
# AI‑potaknuta mapa zrelosti usklađenosti i motor preporuka

U svijetu u kojem se sigurnosni upitnici i regulatorni auditi pojavljuju svakodnevno, timovi za usklađenost stalno balansiraju tri suprotna prioriteta:

1. **Brzina** – odgovaranje na pitanja prije nego što ponuda zastane.  
2. **Točnost** – osiguravanje da je svaki iskaz faktualan i ažuran.  
3. **Strateški uvid** – razumijevanje *zašto* je određeni odgovor slab i kako ga poboljšati.

Najnovija mogućnost Procurize‑a rješava sva tri izazova pretvaranjem sirovih podataka iz upitnika u **mapu zrelosti usklađenosti** koja ne samo da vizualizira praznine, već i pokreće **AI‑generirani motor preporuka**. Rezultat je živi nadzor usklađenosti koji timove premješta s „reaktivnog gašenja požara“ na „proaktivno unapređivanje“.

U nastavku prolazimo kroz cjelokupni radni tok, temeljnu AI arhitekturu, vizualni jezik izgrađen u Mermaidu i praktične korake za ubacivanje mape u vaše svakodnevne procese usklađenosti.

---

## 1. Zašto je mapa zrelosti važna

Tradicionalni nadzor usklađenosti prikazuje **binarni** status – *usklađen* ili *neusklađen* – za svaku kontrolu. Iako je koristan, ovaj pristup skriva **dubinu zrelosti** kroz organizacijski pejzaž:

| Dimenzija                | Binarni pogled | Pogled zrelosti |
|--------------------------|----------------|-----------------|
| Pokriće kontrola         | ✔/✘            | 0‑5 skala (0=ništa, 5=potpuno integrirano) |
| Kvaliteta dokaza        | ✔/✘            | 1‑10 ocjena (na temelju ažurnosti, podrijetla, cjelovitosti) |
| Automatizacija procesa      | ✔/✘            | 0‑100 % automatiziranih koraka |
| Utjecaj rizika (dobavljač)    | Nisko/Visoko   | Kvantificirani rizik (0‑100) |

Mapa topline agregira ove nijansirane ocjene, omogućujući vodstvu da:

* **Uočite koncentrirane slabosti** – klasteri kontrola s niskim ocjenama postaju vizualno očiti.  
* **Prioritizirajte otklanjanje** – kombiniranjem intenziteta topline (niska zrelost) i rizika dobiva se poredani popis zadataka.  
* **Praćenje napretka kroz vrijeme** – ista mapa može se animirati mjesec po mjesec, pretvarajući usklađenost u mjerljivo putovanje poboljšanja.

---

## 2. Visokorazinska arhitektura

Mapa topline pokreće tri usko povezana sloja:

1. **Uzimanje i normalizacija podataka** – sirove odgovore na upitnike, politike i dokaze trećih strana dovlače se u Procurize putem konektora (Jira, ServiceNow, SharePoint, itd.). Semantički middleware izdvaja identifikatore kontrola i mapira ih na jedinstvenu **ontologiju usklađenosti**.

2. **AI motor (RAG + LLM)** – Retrieval‑augmented generation (RAG) pretražuje bazu znanja za svaku kontrolu, procjenjuje dokaze i isporučuje dva ishoda:
   * **Ocjena zrelosti** – ponderirani kompozit pokrića, automatizacije i kvalitete dokaza.  
   * **Tekst preporuke** – sažet, akcijski korak generiran finu‑podešenim LLM‑om.

3. **Vizualizacijski sloj** – Mermaid‑temeljeni dijagram renderira mapu topline u stvarnom vremenu. Svaki čvor predstavlja grupu kontrola (npr. „Upravljanje pristupom“, „Šifriranje podataka“) i obojan je na spektru od crvene (niska zrelost) do zelene (visoka zrelost). Pomicanjem miša preko čvora otkriva se AI‑generirana preporuka.

Slijedi Mermaid dijagram koji prikazuje protok podataka:

```mermaid
graph TD
    A["Poveznici podataka"] --> B["Usluga normalizacije"]
    B --> C["Ontologija usklađenosti"]
    C --> D["RAG sloj dohvaćanja"]
    D --> E["Usluga ocjenjivanja zrelosti"]
    D --> F["LLM motor preporuka"]
    E --> G["Graditelj mape topline"]
    F --> G
    G --> H["Mermaid UI mape topline"]
    H --> I["Interakcija korisnika"]
    I --> J["Petlja povratne informacije"]
    J --> B
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#bbf,stroke:#333,stroke-width:2px
```

*Svaki naziv čvora je stavljen u dvostruke navodnike, kako je potrebno.*

---

## 3. Ocjenjivanje dimenzije zrelosti

**Ocjena zrelosti** nije proizvoljan broj; rezultat je reproducibilna formula:

```
Zrelost = w1 * Pokriće + w2 * Automatizacija + w3 * KvalitetaDokaza + w4 * Ažurnost
```

* **Pokriće** – 0 do 1, temeljeno na postotku zadovoljenih podkontrola.  
* **Automatizacija** – 0 do 1, mjerena udjelom koraka izvršenih putem API‑ja ili botova.  
* **KvalitetaDokaza** – 0 do 1, procjenjena prema tipu dokumenta (npr. potpisani revizorski izvještaj vs. e‑mail) i provjeri integriteta (hash).  
* **Ažurnost** – 0 do 1, pri čemu stariji dokazi gube težinu kako bi se potaknula kontinuirana ažuriranja.

Težine (`w1‑w4`) su konfigurabilne po organizaciji, omogućujući sigurnosnim voditeljima da naglase ono što im je najbitnije (npr. visoko regulirana industrija može postaviti veći `w3`).

### Primjer izračuna

| Kontrola | Pokriće | Automatizacija | KvalitetaDokaza | Ažurnost | Težine (0.4,0.2,0.3,0.1) | Zrelost |
|----------|---------|----------------|-----------------|----------|--------------------------|---------|
| IAM‑01   | 0.9     | 0.7            | 0.8             | 0.6      | 0.4·0.9 + 0.2·0.7 + 0.3·0.8 + 0.1·0.6 = **0.79** | 0.79 |

Mapa topline pretvara ocjene 0‑1 u boju: 0‑0.4 = crvena, 0.4‑0.7 = narančasta, 0.7‑0.9 = žuta, >0.9 = zelena.

---

## 4. AI‑generirane preporuke

Nakon izračuna ocjene zrelosti, **LLM motor preporuka** sastavlja kratki plan otklanjanja. Predložak upita, pohranjen kao ponovljivo sredstvo u Prompt Marketplaceu Procurize‑a, izgleda ovako (pojednostavljeno radi ilustracije):

```
Vi ste savjetnik za usklađenost. Na temelju sljedećih podataka o kontroli, navedite jednu akcijsku preporuku (maksimalno 50 riječi) koja će najviše poboljšati ocjenu zrelosti.

Control ID: {{ControlID}}
Current Score: {{MaturityScore}}
Weakest Dimension: {{WeakestDimension}}
Evidence Summary: {{EvidenceSnippet}}
```

Zahvaljujući parametarskom pristupu, isti predložak može poslužiti tisućama kontrola bez dodatnog treniranja. LLM je fino podešen na kurirani korpus sigurnosnih smjernica ([NIST CSF](https://www.nist.gov/cyberframework), [ISO 27001](https://www.iso.org/standard/27001) i dr.) kako bi osigurao specijalizirani jezik.

### Primjer izlaza

> *Kontrola IAM‑01 – Najslabija dimenzija: Automatizacija*  
> **Preporuka:** “Integrirajte svoj pružatelj identiteta s tijekom nabave putem SCIM API‑ja kako biste automatski dodjeljivali i opozivali korisničke račune za svaki novi zapis dobavljača.”

Ove preporuke pojavljuju se kao tooltipovi na čvorovima mape, omogućujući **jedan‑klikni** put od uvida do akcije.

---

## 5. Interaktivno iskustvo za timove

### 5.1 Suradnja u stvarnom vremenu

UI Procurize‑a omogućuje višekorisničku **ko‑uredničku** obradu mape topline. Kada korisnik klikne na čvor, otvara se bočni panel u kojem mogu:

* Prihvatiti AI‑preporuku ili dodati vlastite bilješke.  
* Dodijeliti zadatak za otklanjanje odgovornoj osobi.  
* Priložiti potporne artefakte (npr. SOP dokumente, isječke kôda).

Sve promjene bilježe se u **nepromjenjivom audit trailu**, pohranjenom na blockchain‑osiguranoj knjizi za verifikaciju usklađenosti.

### 5.2 Animacija trendova

Platforma snima trenutni prikaz mape svake sedmice. Korisnici mogu pomaknuti **klizač vremenske linije** za animaciju mape i odmah vidjeti učinak izvršenih zadataka. Ugrađeni analitički widget izračunava **brzinu zrelosti** (prosječno poboljšanje po tjednu) i označava zastoj koji zahtijeva pažnju vodstva.

---

## 6. Kontrolna lista za implementaciju

| Korak | Opis | Odgovorni |
|-------|------|-----------|
| 1 | Omogućite konektore podataka za repozitorije upitnika (npr. SharePoint, Confluence). | Inženjer integracije |
| 2 | Mapirajte izvorišne kontrole na Procurize‑ovu ontologiju usklađenosti. | Arhitekt usklađenosti |
| 3 | Konfigurirajte težine ocjenjivanja prema regulatornom prioritetu. | Voditelj sigurnosti |
| 4 | Postavite RAG + LLM servise (cloud ili on‑prem). | DevOps |
| 5 | Aktivirajte UI mape topline u Procurize portalu. | Menadžer proizvoda |
| 6 | Održite edukacije timova o interpretaciji boja i korištenju panela preporuka. | Koordinator obuke |
| 7 | Postavite tjedni raspored snimanja i pragove upozorenja. | Operacije |

Poštivanje ove kontrolne liste jamči **glatko puštanje u rad** i trenutni povrat ulaganja – većina ranih korisnika izvještava o 30 % smanjenju vremena za odgovaranje na upitnike u prvom mjesecu.

---

## 7. Sigurnosni i privatnosni aspekti

* **Izolacija podataka** – korpus dokaza svakog najemnika ostaje u zasebnom prostoru, zaštićenom kontrolama pristupa temeljenim na ulogama.  
* **Zero‑Knowledge dokazi** – kada vanjski revizori zahtijevaju dokaz usklađenosti, platforma može generirati ZKP koji potvrđuje ocjenu zrelosti bez otkrivanja sirovih dokaza.  
* **Diferencijalna privatnost** – agregirane statistike mape za cross‑najamničko benchmarkiranje obogaćene su šumom kako bi se spriječilo curenje podataka pojedine organizacije.

---

## 8. Budući razvoj

Mapa zrelosti je temelj za naprednije mogućnosti:

1. **Prediktivno predviđanje praznina** – korištenjem vremenskih modela za predviđanje gdje će ocjene pasti, potičući preventivno otklanjanje.  
2. **Gamifikacija usklađenosti** – dodjeljivanje “zrelosnih znački” timovima koji postignu i održe visoke ocjene.  
3. **Integracija s CI/CD** – automatsko blokiranje implementacija koje bi snizile ocjenu zrelosti kritičnih kontrola.

Ove ekstenzije održavaju platformu u koraku s promjenjivim regulatornim pejzažom i rastućim očekivanjima za **kontinuiranu sigurnost**.

---

## 9. Ključni zaključci

* Vizualna **mapa zrelosti** pretvara sirove podatke iz upitnika u intuitivnu, akcijsku sliku zdravstvenog stanja usklađenosti.  
* **AI‑generirane preporuke** uklanjaju nagađanje iz otklanjanja, isporučujući konkretne korake u sekundi.  
* Kombinacija **RAG**, **LLM** i **Mermaid** stvara živi nadzor usklađenosti koji skalira kroz okvire, timove i geografije.  
* Ugradnjom mape u svakodnevne radne procese, organizacije se pomiču od reaktivnog odgovaranja prema proaktivnom poboljšanju, čime ubrzavaju brzinu poslova i smanjuju audit rizik.

---

## Pogledajte i

- [NIST Cybersecurity Framework Overview (official site)](https://www.nist.gov/cyberframework)  
- [ISO 27001:2022 – Information Security Management Systems (ISO)](https://www.iso.org/standard/80002.html)  
- [Mermaid Live Editor – Create and Share Diagrams Instantly](https://mermaid.live)