Trh GRC 2026: Čo hovoria Forrester, Verdantix a GRC 20/20 o AI a platformách

Prečo sa v roku 2026 oplatí pozrieť na analytikov

Takmer každý dodávateľ GRC softvéru hovorí v roku 2026 o AI agentoch. Kto si však prečíta aktuálne analýzy veľkých pozorovateľov trhu, nájde výrazne triezvejšiu bilanciu. Forrester, Verdantix a GRC 20/20 Research dospievajú nezávisle od seba k podobnému výsledku: platformy GRC sa musia zásadne zmeniť a funkcie AI, ktoré sa dnes predávajú, to zatiaľ takmer nedokážu.

Pre firmy, ktoré práve vyberajú platformu GRC alebo modernizujú svoj systém manažérstva informačnej bezpečnosti, je to dôležitá orientácia. Tento článok zhŕňa verejne dostupné výsledky troch analýz, ukazuje ich spoločné črty a odvodzuje z nich kontrolné otázky pre výber.

Tri analýzy v skratke

Forrester: Od System of Record k System of Action

Koncom mája 2026 zverejnil Forrester Wave pre platformy pre governance, riadenie rizík a compliance a hodnotil v nej dvanásť dodávateľov. Analytici Paul McKay a Cody Scott opisujú trh, ktorý čelí silnému protivetru: mnohé platformy stále vyžadujú príliš veľa manuálneho zadávania údajov, ponúkajú len jednoduchú automatizáciu workflow a sú na svoj dnešný účel príliš zložité, ťažkopádne a drahé. Forrester

Zároveň Forrester očakáva, že sa účel týchto platforiem v nasledujúcich 18 až 24 mesiacoch zásadne zmení. Doteraz boli nástroje GRC predovšetkým System of Record: zaznamenávajú výsledky hodnotení rizík, kontrol compliance a interných auditov. V budúcnosti sa z nich má stať System of Action, ktorý prácu orchestruje a prináša výsledky, namiesto toho, aby len ukladal údaje. Platforma pritom zostáva miestom rozhodujúcich údajov, no využíva automatizáciu naprieč širším ekosystémom. Dodávatelia na to čoraz častejšie spolupracujú so špecialistami na údaje o rizikách a regulačný obsah, namiesto toho, aby všetko stavali sami.

Štyri ďalšie zistenia sú pre výber platformy obzvlášť relevantné:

• AI dnes prináša malú pridanú hodnotu. Väčšina funkcií AI vylepšuje to, čo už existuje, namiesto toho, aby prácu zásadne menila. Zákazníci uvádzajú ako prekážky funkčné obmedzenia a vysoké náklady. Najžiadanejšie je niečo veľmi konkrétne: výrazne rýchlejšie hodnotenia rizík a kontroly compliance.
• Continuous Controls Monitoring je najslabším kritériom celého hodnotenia. Mnohé platformy ho využívajú len na zber dôkazov pre interný audit. Skutočná hodnota podľa Forresteru spočíva v priebežnom sledovaní, či kontroly fungujú a či sa dodržiavajú politiky, a v tom, že sa pri odchýlkach spustí náprava. Viac o tomto prístupe si prečítajte v článku Priebežné monitorovanie kontrol: vedzte, čo signál dokazuje.
• Viac údajov neznamená automaticky lepšie. Forrester to prirovnáva k bezpečnostnej analytike: tam priniesla skutočný úžitok až koncentrácia na jasne definované prípady použitia. Pre GRC analytici odporúčajú knižnice s konkrétnymi prípadmi monitorovania a bežnými prahovými hodnotami, aby sa zbierali len údaje, ktoré sú skutočne potrebné.
• Nikto nevie, ako AI spoplatniť. Modely siahajú od bezplatného zahrnutia cez pevné doplnkové balíky až po účtovanie za každý riadený prípad použitia AI. Zákazníci často platia dvakrát: za AI v platforme a za samostatný modul na riadenie AI. Mnohí referenční zákazníci nedokázali posúdiť prínos svojej investície do AI.

Verdantix: Funkcie rastú rýchlejšie než ich vysvetliteľnosť

Verdantix v rámci Green Quadrant GRC Software 2025 porovnal 15 dodávateľov v desiatich kategóriách schopností a výsledky porovnal s finančnými a zákazníckymi údajmi. Verdantix V sprievodnom článku o AI v GRC je zistenie, ktoré stojí za pozornosť: každá platforma, ktorá pri vstavaných funkciách AI dosiahla najvyššie hodnotenie, získala pri vysvetliteľnosti a riadení modelov len jeden až dva body. Blog Verdantix

Chatboty a automatizované testy kontrol sa teda dostávajú na trh rýchlejšie než auditné stopy, údaje o miere spoľahlivosti a správy o modelovom riziku, ktoré budú dozorné orgány v budúcnosti vyžadovať. Verdantix výslovne odkazuje na akt EÚ o umelej inteligencii: účet za chýbajúcu vysvetliteľnosť bude čoskoro splatný. Aké normy tu práve vznikajú, si prečítajte v článku ISO/IEC 27090, EN 18286 a IEEE 2863: tri nové normy pre riadenie AI v roku 2026 v skratke.

S tým súvisia tri ďalšie výsledky:

• Vysoké skóre AI samo osebe nepredáva. Pokročilá AI vzbudzuje záujem, ale ak sú základné moduly GRC slabé, záujemcovia váhajú. Udržateľný rast naďalej závisí od šírky pokrytia a od implementácie po kúpe.
• Sila v AI nevedie k vyššej miere predlžovania zmlúv. Verdantix nenašiel spoľahlivú súvislosť. Zákazníci viac dbajú na stabilitu platformy, rýchle zavedenie a dobrú podporu.
• Hĺbka si vyžaduje investície. Najzreteľnejšia bola súvislosť medzi rozpočtom na vývoj a skutočnou vyspelosťou AI. Bez trvalých investícií zostane pri povrchných widgetoch AI.

Na nasledujúce roky Verdantix očakáva, že sa jednoduché funkcie AI, ako je generatívne vyhľadávanie a zhrnutia, stanú štandardom. Konkurencia sa tým presúva k transparentnosti, dohľadu a súladu s reguláciou. Pre dodávateľov s vysokým podielom vývoja vidí Verdantix vzácnu príležitosť predbehnúť zavedených dodávateľov, ak dodajú hĺbku AI, kvalitu údajov a transparentnosť.

GRC 20/20: Orchestrácia si vyžaduje zodpovednosť

Michael Rasmussen, zakladateľ GRC 20/20 Research, zverejnil v októbri 2026 143-stranovú Market Perspective „GRC 7.0 – GRC Orchestrate“. GRC 20/20 Jeho téza znie: AI robí viditeľné softvérové funkcie lacnými a zameniteľnými. Cennými sa naopak stávajú spoľahlivé informácie, obchodný kontext, odborná metodika a vykonávanie, za ktoré niekto nesie zodpovednosť.

GRC 7.0 opisuje ako architektúru, ktorá okolo rozhodujúcich Systems of Record kladie tri systémy: jeden, ktorý rozpoznáva a zaraďuje zmeny, jeden, ktorý vykonáva prácu v rámci jasných oprávnení a overuje jej výsledok, a jeden, pomocou ktorého možno schopnosti GRC dohľadateľne prispôsobovať. Rasmussen to výslovne odlišuje od púheho hromadenia funkcií AI. Ako tento model vyzerá v detaile a čo znamená pre prax, sme zhrnuli v článku GRC 7.0: Čo znamená GRC Orchestrate Michaela Rasmussena pre firmy.

Čo majú tri analýzy spoločné

Pri čítaní troch analýz vedľa seba sa ukazujú štyri spoločné línie:

Analýzy si v žiadnom podstatnom bode neodporujú. Osvetľujú tú istú zmenu z troch smerov: Forrester z pohľadu hodnotení zákazníkov, Verdantix z porovnania funkcií s obchodnými číslami a GRC 20/20 z pohľadu architektúry.

Na čo by firmy mali pri výbere dbať

Pre firmy, ktoré práve vyberajú platformu GRC, napríklad pre NIS2, ISO/IEC 27001 alebo akt EÚ o umelej inteligencii, vyplývajú zo zistení Forresteru a Verdantixu štyri kontrolné otázky:

• Odkiaľ pochádza hodnotenie? Dá sa pri každom výsledku AI agenta dohľadať, o akú požiadavku, aký dôkaz a aké zdôvodnenie sa opiera?
• Čo sa monitoruje? Zbiera platforma len dôkazy pre ďalší audit, alebo priebežne ukazuje, či opatrenia fungujú?
• Čo to konkrétne ušetrí? O koľko rýchlejšie budú hodnotenia rizík a gap analýzy? To je podľa Forresteru prínos, ktorý zákazníci hľadajú najviac.
• Ako je AI spoplatnená? Je jasné, čo funkcie AI stoja a čo prinášajú, alebo na riadenie AI pribudne ďalší modul?

Úplný katalóg kritérií pre výber nájdete v článku Ako vybrať najlepší GRC softvér.

Ako to vidíme v Secani

Analýzy potvrdzujú smer, ktorým sa so Secani uberáme. Agent Secani má prevziať rozsiahlu prípravnú prácu: sprístupňovať informácie, navrhovať priradenia, zhromažďovať dôkazy a vysvetľovať medzery. Rozhodnutie zostáva na človeku a musí byť neskôr dohľadateľné. Ako uvažujeme o väzbe medzi požiadavkou, dôkazom a verdiktom, opisuje článok AI v GRC: citovať neznamená overiť.

Meradlom preto nie je, koľko funkcií AI platforma má. Ale to, či sa pri každom hodnotení dá odpovedať, prečo platí, kto zaň zodpovedá a čo by sa muselo zmeniť, aby bolo znova preskúmané.

Záver

Forrester, Verdantix a GRC 20/20 opisujú v roku 2026 tú istú zmenu: platformy GRC majú vykonávať prácu a prinášať výsledky, namiesto toho, aby len ukladali údaje. AI je na to dôležitým nástrojom, ale už nie rozlišovacím znakom. Rozdiel robí dohľadateľnosť, jasná zodpovednosť a solídne základy. Kto vyberá platformu GRC, mal by sa pýtať práve na to a nechať si odpovede ukázať na vlastnom prípade použitia.

Zdroje

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29. mája 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27. augusta 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, október 2026)