezece furnizori. Analiștii Paul McKay și Cody Scott descriu o piață cu mult vânt din față: multe platforme încă cer prea multă introducere manuală de date, oferă doar o automatizare simplă a fluxurilor de lucru și sunt prea complexe, prea greoaie și prea scumpe pentru scopul lor actual. Forrester

În același timp, Forrester se așteaptă ca scopul acestor platforme să se schimbe fundamental în următoarele 18 până la 24 de luni. Până acum, instrumentele GRC au fost în primul rând un System of Record: ele consemnează rezultatele evaluărilor de risc, ale verificărilor de conformitate și ale auditurilor interne. În viitor, ar trebui să devină un System of Action, care orchestrează munca și livrează rezultate în loc doar să stocheze date. Platforma rămâne locul datelor de referință, dar folosește automatizarea într-un ecosistem mai larg. În acest scop, furnizorii colaborează tot mai mult cu specialiști în date de risc și conținut de reglementare, în loc să construiască totul singuri.

Alte patru constatări sunt deosebit de relevante pentru alegerea unei platforme:

• Astăzi IA aduce puțină valoare adăugată. Majoritatea funcțiilor de IA îmbunătățesc ceea ce există, în loc să schimbe fundamental munca. Clienții numesc limitările funcționale și costurile ridicate drept obstacole. Cel mai căutat este ceva foarte concret: evaluări de risc și verificări de conformitate semnificativ mai rapide.
• Continuous Controls Monitoring este cel mai slab criteriu din întreaga evaluare. Multe platforme îl folosesc doar pentru a colecta dovezi pentru auditul intern. Potrivit Forrester, valoarea reală constă în monitorizarea continuă a faptului că controalele funcționează și politicile sunt respectate, precum și în declanșarea corecțiilor atunci când apar abateri. Mai multe despre această abordare citiți în Monitorizarea continuă a controalelor: știți ce dovedește semnalul.
• Mai multe date nu înseamnă automat mai bine. Forrester face o paralelă cu analitica de securitate: acolo, abia concentrarea pe cazuri de utilizare clar definite a adus un beneficiu real. Pentru GRC, analiștii recomandă biblioteci cu cazuri concrete de monitorizare și praguri uzuale, astfel încât să fie colectate doar datele de care este cu adevărat nevoie.
• Nimeni nu știe cum ar trebui stabilit prețul IA. Modelele variază de la includere gratuită, la pachete suplimentare fixe, până la facturare per caz de utilizare a IA gestionat. Adesea clienții plătesc de două ori – pentru IA din platformă și pentru un modul separat de guvernanță a IA. Mulți clienți de referință nu au putut estima contravaloarea investiției lor în IA.

Verdantix: funcțiile cresc mai repede decât explicabilitatea lor

Pentru Green Quadrant GRC Software 2025, Verdantix a comparat 15 furnizori în zece categorii de capabilități și a corelat rezultatele cu date financiare și date despre clienți. Verdantix În articolul însoțitor despre IA în GRC apare o constatare care dă de gândit: fiecare platformă care a obținut punctajul maxim la funcțiile de IA integrate a obținut doar unul până la două puncte la explicabilitatea și guvernanța modelelor. Blogul Verdantix

Așadar, chatboții și testarea automatizată a controalelor ajung pe piață mai repede decât pistele de audit, indicațiile de încredere și rapoartele privind riscul modelelor pe care autoritățile de supraveghere le vor cere în viitor. Verdantix face trimitere explicită la Regulamentul UE privind IA: nota de plată pentru lipsa explicabilității va veni în curând. Ce standarde apar în prezent în acest domeniu citiți în ISO/IEC 27090, EN 18286 și IEEE 2863: cele 3 noi standarde de guvernanță a IA din 2026, pe scurt.

Alte trei rezultate se potrivesc cu această imagine:

• Un scor ridicat la IA nu vinde de unul singur. IA avansată stârnește interes, dar dacă modulele GRC de bază sunt sărace, potențialii clienți ezită. Creșterea sustenabilă depinde în continuare de amploarea acoperirii și de implementarea de după achiziție.
• Forța în IA nu duce la rate de reînnoire mai mari. Verdantix nu a găsit o corelație fiabilă. Clienții acordă mai multă atenție stabilității platformei, implementării rapide și unui suport bun.
• Profunzimea necesită investiții. Cea mai clară a fost legătura dintre bugetul de dezvoltare și maturitatea reală în IA. Fără investiții susținute, totul rămâne la nivelul unor widgeturi IA superficiale.

Pentru următorii ani, Verdantix se așteaptă ca funcțiile simple de IA, precum căutarea generativă și rezumatele, să devină standard. Competiția se mută astfel spre transparență, supraveghere și adecvare la reglementări. Pentru furnizorii cu o pondere mare a dezvoltării, Verdantix vede o fereastră rară de oportunitate de a-i depăși pe furnizorii consacrați, cu condiția să livreze în privința profunzimii IA, a calității datelor și a transparenței.

GRC 20/20: orchestrarea are nevoie de responsabilitate

Michael Rasmussen, fondatorul GRC 20/20 Research, a publicat în octombrie 2026 o Market Perspective de 143 de pagini despre „GRC 7.0 – GRC Orchestrate”. GRC 20/20 Teza sa: IA face funcțiile software vizibile ieftine și interschimbabile. Valoroase devin, în schimb, informațiile fiabile, contextul de business, metodologia de specialitate și execuția pentru care cineva își asumă responsabilitatea.

El descrie GRC 7.0 ca pe o arhitectură care așază trei sisteme în jurul Systems of Record de referință: unul care recunoaște și încadrează schimbările, unul care execută munca în limitele unor competențe clare și îi verifică rezultatul și unul cu ajutorul căruia capabilitățile GRC pot fi adaptate în mod trasabil. Rasmussen delimitează explicit acest lucru de o simplă acumulare de funcții de IA. Cum arată acest model în detaliu și ce înseamnă el în practică am rezumat în GRC 7.0: ce înseamnă GRC Orchestrate al lui Michael Rasmussen pentru organizații.

Ce au în comun cele trei analize

Citite una lângă alta, cele trei analize conturează patru linii comune:

Analizele nu se contrazic în niciun punct esențial. Ele luminează aceeași schimbare din trei direcții: Forrester din perspectiva evaluărilor clienților, Verdantix din corelarea funcțiilor cu indicatorii de business, iar GRC 20/20 din perspectiva arhitecturii.

La ce ar trebui să fie atente organizațiile la selecție

Pentru organizațiile care aleg acum o platformă GRC, de exemplu pentru NIS2, ISO/IEC 27001 sau Regulamentul UE privind IA, din constatările Forrester și Verdantix rezultă patru întrebări de verificare:

• De unde provine o evaluare? Se poate urmări, pentru fiecare rezultat al unui agent IA, pe ce cerință, ce dovadă și ce justificare se bazează?
• Ce se monitorizează? Platforma colectează doar dovezi pentru următorul audit sau arată în permanență dacă măsurile funcționează?
• Ce economisește concret? Cu cât devin mai rapide evaluările de risc și analizele de decalaje? Potrivit Forrester, acesta este beneficiul pe care clienții îl caută cel mai mult.
• Cum se stabilește prețul IA? Este clar cât costă funcțiile de IA și ce oferă ele sau se adaugă încă un modul pentru guvernanța IA?

Catalogul complet de criterii pentru selecție îl găsiți în Cum alegeți cel mai bun software GRC.

Cum vedem lucrurile la Secani

Analizele confirmă o direcție pe care o urmăm cu Secani. Agentul Secani ar trebui să preia o muncă pregătitoare amplă: să valorifice informațiile, să propună corespondențe, să reunească dovezile și să explice lacunele. Decizia rămâne la om și trebuie să poată fi urmărită ulterior. Cum gândim legătura dintre cerință, dovadă și judecată descrie articolul AI în GRC: a cita nu înseamnă a verifica.

De aceea, criteriul nu este câte funcții de IA are o platformă, ci dacă pentru fiecare evaluare se poate răspunde de ce este valabilă, cine răspunde pentru ea și ce ar trebui să se schimbe pentru ca ea să fie verificată din nou.

Concluzie

În 2026, Forrester, Verdantix și GRC 20/20 descriu aceeași schimbare: platformele GRC ar trebui să facă munca și să livreze rezultate, în loc doar să stocheze date. IA este un instrument important pentru aceasta, dar nu mai este un element de diferențiere. Diferența o fac trasabilitatea, responsabilitatea clară și fundamentele solide. Cine alege o platformă GRC ar trebui să întrebe exact despre acestea și să ceară ca răspunsurile să îi fie demonstrate pe propriul caz de utilizare.

Surse

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 mai 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 august 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octombrie 2026)