
# AI‑potpomognuto dinamičko orkestriranje dokaza za sigurnosna pitanja nabave

## Zašto tradicionalna automatizacija upitnika zastaje

Sigurnosni upitnici—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), i desetine obrasca specifičnih za dobavljače—su čuvari B2B SaaS poslova.  
Većina organizacija još uvijek se oslanja na **ručni copy‑paste** radni tok:

1. **Pronađite** relevantni dokument politike ili kontrole.  
2. **Izvucite** točnu klauzulu koja odgovara na pitanje.  
3. **Zalijepite** je u upitnik, često nakon brze izmjene.  
4. **Pratite** verziju, recenzenta i audit put u zasebnoj proračunskoj tablici.

Nedostaci su dobro dokumentirani:

* **Vremenski intenzivno** – prosječno vrijeme obrade 30‑pitanja upitnika premašuje 5 dana.  
* **Ljudska pogreška** – nepodudarne klauzule, zastarjele reference i copy‑paste greške.  
* **Odmak u usklađenosti** – kako se politike razvijaju, odgovori postaju zastarjeli, izlažu organizaciju nalazima revizije.  
* **Nedostatak porijekla** – revizori ne mogu vidjeti jasan link između odgovora i temeljnih dokaza kontrole.

Procurize‑ov **Dynamic Evidence Orchestration (DEO)** rješava svaku od ovih bolnih točaka pomoću AI‑prvog, graf‑pogona enginea koji kontinuirano uči, provjerava i ažurira odgovore u stvarnom vremenu.

## Osnovna arhitektura Dinamičkog orkestriranja dokaza

Na visokoj razini, DEO je **sloj mikro‑servisnog orkestriranja** koji se nalazi između tri ključna domena:

* **Graf znanja politika (PKG)** – semantički graf koji modelira kontrole, klauzule, artefakte dokaza i njihove odnose kroz različite okvire.  
* **LLM‑potpomognuto Generiranje potpomognuto preuzimanjem (RAG)** – veliki jezični model koji preuzima najrelevantnije dokaze iz PKG i generira obrađeni odgovor.  
* **Motor radnog toka** – upravitelj zadataka u stvarnom vremenu koji dodjeljuje odgovornosti, bilježi komentare recenzenata i zapisuje porijeklo.

```mermaid
graph LR
    A["Questionnaire Input"] --> B["Question Parser"]
    B --> C["RAG Engine"]
    C --> D["PKG Query Layer"]
    D --> E["Evidence Candidate Set"]
    E --> F["Scoring & Ranking"]
    F --> G["Draft Answer Generation"]
    G --> H["Human Review Loop"]
    H --> I["Answer Approval"]
    I --> J["Answer Persisted"]
    J --> K["Audit Trail Ledger"]
    style H fill:#f9f,stroke:#333,stroke-width:2px
```

### 1. Graf znanja politika (PKG)

* **Čvorovi** predstavljaju kontrole, klauzule, datoteke dokaza (PDF, CSV, repozitorij koda) i regulatorne okvire.  
* **Rubovi** bilježe odnose poput *„implementira“, „referencira“, „ažurira‑od“*.  
* PKG se **inkrementalno ažurira** putem automatiziranih cjevovoda za unos dokumenata (DocAI, OCR, Git hooks).

### 2. Generiranje potpomognuto preuzimanjem

* LLM prima **tekst pitanja** i **prozor konteksta** sastavljen od top‑k kandidata dokaza vraćenih iz PKG.  
* Korištenjem RAG, model sintetizira sažet, usklađen odgovor uz **zadržavanje citata** kao markdown fusnote.

### 3. Motor radnog toka u stvarnom vremenu

* Dodjeljuje nacrt odgovora **stručnom stručnjaku** (SME) na temelju **usmjeravanja po ulozi** (npr., sigurnosni inženjer, pravni savjetnik).  
* Bilježi **niz komentara** i **povijest verzija** izravno povezane s čvorom odgovora u PKG, osiguravajući nepromjenjiv audit put.

## Kako DEO poboljšava brzinu i točnost

| Metrika | Tradicionalni proces | DEO (pilot) |
|---------|----------------------|-------------|
| Prosječno vrijeme po pitanju | 4 sata | 12 minuta |
| Ručni copy‑paste koraci | 5+ | 1 (automatsko popunjavanje) |
| Točnost odgovora (audit prolaz) | 78 % | 96 % |
| Kompletnost porijekla | 30 % | 100 % |

**Ključni pokretači** poboljšanja:

* **Trenutno preuzimanje dokaza** — graf upit pronalazi točnu klauzulu za manje od 200 ms.  
* **Generiranje svjesno konteksta** — LLM izbjegava halucinacije uztemeljenjem odgovora u stvarnim dokazima.  
* **Kontinuirana provjera** — detektori odska u politici označavaju zastarjele dokaze prije nego što dođu do recenzenta.

## Plan implementacije za poduzeća

1. **Uzimanje dokumenata**  
   * Povežite postojeće repozitorije politika (Confluence, SharePoint, Git).  
   * Pokrenite DocAI cjevovode za izdvajanje strukturiranih klauzula.

2. **Pokretanje PKG‑a**  
   * Popunite graf čvorovima za svaki okvir ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), itd.).  
   * Definirajte taksonomiju rubova (implementira → kontrole, referencira → politike).

3. **Integracija LLM‑a**  
   * Postavite fino podešen LLM (npr., GPT‑4o) s RAG adapterima.  
   * Konfigurirajte veličinu prozora konteksta (k = 5 kandidata dokaza).

4. **Prilagodba radnog toka**  
   * Mapirajte uloge SME na čvorove grafa.  
   * Postavite Slack/Teams botove za obavijesti u stvarnom vremenu.

5. **Pilot upitnik**  
   * Pokrenite mali set upitnika dobavljača (≤ 20 pitanja).  
   * Zabilježite metrike: vrijeme, broj izmjena, povratne informacije revizije.

6. **Iterativno učenje**  
   * Vratite izmjene recenzenata natrag u RAG trening petlju.  
   * Ažurirajte težine rubova PKG‑a na temelju učestalosti korištenja.

## Najbolje prakse za održivo orkestriranje

* **Održavajte jedinstveni izvor istine** – nikada ne pohranjujte dokaze izvan PKG‑a; koristite samo reference.  
* **Kontrola verzija politika** – tretirajte svaku klauzulu kao git‑praćeni artefakt; PKG bilježi hash commita.  
* **Iskoristite upozorenja o odska politice** – automatska upozorenja kada datum posljednje promjene kontrole premašuje prag usklađenosti.  
* **Fusnote spremne za reviziju** – primijenite stil citiranja koji uključuje ID‑ove čvorova (npr., `[evidence:1234]`).  
* **Privatnost na prvom mjestu** – šifrirajte datoteke dokaza u mirovanju i koristite provjere nultog znanja za povjerljiva pitanja dobavljača.

## Buduća poboljšanja

* **Federirano učenje** – dijelite anonimne ažuriranja modela među više Procurize kupaca kako biste poboljšali rangiranje dokaza bez otkrivanja vlasničkih politika.  
* **Integracija nultog‑znanja dokaza** – omogućite dobavljačima da verificiraju integritet odgovora bez otkrivanja temeljnih dokaza.  
* **Dinamička nadzorna ploča povjerenja** – kombinirajte latenciju odgovora, svježinu dokaza i rezultate revizije u toplomapu rizika u stvarnom vremenu.  
* **Glasovni asistent** – dopustite SME‑ima da odobravaju ili odbijaju generirane odgovore putem naredbi prirodnog jezika.

## Zaključak

Dinamičko orkestriranje dokaza redefinira način na koji se odgovara na sigurnosne upitnike nabave. Spojivanjem **semantičkog grafa politika** s **LLM‑vođenim RAG‑om** i **motorom radnog toka u stvarnom vremenu**, Procurize uklanja ručni copy‑paste, jamči porijeklo i dramatično smanjuje vrijeme odgovora. Za svaku SaaS organizaciju koja želi ubrzati poslove uz održavanje spremnosti za reviziju, DEO je sljedeći logičan korak u putu automatizacije usklađenosti.