
# Realaus laiko adaptacinė klausimynų automatizacija su Procurize AI varikliu

Saugumo klausimynai, tiekėjo rizikos vertinimai ir atitikties auditai ilgą laiką buvo kliūtys technologijų įmonėms. Komandos praleidžia valandų ieškodamos įrodymų, perrašydamos tuos pačius atsakymus skirtinguose formatuose ir rankiniu būdu atnaujindamos politiką, kai reguliavimo aplinka keičiasi. **Procurize** sprendžia šią problemą sujungdamas **realio laiko adaptacinį AI variklį** su **semantine žinių grafika**, kuri nuolat mokosi iš kiekvienos sąveikos, kiekvieno politikos atnaujinimo ir kiekvieno audito rezultato.

Šiame straipsnyje sužinosite:

1. Paaiškinsime adaptacinio variklio pagrindinius komponentus.  
2. Parodysime, kaip **politikų pagrįstas inferencijos ciklas** paverčia statinius dokumentus gyvais atsakymais.  
3. Pateiksime praktinį integracijos pavyzdį naudojant REST, webhook ir CI/CD procesus.  
4. Pateiksime našumo rodiklius ir ROI skaičiavimus.  
5. Aptarsime ateities kryptis, tokias kaip federacinės žinių grafikos ir privatumo išsaugojimo inferencija.

---

## 1. Pagrindiniai architektūros stulpeliai

```
graph TD
    "User Interface" --> "Collaboration Layer"
    "Collaboration Layer" --> "Task Orchestrator"
    "Task Orchestrator" --> "Adaptive AI Engine"
    "Adaptive AI Engine" --> "Semantic Knowledge Graph"
    "Semantic Knowledge Graph" --> "Evidence Store"
    "Evidence Store" --> "Policy Registry"
    "Policy Registry" --> "Adaptive AI Engine"
    "External Integrations" --> "Task Orchestrator"
```

| Stulpelis | Aprašymas | Pagrindinės technologijos |
|-----------|-----------|---------------------------|
| **Collaboratio (Bendradarbiavimo) sluoksnis** | Realaus laiko komentarų gija, užduočių paskyrimas ir tiesioginiai atsakymų peržiūros variantai. | WebSockets, CRDT, GraphQL prenumeracijos |
| **Užduočių orkestratorius** | Planuoja klausimynų skyrius, nukreipia juos į tinkamą AI modelį ir inicijuoja politikų pervertinimą. | Temporal.io, RabbitMQ |
| **Adaptacinis AI variklis** | Generuoja atsakymus, įvertina pasitikėjimo lygį ir nusprendžia, kada reikia žmogaus patvirtinimo. | Retrieval‑Augmented Generation (RAG), smulkiai tuninti LLM, sustiprinto mokymosi metodai |
| **Semantinė žinių grafika** | Saugo subjektus (kontrolės, turtą, įrodymų artefaktus) ir jų tarpusavio ryšius, leidžiančius kontekstinį paiešką. | Neo4j + GraphQL, RDF/OWL schemos |
| **Įrodymų saugykla** | Centralizuota vieta failams, žurnalo įrašams ir patvirtinimams su nekintama versijavimo sistema. | S3‑suderinama saugykla, įvykių duomenų bazė |
| **Politikų registras** | Kanoninis atitikties politikų šaltinis ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/)) išreikštas kaip mašinų skaitomos taisyklės. | Open Policy Agent (OPA), JSON‑Logic |
| **Išorinės integracijos** | Jungikliai į ticketing sistemas, CI/CD procesus ir SaaS saugumo platformas. | OpenAPI, Zapier, Azure Functions |

**Grįžtamasis ciklas** – tai, kas suteikia varikliui adaptabilumą: kai politika keičiasi, **Politikų registras** išmeta įvykio signalą, kuris patenka per **Užduočių orkestratorių**. AI variklis perskaičiuoja esamus atsakymus, žymi tuos, kurie nepatenka į pasitikėjimo slenkstį, ir pateikia juos peržiūrėti recenzentams. Laikui bėgant, sustiprinto mokymosi komponentas įgauna šių pataisų modelius, didindamas pasitikėjimą panašaus pobūdžio ateities užklausoms.

---

## 2. Politikų pagrįstas inferencijos ciklas

Ciklas susideda iš penkių deterministinių etapų:

1. **Įvykio aptikimas** – pasirodo naujas klausimynas arba politikos pakeitimo įvykis.  
2. **Kontekstinė paieška** – variklis užklausia žinių grafiką dėl susijusių kontrolės punktų, turto ir ankstesnių įrodymų.  
3. **LLM generavimas** – surenkamas priminimas, apimantis gautą kontekstą, politikos taisyklę ir konkretų klausimą.  
4. **Pasitikėjimo įvertinimas** – modelis grąžina pasitikėjimo balą (0‑1). Atsakymai, kurių balas žemesnis nei `0,85`, automatiškai siunčiami žmogui peržiūrėti.  
5. **Atsiliepimo įtraukimą** – žmogaus redakcijos įrašomos, o sustiprinto mokymosi agentas atnaujina savo politikų orientuotus svorius.

### 2.1 Priminklio šablonas (pavyzdys)

```text
Tu esi AI atitikties asistentas.  
Politika: "{{policy_id}} – {{policy_description}}"  
Kontekstas: {{retrieved_evidence}}  

Klausimas: {{question_text}}  

Pateik trumpą atsakymą, atitinkantį politiką, ir nurodyk naudojamų įrodymų ID.
```

### 2.2 Pasitikėjimo skaičiavimo formulė

\[
\text{Pasitikėjimas} = \alpha \times \text{Reikšmingumo balas} + \beta \times \text{Įrodymų aprėptis}
\]

- **Reikšmingumo balas** – kosininė panašumo matas tarp klausimo embedding ir gauto konteksto embedding.  
- **Įrodymų aprėptis** – reikiamų įrodymų dalis, kurie sėkmingai cituoti.  
- **α, β** – derinami hiperparametrai (numatyta α = 0,6, β = 0,4).

Kai pasitikėjimas krenta dėl naujos reguliacinės nuostatos, sistema automatiškai **pergeneruoja** atsakymą su atnaujintu kontekstu, dramatiškai trumpindama remonto ciklą.

---

## 3. Integracijos planas: nuo šaltinio valdymo iki klausimyno pristatymo

Žemiau pateikiamas žingsnis po žingsnio pavyzdys, kaip SaaS produktas gali integruoti Procurize į savo CI/CD procesą, užtikrindamas, kad kiekviena versija automatiškai atnaujina atitikties atsakymus.

```
sequenceDiagram
    participant Dev as Developer
    participant CI as CI/CD
    participant Proc as Procurize API
    participant Repo as Policy Repo
    Dev->>CI: Push code + updated policy.yaml
    CI->>Repo: Commit policy change
    Repo-->>CI: Acknowledgement
    CI->>Proc: POST /tasks (new questionnaire run)
    Proc-->>CI: Task ID
    CI->>Proc: GET /tasks/{id}/status (poll)
    Proc-->>CI: Status=COMPLETED, answers.json
    CI->>Proc: POST /evidence (attach build logs)
    Proc-->>CI: Evidence ID
    CI->>Customer: Send questionnaire package
```

### 3.1 Pavyzdinis `policy.yaml`

```yaml
policy_id: "ISO27001-A.9.2"
description: "Priviliuzų paskyrų prieigos kontrolė"
required_evidence:
  - type: "log"
    source: "cloudtrail"
    retention_days: 365
  - type: "statement"
    content: "Priviliuzų prieigos peržiūra kas ketvirtį"
```

### 3.2 API užklausa – užduoties sukūrimas

```http
POST https://api.procurize.io/v1/tasks
Content-Type: application/json
Authorization: Bearer <API_TOKEN>

{
  "questionnaire_id": "vendor-risk-2025",
  "policy_refs": ["ISO27001-A.9.2", "SOC2-CC6.2"],
  "reviewers": ["alice@example.com", "bob@example.com"]
}
```

Atsakymas grąžina `task_id`, kurį CI darbas stebi, kol būsena pasikeičia į `COMPLETED`. Tuomet sugeneruotas `answers.json` gali būti siunčiamas automatizuotu el. paštu į užklausus teikėją.

---

## 4. Matomi privalumai ir ROI

| Rodiklis | Rankinis procesas | Automatizuotas „Procurize“ | Patobulinimas |
|----------|-------------------|---------------------------|----------------|
| Vidutinis atsakymo laikas per klausimą | 30 min | 2 min | 94 % sumažėjimas |
| Klausimyno laikas nuo pradžios iki pabaigos | 10 dienų | 1 diena | 90 % sumažėjimas |
| Žmogiškasis peržiūros darbo apimtis (valandos) | 40 h auditui | 6 h auditui | 85 % sumažėjimas |
| Politikų pasikeitimų aptikimo vėlavimas | 30 dienų (rankinis) | < 1 diena (įvykio lygmenyje) | 96 % sumažėjimas |
| Vieno audito kaina (USD) | $3 500 | $790 | 77 % taupymas |

Atvejo studija iš vidutinio dydžio SaaS įmonės (2024 Q3) parodė **70 %** sumažinimą laiko, reikalingo atsakyti į [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) auditą, tai lėmė **$250 k** metinį taupymą, įskaitant licencijavimo ir įgyvendinimo išlaidas.

---

## 5. Ateities kryptys

### 5.1 Federacinės žinių grafikos

Įmonės, kurios turi griežtus duomenų nuosavybės reikalavimus, dabar gali talpinti **vietines subgrafikas**, kurios sinchronizuoja tik kraštų metaduomenis su centraliausiu Procurize grafiku, naudodamos **Zero‑Knowledge Proofs (ZKP)**. Tai leidžia tarpusavio įrodymų dalijimąsi be žaliųjų dokumentų atskleidimo.

### 5.2 Privatumo išsauganti inferencija

Pasitelkiant **diferencinę privatumo** metodiką modelio smulkinimui, AI variklis gali mokytis iš vidinių saugumo kontrolės dokumentų, tuo pačiu garantuodamas, kad jokio vieno dokumento nebus atkurta iš modelio svorių.

### 5.3 Paaiškinamojo AI (XAI) sluoksnis

Planuojama XAI skydelio versija vizualizuos **sprendimo kelią**: nuo politikos taisyklės → gauti grafiko mazgai → LLM priminimas → sugeneruotas atsakymas → pasitikėjimo balas. Ši skaidrumas atitinka auditų reikalavimus, kurie reikalauja „žmogui suprantamos“ AI generuotų atitikties teiginių priežasties.

---

## Išvada

Procurize realaus laiko adaptacinis AI variklis perkuria tradicinį, reaguojantį, dokumentų sunkų atitikties procesą į proaktyvų, savioptimizuojantį darbą. Integruodamas **semantinę žinių grafiką**, **politikų pagrįstą inferencijos ciklą** ir **nuolatinį žmogaus įtraukimą**, platforma pašalina rankines trukdžių vietas, mažina politikų pasikeitimo riziką ir suteikia aiškius, išmatuojamus kaštų bei laiko sutaupymus.

Organizacijos, pritaikydamos šią architektūrą, gali tikėtis greitesnių sandorių ciklų, stipresnio pasirengimo auditams ir tvarios atitikties programos, kuri auga kartu su jų produktų inovacijomis.

---

## <span class='highlight-content'>Žiūrėti</span> taip pat

- [Open Policy Agent (OPA) Documentation – Official Site](https://www.openpolicyagent.org/docs/latest/)