GRC-marknaden 2026: vad Forrester, Verdantix och GRC 20/20 säger om AI och plattformar

Därför lönar det sig att se vad analytikerna säger 2026

Nästan alla leverantörer av GRC-programvara talar 2026 om AI-agenter. Den som läser de stora marknadsbevakarnas aktuella analyser hittar dock en betydligt mer nykter bild. Forrester, Verdantix och GRC 20/20 Research kommer oberoende av varandra fram till ett liknande resultat: GRC-plattformarna måste förändras i grunden, och de AI-funktioner som säljs i dag bidrar hittills knappt till det.

För organisationer som just nu väljer en GRC-plattform eller moderniserar sitt ledningssystem för informationssäkerhet är det en viktig vägledning. Den här artikeln sammanfattar de offentligt tillgängliga resultaten av de tre analyserna, visar vad de har gemensamt och härleder kontrollfrågor för urvalet.

De tre analyserna i korthet

Forrester: från System of Record till System of Action

I slutet av maj 2026 publicerade Forrester sin Wave för plattformar för styrning, risk och regelefterlevnad och utvärderade då tolv leverantörer. Analytikerna Paul McKay och Cody Scott beskriver en marknad med mycket motvind: många plattformar kräver fortfarande för mycket manuell datainmatning, erbjuder bara enkel automatisering av arbetsflöden och är för komplexa, för tungrodda och för dyra för sitt nuvarande syfte. Forrester

Samtidigt räknar Forrester med att syftet med dessa plattformar förändras i grunden under de kommande 18 till 24 månaderna. Hittills har GRC-verktyg främst varit ett System of Record: de dokumenterar resultaten av riskbedömningar, efterlevnadskontroller och internrevisioner. Framöver ska de bli ett System of Action som orkestrerar arbete och levererar resultat i stället för att bara lagra data. Plattformen förblir platsen för de auktoritativa uppgifterna, men använder automatisering över ett bredare ekosystem. Leverantörerna samarbetar därför allt oftare med specialister på riskdata och regulatoriskt innehåll i stället för att bygga allt själva.

Fyra ytterligare iakttagelser är särskilt relevanta när du väljer plattform:

• AI tillför i dag lite mervärde. De flesta AI-funktioner förbättrar det som redan finns i stället för att förändra arbetet i grunden. Kunderna nämner funktionella begränsningar och höga kostnader som hinder. Mest efterfrågat är något mycket konkret: betydligt snabbare riskbedömningar och efterlevnadskontroller.
• Kontinuerlig kontrollövervakning är det svagaste kriteriet i hela utvärderingen. Många plattformar använder den bara för att samla in bevis åt internrevisionen. Det verkliga värdet ligger enligt Forrester i att löpande övervaka om kontroller fungerar och om policyer följs, och i att initiera korrigeringar vid avvikelser. Läs mer om det här arbetssättet i Kontinuerlig kontrollövervakning: vet vad signalen bevisar.
• Mer data är inte automatiskt bättre. Forrester drar en parallell till säkerhetsanalys: där gav först fokus på tydligt definierade användningsfall verklig nytta. För GRC rekommenderar analytikerna bibliotek med konkreta övervakningsfall och vanliga tröskelvärden, så att bara de data samlas in som verkligen behövs.
• Ingen vet hur AI ska prissättas. Modellerna sträcker sig från kostnadsfritt inkluderat via fasta tilläggspaket till debitering per styrt AI-användningsfall. Ofta betalar kunderna dubbelt: för AI i plattformen och för en separat modul för AI-styrning. Många referenskunder kunde inte bedöma vad deras AI-investering faktiskt gav.

Verdantix: funktionerna växer snabbare än deras förklarbarhet

I Green Quadrant GRC Software 2025 jämförde Verdantix 15 leverantörer i tio förmågekategorier och stämde av resultaten mot finansiella data och kunddata. Verdantix I den tillhörande artikeln om AI inom GRC finns en iakttagelse som får en att höja på ögonbrynen: varje plattform som fick högsta betyg för inbyggda AI-funktioner nådde bara en till två poäng för modellernas förklarbarhet och styrning. Verdantix-bloggen

Chattbotar och automatiserade kontrolltester kommer alltså ut på marknaden snabbare än de verifieringskedjor, konfidensangivelser och modellriskrapporter som tillsynsmyndigheterna framöver kommer att kräva. Verdantix hänvisar uttryckligen till EU:s AI-förordning: notan för bristande förklarbarhet kommer snart. Vilka standarder som just nu tas fram på området kan du läsa om i ISO/IEC 27090, EN 18286 och IEEE 2863: de 3 nya standarderna för AI-styrning 2026 i korthet.

Tre ytterligare resultat passar in i bilden:

• Ett högt AI-betyg säljer inte ensamt. Avancerad AI väcker intresse, men om de underliggande GRC-modulerna är tunna tvekar potentiella kunder. Hållbar tillväxt hänger fortfarande på täckningens bredd och på genomförandet efter köpet.
• AI-styrka leder inte till högre förnyelsegrad. Verdantix fann inget tillförlitligt samband. Kunderna fäster större vikt vid plattformens stabilitet, ett snabbt införande och bra support.
• Djup kräver investeringar. Tydligast var sambandet mellan utvecklingsbudget och verklig AI-mognad. Utan långsiktiga investeringar stannar det vid ytliga AI-widgetar.

För de kommande åren räknar Verdantix med att enkla AI-funktioner som generativ sökning och sammanfattningar blir standard. Konkurrensen flyttas därmed till transparens, tillsyn och regulatorisk passform. För leverantörer med en stor andel utveckling ser Verdantix ett sällsynt tillfälle att gå förbi etablerade leverantörer, förutsatt att de levererar på AI-djup, datakvalitet och transparens.

GRC 20/20: orkestrering kräver ansvar

Michael Rasmussen, grundare av GRC 20/20 Research, publicerade i oktober 2026 en 143 sidor lång Market Perspective om ”GRC 7.0 – GRC Orchestrate”. GRC 20/20 Hans tes: AI gör synliga programvarufunktioner billiga och utbytbara. Värdefullt blir i stället tillförlitlig information, affärskontext, ämnesmetodik och ett utförande som någon ansvarar för.

GRC 7.0 beskriver han som en arkitektur som lägger tre system runt de auktoritativa Systems of Record: ett som upptäcker och tolkar förändringar, ett som utför arbete inom tydliga befogenheter och kontrollerar resultatet, och ett som gör det möjligt att anpassa GRC-förmågor på ett spårbart sätt. Rasmussen skiljer uttryckligen detta från en ren samling AI-funktioner. Hur modellen ser ut i detalj och vad den innebär i praktiken har vi sammanfattat i GRC 7.0: vad Michael Rasmussens GRC Orchestrate innebär för organisationer.

Vad de tre analyserna har gemensamt

Läser man de tre analyserna sida vid sida framträder fyra gemensamma linjer:

Analyserna motsäger inte varandra på någon väsentlig punkt. De belyser samma förändring från tre håll: Forrester utifrån kundernas bedömningar, Verdantix utifrån en avstämning av funktioner mot affärssiffror och GRC 20/20 ur ett arkitekturperspektiv.

Det här bör organisationer tänka på vid valet

För organisationer som just nu väljer en GRC-plattform, till exempel för NIS2, ISO/IEC 27001 eller EU:s AI-förordning, leder Forresters och Verdantix slutsatser till fyra kontrollfrågor:

• Var kommer en bedömning ifrån? Går det för varje resultat från en AI-agent att spåra vilket krav, vilket bevis och vilken motivering det bygger på?
• Vad övervakas? Samlar plattformen bara in bevis till nästa revision, eller visar den löpande om åtgärderna fungerar?
• Vad sparar det konkret? Hur mycket snabbare blir riskbedömningar och gapanalyser? Enligt Forrester är det den nytta som kunderna söker mest.
• Hur prissätts AI? Är det tydligt vad AI-funktionerna kostar och vad de ger, eller tillkommer ännu en modul för AI-styrning?

Den fullständiga kriteriekatalogen för valet hittar du i Så väljer du den bästa GRC-programvaran.

Så ser vi på det på Secani

Analyserna bekräftar en riktning som vi följer med Secani. Secani-agenten ska ta över omfattande förarbete: ta fram information, föreslå kopplingar, sammanställa bevis och förklara luckor. Beslutet stannar hos människan, och det måste gå att följa i efterhand. Hur vi tänker kring kopplingen mellan krav, bevis och bedömning beskriver artikeln AI inom GRC: att citera är inte att verifiera.

Måttstocken är därför inte hur många AI-funktioner en plattform har, utan om det för varje bedömning går att svara på varför den gäller, vem som ansvarar för den och vad som skulle behöva ändras för att den ska prövas på nytt.

Slutsats

Forrester, Verdantix och GRC 20/20 beskriver 2026 samma förändring: GRC-plattformar ska utföra arbete och leverera resultat i stället för att bara lagra data. AI är ett viktigt verktyg för det, men inte längre en särskiljande faktor. Skillnaden görs av spårbarhet, tydligt ansvar och stabila grunder. Den som väljer en GRC-plattform bör fråga efter just detta och be att få se svaren tillämpade på det egna användningsfallet.

Källor

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 maj 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 augusti 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)