
# AI-om potpomognuto otkrivanje promjena za automatsko ažuriranje odgovora na sigurnosna pitanja

> *„Ako odgovor koji ste dali prošli tjedan više nije točan, ne biste ga smjeli ručno tražiti.“*  

Sigurnosni upitnici, procjene rizika dobavljača i revizije usklađenosti temelj su povjerenja između SaaS pružatelja usluga i poduzeća‑kupaca. Međutim, proces i dalje patrija od jednostavne stvarnosti: **politike se mijenjaju brže nego što papirnata dokumentacija može pratiti**. Novi standard šifriranja, svjeća interpretacija [GDPR‑a](https://gdpr.eu/), ili revidirani plan reagiranja na incidente mogu u minuti učiniti prethodno točan odgovor zastarjelim.  

Uđite u **AI‑potpomognuto otkrivanje promjena** – podsustav koji kontinuirano prati vaše artefakte usklađenosti, identificira svaku odstupanja i automatski ažurira odgovarajuća polja upitnika u cijelom vašem portfelju. U ovom vodiču ćemo:

1. Objasniti zašto je otkrivanje promjena važnije nego ikad.  
2. Razložiti tehničku arhitekturu koja to omogućuje.  
3. Proći korak‑po‑korak implementaciju koristeći Procurize kao sloj orkestracije.  
4. Istaknuti kontrolne mehanizme upravljanja kako bi automatizacija ostala pouzdana.  
5. Kvantificirati poslovni učinak stvarnim metrikama.  

---

## 1. Zašto je ručno ažuriranje skriveni trošak

| Bolna točka ručnog procesa | Kvantificirani utjecaj |
|-----------------------------|------------------------|
| **Vrijeme provedeno u pretraživanju** najnovije verzije politike | 4‑6 sati po upitniku |
| **Zastarjeli odgovori** koji uzrokuju rupe u usklađenosti | 12‑18 % neuspjeha revizija |
| **Nedosljedan jezik** kroz dokumente | 22 % povećanje ciklusa pregleda |
| **Rizik od kazni** zbog zastarjelih otkrivenja | Do 250 k $ po incidentu |

Kada se sigurnosna politika izmijeni, svaki upitnik koji je referencirao tu politiku trebao bi odmah odraziti ažuriranje. U tipičnoj srednje velikoj SaaS tvrtki, jedna revizija politike može zahvatiti **30‑50** odgovora na upitnike raspoređenih kroz **10‑15** različitih procjena dobavljača. Ukupni ručni napor brzo premašuje izravan trošak same promjene politike.

### Skriveni „drift usklađenosti“

Drift usklađenosti nastaje kada se internu kontrole razvijaju, ali vanjske prezentacije (odgovori na upitnike, stranice trust‑centra, javne politike) zaostaju. AI otkrivanje promjena eliminira drift **zatvaranjem povratne petlje** između alata za izradu politika (Confluence, SharePoint, Git) i repozitorija upitnika.

---

## 2. Tehnički plan: Kako AI otkriva i propagira promjene

Ispod je pregled komponenti na visokoj razini. Dijagram je prikazan u **Mermaid‑u** kako bi članak ostao prenosiv.

```mermaid
flowchart TD
    A["Sustav za izradu politika"] -->|Push događaj| B["Usluga za slušanje promjena"]
    B -->|Ekstrahiraj diff| C["Obrada prirodnog jezika"]
    C -->|Identificiraj pogođene klauzule| D["Matrica utjecaja"]
    D -->|Mapiraj na ID‑ove pitanja| E["Mehanizam sinkronizacije upitnika"]
    E -->|Ažuriraj odgovore| F["Procurize znana baza"]
    F -->|Obavijesti dionike| G["Slack / Teams bot"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style F fill:#bbf,stroke:#333,stroke-width:2px
```

### Detalji komponenti

1. **Sustav za izradu politika** – Bilo koji izvor u kojem žive usklađenost‑politike (npr. Git repozitorij, Docs, ServiceNow). Kada se datoteka spremi, webhook pokreće cjevovod.  
2. **Usluga za slušanje promjena** – Lagana serverless funkcija (AWS Lambda, Azure Functions) koja hvata događaj commit‑a/izmjene i prosljeđuje sirovi diff.  
3. **Obrada prirodnog jezika (NLP)** – Korištenje fino podešenog LLM‑a (npr. OpenAI‑ov gpt‑4o) za parsiranje diffa, ekstrakciju semantičkih promjena i klasifikaciju (dodavanje, uklanjanje, izmjena).  
4. **Matrica utjecaja** – Pre‑popunjena mapa klauzula politika na identifikatore upitnika. Matrica se periodično trenira nad nadziranih podacima radi poboljšanja preciznosti.  
5. **Mehanizam sinkronizacije upitnika** – Poziva Procurize GraphQL API za zakrpavanje polja odgovora, čuvajući povijest verzija i audit‑trake.  
6. **Procurize znana baza** – Centralni repozitorij u kojem je svaki odgovor pohranjen uz prateći dokaz.  
7. **Sloj obavijesti** – Šalje kratki sažetak na Slack/Teams, istaknuvši koje su odgovori automatski ažurirani, tko je odobrio promjenu i link za pregled.

---

## 3. Roadmap implementacije uz Procurize

### Korak 1: Postavite zrcalo repozitorija politika

- Klonirajte postojeću mapu politika u **GitHub** ili **GitLab** repozitorij ako već nije pod kontrolom verzija.  
- Aktivirajte **branch protection** na `main` kako biste prisilili PR recenzije.

### Korak 2: Implementirajte uslugu slušanja promjena

```yaml
# serverless.yml (primjer za AWS)
service: policy-change-listener
provider:
  name: aws
  runtime: python3.11
functions:
  webhook:
    handler: handler.process_event
    events:
      - http:
          path: /webhook
          method: post
          integration: lambda-proxy
```

- Lambda parsira `X-GitHub-Event` payload, izvlači polje `files` i prosljeđuje diff NLP servisu.

### Korak 3: Fino podignite NLP model

- Stvorite označeni skup podataka **policy diff → pogođeni ID‑ovi upitnika**.  
- Koristite OpenAI‑jev API za fino podizanje:

```bash
openai api fine_tunes.create -t training_data.jsonl -m gpt-4o-mini
```

- Redovito evaluirajte; ciljajte **preciznost ≥ 0.92** i **recall ≥ 0.88**.

### Korak 4: Napunite matricu utjecaja

| ID klauzule politike | ID upitnika | Referenca dokaza |
|----------------------|-------------|------------------|
| ENC‑001              | Q‑12‑ENCRYPTION | ENC‑DOC‑V2 |
| INCIDENT‑005         | Q‑07‑RESPONSETIME | IR‑PLAY‑2025 |

- Pohranite tablicu u **PostgreSQL** bazu (ili u ugrađeni metadata store Procuriza) radi brzog lookup‑a.

### Korak 5: Povežite se s Procurize API‑jem

```graphql
mutation UpdateAnswer($id: ID!, $value: String!) {
  updateAnswer(id: $id, input: {value: $value}) {
    answer {
      id
      value
      updatedAt
    }
  }
}
```

- Koristite API klijenta s tokenom servisnog računa koji ima `answer:update` dozvolu.  
- Svaku promjenu zabilježite u **audit log** tablici radi traceabilnosti usklađenosti.

### Korak 6: Obavijesti i čovjek‑u‑petlji

- Sync engine objavljuje poruku u posvećeni Slack kanal:

```
🛠️ Auto‑Update: Pitanje Q‑12‑ENCRYPTION promijenjeno u "AES‑256‑GCM (ažurirano 2025‑09‑30)" na temelju izmjene politike ENC‑001.
Pregled: https://procurize.io/questionnaire/12345
```

- Timovi mogu **odobriti** ili **vratiti** promjenu pomoću jednostavnog gumba koji pokreće drugu Lambda funkciju.

---

## 4. Upravljanje – Održavanje povjerenja u automatizaciju

| Područje upravljanja | Preporučene kontrole |
|----------------------|----------------------|
| **Autorizacija promjena** | Zahtijevajte da barem jedan viši recenzent politike potpiše prije nego diff stigne do NLP servisa. |
| **Traceability** | Pohranite originalni diff, NLP klasifikacijsku pouzdanost i verziju rezultirajućeg odgovora. |
| **Politika povratka** | Omogućite jednim klikom povrat na prethodni odgovor i označite događaj kao „ručna korekcija“. |
| **Periodične revizije** | Kvartalno pregledajte nasumični uzorak od 5 % automatski ažuriranih odgovora radi provjere ispravnosti. |
| **Privatnost podataka** | Osigurajte da NLP servis ne zadržava tekst politike dulje od inference perioda (koristite `/v1/completions` s `max_tokens=0`). |

Ugradnjom ovih kontrola pretvarate „crnu kutiju“ AI‑a u **transparentnog, audit‑pripravnog asistenta**.

---

## 5. Poslovni učinak – Metrike koje importiraju

Studija slučaja iz stvarnog svijeta (SaaS srednje veličine, 12 M ARR) koja je usvojila radni tok otkrivanja promjena izvještava:

| Metrika | Prije automatizacije | Nakon automatizacije |
|---------|----------------------|----------------------|
| Prosječno vrijeme ažuriranja odgovora | 3.2 sata | 4 minute |
| Broj zastarjelih odgovora otkrivenih u revizijama | 27 | 3 |
| Povećanje brzine sklapanja poslova (RFP → zatvaranje) | 45 dana | 33 dana |
| Godišnja ušteda troškova osoblja za usklađenost | 210 k $ | 84 k $ |
| ROI (prvih 6 mjesečna) | – | **317 %** |

ROI proizlazi uglavnom iz **uštede radnih sati** i **bržeg priznavanja prihoda**. Uz to, organizacija je dobila **score povjerenja u usklađenost** koji su vanjski revizori pohvalili kao „dokaz gotovo u stvarnom vremenu“.

---

## 6. Buduća poboljšanja

1. **Prediktivni utjecaj politike** – Koristite transformer model za anticipaciju koje će buduće promjene politike najvjerojatnije utjecati na visokorizična pitanja, potičući proaktivne preglede.  
2. **Sinhronizacija između alata** – Proširite cjevovod kako biste sinkronizirali s **ServiceNow** registrima rizika, **Jira** sigurnosnim ticketima i **Confluence** stranicama politika, stvarajući **holistički graf usklađenosti**.  
3. **UI za Explainable AI** – Pružite vizualni overlay u Procurize‑u koji jasno prikazuje koja klauzula je pokrenula svaku promjenu odgovora, uključujući score pouzdanosti i alternativne prijedloge.

---

## 7. Checklist za brzi start

- [ ] Verzijski kontrolirajte sve politike usklađenosti.  
- [ ] Implementirajte webhook listener (Lambda, Azure Function).  
- [ ] Fino podignite NLP model na vašim podacima o diff‑ovima.  
- [ ] Izgradite i napunite Matricu utjecaja.  
- [ ] Konfigurirajte Procurize API vjerodajnice i napišite skriptu za sinkronizaciju.  
- [ ] Postavite Slack/Teams obavijesti s akcijama odobri/povrat.  
- [ ] Dokumentirajte kontrole upravljanja i zakazite revizije.  

Sada ste spremni **ukloniti drift usklađenosti**, osigurati da su odgovori na upitnike **uvijek ažurirani**, i omogućiti vašem sigurnosnom timu da se usredotoči na strategiju, a ne na ponavljajući unos podataka.