
# AI‑ohjattu juurisyynalyysi turvallisuuskyselyjen pullonkauloihin

Turvallisuuskyselyt ovat jokaisen B2B SaaS -kaupan portinvartijoita. Vaikka esimerkiksi Procurize on jo virtaviivaistanut *mitä*—vastausten keräämisen, tehtävien jakamisen ja tilan seuraamisen—*miksi* viipyvät viiveet usein piiloutuvat taulukoihin, Slack‑keskusteluihin ja sähköpostiketjuihin. Pitkät vasteajat eivät ainoastaan hidasta liikevaihtoa, vaan heikentävät luottamusta ja lisäävät operatiivisia kuluja.

Tässä artikkelissa esitellään **ensimmäinen laatuaan AI‑ohjattu juurisyynalyysi (RCA) -moottori**, joka automaattisesti löytää, luokittelee ja selittää kyselyjen pullonkaulojen taustalla olevat syyt. Yhdistämällä **prosessiminauksen**, **tietämysgraafin päättelyn** ja **generatiivisen Retrieval‑Augmented Generation (RAG) -tekniikan**, moottori muuntaa raakatoimintalokit toimiviksi oivalluksiksi, joihin tiimit voivat ryhtyä minuutteja eikä päiviä.

---  

## Sisällysluettelo
1. [Miksi pullonkaulat ovat tärkeitä](#miksi-pullonkaulat-ovat-tärkeitä)  
2. [AI‑ohjatun RCA:n keskeiset käsitteet](#ai‑ohjatun-rcan-keskeiset-käsitteet)  
3. [Järjestelmäarkkitehtuurin yleiskatsaus](#järjestelmäarkkitehtuurin-yleiskatsaus)  
4. [Datan vastaanotto ja normalisointi](#datan-vastaanotto-ja-normalisointi)  
5. [Prosessiminauksen taso](#prosessiminauksen-taso)  
6. [Tietämysgraafin päättelyn taso](#tietämysgraafin-päättelyn-taso)  
7. [Generatiivinen RAG‑selitysmootori](#generatiivinen-rag‑selitysmootori)  
8. [Integrointi Procurize‑työnkulkuihin](#integrointi-procurize‑työnkulkuihin)  
9. [Keskeiset hyödyt ja ROI](#keskeiset-hyödyt-ja-roi)  
10. [Implementointisuunnitelma](#implementointisuunnitelma)  
11. [Tulevat parannukset](#tulevat-parannukset)  
12. [Yhteenveto](#yhteenveto)  

---  

## Miksi pullonkaulat ovat tärkeitä  

| Oire | Liiketoiminnallinen vaikutus |
|------|------------------------------|
| **Keskimääräinen läpimenoaika > 14 päivää** | Kauppanopeus laskee jopa 30 % |
| **Usein “odottaa todistetta” -tila** | Auditointitiimit käyttävät ylimääräisiä tunteja resurssien löytämiseen |
| **Toistuva uudelleentyö samaan kysymykseen** | Tiedon monistuminen ja epäyhtenäiset vastaukset |
| **Ad‑hoc‑korotukset oikeudellisille tai tietoturvallisuusjohtajille** | Piilotettu riski noudattamatta jättämiseen |

Perinteiset kojelaudat näyttävät *mitä* on viivästynyt (esim. “Kysymys #12 odottaa”). Ne harvoin selittävät *miksi* — oli kyseessä puuttuva politiikkadokumentti, ylikuormittunut tarkastaja tai järjestelmällinen tiedon aukko. Ilman tätä oivallusta prosessin omistajat turvautuvat arvailuun, mikä johtaa loputtomiin ongelmien sammuttamisen sykleihin.

---  

## AI‑ohjatun RCA:n keskeiset käsitteet  

1. **Prosessiminointi** – poimii kausaalisen tapahtumagraafin audit-lokeista (tehtävien allokoinnit, kommenttien aikaleimat, tiedostojen lataukset).  
2. **Tietämysgraafi (KG)** – edustaa entiteettejä (kysymykset, todistetyypit, omistajat, noudattamisviitekehykset) ja niiden suhteita.  
3. **Graafiverkko (GNN)** – oppii upotuksia KG:ssa havaitakseen poikkeavia polkuja (esim. tarkastaja, jonka latenssi on poikkeuksellisen korkea).  
4. **Retrieval‑Augmented Generation (RAG)** – tuottaa luonnollisen kielen selityksiä hakemalla kontekstia KG:stä ja prosessiminauksen tuloksista.  

Yhdistämällä näitä tekniikoita RCA‑moottori pystyy vastaamaan kysymyksiin, kuten:  

*“Miksi [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) ‑ Encryption‑kysymys on edelleen odottamassa kolmen päivän jälkeen?”*  

---  

## Järjestelmäarkkitehtuurin yleiskatsaus  

```mermaid
graph LR
    A[Procurize Event Stream] --> B[Ingestion Layer]
    B --> C[Unified Event Store]
    C --> D[Process Mining Service]
    C --> E[Knowledge Graph Builder]
    D --> F[Anomaly Detector (GNN)]
    E --> G[Entity Embedding Service]
    F --> H[RAG Explanation Engine]
    G --> H
    H --> I[Insights Dashboard]
    H --> J[Automated Remediation Bot]
```

Arkkitehtuuri on tarkoituksellisesti **modulaarinen**, mikä mahdollistaa yksittäisten palveluiden korvaamisen tai päivittämisen ilman koko putken keskeytystä.

---  

## Datan vastaanotto ja normalisointi  

1. **Tapahtumalähteet** – Procurize lähettää webhook‑tapahtumia, kuten *task_created*, *task_assigned*, *comment_added*, *file_uploaded* ja *status_changed*.  
2. **Kaavion kartoitus** – kevyt ETL muuntaa jokaisen tapahtuman kanoniseen JSON‑muotoon:  

```json
{
  "event_id": "string",
  "timestamp": "ISO8601",
  "entity_type": "task|comment|file",
  "entity_id": "string",
  "related_question_id": "string",
  "actor_id": "string",
  "payload": { ... }
}
```

3. **Aikojen normalisointi** – kaikki aikaleimat muunnetaan UTC‑aikaan ja tallennetaan aikasarja‑tietokantaan (esim. TimescaleDB) nopeita liukuvan ikkunan kyselyjä varten.  

---  

## Prosessiminauksen taso  

Kaivinkone rakentaa **Directly‑Follows Graph (DFG)** -graafin, jossa solmut ovat *kysymys‑tehtävä* -parit ja reunat kuvaavat toimintojen järjestystä.  

### Keskeiset metriikat kunkin reunan osalta:  

- **Kestoaika** – kahden tapahtuman välinen keskimääräinen aika.  
- **Vaihteen tiheys** – kuinka usein omistajuus vaihtuu.  
- **Uudelleentyön suhde** – tilan vaihtumisten lukumäärä (esim. *draft → review → draft*).  

**Yksinkertainen esimerkki löydetystä pullonkaulapyörästä:**  

```
Q12 (Pending) → Assign to Reviewer A (5d) → Reviewer A adds comment (2h) → No further action (3d)
```

Pitkä *Assign to Reviewer A* -vaihe laukaisee poikkeama‑lipun.  

---  

## Tietämysgraafin päättelyn taso  

KG mallintaa toimialaa seuraavilla keskeisillä solmutyypeillä:  

* **Kysymys** – linkitetty noudattamisviitekehykseen (esim. [ISO 27001](https://www.iso.org/standard/27001)) ja todistetyyppiin (politiikka, raportti).  
* **Omistaja** – käyttäjä tai ryhmä, joka vastaa vastaamisesta.  
* **Todiste‑varanto** – tallennettu pilvitahoihin, versioitu.  
* **Työkalun integraatio** – esim. GitHub, Confluence, ServiceNow.  

Suhteet sisältävät *“owned_by”*, *“requires_evidence”*, *“integrates_with”*.  

### GNN‑pohjainen poikkeama‑pisteytys  

GraphSAGE‑malli levittää solmuominaisuuksia (esim. historiallinen latenssi, työkuorma) KG:n läpi ja tuottaa **Riskipisteen** kullekin odottavalle kysymykselle. Korkean pisteytyksen solmut korostetaan automaattisesti tutkimusta varten.  

---  

## Generatiivinen RAG‑selitysmootori  

1. **Haku** – Kun annetaan korkean riskin kysymys‑tunnus, moottori hakee:  
   - viimeaikaiset prosessiminoinnin tapahtumat,  
   - KG‑alikuvan (kysymys + omistajat + todisteet),  
   - kaikki liitetyt kommentit.  

2. **Kehote‑rakennus** – mallipohja tarjoaa kontekstin suurelle kielimallille (LLM), kuten Claude‑3 tai GPT‑4o:  

```
You are an expert compliance analyst. Based on the following data, explain WHY the security questionnaire item is delayed, and suggest the SINGLE most effective next action.
[Insert retrieved JSON]
```

3. **Generointi** – LLM palauttaa tiiviin, ihmisluettavan kappaleen, esim.:  

> *“Kysymys 12 odottaa, koska tarkastaja A:lla on kolme samanaikaista SOC 2 -todisteiden keräystehtävää, joista jokainen ylittää 2 päivän SLA‑rajan. Viimeisin ladattu politiikkatiedosto ei kata vaadittua salausalgoritmia, mikä aiheuttaa manuaalisen tarkennus‑silmukan, joka pysähtyi 3 päiväksi. Siirrä tehtävä tarkastajalle B, jolla ei ole parhaillaan avoimia SOC 2 -tikettejä, ja pyydä insinööritiimiltä päivitettyä salauspolitiikkaa.”  

Tulos tallennetaan takaisin Procurizeen **Insight Note** -muotoon, linkitettynä alkuperäiseen tehtävään.  

---  

## Integrointi Procurize‑työnkulkuihin  

| Integraatiopiste | Toimenpide | Tuloks |
|-------------------|------------|--------|
| **Tehtävälista UI** | Näyttää punaisen “Insight” -tunnisteen korkean riskin kohteiden vieressä. | Välitön näkyvyys omistajille. |
| **Automaattinen korjausbotti** | Kun korkean riskin havaitaan, automaattisesti osoittaa vähiten kuormitetulle pätevälle omistajalle ja lisää kommentin RAG‑selityksellä. | Vähentää manuaalisten uudelleenasetusten syklejä noin 40 %. |
| **Koontinäyttö‑widget** | KPI: *Keskimääräinen pullonkaulan havaitsemisaika* ja *Keskimääräinen ratkaisuun kuluva aika (MTTR)* RCA‑aktivoinnin jälkeen. | Tarjoaa johdolle mitattavan ROI:n. |
| **Audit‑vienti** | Sisällytä RCA‑löydökset noudattamis‑audit‑paketteihin läpinäkyvää juurisyyn‑dokumentaatiota varten. | Parantaa auditoinnin valmiutta. |

---  

## Keskeiset hyödyt ja ROI  

| Mittari | Perustaso (ei RCA) | RCA:n kanssa | Parannus |
|---------|--------------------|--------------|----------|
| **Keskimääräinen kyselyn läpimenoaika** | 14 päivää | 9 päivää | –36 % |
| **Manuaalinen triagointityö per kysely** | 3,2 tuntia | 1,1 tuntia | –65 % |
| **Kauppanopeuden menetys** (keskimäärin $30 k/vuorokaudessa) | $90 k | $57 k | –$33 k |
| **Noudattamis‑auditin uudelleentyö** | 12 % todistuksista | 5 % todistuksista | –7 %pp |

Keskikokoinen SaaS‑organisaatio (≈ 150 kyselyä per neljännes) voi siis saavuttaa **$120 k+ vuotuiset säästöt** sekä aineettomia etuja kumppanuusluottamuksessa.  

---  

## Implementointisuunnitelma  

1. **Vaihe 0 – Konseptitodistus (4 viikkoa)** – Yhdistä Procurize‑webhookiin. – Rakenna minimaalinen tapahtumavarasto + yksinkertainen DFG‑visualisoija.  
2. **Vaihe 1 – Tietämysgraafin käynnistys (6 viikkoa)** – Syötä olemassa oleva politiikkavaraston metadata. – Mallinna keskeiset entiteetit ja suhteet.  
3. **Vaihe 2 – GNN‑koulutus ja poikkeama‑pisteytys (8 viikkoa)** – Merkitse historialliset pullonkaulat (valvottu) ja kouluta GraphSAGE. – Ota käyttöön pisteytysmikropalvelu API‑portin takana.  
4. **Vaihe 3 – RAG‑moottorin integraatio (6 viikkoa)** – Hienosäädä LLM‑kehotteet sisäisen noudattamiskielen perusteella. – Yhdistä haku‑kerros KG:hen + prosessiminauksen tuloksiin.  
5. **Vaihe 4 – Tuotantokäyttöönotto ja seuranta (4 viikkoa)** – Ota käyttöön automatisoidut Insight‑muistiinpanot Procurize‑käyttöliittymässä. – Perusta havainnollisutulostaulukot (Prometheus + Grafana).  
6. **Vaihe 5 – Jatkuva oppimispiiri (käynnissä)** – Kerää käyttäjäpalautetta selityksistä → kouluta uudelleen GNN + kehotteiden tarkennukset. – Laajenna KG kattamaan uudet viitekehykset ([PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), [NIST CSF](https://www.nist.gov/cyberframework)).  

---  

## Tulevat parannukset  

* **Monivuokralainen federatiivinen oppiminen** – jaa anonyymisoidut pullonkaulamallit kumppaniyritysten kesken säilyttäen datan yksityisyys.  
* **Ennakoiva ajoitus** – yhdistä RCA‑moottori vahvistusoppimiseen perustuvaan aikatauluttajaan, joka varaa tarkastajien kapasiteetin ennakoivasti ennen pullonkaulojen syntymistä.  
* **Selitettävissä oleva AI‑käyttöliittymä** – visualisoi GNN‑huomiokartat suoraan KG:ssä, mikä antaa noudattamisviranomaisille mahdollisuuden tarkastaa, miksi solmu sai korkean riskipisteen.  

---  

## Yhteenveto  

Turvallisuuskyselyt eivät ole enää pelkkä tarkistuslista; ne ovat strateginen kosketuspiste, joka vaikuttaa liikevaihtoon, riskiasemaan ja brändin maineeseen. Sisällyttämällä **AI‑ohjattu juurisyynalyysi** kyselyiden elinkaareen organisaatiot voivat siirtyä reaktiivisesta ongelmien sammuttamisesta proaktiiviseen, data‑pohjaiseen päätöksentekoon.  

Yhdistämällä **prosessiminauksen**, **tietämysgraafin päättelyn**, **graafiverkot** ja **generatiivisen RAG**‑tekniikan raakatoimintalokit muutetaan selkeiksi, toiminnallisiksi oivalluksiksi — lyhentäen läpimenoaikoja, vähentäen manuaalista työtä ja tuottaen mitattavan ROI:n.  

Jos tiimisi käyttää jo Procurizea kyselyjen orkestrointiin, seuraava looginen askel on varustaa se RCA‑moottorilla, joka **selittää miksi**, ei pelkästään mitä. Tuloksena on nopeampi, luotettavampi noudattamisputki, joka kasvaa mukana yrityksesi kasvun kanssa.