# Vom Nachweis zum Steuerungsinstrument: Wohin sich GRC bewegt > Der Beitrag von Swiss GRC erklärt, was Gartners Umbenennung des GRC-Marktberichts vom 27. Oktober 2025 bedeutet. Er richtet sich an Risikoverantwortliche, die ihre Toolstrategie planen, und zeigt, dass Integration wichtiger wird als reine Nachweisführung. - URL: https://swissgrc.com/vom-nachweis-zum-steuerungsinstrument-grc/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-09-29 - Zuletzt aktualisiert: 2026-09-30 ## Kernaussagen - Gartner hat den Bericht am 27. Oktober 2025 als «Magic Quadrant for Governance, Risk and Compliance Tools, Assurance Leaders» veröffentlicht. - Laut Wheelhouse Advisors definiert Gartner die Kategorie erstmals seit knapp zwei Jahrzehnten über die Zielgruppe der Assurance-Verantwortlichen. - Gartner erfasst mehr als hundert GRC-Tool-Anbieter, was Einkäufern die Auswahl des passenden Werkzeugs erschwert. - Der aktuelle Quadrant zeigt einen leeren Visionaries-Bereich, den Wheelhouse Advisors als Zeichen eines gereiften Marktes in einer Integrationsphase deutet. - Das OCEG Red Book beschreibt GRC als wiederkehrenden Zyklus aus Learn, Align, Perform und Review statt als getrennte Checklisten-Silos. - Swiss GRC empfiehlt, vor der nächsten Ausschreibung festzuhalten, wo das aktuelle Werkzeug nur Nachweise sammelt und wo es Risikodaten in Entscheidungen einspeist. Gartner hat seinen zentralen Marktbericht für Governance, Risk und Compliance am 27. Oktober 2025 unter neuem Namen veröffentlicht: ‚Magic Quadrant for Governance, Risk and Compliance Tools, Assurance Leaders‘. Der Titel markiert laut Fachanalysten den ersten grösseren Kategorienwechsel seit fast zwei Jahrzehnten. Für Verantwortliche, die ihre Toolstrategie planen, verschiebt sich damit ein konkreter Massstab: Die Kriterien für ein taugliches GRC-Werkzeug wandern in Richtung Integration und Assurance, weg von reiner Nachweisführung. Kurz zusammengefasst Der Gartner Magic Quadrant vom 27. Oktober 2025 benennt den GRC-Marktbericht erstmals seit fast zwei Jahrzehnten nach der Zielgruppe der Assurance-Verantwortlichen um und zeigt einen leeren Visionaries-Bereich. Das signalisiert einen gereiften Markt, der laut Fachanalysten die Basis für proaktive, KI-gestützte Risikosteuerung legt. Für die Toolstrategie zählt künftig Integrationsfähigkeit statt reiner Checklisten-Abdeckung. >100Anbieter von Gartner erfasste GRC-Tool-Anbieter Gartner, Magic Quadrant for Governance, Risk and Compliance Tools, Assurance Leaders, 27. Oktober 2025 16Anbieter von Gartner unabhängig bewertete Anbieter laut Archer Archer, Ressourcenseite zum Gartner Magic Quadrant, 28. August 2026 ## Was hat Gartner am Marktbericht konkret geändert? Gartner hat den etablierten Bericht in ‚Magic Quadrant for Governance, Risk and Compliance Tools, Assurance Leaders‘ umbenannt und die Analyse am 27. Oktober 2025 veröffentlicht. Verfasst haben ihn die Analysten Joel Backaler, Devanshu Mehrotra, Jie Zhang und Lexi VerVelde. Gartner zählt mehr als hundert Anbieter von GRC-Tools und stellt fest, dass diese Fülle es Einkäufern erschwert, das für den eigenen Anwendungsfall passende Werkzeug zu identifizieren. Gartner definiert GRC-Tools laut einer Mitteilung von Origami Risk als Werkzeuge, die einen holistischen Enterprise-Risk-Management-Prozess unterstützen und dabei Risikoidentifikation, -bewertung, -minderung, -überwachung und -berichterstattung abdecken. Diese Definition bleibt breit angelegt, der Namenszusatz ‚Assurance Leaders‘ engt die adressierte Zielgruppe jedoch bewusst ein. ## Was bedeutet die Ausrichtung auf Assurance-Verantwortliche? Laut [Wheelhouse Advisors](https://www.wheelhouseadvisors.com/risktech-journal/grc-without-visionaries-what-the-2025-gartner-magic-quadrant-reveals-about-the-future-of-risk) definiert Gartner die Kategorie damit zum ersten Mal seit knapp zwei Jahrzehnten explizit über die Zielgruppe der Assurance-Verantwortlichen statt über Enterprise-Risk- oder Governance-Zielgruppen. Der aktuelle Quadrant weist zusätzlich einen vollständig leeren Bereich für ‚Visionaries‘ auf. Wheelhouse Advisors deutet das in seiner Analyse vom 19. November 2025 nicht als Stillstand, sondern als Zeichen eines Marktes, der in eine Integrationsphase eingetreten ist und funktionale Reife sowie operative Stabilität erreicht hat. Auf dieser Reife baue sich laut Wheelhouse Advisors die nächste Generation von Integrated Risk Management und sogenannten ‚Autonomous IRM‘-Fähigkeiten auf. Eine autoritative, auf eine Primärquelle rückführbare Definition dieses Begriffs liegt bislang allerdings nicht vor. ## Wie hat sich die GRC-Kategorie schon einmal verschoben? Gartner hatte den Fokus bereits 2019 von klassischem GRC auf Integrated Risk Management verlegt und dafür einen eigenen Magic Quadrant veröffentlicht. Diesen ersten Magic Quadrant für Integrated Risk Management Solutions verfassten Jie Zhang und Brian Reed. Laut einer Zusammenfassung von ZenGRC vom 21. Januar 2025 definierte Gartner Integrated Risk Management als Lösungen, die Technologie, Prozesse und Daten kombinieren, um Vereinfachung, Automatisierung und Integration von strategischem, operativem und IT-Risikomanagement in einer Organisation zu ermöglichen. Der frühere Gartner-Analyst John Wheeler beschrieb Integrated Risk Management als Ansatz, der über klassische, compliance-getriebene GRC-Technologie hinausgeht. Sein Massstab: verwertbare Erkenntnisse, die an der Unternehmensstrategie ausgerichtet sind, statt nur an regulatorischen Vorgaben. ## Was heisst das für die eigene Toolstrategie? Bewertungskriterien verschieben sich von reiner Abdeckung einzelner Compliance-Anforderungen hin zu Integrationsfähigkeit, Automatisierung und der Fähigkeit, Risikodaten in strategische Entscheidungen einzuspeisen. Das lange etablierte OCEG-Modell liefert dazu eine konzeptionelle Klammer. Im Red Book vom 7. Dezember 2024 beschreibt es Governance, Risiko und Compliance als wiederkehrenden Zyklus aus Learn, Align, Perform und Review statt als getrennte Checklisten-Silos, wie Umbrex am 26. August 2026 zusammenfasst. Dieser Gedanke deckt sich damit, dass [Risikomanagement der Zielerreichung dient](https://swissgrc.com/risikomanagement-dient-der-zielerreichung-nicht-sich-selbst/) und nicht sich selbst. Gartners Critical-Capabilities-Forschung ergänzt den Magic Quadrant, indem sie prüft, wie gut einzelne Produkte funktionale Anforderungen im Detail erfüllen, statt nur die Marktpositionierung der Anbieter zu bewerten. Risikoverantwortliche sollten deshalb vor der nächsten Ausschreibung oder Vertragsverlängerung festhalten, an welcher Stelle im Learn-Align-Perform-Review-Zyklus das aktuelle Werkzeug lediglich Nachweise sammelt und wo es Risikodaten tatsächlich in Entscheidungen einspeist. Passend dazu ### Von Einzelnachweis zu gemeinsamer Datenbasis Die SwissGRC Plattform führt Risikodaten, Kontrollen und Nachweise in einer gemeinsamen Datenbasis zusammen. Sie schafft damit die technische Grundlage für den Übergang von Dokumentation zu Steuerung. [SwissGRC® Plattform](https://swissgrc.com/plattform/) Für die Praxis ## Das Wichtigste in Kürze - Gartner hat seinen GRC-Marktbericht am 27. Oktober 2025 erstmals seit knapp zwei Jahrzehnten auf Assurance-Verantwortliche statt auf Enterprise-Risk-Zielgruppen ausgerichtet. - Der leere Visionaries-Bereich im aktuellen Quadrant deutet auf einen gereiften, nicht stagnierenden Markt hin. - Anbieter wie IBM, Archer und Diligent positionieren ihre Werkzeuge zunehmend über KI-gestützte, proaktive Risikosteuerung statt über reine Nachweisführung. - Das OCEG-Modell mit dem Zyklus Learn, Align, Perform, Review bietet eine Struktur, um die eigene Toolstrategie über Checklisten hinaus zu prüfen. - Risikoverantwortliche sollten vor der nächsten Ausschreibung festhalten, wo ihr aktuelles Werkzeug im Zyklus lediglich dokumentiert statt aktiv steuert. FAQ ## Häufige Fragen Was bedeutet der leere Visionaries-Bereich im aktuellen Gartner Magic Quadrant für GRC-Tools? Wheelhouse Advisors deutet den leeren Visionaries-Bereich im Gartner Magic Quadrant vom 27. Oktober 2025 nicht als Stillstand, sondern als Zeichen eines gereiften Marktes. Die Anbieter hätten funktionale Reife und operative Stabilität erreicht und träten nun in eine Integrationsphase ein, auf der sich künftige Autonomous-IRM-Fähigkeiten aufbauen liessen. Wer hat den Gartner Magic Quadrant für GRC Assurance Leaders verfasst? Den Magic Quadrant für Governance, Risk and Compliance Tools, Assurance Leaders haben die Gartner-Analysten Joel Backaler, Devanshu Mehrotra, Jie Zhang und Lexi VerVelde verfasst. Gartner erfasst darin mehr als hundert Anbieter von GRC-Tools und stellt fest, dass diese grosse Anzahl es Einkäufern erschwert, das passende Werkzeug für den eigenen Anwendungsfall zu identifizieren. Worin unterscheidet sich Integrated Risk Management von klassischem GRC? Gartner verlagerte den Fokus 2019 von klassischem GRC auf Integrated Risk Management und definierte es als Kombination aus Technologie, Prozessen und Daten zur Vereinfachung, Automatisierung und Integration von strategischem, operativem und IT-Risikomanagement. Der frühere Gartner-Analyst John Wheeler betonte dabei verwertbare, strategisch ausgerichtete Erkenntnisse statt rein compliance-getriebener Nachweisführung. Welche GRC-Anbieter wurden im aktuellen Gartner Magic Quadrant besonders hervorgehoben? IBM wurde für OpenPages im aktuellen Gartner Magic Quadrant anerkannt und betont, dass künstliche Intelligenz GRC von reaktiv zu proaktiv wandelt. Archer stützt seine Anerkennung auf eine unabhängige Bewertung von 16 Anbietern. Diligent wurde zusätzlich im Forrester Wave Bericht 2026 als Leader mit Fokus auf KI-Integration eingestuft. Was ist das OCEG Red Book und wie strukturiert es GRC? Das OCEG Red Book beschreibt Governance, Risiko und Compliance als wiederkehrenden Zyklus aus Learn, Align, Perform und Review statt als getrennte Checklisten-Silos. Diese Struktur hilft Risikoverantwortlichen zu prüfen, ob ein Werkzeug lediglich Nachweise dokumentiert oder Risikodaten tatsächlich in strategische Entscheidungen einspeist. Quellen 1. [Magic Quadrant for Governance, Risk and Compliance Tools, Assurance Leaders](https://www.gartner.com/en/documents/7111830) Gartner 2. [GRC without Visionaries: What the 2025 Gartner Magic Quadrant Reveals](https://www.wheelhouseadvisors.com/risktech-journal/grc-without-visionaries-what-the-2025-gartner-magic-quadrant-reveals-about-the-future-of-risk) Wheelhouse Advisors ## Häufige Fragen ### Was bedeutet der leere Visionaries-Bereich im Gartner Magic Quadrant für GRC-Tools? Wheelhouse Advisors deutet ihn nicht als Stillstand, sondern als Zeichen eines Marktes, der funktionale Reife und operative Stabilität erreicht hat. Der Markt sei in eine Integrationsphase eingetreten. ### Wer hat den Gartner Magic Quadrant für GRC Assurance Leaders verfasst? Verfasst haben ihn die Gartner-Analysten Joel Backaler, Devanshu Mehrotra, Jie Zhang und Lexi VerVelde. Veröffentlicht wurde er am 27. Oktober 2025. ### Was unterscheidet Integrated Risk Management von klassischem GRC? Gartner verlegte den Fokus 2019 auf Integrated Risk Management, das Technologie, Prozesse und Daten für strategisches, operatives und IT-Risikomanagement kombiniert. Der frühere Gartner-Analyst John Wheeler nannte es einen Ansatz, der über compliance-getriebene GRC-Technologie hinausgeht. ### Was ist das OCEG Red Book? Das OCEG Red Book vom 7. Dezember 2024 beschreibt Governance, Risiko und Compliance als Zyklus aus Learn, Align, Perform und Review. Es dient als Struktur, um die eigene Toolstrategie über Checklisten hinaus zu prüfen. ### Worauf sollten Risikoverantwortliche bei der Toolstrategie achten? Die Bewertungskriterien verschieben sich laut Text von der Abdeckung einzelner Compliance-Anforderungen zu Integrationsfähigkeit, Automatisierung und der Einspeisung von Risikodaten in strategische Entscheidungen.