
# AI‑poháněná mapa zralosti souladu a doporučovací engine

Ve světě, kde denně přicházejí bezpečnostní dotazníky a regulatorní audity, týmy pro soulad neustále balancují tři konkurenční priority:

1. **Rychlost** – odpovědět na otázky dříve, než se dohoda zastaví.  
2. **Přesnost** – zajistit, že každé tvrzení je faktické a aktuální.  
3. **Strategický pohled** – pochopit *proč* je konkrétní odpověď slabá a jak ji zlepšit.

Nejnovější schopnost Procurize řeší všechny tři tím, že surová data z dotazníků přemění na **mapu zralosti souladu**, která nejen vizualizuje mezery, ale také pohání **AI‑generovaný doporučovací engine**. Výsledkem je živý dashboard souladu, který posouvá týmy od „reaktivního hašení požárů“ k „proaktivnímu zlepšování“.

Níže představujeme kompletní workflow, základní AI architekturu, vizuální jazyk postavený na Mermaid a praktické kroky, jak mapu zapracovat do denních procesů souladu.

---

## 1. Proč je mapa zralosti důležitá

Tradiční dashboardy souladu ukazují **binární** stav – *v souladu* nebo *není v souladu* – pro každou kontrolu. Přestože jsou užitečné, tento přístup skrývá **hloubku zralosti** napříč celou organizací:

| Dimenze                 | Binární pohled | Pohled na zralost |
|--------------------------|----------------|-------------------|
| Pokrytí kontrol           | ✔/✘            | stupnice 0‑5 (0=žádné, 5=plně integrováno) |
| Kvalita důkazů            | ✔/✘            | hodnocení 1‑10 (založené na aktuálnosti, původu, úplnosti) |
| Automatizace procesů      | ✔/✘            | 0‑100 % automatizovaných kroků |
| Rizikový dopad (dodavatel) | Low/High       | kvantifikované rizikové skóre (0‑100) |

Mapa zralosti agreguje tyto nuancované skóre, což vedení umožňuje:

* **Identifikovat koncentrované slabiny** – shluky nízkých skóre se stanou vizuálně zřejmými.  
* **Prioritizovat nápravu** – kombinací intenzity tepla (nízká zralost) a rizikového dopadu vznikne řazený seznam úkolů.  
* **Sledovat pokrok v čase** – stejná mapa může být animována měsíc po měsíci, proměňujíc soulad v měřitelnou cestu ke zlepšení.

---

## 2. Vysoká úroveň architektury

Mapa je poháněna třemi těsně propojenými vrstvami:

1. **Ingesta dat a normalizace** – surové odpovědi z dotazníků, politické dokumenty a důkazy třetích stran jsou načítány do Procurize přes konektory (Jira, ServiceNow, SharePoint atd.). Sémantické middleware extrahuje identifikátory kontrol a mapuje je na jednotnou **ontologii souladu**.

2. **AI engine (RAG + LLM)** – Retrieval‑augmented generation (RAG) dotazuje znalostní bázi pro každou kontrolu, hodnotí důkazy a vytváří dva výstupy:  
   * **Skóre zralosti** – vážený součet pokrytí, automatizace a kvality důkazů.  
   * **Text doporučení** – stručný, akční krok generovaný jemně doladěným LLM.

3. **Vrstvy vizualizace** – diagram založený na Mermaid vykresluje mapu v reálném čase. Každý uzel představuje rodinu kontrol (např. „Access Management“, „Data Encryption“) a je zbarven na spektru od červené (nízká zralost) po zelenou (vysoká zralost). Přechod myší nad uzlem odhalí AI‑generované doporučení.

Následující Mermaid diagram ilustruje tok dat:

```mermaid
graph TD
    A["Data Connectors"] --> B["Normalization Service"]
    B --> C["Compliance Ontology"]
    C --> D["RAG Retrieval Layer"]
    D --> E["Maturity Scoring Service"]
    D --> F["LLM Recommendation Engine"]
    E --> G["Heatmap Builder"]
    F --> G
    G --> H["Mermaid Heatmap UI"]
    H --> I["User Interaction"]
    I --> J["Feedback Loop"]
    J --> B
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#bbf,stroke:#333,stroke-width:2px
```

*Všechny popisky uzlů jsou uzavřeny v dvojitých uvozovkách, jak je požadováno.*

---

## 3. Výpočet dimenze zralosti

**Skóre zralosti** není libovolné číslo; je výsledkem reprodukovatelné formule:

```
Maturity = w1 * Coverage + w2 * Automation + w3 * EvidenceQuality + w4 * Recency
```

* **Coverage** – 0 to 1, na základě procenta požadovaných pod‑kontrol řešených.  
* **Automation** – 0 to 1, měřeno podílem kroků prováděných pomocí API nebo botů.  
* **EvidenceQuality** – 0 to 1, hodnoceno podle typu dokumentu (např. podepsaná auditní zpráva vs. e‑mail) a kontrol integrity (verifikace hash).  
* **Recency** – 0 to 1, starší důkazy ztrácejí váhu, aby se podpořily kontinuální aktualizace.

Váhy (`w1‑w4`) jsou konfigurovatelné pro každou organizaci, což umožňuje bezpečnostním manažerům upřednostnit to, co je nejdůležitější (např. vysoce regulovaný průmysl může nastavit vyšší `w3`).

### Příklad výpočtu

| Kontrola | Coverage | Automation | EvidenceQuality | Recency | Váhy (0.4,0.2,0.3,0.1) | Zralost |
|----------|----------|------------|-----------------|---------|------------------------|---------|
| IAM‑01   | 0.9      | 0.7        | 0.8             | 0.6     | 0.4·0.9 + 0.2·0.7 + 0.3·0.8 + 0.1·0.6 = **0.79** | 0.79 |

Mapa převádí skóre 0‑1 na barevný gradient: 0‑0.4 = červená, 0.4‑0.7 = oranžová, 0.7‑0.9 = žlutá, >0.9 = zelená.

---

## 4. AI‑generovaná doporučení

Po výpočtu skóre zralosti **LLM Recommendation Engine** vytvoří stručný plán nápravy. Šablona promptu, uložená jako znovupoužitelný asset v Prompt Marketplace Procurize, vypadá (zjednodušeně) takto:

```
You are a compliance advisor. Based on the following control data, provide a single actionable recommendation (max 50 words) that will most improve the maturity score.

Control ID: {{ControlID}}
Current Score: {{MaturityScore}}
Weakest Dimension: {{WeakestDimension}}
Evidence Summary: {{EvidenceSnippet}}
```

Protože je prompt **parametrizovaný**, stejnou šablonu lze použít pro tisíce kontrol bez nutnosti nového tréninku. LLM je doladěn na kurátorském korpusu bezpečnostních osvědčených postupů ([NIST CSF](https://www.nist.gov/cyberframework), [ISO 27001](https://www.iso.org/standard/27001) atd.) pro zajištění oborově specifického jazyka.

### Vzorový výstup

> *Kontrola IAM‑01 – nejslabší dimenze: Automatizace*  
> **Doporučení:** “Integrujte poskytovatele identity s workflow nákupu pomocí SCIM API, aby se uživatelské účty automaticky prováděly a ruší pro každý nový záznam dodavatele.”

Tato doporučení se zobrazují jako tooltipy na uzlech mapy, což umožňuje **jednoklikový** přechod od poznatku k akci.

---

## 5. Interaktivní zkušenost pro týmy

### 5.1 Spolupráce v reálném čase

UI Procurize umožňuje několika členům týmu **společně upravovat** mapu. Když uživatel klikne na uzel, otevře se postranní panel, kde může:

* Přijmout AI‑doporučení nebo přidat vlastní poznámky.  
* Přiřadit úkol nápravy odpovídajícímu vlastníkovi.  
* Připojit podpůrné artefakty (např. SOP dokumenty, fragmenty kódu).

Všechny změny jsou zaznamenány v **neměnné auditní stopě**, uložené na blockchain‑zabezpečeném ledgeru pro ověření souladu.

### 5.2 Animace trendů

Platforma ukládá snímek mapy každý týden. Uživatelé mohou přepnout **časovou osu**, aby animovali mapu a okamžitě viděli dopad dokončených úkolů. Vestavěný analytický widget počítá **Maturity Velocity** (průměrné zlepšení skóre za týden) a upozorňuje na zadržení, které může vyžadovat pozornost vedení.

---

## 6. Kontrolní seznam implementace

| Krok | Popis | Odpovědná osoba |
|------|-------|-----------------|
| 1 | Aktivovat konektory pro repozitáře dotazníků (např. SharePoint, Confluence). | Integrační inženýr |
| 2 | Namapovat zdrojové kontroly na Ontologii souladu Procurize. | Architekt souladu |
| 3 | Nakonfigurovat váhy skórování podle regulatorní priority. | Vedoucí bezpečnosti |
| 4 | Nasadit služby RAG + LLM (cloud nebo on‑prem). | DevOps |
| 5 | Aktivovat UI mapy v portálu Procurize. | Produktový manažer |
| 6 | Školit týmy v interpretaci barev a používání panelu doporučení. | Koordinátor školení |
| 7 | Nastavit týdenní plánování snímků a prahy upozornění. | Provoz |

Dodržení tohoto seznamu zaručuje **hladké nasazení** a okamžitý ROI – většina raných uživatelů hlásí 30 % zkrácení doby zpracování dotazníků během prvního měsíce.

---

## 7. Bezpečnostní a soukromí úvahy

* **Izolace dat** – korpus důkazů každého nájemce zůstává v samostatném jmenném prostoru, chráněn rolí‑založeným řízením přístupu.  
* **Zero‑Knowledge Proofs** – když externí auditoři požadují důkaz o souladu, platforma může vygenerovat ZKP, který ověří skóre zralosti, aniž by vystavil surové důkazy.  
* **Differenciální soukromí** – agregované statistiky mapy pro mezi‑nájemnické benchmarky jsou obohaceny šumem, aby se zabránilo úniku citlivých údajů jedné organizace.

---

## 8. Budoucí směřování

Mapa zralosti je základem pro pokročilejší funkce:

1. **Prediktivní předpovídání mezer** – pomocí časových modelů předvídat, kde skóre v budoucnosti klesne, a včas zahájit nápravu.  
2. **Gamifikovaný soulad** – udělování „badge“ zralosti týmům, které dosáhnou trvale vysokých skóre.  
3. **Integrace s CI/CD** – automatické blokování nasazení, která by snížila skóre zralosti kritických kontrol.

Tyto rozšíření udržují platformu v souladu s vývojem regulačního prostředí a rostoucími očekáváními na **kontinuální zajištění**.

---

## 9. Závěry

* Vizuální **mapa zralosti** převádí surová data z dotazníků na intuitivní, akční mapu zdraví souladu.  
* **AI‑generovaná doporučení** odstraňují odhadování z nápravy a doručují konkrétní kroky během sekund.  
* Kombinace **RAG**, **LLM** a **Mermaid** vytváří živý dashboard souladu, který škáluje napříč rámci, týmy i geografiemi.  
* Zapracováním mapy do denních workflow organizace přecházejí od reaktivního odpovídání k proaktivnímu zlepšování, což urychluje rychlost uzavření obchodů a snižuje auditní rizika.

---

## Viz také

- [NIST Cybersecurity Framework Overview (oficiální web)](https://www.nist.gov/cyberframework)  
- [ISO 27001:2022 – Systémy řízení bezpečnosti informací (ISO)](https://www.iso.org/standard/80002.html)  
- [Mermaid Live Editor – Vytvářejte a sdílejte diagramy okamžitě](https://mermaid.live)