
# Tekoälyllä toteutettu jatkuva vaatimustenmukaisuuspistekortti

**Maailmassa, jossa turvallisuuskyselyt ja regulatoriset auditoinnit saapuvat päivittäin, kyky muuttaa staattiset vastaukset toimiviksi, riskitietoisiksi näkemyksiksi, on pelin muuttaja.**  
**Jatkuva Vaatimustenmukaisuuspistekortti** yhdistää Procurizen AI‑parannetun kyselymoottorin reaaliaikaiseen riskianalytiikkakerrokseen, tarjoten yhden näkymän, jossa jokainen vastaus painotetaan, visualisoidaan ja seurataan liiketoimintatasoisia riskimittareita vastaan.

---

## Miksi perinteiset kyselytyönkulut jäävät vajaiksi

| Ongelma                     | Perinteinen lähestymistapa                                 | Piilotettu kustannus                                       |
|-----------------------------|-------------------------------------------------------------|------------------------------------------------------------|
| **Staattiset vastaukset**  | Vastaukset tallennetaan muuttumattomana tekstinä, ja niihin palataan vain säännöllisten tarkastusten aikana. | Vanhentuneet tiedot johtavat vanhentuneisiin riskiarvioihin. |
| **Manuaalinen riskikartoitus** | Turvatiimit käsitelevät manuaalisesti jokaisen vastauksen sisäisten riskikehysten kanssa. | Tunteja triagointiin per audit, korkea inhimillisen virheen riski. |
| **Hajautetut mittaristot** | Erilliset työkalut kyselyn seurantaan, riskipisteytykseen ja johdon raportointiin. | Kontekstinvaihto, epäjohdonmukaiset tietonäkymät, viivästynyt päätöksenteko. |
| **Rajoitettu reaaliaikainen näkyvyys** | Vaatimustenmukaisuuden tila raportoidaan neljännesvuosittain tai tietomurron jälkeen. | Menetettyjä mahdollisuuksia varhaiseen korjaamiseen ja kustannussäästöihin. |

Tuloksena on **reaktiivinen vaatimustenmukaisuuden asenne**, joka kamppailee pysyäkseen mukana nopeasti muuttuvien sääntelyympäristöjen ja modernien SaaS‑tuotteiden julkaisunopeuden kanssa.

---

## Visio: Reaaliaikainen vaatimustenmukaisuuspistekortti

Kuvittele hallintapaneeli, joka:

* **Syöttelee jokaisen kyselyn vastauksen heti, kun se on tallennettu.**
* **Soveltaa tekoälyn tuottamia riskipainoja sääntelyn tarkoituksen, kontrollin merkityksellisyyden ja liiketoiminnan vaikutuksen perusteella.**
* **Päivittää yhteenlasketun vaatimustenmukaisuuspisteen reaaliaikaisesti.**
* **Korostaa suurimpia riskintekijöitä ja ehdottaa todisteita tai politiikan päivityksiä.**
* **Vie käyttövalmiin auditointijalan ulkopuolisille tarkastajille.**

Tätä juuri **Jatkuva Vaatimustenmukaisuuspistekortti** tarjoaa.

---

## Core Architecture Overview

```mermaid
flowchart LR
    subgraph A[Procurize Core]
        Q[“Questionnaire Service”]
        E[“AI Evidence Orchestrator”]
        T[“Task & Collaboration Engine”]
    end
    subgraph B[Risk Analytics Layer]
        R[“Risk Intent Extractor”]
        W[“Weighting Engine”]
        S[“Score Aggregator”]
    end
    subgraph C[Presentation]
        D[“Live Scorecard UI”]
        A[“Alerting & Notification Service”]
    end
    Q --> E --> R --> W --> S --> D
    T --> D
    S --> A
```

*All node labels are wrapped in double quotes as required.*

### Komponenttien erittely

| Komponentti               | Rooli                                                                 | AI‑tekniikka                                            |
|---------------------------|----------------------------------------------------------------------|----------------------------------------------------------|
| **Kyselypalvelu**        | Säilyttää raakat vastaukset, versioi jokaisen kentän.                | LLM‑pohjainen validointi täydellisyyden varmistamiseksi. |
| **AI‑todisteiden orkestroija** | Hakee, kartoittaa ja ehdottaa tukidokumentteja.                     | Retrieval‑Augmented Generation (RAG).                   |
| **Riskin tarkoituksen erottaja** | Jäsentää jokaisen vastauksen päätelläkseen sääntelyn tarkoituksen (esim. "datan salaus lepotilassa"). | Tarkoituksen luokittelu hienosäädettyjen BERT‑mallien avulla. |
| **Painotusmoottori**      | Soveltaa dynaamisia riskipainoja, jotka mukautuvat liiketoimintakontekstiin (liikevaihdon altistus, tietoturvallisuus). | Gradienttivahvistettuja päätöspuita, koulutettu historiallisten tapaustietojen perusteella. |
| **Pisteiden aggregaattori** | Laskee normalisoidun vaatimustenmukaisuuspisteen (0‑100) ja alipisteet jokaiselle kehykselle ([SOC‑2], [ISO‑27001], [GDPR]). | Sääntöperusteisten ja tilastollisten mallien yhdistelmä. |
| **Reaaliaikainen pistekortin käyttöliittymä** | Reaaliaikainen visuaalinen hallintapaneeli lämpökartoilla, trendiviivoilla ja tarkennusmahdollisuuksilla. | React + D3.js with WebSocket streams. |
| **Hälytyspalvelu**       | Lähettää kynnysperusteisia hälytyksiä Slackiin, Teamsiin tai sähköpostiin. | Sääntökone, jossa kynnysarvot on säädetty vahvistusoppimisen avulla. |

---

## Kuinka pistekortti toimii – Vaihe vaiheelta

1. **Vastauksen tallennus** – Turva‑analyytikko täyttää toimittajakyselyn Procurizessa. Vastaus tallennetaan välittömästi.  
2. **Tarkoituksen erottaminen** – Riskin tarkoituksen erottaja suorittaa kevyen LLM‑päätelmän merkittäen vastauksen sääntelyn tarkoituksen.  
3. **Todisteiden täsmäytys** – AI‑todisteiden orkestroija hakee kaikkein relevantimmat politiikan otteet, auditointilokit tai kolmannen osapuolen todistukset.  
4. **Dynaaminen painotus** – Painotusmoottori hakee liiketoiminnan vaikutusmatriisin (esim. “asiakastietotyyppi = PII → korkea painotus”) ja tekee vastausriskiarvion.  
5. **Pisteiden aggregointi** – Pisteiden aggregaattori päivittää globaalin vaatimustenmukaisuuspisteen ja laskee uudelleen kehyksikohtaiset alipisteet.  
6. **Hallintapaneelin päivitys** – Reaaliaikainen pistekortin käyttöliittymä vastaanottaa WebSocket‑paketin ja animoi uudet arvot.  
7. **Hälytyksen käynnistys** – Jos jokin alipiste putoaa asetetun kynnyksen alapuolelle, hälytyspalvelu ilmoittaa asiaankuuluville omistajille.  

**Kaikki vaiheet tapahtuvat alle 2 sekunnissa** per vastaus, mahdollistaen todellisen reaaliaikaisen vaatimustenmukaisuustietoisuuden.

---

## Liiketoimintatason riskimallin rakentaminen

```mermaid
classDiagram
    class Answer {
        +string id
        +string questionId
        +string text
        +datetime submittedAt
    }
    class Intent {
        +string code
        +string description
        +float baseWeight
    }
    class BusinessImpact {
        +string dimension   "esim. liikevaihto, brändi, oikeudelliset"
        +float multiplier
    }
    class WeightedScore {
        +float score
    }
    Answer --> Intent : "maps to"
    Intent --> BusinessImpact : "adjusted by"
    Intent --> WeightedScore : "produces"
```

* **BaseWeight** kuvaa regulaattorin määrittelemää vakavuutta (esim. salauskontrollit saavat korkeamman baseWeight‑arvon kuin salasanapolitiikat).  
* **Multiplier** heijastelee sisäisiä tekijöitä, kuten tietoluokitus, markkinasektorin altistus tai viimeaikaiset tapaturmat.  
* **WeightedScore** on näiden kahden tulo, normalisoitu 0‑100‑asteikolle.

Syöttämällä jatkuvasti tapaturmadataa (esim. tietomurtoilmoituksia, tikettien vakavuus) multiplier‑laskentaan, malli **oppii ja kehittyy** ilman manuaalista uudelleenasetusta.

---

## Todelliset hyödyt

| Hyöty                         | Määrällinen vaikutus                                                                  |
|-------------------------------|---------------------------------------------------------------------------------------|
| Lyhennetty auditointisyklin aika | Kyselykierroksen keskivertoaika laskenut 10 päivästä alle 2 tuntiin (≈ 80 % ajansäästö). |
| Korkeampi riskinäkyvyys       | 30 % nousu varhaisen korkean vaikutuksen aukkojen havaitsemisessa ennen kuin ne muuttuvat tapahtuiksi. |
| Parantunut sidosryhmien luottamus | Johtotasoinen riskipiste esitetty hallituksen kokouksissa, lisäten sijoittajien luottamusta. |
| Auditointijalan automaatio    | Muuttumaton todiste-pisteen linkki tallennettu manipulointia kestäväksi kirjanpitoon, poistaen manuaalisen auditointilokin koostamisen. |

---

## Toteutusopas hankintatiimeille

1. **Valmistele data‑perusta**  
   - Konsolidoi kaikki olemassa olevat politiikat, sertifikaatit ja auditointiraportit Procurizen dokumenttivarastoon.  
   - Merkitse jokainen artefakti kehyksen tunnisteilla ([SOC‑2], [ISO‑27001], [GDPR] jne.).

2. **Määritä liiketoiminnan vaikutusmatriisi**  
   - Määrittele ulottuvuudet (Liikevaihto, Maine, Oikeudelliset) ja anna kertoimet tietoluokituksen mukaan.  
   - Käytä taulukkolaskentaohjelmaa tai JSON‑tiedostoa syöttämään painotusmoottorille.

3. **Kouluta tarkoituksen luokittelija**  
   - Vie näyte menneistä kyselyvastauksista.  
   - Merkitse sääntelyn tarkoitus manuaalisesti (tai käytä Procurizen valmiita tarkoitus‑taksonomiaa).  
   - Hienosäädä BERT‑malli Procurizen AI‑konsolin kautta.

4. **Ota pistekorttipalvelu käyttöön**  
   - Käynnistä Riskianalytiikan mikropalveluklusteri (Docker‑Compose tai Kubernetes).  
   - Yhdistä se olemassa oleviin Procurize API‑päätepisteisiin.

5. **Integroi hallintapaneeli**  
   - Upota Reaaliaikainen pistekortin käyttöliittymä sisäiseen portaaliin iframe‑elementin tai natiivin React‑komponentin kautta.  
   - Määritä WebSocket‑autentikointi käyttämällä SSO‑tokeneita.

6. **Aseta hälytyskynnykset**  
   - Aloita konservatiivisilla kynnyksillä (esim. alipiste < 70).  
   - Anna vahvistusoppimismodulin säätää kynnykset korjausnopeuden perusteella.

7. **Vahvista pilotilla**  
   - Suorita pilotti yhdellä toimittajakyselyllä.  
   - Vertaa pistekortin riskijärjestystä aiempaan manuaaliseen arvioon.  
   - Iteroi tarkoitus‑tunnisteita ja kertoimia.

8. **Käytä koko organisaatiossa**  
   - Kouluta kaikki turvallisuus-, oikeus- ja tuote‑tiimit.  
   - Tarjoa koulutuksia, jotka keskittyvät pistekorttien visualisointien tulkitsemiseen.

---

## Tulevaisuuden kehitykset

| Tiekarttakohta                     | Kuvaus                                                                                                     |
|------------------------------------|------------------------------------------------------------------------------------------------------------|
| Ennustava vaatimustenmukaisuuden ennustaminen | Käytä aikasarjamalleja ennustamaan tulevaa pisteiden muutosta tulevien tuotejulkaisujen perusteella. |
| Ristikehys‑linjausmoottori         | Automaattinen kontrollien kartoitus SOC‑2:n, ISO‑27001:n ja GDPR:n välillä, vähentäen todisteiden päällekkäisyyttä. |
| Nollatiedon todisteiden validointi | Tarjoa kryptografinen todiste todisteen olemassaolosta ilman sisällön paljastamista, lisääen toimittajan yksityisyyttä. |
| Federatiivinen oppiminen monivuokraajaympäristöissä | Jaa anonyymit tarkoitus‑painosmallit organisaatioiden välillä parantaakseen mallin tarkkuutta säilyttäen datan suvereniteetin. |

---

## Yhteenveto

**Tekoälyllä toteutettu Jatkuva Vaatimustenmukaisuuspistekortti** muuttaa hankinta‑ ja turvallisuustiimit **reaktiivisista vastaajista** **proaktiivisiksi riskivastuullisista**. Yhdistämällä reaaliaikainen kyselyyn vastausten keräys dynaamiseen, liiketoimintalähtöiseen riskimalliin organisaatiot voivat:

* **Nopeuttaa toimittajan käyttöönottoa**,  
* **Vähentää auditointiin valmistautumisen hallinnollista kuormitusta**, ja  
* **Osoittaa läpinäkyvää, data‑pohjaista vaatimustenmukaisuuskypsyyttä** asiakkaille, sijoittajille ja sääntelijöille.

Aikakaudella, jolloin jokainen viivästyminen voi merkitä menetettyä kauppaa tai kasvavaa altistumista, **reaaliaikainen vaatimustenmukaisuuspistekortti ei ole pelkkä lisäominaisuus – se on kilpailukelpoinen pakollisuus**.