
# AI‑управляемое в реальном времени согласование доказательств для многорегуляторных вопросов

## Введение

Вопросники по безопасности стали узким местом в каждой сделке B2B SaaS.  
Один потенциальный клиент может потребовать **10‑15 различных нормативных рамок**, каждая из которых запрашивает схожие, но слегка отличающиеся доказательства. Ручное сопоставление приводит к:

* **Дублированию усилий** – инженеры по безопасности переписывают один и тот же фрагмент политики для каждого вопросника.  
* **Несогласованным ответам** – небольшое изменение формулировки может непреднамеренно создать пробел в соответствии.  
* **Риску аудита** – без единого источника правды трудно доказать происхождение доказательств.  

**Движок согласования доказательств в реальном времени на базе ИИ (ER‑Engine) от Procurize** устраняет эти проблемы. Поглощая все артефакты соответствия в единый граф знаний и применяя Retrieval‑Augmented Generation (RAG) с динамическим построением подсказок, ER‑Engine может:

1. **Выявлять эквивалентные доказательства** между рамками за миллисекунды.  
2. **Проверять происхождение** с помощью криптографических хешей и неизменяемых аудиторских журналов.  
3. **Предлагать самый актуальный артефакт** на основе обнаружения дрейфа политик.  

Результат – единственный, управляемый ИИ ответ, удовлетворяющий всем рамкам одновременно.  

---  

## Основные задачи, которые решает система

| Проблема | Традиционный подход | AI‑управляемое согласование |
|----------|---------------------|------------------------------|
| **Дублирование доказательств** | Копировать‑вставлять между документами, ручное переоформление | Связывание сущностей в графе устраняет избыточность |
| **Дрейф версий** | Журналы в таблицах, ручные сравнения | Радио‑детектор изменений политики в реальном времени автоматически обновляет ссылки |
| **Отображение нормативов** | Ручная матрица, склонная к ошибкам | Автоматическое сопоставление онтологий с поддержкой рассуждений LLM |
| **Аудиторский след** | PDF‑архивы, без проверки хэшей | Неизменяемый реестр с Меркл‑доказательствами для каждого ответа |
| **Масштабируемость** | Линейные затраты на каждый вопросник | Квадратичное снижение: *n* вопросников ↔ *≈ √n* уникальных узлов доказательств |  

---  

## Обзор архитектуры  

ER‑Engine находится в сердце платформы Procurize и состоит из четырёх тесно связанных слоёв:

1. **Слой поглощения** – извлекает политики, контролы и файлы доказательств из Git‑репозиториев, облачных хранилищ или SaaS‑хранилищ политик.  
2. **Слой графа знаний** – хранит сущности (контролы, артефакты, нормативы) как узлы, ребра кодируют отношения *удовлетворяет*, *происходит‑из*, *конфликтует‑с*.  
3. **Слой ИИ‑рассуждений** – сочетает **поисковый движок** (векторное сходство по эмбеддингам) с **генеративным движком** (LLM, обученным под инструкции) для создания черновых ответов.  
4. **Слой реестра соответствия** – записывает каждый сгенерированный ответ в append‑only журнал (по‑блокчейн‑подобному принципу) с хешем исходных доказательств, меткой времени и подписью автора.  

Ниже представлена диаграмма Mermaid, отражающая поток данных.

```mermaid
graph TD
    A["Policy Repo"] -->|Ingest| B["Document Parser"]
    B --> C["Entity Extractor"]
    C --> D["Knowledge Graph"]
    D --> E["Vector Store"]
    E --> F["RAG Retrieval"]
    F --> G["LLM Prompt Engine"]
    G --> H["Draft Answer"]
    H --> I["Proof & Hash Generation"]
    I --> J["Immutable Ledger"]
    J --> K["Questionnaire UI"]
    K --> L["Vendor Review"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#bbf,stroke:#333,stroke-width:2px
```  

*Все подписи узлов заключены в двойные кавычки, как требует Mermaid.*  

---  

## Пошаговый рабочий процесс  

### 1. Поглощение и нормализация доказательств  

* **Типы файлов:** PDF, DOCX, Markdown, спецификации OpenAPI, модули Terraform.  
* **Обработка:** OCR для отсканированных PDF, NLP‑выделение сущностей (идентификаторы контролей, даты, владельцы).  
* **Нормализация:** Каждый артефакт преобразуется в каноническую запись JSON‑LD, например:

```json
{
  "@type": "Evidence",
  "id": "ev-2025-12-13-001",
  "title": "Data Encryption at Rest Policy",
  "frameworks": ["ISO27001","SOC2"],
  "version": "v3.2",
  "hash": "sha256:9a7b..."
}
```  

### 2. Заполнение графа знаний  

* Создаются узлы для **Нормативов**, **Контролей**, **Артефактов** и **Ролей**.  
* Примеры ребёр:  
  * `Control "A.10.1"` **satisfies** `Regulation "ISO27001"`  
  * `Artifact "ev-2025-12-13-001"` **enforces** `Control "A.10.1"`  

Граф хранится в **Neo4j** с полнотекстовыми индексами **Apache Lucene** для быстрого обхода.  

### 3. Поиск в реальном времени  

Когда вопросник задаёт, *«Опишите ваш механизм шифрования данных в состоянии покоя»*, платформа:

1. Преобразует вопрос в **семантический запрос**.  
2. Находит релевантные **ID контролей** (например, ISO 27001 A.10.1, SOC 2 CC6.1).  
3. Выбирает топ‑k узлов доказательств, вычисляя косинусное сходство на эмбеддингах **SBERT**.  

### 4. Формирование подсказки и генерация  

Создаётся **динамический шаблон** на лету:

```
You are a compliance analyst. Using the following evidence items (provide citations with IDs), answer the question concisely and in a tone suitable for enterprise security reviewers.
[Evidence List]
Question: {{user_question}}
```  

**Инструкция‑настроенный LLM** (например, Claude‑3.5) возвращает черновой ответ, который сразу же **перепозиционируется** по покрытию цитат и ограничениям длины.  

### 5. Проверка происхождения и запись в реестр  

* Ответ конкатенируется с **хешами** всех используемых доказательств.  
* Строится **дерево Меркла**, корневой хеш сохраняется в **совместимом с Ethereum сайдчейне** для неизменяемости.  
* UI отображает **криптографический чек‑лист**, который аудиторы могут проверять независимо.  

### 6. Совместный обзор и публикация  

* Команды могут **комментировать inline**, запрашивать альтернативные доказательства или запускать **перезапуск** RAG‑конвейера при обнаружении обновлений политик.  
* После одобрения ответ **публикуется** в модуле вопросника поставщика и фиксируется в реестре.  

---  

## Соображения по безопасности и конфиденциальности  

| Проблема | Митигирование |
|----------|----------------|
| **Утечка конфиденциальных доказательств** | Все доказательства зашифрованы в состоянии покоя с AES‑256‑GCM. Поиск происходит в **Trusted Execution Environment (TEE)**. |
| **Внедрение подсказок** | Санитизация ввода и изолированный контейнер LLM ограничивают системные команды. |
| **Подделка реестра** | Меркл‑доказательства и периодическое прикрепление к публичному блокчейну делают любые изменения статистически невозможными. |
| **Перекрёстное загрязнение данных между арендаторами** | **Федеративные графы знаний** изолируют под‑графы арендаторов; общие только нормативные онтологии. |
| **Резидентность данных по регламенту** | Деплой возможен в любой облачной зоне; граф и реестр соблюдают политику резидентности данных арендатора. |  

---  

## Руководство по внедрению для предприятий  

1. **Запустить пилот на одной рамке** – начните с **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, чтобы проверить конвейер поглощения.  
2. **Сопоставить существующие артефакты** – используйте мастер‑импорт Procurize, помечая каждый документ ID рамки (ISO 27001, GDPR и т.д.).  
3. **Определить правила управления** – настройте ролевой доступ (например, инженер безопасности может утверждать, юридический отдел – аудировать).  
4. **Интегрировать в CI/CD** – подключите ER‑Engine к вашему **GitOps**‑конвейеру; любое изменение политики автоматически инициирует пере‑индексацию.  
5. **Доработать LLM на отраслевой корпус** – дообучите модель несколькими десятками исторических ответов, чтобы повысить точность.  
6. **Отслеживать дрейф** – включите **Policy Change Radar**; при изменении формулировки контроля система помечает затронутые ответы.  

---  

## Измеримые бизнес‑выгоды  

| Показатель | До внедрения ER‑Engine | После внедрения ER‑Engine |
|------------|------------------------|---------------------------|
| **Среднее время ответа** | 45 минут/вопрос | 12 минут/вопрос |
| **Доля дублирующихся доказательств** | 30 % артефактов | < 5 % |
| **Частота замечаний аудита** | 2,4 % за аудит | 0,6 % |
| **Удовлетворённость команды (NPS)** | 32 | 74 |
| **Время закрытия сделки с поставщиком** | 6 недель | 2,5 недели |

Кейс‑стади 2024 года в финтех‑единороге показал **70 % сокращение** времени на заполнение анкеты и **30 % уменьшение** расходов на персонал безопасности после внедрения ER‑Engine.  

---  

## Дорожная карта развития  

* **Мультимодальное извлечение доказательств** – включить скриншоты, видеоролики и snapshots инфраструктурного кода.  
* **Интеграция Zero‑Knowledge Proof** – позволять поставщикам проверять ответы без доступа к сырым доказательствам, сохраняя коммерческие тайны.  
* **Прогностическая лента нормативов** – ИИ‑генерируемый поток, предсказывающий будущие изменения регуляций и предлагающий обновления политик.  
* **Самовосстанавливающиеся шаблоны** – графовые нейронные сети, автоматически переписывающие шаблоны вопросов при устаревании контроля.  

---  

## Заключение  

**Движок согласования доказательств в реальном времени на базе ИИ** преобразует хаотичный ландшафт многорегуляторных вопросов в упорядоченный, прослеживаемый и быстрый процесс. Объединяя доказательства в графе знаний, используя RAG для мгновенного формирования ответов и фиксируя каждый ответ в неизменяемом реестре, Procurize даёт возможность командам безопасности и соответствия сосредоточиться на управлении рисками, а не на рутинной бумажной работе. По мере того как нормативы усложняются и объём оценок поставщиков растёт, такое AI‑центричное согласование станет де‑факто стандартом для надёжной, аудируемой автоматизации вопросов.