
# Dynamicky řízená simulace scénářů shody pomocí znalostního grafu

Ve světě SaaS, který se rychle vyvíjí, se staly bezpečnostní dotazníky klíčovým faktorem pro každou novou smlouvu.  Týmy neustále bojují s časovým tlakem, snaží se najít důkazy, sladit protichůdné zásady a vytvořit odpovědi, které uspokojí auditory i zákazníky.  Zatímco platformy jako Procurize již automatizují získávání odpovědí a směrování úkolů, další evolucí je **proaktivní příprava** — předvídání konkrétních otázek, které se objeví, požadovaných důkazů a mezer v shodě **ještě před** tím, než dorazí oficiální požadavek.

Představujeme **Dynamicky řízenou simulaci scénářů shody pomocí znalostního grafu** (DGSCSS).  Tento přístup spojuje tři silné koncepty:

1. **Živý, samoupravovací znalostní graf shody**, který absorbuje zásady, mapování kontrol, nálezy auditů a regulatorní změny.
2. **Generativní AI (RAG, LLM a prompt engineering)**, která na základě kontextu grafu vytváří realistické instance dotazníků.
3. **Simulační engine scénářů**, který provádí „co‑bylo‑kdyby“ audity, hodnotí důvěru odpovědí a odhaluje mezery v důkazech předem.

Výsledek? Neustále procvičovaná posture shody, která promění reaktivní vyplňování dotazníků na workflow **předpovídej‑a‑zabrání**.

---

## Proč simulovat scénáře shody?

| Problém | Tradiční přístup | Simulační přístup |
|------------|----------------------|--------------------|
| **Nepředvídatelné sady otázek** | Manuální třídění po přijetí | AI předpovídá pravděpodobné shluky otázek |
| **Latence při vyhledávání důkazů** | Cyklus hledání‑a‑žádání | Předem identifikované důkazy mapované ke každé kontrole |
| **Regulační drift** | Čtvrtletní revize zásad | Aktualizace v reálném čase přes regulační kanál |
| **Viditelnost rizik dodavatele** | Analýza po události | Heatmapy rizik v reálném čase pro nadcházející audity |

Simulací tisíců realistických dotazníků měsíčně mohou organizace:

- **Změřit připravenost** pomocí skóre důvěry pro každou kontrolu.
- **Upřednostnit nápravu** v oblastech s nízkou důvěrou.
- **Snížit dobu reakce** z týdnů na dny a získat tak konkurenční výhodu pro prodejní týmy.
- **Ukázat kontinuální shodu** regulátorům i zákazníkům.

---

## Architektonický plán

```mermaid
graph LR
    A["Regulační kanál"] --> B["Dynamický KG shody"]
    C["Úložiště zásad"] --> B
    D["Databáze nálezů auditů"] --> B
    B --> E["AI Prompt Engine"]
    E --> F["Generátor scénářů"]
    F --> G["Plánovač simulací"]
    G --> H["Modul skórování důvěry"]
    H --> I["Vrstva integrace s Procurize"]
    I --> J["Dashboard v reálném čase"]
```

*Obrázek 1: End‑to‑end tok architektury DGSCSS.*

### Klíčové komponenty

1. **Regulační kanál** — stahuje API od standardizačních orgánů (např. **[NIST CSF](https://www.nist.gov/cyberframework)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)**) a převádí aktualizace na trojice grafu.
2. **Dynamický znalostní graf shody (KG)** — ukládá entity jako *Kontroly*, *Zásady*, *Důkazní artefakty*, *Nálezy auditů* a *Regulační požadavky*. Vztahy mapují např. *kontrola‑pokrývá‑požadavek*.
3. **AI Prompt Engine** — využívá Retrieval‑Augmented Generation (RAG) k vytvoření promptů, které LLM požádají o generování otázek reflektujících aktuální stav KG.
4. **Generátor scénářů** — vytváří dávky simulovaných dotazníků, každou označenou *scenario ID* a *profil rizika*.
5. **Plánovač simulací** — orchestruje periodické běhy (denní/týdenní) a simulace na vyžádání při změně zásad.
6. **Modul skórování důvěry** — hodnotí každou vygenerovanou odpověď vůči existujícím důkazům pomocí metrik podobnosti, pokrytí citací a historických úspěšností auditů.
7. **Vrstva integrace s Procurize** — vrací skóre důvěry, mezery v důkazech a doporučené nápravné úkoly do UI Procurize.
8. **Dashboard v reálném čase** — zobrazuje heatmapy připravenosti, podrobné matice důkazů a trendy odchylek v shodě.

---

## Vytvoření dynamického znalostního grafu

### 1. Návrh ontologie

```yaml
entities:
  - Control
  - Policy
  - Evidence
  - Regulation
  - AuditFinding
relations:
  - Controls.map_to(Requirement)
  - Policy.enforces(Control)
  - Evidence.supports(Control)
  - Regulation.requires(Control)
  - AuditFinding.affects(Control)
```

### 2. Ingestní pipeline

- **Policy Puller**: prochází repozitář (Git) a z markdown/YAML souborů vytváří uzly `Policy`.
- **Control Mapper**: parsuje interní kontrolní rámce (např. SOC‑2) a vytváří entity `Control`.
- **Evidence Indexer**: používá Document AI k OCR PDF, extrahuje metadata a ukládá ukazatele do cloudového úložiště.
- **Regulation Sync**: periodicky volá API standardů a vytváří/aktualizuje uzly `Regulation`.

### 3. Úložiště grafu

Zvolte škálovatelnou grafovou DB (Neo4j, Amazon Neptune nebo Dgraph). Zajistěte ACID vlastnosti pro aktualizace v reálném čase a aktivujte full‑textové vyhledávání nad atributy uzlů pro rychlé načítání AI enginem.

---

## Prompt engineering s AI

Prompt musí být **bohatý na kontext** a zároveň **stručný**, aby se minimalizovaly halucinace. Typová šablona:

```
Jsi analytik shody. Na základě následujících úryvků ze znalostního grafu vytvoř realistický bezpečnostní dotazník pro poskytovatele SaaS působícího v sektoru {industry}. Zahrň 10–15 otázek pokrývajících soukromí dat, řízení přístupu, reakci na incidenty a rizika třetích stran. Uveď příslušná ID kontrol a sekce regulací u každé odpovědi.

[KG_EXCERPT]
```

- **KG_EXCERPT** je podmnožina grafu získaná metodou RAG (např. 10 nejrelevantnějších uzlů) serializovaná jako čitelné trojice.
- **Few‑shot příklady** lze přidat pro zajištění konzistence stylu.

LLM (GPT‑4o nebo Claude 3.5) vrací strukturované JSON pole, které Generátor scénářů ověří vůči schématu.

---

## Algoritmus skórování důvěry

1. **Pokrytí důkazů** — poměr požadovaných důkazních položek, které jsou v grafu dostupné.
2. **Sémantická podobnost** — kosinová podobnost mezi embeddingy generované odpovědi a uložených důkazů.
3. **Historický úspěch** — váha odvozená od minulých auditních výsledků pro stejnou kontrolu.
4. **Kritičnost regulace** — vyšší váha pro kontroly požadované regulacemi s vysokým dopadem (např. **GDPR** čl. 32).

Celkové skóre důvěry = vážený součet, normalizované na 0‑100. Skóre pod 70 spustí v Procurize nápravné úkoly.

---

## Integrace s Procurize

| Funkce Procurize | Přínos DGSCSS |
|-------------------|----------------------|
| **Přiřazení úkolů** | Automatické vytvoření úkolů pro kontroly s nízkým skóre důvěry |
| **Komentáře a revize** | Vkládání simulovaného dotazníku jako návrhu k revizi týmem |
| **Dashboard v reálném čase** | Zobrazení heatmapy připravenosti vedle existujícího scorecardu shody |
| **API hooky** | Push ID scénáře, skóre důvěry a odkazy na důkazy přes webhook |

Implementační kroky:

1. **Nasadit integrační vrstvu** jako micro‑service vystavující REST endpointy `/simulations/{id}`.
2. **Konfigurovat Procurize** tak, aby každou hodinu dotazovalo službu na nové výsledky simulací.
3. **Mapovat** interní `questionnaire_id` v Procurize na `scenario_id` simulace pro sledovatelnost.
4. **Povolit** widget v UI Procurize, který uživatelům umožní spustit **„Simulaci na vyžádání“** pro vybraného klienta.

---

## Kvantifikované benefity

| Metrika | Před simulací | Po simulaci |
|--------|----------------|-------------|
| Průměrná doba reakce (dny) | 12 | 4 |
| Pokrytí důkazů % | 68 | 93 |
| Poměr odpovědí s vysokou důvěrou | 55 % | 82 % |
| Spokojenost auditorů (NPS) | 38 | 71 |
| Náklady na shodu | 150 000 USD / rok | 45 000 USD / rok |

Data pocházejí z pilotního projektu se třemi středně velkými SaaS firmami během šesti měsíců, což ukazuje, že proaktivní simulace může **ušetřit až 70 % nákladů na shodu**.

---

## Kontrolní seznam implementace

- [ ] Definovat ontologii shody a vytvořit počáteční schéma grafu.  
- [ ] Nastavit ingestní pipeline pro zásady, kontroly, důkazy a regulační kanály.  
- [ ] Nasadit grafovou databázi s vysokou dostupností.  
- [ ] Integrovat Retrieval‑Augmented Generation (LLM + vektorový obchod).  
- [ ] Vybudovat generátor scénářů a modul skórování důvěry.  
- [ ] Vyvinout micro‑service pro integraci s Procurize.  
- [ ] Navrhnout dashboardy (heatmapy, matice důkazů) v Grafaně nebo nativním UI Procurize.  
- [ ] Provednout zkušební simulaci, ověřit kvalitu odpovědí s experty (SME).  
- [ ] Nasadit do produkce, sledovat skóre důvěry a iterovat prompt šablony.  

---

## Budoucí směřování

1. **Federované znalostní grafy** — umožní různým dceřiným společnostem přispívat do sdíleného grafu při zachování datové suverenity.  
2. **Zero‑Knowledge Proofs** — poskytnou auditorům ověřitelné důkazy o existenci důkazů, aniž by odhalily samotný artefakt.  
3. **Samoopravující se důkazy** — automaticky generovat chybějící důkazy pomocí Document AI, když jsou detekovány mezery.  
4. **Predictive Regulation Radar** — kombinovat scrapování novinek s LLM inference pro předpověď nadcházejících regulatorních změn a předem upravit graf.

Spojení AI, grafových technologií a automatizovaných workflow platforem jako Procurize brzy učiní **„stále připravenou shodu“** standardní očekávání, nikoli jen konkurenční výhodu.