
# Prognoositavad usaldusväärsuse skoorid AI‑põhise tarnija küsimustiku vastustega

Kiiresti arenevas SaaS‑maailmas algab iga uus partnerlus **turvaküsimustikuga**. Olgu see [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) auditi päring, [GDPR](https://gdpr.eu/) andmetöötluse lisa või kohandatud tarnija riskihindamine – vormide hulk tekitab kitsaskoha, mis aeglustab müügitsükleid, suurendab õiguslikke kulusid ja toob kaasa inimvigu.  

Mis oleks, kui juba kogutud vastused saaksid **ühte, andmetel põhinevat usaldusväärsuse skoori**? AI‑põhine riskiskoori mootor suudab töödelda toorainevastuseid, võrrelda neid tööstusstandarditega ja väljastada prognoositava skoori, mis kohe ütleb, kui turvaline tarnija on, kui kiiresti tuleb temaga edasi tegeleda ja kus tuleks keskenduda parandustöödele.

See artikkel juhatab läbi **AI‑põhise prognoositava usaldusväärsuse skoorimise** kogu elutsükli, alates küsimustiku sisendist kuni tegevusvalmis armatuurlauani, ning näitab, kuidas platvormid nagu Procurize muudavad protsessi sujuvaks, auditeeritavaks ja skaleeritavaks.

---

## Miks traditsiooniline küsimustike haldamine ei piisa

| Probleem | Äriline mõju |
|----------|--------------|
| **Käsitsi andmesisestus** | Tunnid korduvat tööd ühe tarnija kohta |
| **Subjektiivne tõlgendamine** | Ebaühtlane riskihindamine meeskondade vahel |
| **Hajutatud tõendid** | Raskused näidata vastavust auditite käigus |
| **Viivitused vastustes** | Kaotatud tehingud aeglase reageerimise tõttu |

Need valupunktid on hästi dokumenteeritud olemasolevas blogiteegis (nt *Käsitsi turvaküsimustiku haldamise varjatud kulud*). Kuigi tsentraliseerimine aitab, ei anna see automaatselt ülevaadet **kui riskantne** konkreetne tarnija tegelikult on. Siin astub sisse riskiskoorimine.

---

## Põhikontseptsioon: Vastustest skooride loomiseni

Südames on prognoositav usaldusväärsuse skoor **mitmekordne mudel**, mis seob küsimustiku väljad arvulise väärtusega 0–100. Kõrged skoorid tähendavad tugevat vastavuspositsiooni; madalad skoorid tõstavad esile võimalikke punaseid lippe.

Olulised koostisosad:

1. **Struktureeritud andmekiht** – Iga küsimustiku vastus salvestatakse normaliseeritud skeemis (nt `question_id`, `answer_text`, `evidence_uri`).
2. **Semantiline rikastamine** – Loomuliku keele töötlus (NLP) analüüsib vabas vormis vastuseid, ekstraheerib asjakohased poliitikaviited ja klassifitseerib eesmärgi (nt *„Me krüpteerime andmed puhkeolekus“* → *Krüpteerimine* silt).
3. **Standardite kaardistamine** – Iga vastus lingitakse kontrolliraamistikuga, nagu **SOC 2**, **[ISO 27001](https://www.iso.org/standard/27001)** või **[GDPR](https://gdpr.eu/)**. See loob **katte maatriksi**, mis näitab käsitletud kontrolle.
4. **Kaalumootor** – Kontrolle kaalutakse kolme faktori alusel:
   - *Kriitilisus* (kontrolli äriline mõju)
   - *Küpsus* (kui täielikult on kontroll rakendatud)
   - *Tõendite tugevus* (kas on kaasatud tõendavad dokumendid)
5. **Prognoositav mudel** – Masinõppemudel, mis on treenitud ajalooliste auditi tulemuste põhjal, prognoosib, kui tõenäoline on tarnijal ebaõnnestuda eelseisval hindamisel. Väljund on **usaldusväärsuse skoor**.

Kogu andmevoog töötab automaatselt iga kord, kui uus küsimustik esitatakse või olemasolevat vastust uuendatakse.

---

## Samm‑sammuline arhitektuur

Allpool on kõrgetasemeline mermaid‑diagramm, mis illustreerib andmete liikumist sisendist skoori visualiseerimiseni.

```mermaid
graph TD
    A["Ingest Questionnaire (PDF/JSON)"] --> B["Normalization Service"]
    B --> C["NLP Enrichment Engine"]
    C --> D["Control Mapping Layer"]
    D --> E["Weight & Scoring Engine"]
    E --> F["Predictive ML Model"]
    F --> G["Trust Score Store"]
    G --> H["Dashboard & API"]
    H --> I["Alert & Workflow Automation"]
```

*Kõik sõlmede märgendid on topeltjutumärkides, nagu nõutud.*

---

## Skorimudel koostamine: Praktiline juhend

### 1. Andmete kogumine ja märgistamine

- **Ajaloolised auditid** – Kogu tulemused varasematest tarnija hindamistest (läbitud/ebaõnnestunud, parandustähtaeg).  
- **Funktsioonide komplekt** – Iga küsimustiku kohta loo omadused, nagu *kontrollide käsitletuse protsent*, *keskmine tõendite suurus*, *NLP‑põhine sentiment* ja *aeg viimase uuendamiseni*.
- **Märgis** – Binaarne siht (0 =  kõrge risk, 1 = madal risk) või pidev riskitõenäosus.

### 2. Mudeli valik

| Mudel | Tugevused | Tüüpiline kasutus |
|-------|-----------|-------------------|
| Logistiline regressioon | Selgitavad koefitsiendid | Kiire baasliin |
| Gradient Boosted Trees (nt XGBoost) | Töötab segatud andmetüüpide ja mittelineaarsustega | Tootmiskvaliteedi skoorimine |
| Närvivõrgud tähelepanuga | Hõlmab vabas tekstis konteksti | Täiustatud NLP‑integreerimine |

### 3. Treenimine ja valideerimine

```python
import xgboost as xgb
from sklearn.model_selection import train_test_split
X_train, X_test, y_train, y_test = train_test_split(features, labels, test_size=0.2, random_state=42)

dtrain = xgb.DMatrix(X_train, label=y_train)
dtest  = xgb.DMatrix(X_test,  label=y_test)

params = {
    "objective": "binary:logistic",
    "eval_metric": "auc",
    "learning_rate": 0.05,
    "max_depth": 6
}
model = xgb.train(params, dtrain, num_boost_round=200, evals=[(dtest, "eval")], early_stopping_rounds=20)
```

Mudel peaks andma **AUC**‑väärtuse suurema kui 0,85, et prognoosid oleksid usaldusväärsed. Funktsioonide olulisuse graafikud aitavad selgitada, miks skooron langeb alla määratluse, mis on oluliseks compliance‑dokumentatsiooni jaoks.

### 4. Skorimise normaliseerimine

Toores tõenäosus (0‑1) skaleeritakse 0‑100 vahemikku:

```python
def normalize_score(prob):
    return round(prob * 100, 2)
```

Tavaliselt kasutatakse **70** kui "roheline" lävi; skoorid 40‑70 käivitavad **ülevaatuse** töövoo, alla 40 tõstavad **eskaleerimise** hoiatuse.

---

## Integratsioon Procurize‑ga: Teooriast tootmisse

Procurize pakub juba järgmisi praktilisi komponente:

- **Ühtne küsimuste repositoorium** – Keskne hoidla kõigile küsimustikmallidele ja vastustele.
- **Reaal‑aegne koostöö** – Meeskonnad saavad kommenteerida, lisada tõendeid ja jälgida versioonide ajalugu.
- **API‑esimene arhitektuur** – Võimaldab välisteks skoorimisteenusteks pärida andmeid ja tagastada skoorid.

### Integratsioonimudel

1. **Veebikonksu käivitamine** – Kui küsimustik märgitakse *Valmis ülevaatamiseks*, saadab Procurize veebikonksu, mis sisaldab küsimustiku ID‑d.  
2. **Andmete tõmbamine** – Skoorimisteenus kutsub `/api/v1/questionnaires/{id}` lõpp-punkti, et hankida normaliseeritud vastused.  
3. **Skori arvutamine** – Teenus töötab ML‑mudelit ja genereerib usaldusväärsuse skoori.  
4. **Tulemuse saatmine tagasi** – Skor ja usaldusintervall postitatakse tagasi `/api/v1/questionnaires/{id}/score`.  
5. **Armatuurlaua värskendus** – Procurize kasutajaliides kuvab uue skoori, lisab visuaalse riskimõõdiku ja pakub üheklõpsulisi tegevusi (nt *Täiendavate tõendite pärimise*).

Lihtsustatud töövoodiagramm:

```mermaid
sequenceDiagram
    participant UI as "Procurize UI"
    participant WS as "Webhook"
    participant Svc as "Scoring Service"
    UI->>WS: Questionnaire status = Ready
    WS->>Svc: POST /score-request {id}
    Svc->>Svc: Load data, run model
    Svc->>WS: POST /score-result {score, confidence}
    WS->>UI: Update risk gauge
```

*Kõik osapoolte nimed on topeltjutumärkudes.*

---

## Reaalsed tulemused

| Näitaja | Enne AI‑skoori | Pärast AI‑skoori |
|----------|----------------|-----------------|
| Keskmine tööaeg küsimustiku läbimisele | 7 päeva | 2 päeva |
| Käsitsi ülevaatamise tunnid kuus | 120 h | 30 h |
| Vale‑positiivsete eskaleerimiste protsent | 22 % | 8 % |
| Tehingu kiirus (müügitsükkel) | 45 päeva | 31 päeva |

Blogi *Case Study: Reducing Questionnaire Turnaround Time by 70%* (Eesti keeles: *Juhtumiuuring: Küsimustiku läbitöötlusaja vähendamine 70 % võrra*) näitab **70 %** tööaega vähendavat efektiivsust pärast AI‑põhise riskiskoori lisamist. Sama meetodit saab rakendada igas organisatsioonis, mis kasutab Procurize’i.

---

## Järelevalve, audit ja compliance

1. **Selgitatavus** – Funktsioonide olulisuse diagrammid salvestatakse iga skoori kõrval, pakkudes auditeerijatele selget tõendusmaterjali, miks konkreetne hinnang anti.  
2. **Versioonikontroll** – Iga vastus, tõendifail ja skoori muudatus on versioonitud Procurize’i Git‑stiilis repositooriumis, tagades muutmemise jälgitavuse.  
3. **Regulatiivne kooskõla** – Kuna iga kontroll on seotud standarditega (nt SOC 2 *CC6.1*, ISO 27001 *A.12.1*, GDPR artiklid), genereerib skoorimismootor automaatselt nõutud compliance‑maatrikseid regulatorite kontrolli jaoks.  
4. **Andmekaitse** – Skorimisteenus töötab **FIPS‑140** valideeritud keskkonnas ning kogu andmestik on salvestatud **AES‑256** krüpteerimisega, rahuldades GDPR‑i ja CCPA nõudeid.

---

## Käivitamise 5‑sammu kava

1. **Auditeeri olemasolevad küsimustikud** – Kaardista puudujäägid kontrollide kaardistamises ja tõendite kogumises.  
2. **Lülita Procurize veebikonksud sisse** – Konfigureeri *Küsimustik valmis* veebikonks integratsiooni sätted.  
3. **Paigalda skoorimisteenus** – Kasuta Procurize’i avatud lähtekoodiga skoorimissDK‑d (GitHubis saadaval).  
4. **Treeni mudel** – Sisesta vähemalt 200 ajaloolist hindamist, et saavutada usaldusväärsed prognoosid.  
5. **Käivita ja täiusta** – Alusta pilotiga mõne tarnijaga, jälgi skoori täpsust ja kohanda kaalureegleid igakuiselt.

---

## Tuleviku suunad

- **Dünaamiline kaalude kohandamine** – Kasuta tugevdusõpet, et automaatselt suurendada kontrollide kaalusid, mis ajalooliselt viivad auditikatsetuseni.  
- **Tarnijate võrdlus** – Loo tööstusharu laiem skoori jaotus, et benchmarkida oma tarneahelat võrreldavatena.  
- **Null‑puudutus hangete automatiseerimine** – Kombineeri usaldusväärsuse skoorid lepinguloomise API‑dega, et automaatselt heaks kiita madala riskiga tarnijad, eemaldades inimlikud kitsaskohad.  

Kuna AI‑mudelid muutuvad veelgi võimsamaks ja standardid arenevad, muutub prognoositav usaldusväärsuse skoorimine **mitte ainult mugavusfunktsiooniks**, vaid **peamiseks riskijuhtimise distsipliiniks** igas SaaS‑organisatsioonis.

---

## Vaata ka

- [NIST SP 800‑30 Rev. 1 – Guide for Conducting Risk Assessments](https://csrc.nist.gov/publications/detail/sp/800-30/rev-1/final)