EN
FR
IT
العربية
Inhalt 5
Gartner hat seinen zentralen Marktbericht für Governance, Risk und Compliance am 27. Oktober 2025 unter neuem Namen veröffentlicht: ‚Magic Quadrant for Governance, Risk and Compliance Tools, Assurance Leaders‘. Der Titel markiert laut Fachanalysten den ersten grösseren Kategorienwechsel seit fast zwei Jahrzehnten. Für Verantwortliche, die ihre Toolstrategie planen, verschiebt sich damit ein konkreter Massstab: Die Kriterien für ein taugliches GRC-Werkzeug wandern in Richtung Integration und Assurance, weg von reiner Nachweisführung.
Der Gartner Magic Quadrant vom 27. Oktober 2025 benennt den GRC-Marktbericht erstmals seit fast zwei Jahrzehnten nach der Zielgruppe der Assurance-Verantwortlichen um und zeigt einen leeren Visionaries-Bereich. Das signalisiert einen gereiften Markt, der laut Fachanalysten die Basis für proaktive, KI-gestützte Risikosteuerung legt. Für die Toolstrategie zählt künftig Integrationsfähigkeit statt reiner Checklisten-Abdeckung.
Was hat Gartner am Marktbericht konkret geändert?
Gartner hat den etablierten Bericht in ‚Magic Quadrant for Governance, Risk and Compliance Tools, Assurance Leaders‘ umbenannt und die Analyse am 27. Oktober 2025 veröffentlicht.
Verfasst haben ihn die Analysten Joel Backaler, Devanshu Mehrotra, Jie Zhang und Lexi VerVelde. Gartner zählt mehr als hundert Anbieter von GRC-Tools und stellt fest, dass diese Fülle es Einkäufern erschwert, das für den eigenen Anwendungsfall passende Werkzeug zu identifizieren.
Gartner definiert GRC-Tools laut einer Mitteilung von Origami Risk als Werkzeuge, die einen holistischen Enterprise-Risk-Management-Prozess unterstützen und dabei Risikoidentifikation, -bewertung, -minderung, -überwachung und -berichterstattung abdecken. Diese Definition bleibt breit angelegt, der Namenszusatz ‚Assurance Leaders‘ engt die adressierte Zielgruppe jedoch bewusst ein.
Was bedeutet die Ausrichtung auf Assurance-Verantwortliche?
Laut Wheelhouse Advisors definiert Gartner die Kategorie damit zum ersten Mal seit knapp zwei Jahrzehnten explizit über die Zielgruppe der Assurance-Verantwortlichen statt über Enterprise-Risk- oder Governance-Zielgruppen.
Der aktuelle Quadrant weist zusätzlich einen vollständig leeren Bereich für ‚Visionaries‘ auf. Wheelhouse Advisors deutet das in seiner Analyse vom 19. November 2025 nicht als Stillstand, sondern als Zeichen eines Marktes, der in eine Integrationsphase eingetreten ist und funktionale Reife sowie operative Stabilität erreicht hat.
Auf dieser Reife baue sich laut Wheelhouse Advisors die nächste Generation von Integrated Risk Management und sogenannten ‚Autonomous IRM‘-Fähigkeiten auf. Eine autoritative, auf eine Primärquelle rückführbare Definition dieses Begriffs liegt bislang allerdings nicht vor.
Wie hat sich die GRC-Kategorie schon einmal verschoben?
Gartner hatte den Fokus bereits 2019 von klassischem GRC auf Integrated Risk Management verlegt und dafür einen eigenen Magic Quadrant veröffentlicht.
Diesen ersten Magic Quadrant für Integrated Risk Management Solutions verfassten Jie Zhang und Brian Reed. Laut einer Zusammenfassung von ZenGRC vom 21. Januar 2025 definierte Gartner Integrated Risk Management als Lösungen, die Technologie, Prozesse und Daten kombinieren, um Vereinfachung, Automatisierung und Integration von strategischem, operativem und IT-Risikomanagement in einer Organisation zu ermöglichen.
Der frühere Gartner-Analyst John Wheeler beschrieb Integrated Risk Management als Ansatz, der über klassische, compliance-getriebene GRC-Technologie hinausgeht. Sein Massstab: verwertbare Erkenntnisse, die an der Unternehmensstrategie ausgerichtet sind, statt nur an regulatorischen Vorgaben.
Was heisst das für die eigene Toolstrategie?
Bewertungskriterien verschieben sich von reiner Abdeckung einzelner Compliance-Anforderungen hin zu Integrationsfähigkeit, Automatisierung und der Fähigkeit, Risikodaten in strategische Entscheidungen einzuspeisen.
Das lange etablierte OCEG-Modell liefert dazu eine konzeptionelle Klammer. Im Red Book vom 7. Dezember 2024 beschreibt es Governance, Risiko und Compliance als wiederkehrenden Zyklus aus Learn, Align, Perform und Review statt als getrennte Checklisten-Silos, wie Umbrex am 26. August 2026 zusammenfasst. Dieser Gedanke deckt sich damit, dass Risikomanagement der Zielerreichung dient und nicht sich selbst.
Gartners Critical-Capabilities-Forschung ergänzt den Magic Quadrant, indem sie prüft, wie gut einzelne Produkte funktionale Anforderungen im Detail erfüllen, statt nur die Marktpositionierung der Anbieter zu bewerten. Risikoverantwortliche sollten deshalb vor der nächsten Ausschreibung oder Vertragsverlängerung festhalten, an welcher Stelle im Learn-Align-Perform-Review-Zyklus das aktuelle Werkzeug lediglich Nachweise sammelt und wo es Risikodaten tatsächlich in Entscheidungen einspeist.
Von Einzelnachweis zu gemeinsamer Datenbasis
Die SwissGRC Plattform führt Risikodaten, Kontrollen und Nachweise in einer gemeinsamen Datenbasis zusammen. Sie schafft damit die technische Grundlage für den Übergang von Dokumentation zu Steuerung.
SwissGRC® PlattformHäufige Fragen
Was bedeutet der leere Visionaries-Bereich im aktuellen Gartner Magic Quadrant für GRC-Tools?
Wheelhouse Advisors deutet den leeren Visionaries-Bereich im Gartner Magic Quadrant vom 27. Oktober 2025 nicht als Stillstand, sondern als Zeichen eines gereiften Marktes. Die Anbieter hätten funktionale Reife und operative Stabilität erreicht und träten nun in eine Integrationsphase ein, auf der sich künftige Autonomous-IRM-Fähigkeiten aufbauen liessen.
Wer hat den Gartner Magic Quadrant für GRC Assurance Leaders verfasst?
Den Magic Quadrant für Governance, Risk and Compliance Tools, Assurance Leaders haben die Gartner-Analysten Joel Backaler, Devanshu Mehrotra, Jie Zhang und Lexi VerVelde verfasst. Gartner erfasst darin mehr als hundert Anbieter von GRC-Tools und stellt fest, dass diese grosse Anzahl es Einkäufern erschwert, das passende Werkzeug für den eigenen Anwendungsfall zu identifizieren.
Worin unterscheidet sich Integrated Risk Management von klassischem GRC?
Gartner verlagerte den Fokus 2019 von klassischem GRC auf Integrated Risk Management und definierte es als Kombination aus Technologie, Prozessen und Daten zur Vereinfachung, Automatisierung und Integration von strategischem, operativem und IT-Risikomanagement. Der frühere Gartner-Analyst John Wheeler betonte dabei verwertbare, strategisch ausgerichtete Erkenntnisse statt rein compliance-getriebener Nachweisführung.
Welche GRC-Anbieter wurden im aktuellen Gartner Magic Quadrant besonders hervorgehoben?
IBM wurde für OpenPages im aktuellen Gartner Magic Quadrant anerkannt und betont, dass künstliche Intelligenz GRC von reaktiv zu proaktiv wandelt. Archer stützt seine Anerkennung auf eine unabhängige Bewertung von 16 Anbietern. Diligent wurde zusätzlich im Forrester Wave Bericht 2026 als Leader mit Fokus auf KI-Integration eingestuft.
Was ist das OCEG Red Book und wie strukturiert es GRC?
Das OCEG Red Book beschreibt Governance, Risiko und Compliance als wiederkehrenden Zyklus aus Learn, Align, Perform und Review statt als getrennte Checklisten-Silos. Diese Struktur hilft Risikoverantwortlichen zu prüfen, ob ein Werkzeug lediglich Nachweise dokumentiert oder Risikodaten tatsächlich in strategische Entscheidungen einspeist.
