  

# AI‑pogonjena Evidencijska Rekonsilijacija u Realnom Vremenu za Višeregulatorske Upitnike  

## Uvod  

Upitnici o sigurnosti postali su usko grlo svakog B2B SaaS posla.  
Jedan potencijalni kupac može zahtijevati **10‑15 različitih okvira usklađenosti**, od kojih svaki traži preklapajuće, ali suptilno različite dokaze. Ručno uspoređivanje dovodi do:

* **Dupliciranog napora** – sigurnosni inženjeri ponovno pišu isti odlomak politike za svaki upitnik.  
* **Nedosljednih odgovora** – manja promjena formulacije može nenamjerno stvoriti prazninu u usklađenosti.  
* **Rizika revizije** – bez jedinstvenog izvora istine, dokazno podrijetlo je teško dokazati.  

**Evidencijski Rekonsilijacijski Motor (ER‑Engine) tvrtke Procurize**, pogonjen AI‑jem u stvarnom vremenu, uklanja ove probleme. Uzimajući sve artefakte usklađenosti u jedinstveni Graf Znanja i primjenjujući Retrieval‑Augmented Generation (RAG) s dinamičkim inženjeringom prompta, ER‑Engine može:

1. **Identificirati ekvivalentne dokaze** kroz okvire u milisekundama.  
2. **Potvrditi podrijetlo** koristeći kriptografsko hashiranje i nepovratne audit trailove.  
3. **Predložiti najnoviji artefakt** temeljen na otkrivanju drift‑a politika.  

Rezultat je jedinstven, AI‑vođen odgovor koji zadovoljava svaki okvir istovremeno.  

---  

## Glavni Izazovi Koje Rješava  

| Izazov | Tradicionalni Pristup | AI‑vođena Rekonsilijacija |
|--------|----------------------|---------------------------|
| **Dupliciranje Dokaza** | Kopiranje‑zalijepiti kroz dokumente, ručno preformatiranje | Povezivanje entiteta u grafu uklanja redundanciju |
| **Drift Verzija** | Evidencija u proračunskim tablicama, ručna usporedba | Radar promjena politika u stvarnom vremenu automatski ažurira reference |
| **Regulatorno Mapiranje** | Ručna matrica, sklonost greškama | Automatizirano mapiranje ontologije s LLM‑povećanim rezoniranjem |
| **Audit Trail** | PDF arhiva, bez hash‑verifikacije | Nepovratni ledger s Merkle dokazima za svaki odgovor |
| **Skalabilnost** | Linearni napor po upitniku | Kvadratično smanjenje: *n* upitnika ↔ *≈ √n* jedinstvenih čvorova dokaza |  

---  

## Pregled Arhitekture  

ER‑Engine se nalazi u srcu platforme Procurize i sastoji se od četiri usko povezana sloja:

1. **Sloj Unosa** – Povlači politike, kontrole i datoteke dokaza iz Git repozitorija, cloud pohrane ili SaaS trezora politika.  
2. **Sloj Grafa Znanja** – Pohranjuje entitete (kontrole, artefakte, regulative) kao čvorove, a veze kodiraju *zadovoljava*, *izvedeno‑iz*, i *konflikt‑s* relacije.  
3. **Sloj AI Razmišljanja** – Kombinira **retrieval engine** (vektorska sličnost na embedding‑ima) s **generation engine** (instruction‑tuned LLM) za izradu nacrta odgovora.  
4. **Sloj Compliance Ledger** – Svaki generirani odgovor zapisuje u ledger koji se može samo nadodavati (slično blockchainu) s hash‑om izvornog dokaza, vremenskom oznakom i potpisom autora.  

Dolje je prikazan diagram u Mermaidu koji pokazuje protok podataka.  

```mermaid
graph TD
    A["Repozitorij Politika"] -->|Ingest| B["Parser Dokumenata"]
    B --> C["Ekstraktor Entiteta"]
    C --> D["Graf Znanja"]
    D --> E["Vektorska Pohrana"]
    E --> F["RAG Retrieval"]
    F --> G["LLM Prompt Engine"]
    G --> H["Nacrt Odgovora"]
    H --> I["Generiranje Dokaza & Hash"]
    I --> J["Nemodifikabilni Ledger"]
    J --> K["Korisničko Sučelje Upitnika"]
    K --> L["Pregled Dobavljača"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#bbf,stroke:#333,stroke-width:2px
```  

*Svaki naziv čvora je stavljen u dvostruke navodnike kako zahtijeva Mermaid.*  

---  

## Korak‑po‑korak Radni Tok  

### 1. Unos & Normalizacija Dokaza  

* **Tipovi Datoteka:** PDF‑i, DOCX, Markdown, OpenAPI specifikacije, Terraform moduli.  
* **Obrada:** OCR za skenirane PDF‑e, NLP ekstrakcija entiteta (ID‑ovi kontrola, datumi, vlasnici).  
* **Normalizacija:** Svaki artefakt pretvara se u kanonski JSON‑LD zapis, npr.:  

```json
{
  "@type": "Evidence",
  "id": "ev-2025-12-13-001",
  "title": "Data Encryption at Rest Policy",
  "frameworks": ["ISO27001","SOC2"],
  "version": "v3.2",
  "hash": "sha256:9a7b..."
}
```  

### 2. Popunjavanje Grafa Znanja  

* Čvorovi se stvaraju za **Regulacije**, **Kontrole**, **Artefakte** i **Uloge**.  
* Primjeri bridova:  
  * `Control "A.10.1"` **satisfies** `Regulation "ISO27001"`  
  * `Artifact "ev-2025-12-13-001"` **enforces** `Control "A.10.1"`  

Graf se pohranjuje u **Neo4j** instancu s **Apache Lucene** indeksima za brzu pretragu.  

### 3. Dohvaćanje u Realnom Vremenu  

Kad upitnik pita, *„Opišite mehanizam šifriranja podataka u mirovanju.“* platforma:

1. Parsira pitanje u **semantički upit**.  
2. Pronalazi relevantne **Control ID‑ove** (npr. ISO 27001 A.10.1, SOC 2 CC6.1).  
3. Dohvaća top‑k čvorove dokaza koristeći kosinusnu sličnost na **SBERT** embedding‑ima.  

### 4. Inženjering Promptova & Generiranje  

Dinamički se gradi **šablona**:  

```
You are a compliance analyst. Using the following evidence items (provide citations with IDs), answer the question concisely and in a tone suitable for enterprise security reviewers.
[Evidence List]
Question: {{user_question}}
```  

**Instruction‑tuned LLM** (npr. Claude‑3.5) vraća nacrt odgovora, koji se odmah **re‑rangira** na temelju pokrivenosti citata i ograničenja duljine.  

### 5. Provjera Podrijetla & Zapis u Ledgeru  

* Odgovor se konkatenira s **hash‑ovima** svih referenciranih dokaza.  
* Izgrađuje se **Merkle stablo**, čiji korijen se pohranjuje u **Ethereum‑kompatibilnoj sidechain** radi nepovratnosti.  
* UI prikazuje **kriptografski račun** koji revizori mogu neovisno provjeriti.  

### 6. Kolaborativni Pregled & Publikacija  

* Timovi mogu **komentirati inline**, zatražiti alternativne dokaze ili pokrenuti **ponovno izvođenje** RAG‑pipelinea ako se otkrije ažuriranje politike.  
* Po odobrenju, odgovor se **objavljuje** u modul upitnika dobavljača i zapisuje u ledger.  

---  

## Sigurnosni & Privatnosni Aspekti  

| Problem | Rješenje |
|---------|----------|
| **Izloženost povjerljivih dokaza** | Svi dokazi šifrirani su u mirovanju s AES‑256‑GCM. Dohvaćanje odvija se u **Trusted Execution Environment (TEE)**. |
| **Prompt Injection** | Saniranje ulaza i izolirani LLM kontejner onemogućuju sistemske naredbe. |
| **Manipulacija Ledgera** | Merkle dokazi i periodično sidrenje na javni blockchain čine bilo kakvu izmjenu statistički nemogućom. |
| **Međutubni curenje podataka** | **Federirani Grafovi Znanja** izoliraju podgrafe najamnika; dijele se samo zajedničke regulatorne ontologije. |
| **Regulatorna rezidencija podataka** | Implementacija je moguća u bilo kojem cloud regiju; graf i ledger poštuju politiku rezidencije podataka najamnika. |  

---  

## Smjernice za Implementaciju u Poduzećima  

1. **Pokrenite pilot na jednom okviru** – Počnite s **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** kako biste validirali pipeline unosa.  
2. **Mapirajte postojeće artefakte** – Koristite čarobnjak za masovni uvoz kako biste svakom dokumentu politike dodijelili ID‑ove okvira (ISO 27001, GDPR, …).  
3. **Definirajte pravila upravljanja** – Postavite role‑based pristup (npr. Inženjer sigurnosti može odobravati, Pravni tim može revizirati).  
4. **Integrirajte u CI/CD** – Povežite ER‑Engine s vašim **GitOps** pipelineom; svaka promjena politike automatski pokreće re‑indeksiranje.  
5. **Fino podučite LLM na korpusu domena** – Učitajte nekoliko desetaka povijesnih odgovora na upitnike za veću vjernost.  
6. **Monitorirajte drift** – Aktivirajte **Policy Change Radar**; kada se promijeni kontrola, sustav označava pogođene odgovore.  

---  

## Mjerljiva Poslovna Koristi  

| Metrička | Prije ER‑Engine | Nakon ER‑Engine |
|----------|----------------|-----------------|
| **Prosječno vrijeme po odgovoru** | 45 min / pitanje | 12 min / pitanje |
| **Stopa dupliciranja dokaza** | 30 % artefakata | < 5 % |
| **Stopa nalaza revizije** | 2,4 % po reviziji | 0,6 % |
| **Zadovoljstvo tima (NPS)** | 32 | 74 |
| **Vrijeme zatvaranja ugovora dobavljača** | 6 tjedana | 2,5 tjedna |

Studija slučaja iz 2024. kod fintech jednorodnog poduzeća izvijestila je **70 % smanjenje** vremena obrade upitnika i **30 % smanjenje** troškova osoblja za usklađenost nakon usvajanja ER‑Enginea.  

---  

## Budući Plan  

* **Multimodalna Ekstrakcija Dokaza** – Uključivanje snimaka zaslona, video demonstracija i snapshots infrastrukture‑kao‑kôd.  
* **Integracija Zero‑Knowledge Proof** – Omogućiti dobavljačima da verificiraju odgovore bez uvida u sirove dokaze, čuvajući konkurentske tajne.  
* **Feed Prediktivne Regulacije** – AI‑vođen feed koji anticipira nadolazeće regulatorne promjene i proaktivno predlaže ažuriranja politika.  
* **Samopopravljajući Šabloni** – Grafički neuronski sustavi koji automatski prepisuju upitničke šablone kad kontrola postane zastarjela.  

---  

## Zaključak  

**Evidencijski Rekonsilijacijski Motor (ER‑Engine) pogonjen AI‑jem u stvarnom vremenu** transformira kaotični pejzaž višeregulatorskih upitnika u discipliniran, provjerljiv i brz radni tok. Ujedinjujući dokaze u grafu znanja, koristeći RAG za trenutačnu generaciju odgovora i zapisivanjem svakog odgovora u nepovratni ledger, Procurize omogućuje timovima sigurnosti i usklađenosti da se fokusiraju na upravljanje rizicima, a ne na ponavljajući administrativni rad. Kako se regulative razvijaju, a volumen upitnika dobavljača raste, takva AI‑prva rekonsilijacija postat će de‑facto standard za pouzdanu, auditable automatizaciju upitnika.