
# AI‑avusteinen noudattamisen kypsyyskartta ja suositusmoottori

Maailmassa, jossa turvallisuuskyselyt ja säädösauditoinnit saapuvat päivittäin, noudattamistiimit tasapainottavat jatkuvasti kolmea kilpailevaa prioriteettia:

1. **Nopeus** – vastata kysymyksiin ennen kuin sopimus pysähtyy.  
2. **Tarkkuus** – varmistaa, että jokainen väite on faktuaalinen ja ajantasainen.  
3. **Strateginen näkemys** – ymmärtää, *miksi* tietty vastaus on heikko ja miten sitä voidaan parantaa.

Procurizen uusin kyky käsittelee kaikki kolme muuttamalla raakatiedot kyselyistä **noudattamisen kypsyyskartaksi**, joka ei ainoastaan visualisoi aukkoja, vaan myös ohjaa **AI‑luotua suositusmoottoria**. Tuloksena on elävä noudattamisen hallintapaneeli, joka siirtää tiimit “reaktiivisesta tulipalojen sammutuksesta” “proaktiiviseen parantamiseen”.

Alla käymme läpi kokonaisvaltaisen työnkulun, taustalla olevan AI‑arkkitehtuurin, Mermaid‑pohjaisen visualisointikielen ja käytännön toimenpiteet, joilla kartta sisällytetään päivittäisiin noudattamistoimiin.

---

## 1. Miksi kypsyyskartta on tärkeä

Perinteiset noudattamisen hallintapaneelit näyttävät **binaarisen** tilan – *noudattaa* tai *ei noudateta* – jokaiselle kontrollille. Vaikka näin onkin hyödyllistä, lähestymistapa piilottaa **kypsyyden syvyyden** organisaation koko kirjossa:

| Ulottuvuus               | Binaarinen näkymä | Kypsyyden näkymä |
|--------------------------|-------------------|------------------|
| Kontrollien kattavuus    | ✔/✘               | 0‑5‑asteikko (0=ei lainkaan, 5=täysin integroitu) |
| Todisteiden laatu        | ✔/✘               | 1‑10‑arvio (perustuen ajantasaisuuteen, alkuperään, täydellisyyteen) |
| Prosessien automaatio    | ✔/✘               | 0‑100 % automatisoituja vaiheita |
| Riskivaikutus (toimittaja) | Alhainen/Korkea | Kvantifioitu riskipistemäärä (0‑100) |

Kypsyyskartta aggregoi nämä vivahteikkaat pisteet, mahdollistaen johdolle:

* **Keskittyneiden heikkouksien havaitsemisen** – matalan pisteen kontrollien klusterit erottuvat selvästi.  
* **Korjaustoimenpiteiden priorisoinnin** – yhdistämällä lämpöintensiteetti (matala kypsyys) riskivaikutukseen muodostuu jäsennelty tehtävälista.  
* **Edistymisen seurannan ajan myötä** – samaa karttaa voidaan animoida kuukausi‑kuukausi, muuttaen noudattamisen mitattavaksi parannusmatkaksi.

---

## 2. Korkean tason arkkitehtuuri

Kypsyyskartta perustuu kolmeen tiukasti kytkettyyn kerrokseen:

1. **Datan keräys & normalisointi** – raakatiedot kyselyvastauksista, politiikkadokumenteista ja kolmannen osapuolen todisteista haetaan Procurizeen liittimien (Jira, ServiceNow, SharePoint, jne.) kautta. Semanttinen välikerros poimii kontrollien tunnisteet ja kartoittaa ne yhtenäiseen **noudattamisen ontologiaan**.

2. **AI‑moottori (RAG + LLM)** – Retrieval‑augmented generation (RAG) hakee tietopaketista jokaiselle kontrollille, arvioi todisteet ja tuottaa kaksi tulosta:  
   * **Kypsyyspiste** – painotettu yhdistelmä kattavuutta, automaatiota ja todistelaadun.  
   * **Suositusteksti** – ytimekäs, toteuttamiskelpoinen askel, jonka on luonut hienosäädetty LLM.

3. **Visualisointikerros** – Mermaid‑pohjainen kaavio renderöi kartan reaaliajassa. Jokainen solmu edustaa kontrolliperhettä (esim. “Access Management”, “Data Encryption”) ja väritetään spektriltä punaisesta (matala kypsyys) vihreään (korkea kypsyys). Solmun yläpuolelle siirtyessä (hover) näkyy AI‑luotu suositus.

Seuraava Mermaid‑kaavio havainnollistaa datavirran:

```mermaid
graph TD
    A["Data Connectors"] --> B["Normalization Service"]
    B --> C["Compliance Ontology"]
    C --> D["RAG Retrieval Layer"]
    D --> E["Maturity Scoring Service"]
    D --> F["LLM Recommendation Engine"]
    E --> G["Heatmap Builder"]
    F --> G
    G --> H["Mermaid Heatmap UI"]
    H --> I["User Interaction"]
    I --> J["Feedback Loop"]
    J --> B
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#bbf,stroke:#333,stroke-width:2px
```

*Kaikkien solmun etiketit on pakattu kaksoislainausmerkkeihin vaatimusten mukaisesti.*

---

## 3. Kypsyysmitan pisteytys

**Kypsyyspiste** ei ole mielivaltaista numeroa; se syntyy toistettavasta kaavasta:

```
Kypsyys = w1 * Kattavuus + w2 * Automaatio + w3 * TodisteLaatu + w4 * Ajantasaisuus
```

* **Kattavuus** – 0 – 1, perustuu vaadittujen alikontrollien prosenttiosuuteen, joihin vastataan.  
* **Automaatio** – 0 – 1, mitattu API‑ tai työnkulkurobottien suorittamien vaiheiden suhteella.  
* **TodisteLaatu** – 0 – 1, arvioitu dokumenttityypin (esim. allekirjoitettu auditointiraportti vs. sähköposti) ja eheyden tarkistuksen (hash‑varmistus) perusteella.  
* **Ajantasaisuus** – 0 – 1, vanhemmille todisteille annetaan vähemmän painoarvoa jatkuvan päivityksen kannustamiseksi.

Painot (`w1‑w4`) ovat konfiguroitavissa kunkin organisaation tarpeiden mukaan, jolloin turvallisuusjohtajat voivat korostaa heille tärkeintä (esim. tiukasti säännelty toimiala saattaa asettaa `w3`‑painon korkeammaksi).

### Esimerkkilaskenta

| Kontrolli | Kattavuus | Automaatio | TodisteLaatu | Ajantasaisuus | Painot (0.4,0.2,0.3,0.1) | Kypsyys |
|-----------|-----------|------------|--------------|---------------|--------------------------|----------|
| IAM‑01    | 0.9       | 0.7        | 0.8          | 0.6           | 0.4·0.9 + 0.2·0.7 + 0.3·0.8 + 0.1·0.6 = **0.79** | 0.79 |

Kypsyyskartta muuntaa 0‑1 pisteet väri­gradientiksi: 0‑0.4 = punainen, 0.4‑0.7 = oranssi, 0.7‑0.9 = keltainen, >0.9 = vihreä.

---

## 4. AI‑luodut suositukset

Kun kypsyyspiste on laskettu, **LLM‑suositusmoottori** laatii tiiviin korjaussuunnitelman. Parametroitu kehotepohja, joka on tallennettu uudelleenkäytettävänä resurssina Procurizen Prompt‑Markkinapaikalla, näyttää tältä (yksinkertaistettu havainnollistamiseksi):

```
You are a compliance advisor. Based on the following control data, provide a single actionable recommendation (max 50 words) that will most improve the maturity score.

Control ID: {{ControlID}}
Current Score: {{MaturityScore}}
Weakest Dimension: {{WeakestDimension}}
Evidence Summary: {{EvidenceSnippet}}
```

Koska kehotte on **parametroitu**, samaa mallia voidaan käyttää tuhansille kontrolleille ilman uudelleenkoulutusta. LLM on hienosäädetty valikoidulle turvallisuusparhaiden käytäntöjen korpukselle (NIST CSF, ISO 27001, jne.) varmistaen toimialakohtaisen terminologian.

### Esimerkkivastaus

> *Control IAM‑01 – Weakest Dimension: Automation*  
> **Suositus:** “Integroi identiteettipalvelusi hankintatyönkulkuihin SCIM‑API:n kautta, jotta käyttäjätilit luodaan ja poistetaan automaattisesti jokaiselle uudelle toimittajarekisterille.”

Nämä suositukset näytetään kartan solmujen työkaluvihjeissä, mahdollistaen **yksi‑klik­kaus** -polun oivalluksesta toimintaan.

---

## 5. Interaktiivinen kokemus tiimeille

### 5.1 Reaaliaikainen yhteistyö

Procurizen käyttöliittymä sallii useiden käyttäjien **samanaikaisen muokkauksen** karttaan. Kun käyttäjä klikkaa solmua, avautuu sivupaneeli, jossa he voivat:

* Hyväksyä AI‑suosituksen tai lisätä omia muistiinpanoja.  
* Määrittää korjaustehtävän vastuuhenkilölle.  
* Liittää tukimateriaaleja (esim. SOP‑dokumentteja, koodinpätkiä).

Kaikki muutokset kirjataan **muuttumattomaan audit‑lokiin**, joka on tallennettu lohkoketju‑pohjaiseen kirjanpitoon noudattamisen varmistamiseksi.

### 5.2 Trendianimaatio

Alusta tallentaa kartan tilannekuvan viikoittain. Käyttäjät voivat vaihtaa **aikapalkin** avulla animoidakseen kartan, nähdäkseen heti tehtävien vaikutuksen. Sisäänrakennettu analytiikkawidget laskee **Kypsyysnopeuden** (keskimääräinen pisteiden parannus per viikko) ja hälyttää mahdollisista pysähdyksistä, jotka vaativat johdon huomiota.

---

## 6. Toteutustarkistuslista

| Vaihe | Kuvaus | Vastuu |
|-------|--------|--------|
| 1 | Ota käyttöön dataliittimet kyselyarkistojen (esim. SharePoint, Confluence) kanssa. | Integraatioinsinööri |
| 2 | Määritä lähdekontrollit Procurizen noudattamisen ontologiaan. | Noudattamisen arkkitehti |
| 3 | Konfiguroi pisteytyspainot sääntelyn prioriteetin mukaisesti. | Turvallisuusjohtaja |
| 4 | Käynnistä RAG + LLM -palvelut (pilvi tai on‑prem). | DevOps |
| 5 | Aktivoi Heatmap‑UI Procurizen portaalissa. | Tuotepäällikkö |
| 6 | Kouluta tiimit tulkitsemaan värejä ja käyttämään suosituspanelia. | Koulutuskoordinaattori |
| 7 | Aseta viikoittainen tilannekuvaus ja hälyyskynnys. | Operatiivinen johtaja |

Tämän tarkistuslistan noudattaminen takaa **saumattoman käyttöönoton** ja välittömän ROI:n – useimmat varhaiset käyttäjät raportoivat 30 %:n lyhennystä kyselyjen läpimenoajassa ensimmäisen kuukauden aikana.

---

## 7. Turvallisuus‑ ja tietosuoja‑huomiot

* **Datan eristäminen** – Kunkin asiakkaan todistepohja pysyy omassa nimissään, suojattuna roolipohjaisilla käyttöoikeuksilla.  
* **Zero‑Knowledge‑todisteet** – Kun ulkopuoliset auditorit pyytävät todisteita noudattamisesta, alusta voi luoda ZKP:n, joka vahvistaa kypsyyspisteen paljastamatta raakatodisteita.  
* **Differentiaalinen yksityisyys** – Yhteenvetokarttojen (cross‑tenant) tilastoihin lisätään kohinaa, jotta yksittäisen organisaation arkaluontoisia tietoja ei vuoda.

---

## 8. Tulevaisuuden tiekartta

Kypsyyskartta toimii perustana kehittyneemmille ominaisuuksille:

1. **Ennakoiva aukko‑ennustus** – Aikasarja‑malleilla ennustetaan, missä pisteet seuraavaksi laskevat, ja käynnistetään ennaltaehkäisevä korjaus.  
2. **Gamifioitu noudattaminen** – “Kypsyys‑merkkejä” jaetaan tiimeille, jotka saavuttavat vakaasti korkeat pisteet.  
3. **Integraatio CI/CD‑putkiin** – Automaattinen käyttöönotto, joka estää julkaisun, jos kriittisen kontrollin kypsyys laskee.

Nämä laajennukset pitävät alustan linjassa jatkuvasti kehittyvän noudattamisen maiseman ja kasvavien **jatkuvan varmistuksen** odotusten kanssa.

---

## 9. Keskeiset opit

* Visuaalinen **kypsyyskartta** muuttaa raakatiedot intuitiiviseksi, toiminnalliseksi noudattamisen terveydentilan kartaksi.  
* **AI‑luodut suositukset** poistavat arvailun korjaustoimenpiteistä, toimittaen konkreettiset askeleet sekunneissa.  
* RAG‑, LLM‑ ja Mermaid‑yhdistelmä luo elävän noudattamisen hallintapaneelin, joka skaalautuu viitekehysten, tiimien ja maantieteellisten alueiden yli.  
* Kun kartta upotetaan päivittäisiin työnkulkuihin, organisaatiot siirtyvät reaktiivisesta vastaamisesta proaktiiviseen parantamiseen, nopeuttaen sopimusten läpimenoaikaa ja vähentäen audit‑riskiä.

---

## Katso myös

- [NIST Cybersecurity Framework Overview (official site)](https://www.nist.gov/cyberframework)  
- [ISO 27001:2022 – Information Security Management Systems (ISO)](https://www.iso.org/standard/80002.html)  
- [Mermaid Live Editor – Create and Share Diagrams Instantly](https://mermaid.live)