
# ارکستراسیون پویا شواهد مبتنی بر هوش مصنوعی برای پرسش‌نامه‌های امنیتی خرید

## چرا خودکارسازی سنتی پرسش‌نامه‌ها متوقف می‌شود

پرسش‌نامه‌های امنیتی—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)، [ISO 27001](https://www.iso.org/standard/27001)، [GDPR](https://gdpr.eu/)، [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)، و ده‌ها فرم اختصاصی تأمین‌کننده—به‌عنوان نگهبان معاملات B2B SaaS عمل می‌کنند.  
اکثر سازمان‌ها هنوز به یک **گردش کاری کپی‑پیست دستی** متکی هستند:

1. **یافتن** سند سیاست یا کنترل مرتبط.  
2. **استخراج** بند دقیق که به سؤال پاسخ می‌دهد.  
3. **چسباندن** آن در پرسش‌نامه، اغلب پس از یک ویرایش سریع.  
4. **پیگیری** نسخه، مرورگر و ردپای حسابرسی در یک صفحه‌گسترده جداگانه.

معایب این روش به‌خوبی مستند شده‌اند:

* **زمان‑بر** – زمان متوسط پاسخ به یک پرسش‌نامه ۳۰ سؤال بیش از ۵ روز است.  
* **خطای انسانی** – بندهای نامتناسب، ارجاع‌های منسوخ و اشتباهات کپی‑پیست.  
* **انحراف تطبیق** – با پیشرفت سیاست‌ها، پاسخ‌ها کهنه می‌شوند و سازمان را در معرض یافته‌های حسابرسی قرار می‌دهند.  
* **بدون ردیابی** – حسابرسان نمی‌توانند ارتباط واضحی بین پاسخ و شواهد کنترل زیرین ببینند.

**ارکستراسیون پویا شواهد (DEO)** از Procurize، هر یک از این نقاط درد را با یک موتور گراف‑محور و هوش‑مصنوعی‑محور که به‌صورت پیوسته می‌آموزد، اعتبارسنجی می‌کند و پاسخ‌ها را در زمان واقعی به‌روزرسانی می‌کند، برطرف می‌نماید.

## معماری اصلی ارکستراسیون پویا شواهد

در سطح کلی، DEO یک **لایه ارکستراسیون میکروسرویس** است که بین سه حوزه کلیدی قرار می‌گیرد:

* **گراف دانش سیاست (PKG)** – گراف معنایی که کنترل‌ها، بندها، artefacts شواهد و روابط آن‌ها را در چارچوب‌های مختلف مدل می‌کند.  
* **تولید تقویت‌شده با بازیابی (RAG) مبتنی بر LLM** – مدل زبان بزرگ که شواهد مرتبط‌ترین را از PKG بازیابی و پاسخ صیقلی تولید می‌کند.  
* **موتور گردش کار** – مدیر وظایف لحظه‑به‑لحظه که مسئولیت‌ها را تخصیص می‌دهد، نظرات مرورگر را ضبط می‌کند و ردیابی را ثبت می‌کند.

نمودار Mermaid زیر جریان داده را نشان می‌دهد:

```mermaid
graph LR
    A["Questionnaire Input"] --> B["Question Parser"]
    B --> C["RAG Engine"]
    C --> D["PKG Query Layer"]
    D --> E["Evidence Candidate Set"]
    E --> F["Scoring & Ranking"]
    F --> G["Draft Answer Generation"]
    G --> H["Human Review Loop"]
    H --> I["Answer Approval"]
    I --> J["Answer Persisted"]
    J --> K["Audit Trail Ledger"]
    style H fill:#f9f,stroke:#333,stroke-width:2px
```

### 1. گراف دانش سیاست (PKG)

* **گره‌ها** نمایانگر کنترل‌ها، بندها، فایل‌های شواهد (PDF, CSV, مخازن کد) و چارچوب‌های نظارتی هستند.  
* **یال‌ها** روابطی چون *«اجرا می‌کند»، «ارجاع می‌دهد»، «به‑دست‑آوردن»* را ثبت می‌کنند.  
* PKG به‌صورت **تدریجی** از طریق خطوط لوله خودکار استخراج سند (DocAI, OCR, Git hooks) به‌روز می‌شود.

### 2. تولید تقویت‌شده با بازیابی

* LLM متن **سؤال** و یک **پنجره زمینه** شامل k برترین کاندیدای شواهد برگشتی از PKG را دریافت می‌کند.  
* با استفاده از RAG، مدل پاسخ مختصر و مطابق را ترکیب می‌کند و **منابع** را به‌صورت پاورقی markdown حفظ می‌نماید.

### 3. موتور گردش کار لحظه‑به‑لحظه

* پیش‌نویس پاسخ را بر اساس **مسیر‌یابی مبتنی بر نقش** (مثلاً مهندس امنیت، مشاور حقوقی) به **متخصص موضوع (SME)** اختصاص می‌دهد.  
* **زنجیره نظرات** و **تاریخچه نسخه** مستقیماً به گره پاسخ در PKG الصاق می‌شود و یک ردپای حسابرسی غیرقابل تغییر را تضمین می‌کند.

## چطور DEO سرعت و دقت را بهبود می‌بخشد

| معیار | فرآیند سنتی | DEO (پایلوت) |
|--------|---------------------|------------|
| زمان متوسط برای هر سؤال | ۴ ساعت | ۱۲ دقیقه |
| گام‌های کپی‑پیست دستی | بیش از ۵ | ۱ (پرکردن خودکار) |
| صحت پاسخ (پاسخ حسابرسی) | ۷۸ % | ۹۶ % |
| تکمیل ردیابی | ۳۰ % | ۱۰۰ % |

**دلایلی که باعث این بهبود می‌شوند:**

* **بازیابی شواهد آنی** — پرس و جوی گراف دقیق‌ترین بند را در کمتر از ۲۰۰ ms پیدا می‌کند.  
* **تولید آگاه به زمینه** — LLM با استناد به شواهد واقعی، از ایجاد حقیقت‌های ساختگی جلوگیری می‌کند.  
* **اعتبارسنجی پیوسته** — آشکارسازهای انحراف سیاست، شواهد منسوخ را پیش از رسیدن به مرورگر پرچم‌دار می‌کند.

## نقشهٔ راه پیاده‌سازی برای شرکت‌ها

1. **استخراج اسناد**  
   * اتصال به مخازن سیاست موجود (Confluence, SharePoint, Git).  
   * اجرای خطوط لوله DocAI برای استخراج بندهای ساخت‌یافته.

2. **راه‌اندازی اولیه PKG**  
   * پر کردن گراف با گره‌ها برای هر چارچوب ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)، [ISO 27001](https://www.iso.org/standard/27001) و غیره).  
   * تعریف طبقه‌بندی یال‌ها (اجرا‑>کنترل‌ها، ارجاع‑>سیاست‌ها).

3. **یکپارچه‌سازی LLM**  
   * استقرار یک LLM تنظیم‌شده (مثلاً GPT‑4o) با آداپتورهای RAG.  
   * تنظیم اندازه پنجره زمینه (k = 5 کاندید شواهد).

4. **سفارشی‌سازی گردش کار**  
   * نگاشت نقش‌های SME به گره‌های گراف.  
   * تنظیم ربات‌های Slack/Teams برای اعلان‌های لحظه‑به‑لحظه.

5. **پایلوت پرسش‌نامه**  
   * اجرای مجموعه کوچکی از پرسش‌نامه‌های تأمین‌کننده (≤ 20 سؤال).  
   * جمع‌آوری معیارها: زمان، تعداد ویرایش‌ها، بازخورد حسابرسی.

6. **یادگیری تکراری**  
   * بازخوردهای مرورگر را به حلقه آموزش RAG بازگردانید.  
   * وزن‌های یال PKG را بر پایه فراوانی استفاده به‌روز کنید.

## بهترین شیوه‌ها برای ارکستراسیون پایدار

* **یک منبع حقیقت** – شواهد را هرگز خارج از PKG ذخیره نکنید؛ از ارجاع فقط استفاده کنید.  
* **کنترل نسخهٔ سیاست‌ها** – هر بند را به‌عنوان یک artefact ردیابی‑شده توسط git قالب‌بندی کنید؛ PKG هش کمیت را ثبت می‌کند.  
* **هشدارهای انحراف سیاست** – هشدارهای خودکار وقتی تاریخ آخرین تغییر یک کنترل از آستانه انطباق عبور کند.  
* **پاورقی‌های آماده حسابرسی** – سبک ارجاعی که شناسه گره را شامل می‌شود (مثلاً `[evidence:1234]`).  
* **حریم خصوصی‑محور** – رمزنگاری فایل‌های شواهد در حالت استراحت و استفاده از اثبات‌های صفر‑دانش برای سؤالات محرمانهٔ تأمین‌کننده.

## بهبودهای آینده

* **یادگیری توزیعی** – به‌اشتراک‌گذاری به‌روزرسانی‌های مدل ناشناس بین چندین مشتری Procurize برای بهبود رتبه‌بندی شواهد بدون افشای سیاست‌های مالکانه.  
* **یکپارچه‌سازی اثبات صفر‑دانش** – اجازه به تأمین‌کنندگان برای تأیید صحت پاسخ بدون نمایش شواهد پایه.  
* **داشبرد امتیاز اعتماد پویا** – ترکیب تأخیر پاسخ، تازگی شواهد و نتایج حسابرسی در یک نقشهٔ حرارتی ریسک لحظه‑به‑لحظه.  
* **دستیار صوتی** – امکان تأیید یا رد پاسخ‌های تولیدشده توسط SMEها از طریق دستورات زبان طبیعی.

## نتیجه‌گیری

ارکستراسیون پویا شواهد، روش پاسخگویی به پرسش‌نامه‌های امنیتی خرید را بازتعریف می‌کند. با ترکیب **گراف سیاست معنایی**، **RAG مبتنی بر LLM** و **موتور گردش کار لحظه‑به‑لحظه**، Procurize کپی‑پیست دستی را از بین می‌برد، ردیابی را تضمین می‌کند و زمان پاسخ را به‌طرز چشمگیری کاهش می‌دهد. برای هر سازمان SaaS که می‌خواهد معاملات را سرعت بخشد و در عین حال آماده حسابرسی بماند، DEO گام منطقی بعدی در مسیر خودکارسازی انطباق است.