SAP GRC End of Life: migrationsplaybook 2026-2031

Diskussionen om SAP GRC Access Control end of life har ändrat ton sedan 2024. I åratal var det en fotnot — GRC 12 är bra till 2030, vi tar hand om det senare. 2026 är det alltmer den centrala frågan. CIO:er, interna revisionsutskott och SAP-kompetenscentra ställer samma sak: vad händer konkret efter 2030, när måste vi agera och vilka är de realistiska alternativen.

Denna guide är en praktikers syn på SAP GRC end of life-beslutet: de relevanta datumen, de praktiska skillnaderna mellan 10.x, 11.x och 12.x, konsekvenserna för S/4HANA-miljöer, de fyra vägarna framåt och 90-dagars migreringsplaybook validerad på 15 signerade företagsreferenser.

Datumen: SAP GRC End of Life-tidslinje

Hovra över varje version för att se de praktiska konsekvenserna. GRC 12.0-markören är den som de flesta företag behöver fokusera på — mainstream-support slutar den 31 december 2027 (unified GRC 12.0) och den 31 december 2030 för GRC AC 12.0 på äldre databaser (Oracle, DB2, MSSQL).

Två praktiska observationer från dessa datum. För det första: organisationer på GRC 10.x eller 11.x under 2026 är redan bortom mainstream — de betalar Extended Support eller accepterar risken. För det andra: GRC 12.0-kunder på Oracle/DB2/MSSQL har 3 extra år jämfört med HANA-kunder — men den tiden går ofta åt till S/4HANA-migration (som kräver HANA), så det är ingen ledig tid.

Vad ändras egentligen efter 2027 för GRC 12.0

SAP:s end-of-life-nomenklatur är precis men inte dramatisk. Efter att mainstream-underhållet upphör försämras flera saker samtidigt: inga nya funktioner, inga säkerhetspatchar utom kritiska, begränsat teknisk support, ingen certifiering för nya webbläsar-/OS-versioner. Plattformen fortsätter att fungera, men varje år ökar underhållskostnaderna och revisionsrisken.

• No new features. The product is frozen at its 2030 state. No new SAP module support, no AI agent additions, no improvements to UI or analytics.
• No patches for non-critical bugs. Functional defects that surface after 2030 are not fixed. Workarounds become the operating norm.
• Progressively reduced security patches. SAP commits to security updates during extended maintenance (through 2033 on Enterprise Support), but the priority shifts to the cloud-native successors. Patches for less critical CVEs may take longer.
• No new integration support. When SAP releases new S/4HANA Cloud features, BTP services, or business AI capabilities, the integration burden falls on customers. GRC 12 was designed against the 2020-2023 S/4HANA feature set, not the 2030+ landscape.
• External auditor scrutiny increases. Big 4 auditors (EY, KPMG, Deloitte, PwC) flag organizations running on past-mainstream platforms in their ITGC findings. The "we are on supported software" line gets harder to write each year.

Plattformen "slutar inte fungera" den 31 december 2030 - den blir gradvis dyrare och mer riskabel att driva. De flesta foretag som gatt igenom liknande SAP-produkt-EOL-cykler (ECC 6.0 har samma 2030-mainstream-datum) behandlar EOL-aret som beslutsaret, inte migreringsaret. Migreringen sker under de 18-24 manaderna fore EOL-datumet.

S/4HANA-implikationen

Den starkaste signalen i SAP GRC end of life-diskussionen är moderniseringsvägkartan. SAP:s strategiska riktning för governance, risk och compliance är Cloud Identity Access Governance (Cloud IAG) — inte GRC 12.0. Det är en investeringssignal: produktutveckling, Joule-integrationer (AI), Fiori UX och S/4HANA-grunden går till Cloud IAG. GRC 2026 får underhåll, inte investeringar.

För organisationer på S/4HANA — eller de som planerar övergången — skapar detta en planeringsfråga som är oberoende av EOL-datumet. S/4HANA-vägkartan (public och private cloud) antar alltmer Cloud IAG som det nativa access governance-lagret. Att fortsätta med GRC 12.0 på S/4HANA är tekniskt möjligt men strategiskt emot SAP:s riktning.

That decision typically narrows to three options.

GRC 2026: vad efterträdaren faktiskt är

Förvirringen kring SAP GRC end of life kommer främst från språket. SAP:s officiella position, formulerad i No Customers Left Behind-uttalandet (början av 2026), är att SAP GRC-lösningar INTE är end-of-life — 2026-utgåvan är en ny version av den befintliga produkten, levererad genom standardunderhåll. I praktiken förändrar 2026-utgåvan dock tillräckligt mycket arkitektoniskt så att de flesta kunder beskriver övergången som en migration, inte en uppgradering. Hovra över varje sektion nedan för att se vad som faktiskt förändras.

Nasta fraga — vilka ar de fyra praktiska vagarna framat — ar det som de flesta CIO:er faktiskt vill agna motet at.

De fyra vägarna framåt

Väg 1: SAP Cloud IAG (den SAP-inbyggda efterträdaren)

SAP:s avsedda efterträdare till GRC AC. Prenumerationsbaserad prissättning, molnbaserad, integrerad med resten av SAP-molnstack. Pris ~30-80k EUR/år beroende på antal användare och moduler. Kunder rapporterar 3-6 månaders implementation i SAP-first-miljöer. Bra passform för organisationer redan på SAP BTP.

Rätt svar för: organisationer som är fullt engagerade i SAP-molnstack, mellanstora miljöer utan komplexa SoD-krav, SAP BTP-kunder med tillgång till Joule AI.

Väg 2: Alternativ GRC-plattform (smartGRC, Pathlock, Saviynt, SailPoint)

Ersättningsplattformar som hanterar access governance för SAP — och alltmer för icke-SAP — till en bråkdel av SAP GRC AC-priset. smartGRC, Pathlock, Saviynt, SailPoint i denna kategori. De skiljer sig i arkitektur, fokus (SAP-first vs identity-first), värdregion och prismodell. TCO över 3 år är vanligtvis 60-85% lägre än SAP GRC AC.

Rätt svar för: organisationer vars behov av access governance går bortom vad Cloud IAG täcker, kunder som värdesätter 70-85% lägre TCO, organisationer med betydande icke-SAP-system i scope (30-70% av åtkomstrisken), företag som föredrar EU-dataresidens.

2026 lade smartGRC-plattformen till smartSecurity — en AI-agentbaserad SAP-säkerhetsövervakningsmodul som kontinuerligt poängsätter SAP-konfigurationen mot benchmarks (SBT, SAP Default, anpassade), spårar Security Notes patch-status, upptäcker kritiska behörigheter (SAP_ALL, S_A.SYSTEM) och automatiskt mappar varje avvikelse till NIS2-, ISO 27001-, GDPR- och DORA-kontroller — och stänger klyftan som SAP GRC AC aldrig täckte.

Väg 3: Extended Support / Custom Support

Köp 1-3 år ytterligare SAP-support bortom mainstream-datumet medan du planerar migrationen ordentligt. SAP erbjuder Extended Support och Custom Support. Kostnaderna växer exponentiellt: första året ~2x normalt underhållspris, andra ~4x, tredje ~6x. Det är en betald tidsförsäkring, inte en långsiktig strategi.

Rätt svar för: organisationer som verkligen behöver 1-2 år till innan de kan genomföra en migration (t.ex. under en S/4HANA-transformation, efter nylig M&A, pågående IPO-projekt). Ingen strategi — en tidsbiljett för att göra något annat.

Väg 4: "Gör inget och acceptera risken"

Tekniskt möjligt, alltmer oattraktivt. Efter mainstream end of life fortsätter plattformen att fungera, men varje år ökar: underhållskostnader (specialister som känner den äldre plattformen), compliance-risk (säkerhetspatchar, webbläsar/OS-inkompatibilitet), revisionsrisk (hur förklarar man för revisorn att man använder end-of-life-programvara). Extended Support kostar mer än migrationen — det är därför migrationer vanligtvis sker i tid.

90-dagars migrationsplaybook

Foljande schema ar det vi har sett fungera i 15 foretagsreferenser som migrerar fran SAP GRC AC till smartGRC. Samma faser galler om du migrerar till Cloud IAG eller ett annat alternativ — skillnaden ligger i verktygen under dag 15-60, inte i strukturen.

Vecka 1-3: Datautvinning

Extraktion från SAP GRC AC: SOD-åtkomstriskregler och kritisk åtkomstregelbok (GRAC SOD), mitigeringskontroller (GRAC_MC), rollmatris (GRAC BRM), historiska åtkomstförfrågningar (GRAC ARM), FF-sessioner (GRAC EAM senaste 6 mån). Utdataformat: CSV + XML. Timing: 2-3 veckor.

Vecka 3-5: Riskkatalog-inläsning

Ladda de extraherade riskreglerna i målplattformen. På smartGRC är detta automatiserat (AI-mappningsagenten hanterar ~85% av SOD-regel-till-SAP-transaktion-mappningar), resten verifieras av en konsult. Resultat: en regelbok med 100-150 SoD-regler redo att köras.

Vecka 5-7: Pilot SoD-granskningscykel

Kör en enskild affärsenhet genom en komplett SoD-granskning på den nya plattformen parallellt med den befintliga SAP GRC AC-granskningen. Mål: identiska resultat gällande antalet SoD-konflikter; skillnader = luckor i regelboken att korrigera. Timing: 2 kalenderveckor.

Vecka 7-9: Parallell drift

Utvidga till fullständigt produktionsscope men behåll SAP GRC AC som system of record. Varje åtkomstförfrågan går genom båda. Resultatjämförelse = slutlig valideringar av regelboken + bekräftelse att den nya plattformen täcker alla användningsfall. Timing: 4-6 veckor.

Vecka 9-12: Överkoppling och avveckling

Byt system of record till den nya plattformen. Behåll SAP GRC AC i skrivskyddat läge i 6 månader som revisionsreferens. Ta SAP GRC AC ur drift efter den framgångsrika första revisionscykeln på den nya plattformen. Bytestiming: 1 vecka + 6 månader skrivskyddad.

Nollrisks-beslutsramverket

Migrationsbranschen säljer engagemang först, validering senare — skriv på ett kontrakt, starta ett projekt, upptäck halvvägs att plattformen inte passar din miljö. GRC Advisory säljer motsatsen: en 90-dagars parallelldrift med begränsat scope + smartGRC-plattformen. Kunden ser identiska resultat på båda systemen innan de beslutar om full migration.

Varför GRC Advisorys 15-åriga meritlista är viktig

Anledningen till att 90-dagars-tidslinjen fungerar är inte programvaran — det är migrationsexpertisen. GRC Advisory har implementerat SAP GRC i 15 år och är officiell SAP Service Partner. Vi kan den interna strukturen av GRAC SOD och typiska migrationsfällor utantill. Det förkortar upptäcktsfasen som dominerar projekt med generiska integratorer.

Inte varje modul och varje dataset måste migreras. De flesta kunder behöver ingen fullständig 1:1-nyimplementation av varje historiskt objekt - mycket av SAP GRC-data är vilande (stängda UAR-kampanjer från 2019, föråldrade Firefighter-sessioner, deprecated riskdefinitioner). Praktisk approach: arkivera legacy-systemet i read-only-läge för regulatorisk lagringsperiod och migrera endast den aktiva datasetsen till den nya plattformen. Detta minskar typiskt omfånget med 40-60%.

Detta förvandlar det som skulle vara ett 6-12 månaders upptäckt- + migrationsprojekt med en generisk implementeringspartner till en 90-dagars parallelldrift med GRC Advisory. Skillnaden ligger i verktygen under dagarna 15-60 (inte i ansträngningen), plus AI-drivna mappningar och erfarenhetsbibliotek från 15 tidigare SAP GRC AC-migrationer.

Beslutspunkten vecka 12

Vid slutet av 90-dagars parallelldriften ser ledningskommittén tre artefakter:

• Reconciliation report — every SoD conflict flagged by SAP GRC AC in the last 90 days, mapped against smartGRC's output on the same access base. Match rate is typically 96-98% at this point; the remaining discrepancies are documented rule interpretation differences, not bugs.
• Firefighter log review comparison — the same production sessions reviewed by both platforms. smartGRC's AI agent flags anomalies that the standard SAP GRC session-by-session review does not catch (this is the "Firefighter AI vs Human 6:0" case study in operation).
• 5-year TCO comparison — SAP GRC 2026 uppgradering + ongoing maintenance vs smartGRC subscription. For mid-market estates (400-600 SAP users), the delta is typically €400-600k over 5 years in favour of smartGRC.

Tre utfall är möjliga: (a) kunden migrerar — SAP GRC AC går till read-only, sedan decommission, SAP-underhållsavtalet avslutas vid förnyelse, (b) kunden stannar på SAP GRC — ingen leverantörsinlåsning, inget straff, vi gick igenom processen med dem, eller (c) hybrid — smartGRC styr ny S/4HANA-scope medan SAP GRC styr legacy ECC-landskap. Alternativ (c) är ovanligt men har hänt två gånger i vår referensbas.

Vad revisionskommittén faktiskt vill höra

Diskussionen i revisionsutskottet om SAP GRC end of life handlar sallan om tekniken. Den handlar om tre fragor. For det forsta, finns det en signerad plan med datum? — ett beslut "vi utvarderar alternativ" ar oacceptabelt efter 2027. For det andra, vem agar migreringsrisken? — CFO, CIO, CISO eller chefen for intern revision. For det tredje, vad ar reservplanen om migreringen forsenas? Extended support ar standardreservplanen; det faktum att den kostar mer an sjalva migreringen ar precis anledningen till att migreringen vanligtvis sker i tid.

Den starkaste positionen att gå in på det mötet med: ett signerat beslut om målplattformen, en namngiven executive sponsor, en planerad 90-dagars proof-of-concept och en dokumenterad Extended Support-fallback för det fall POC:n hittar ett hinder. Allt annat är processdetaljer.