
# AI‑підкріплена карта зрілості відповідності та рекомендаційний движок

У світі, де щодня надходять опитувальники безпеки та регуляторні аудити, команди з відповідності постійно балансують між трьома супер конкуренцією:

1. **Швидкість** – відповідати на запитання до того, як угода застопориться.  
2. **Точність** – забезпечити, щоб кожне твердження було правдивим і актуальним.  
3. **Стратегічний інсайт** – зрозуміти, *чому* конкретна відповідь слабка і як її покращити.

Найновіша можливість Procurize охоплює всі три аспекти, перетворюючи сирі дані опитувальників у **Карту зрілості відповідності**, що не лише візуалізує прогалини, а й живить **AI‑згенерований рекомендаційний движок**. Результат – живий дашборд відповідності, що переводить команди від “реактивного гасіння пожеж” до “проактивного вдосконалення”.

Нижче ми пройдемо крок за кроком повний робочий процес, підляжну AI‑архітектуру, візуальну мову, створену за допомогою Mermaid, і практичні кроки впровадження карти у ваші щоденні процеси відповідності.

---

## 1. Чому карта зрілості важлива

Традиційні дашборди відповідності показують **бінарний** статус – *відповідний* або *не‑відповідний* – для кожного контролю. Хоча це корисно, такий підхід приховує **глибину зрілості** у всій організаційній екосистемі:

| Вимір                | Бінарний вигляд | Зрілісний вигляд |
|----------------------|-----------------|-------------------|
| Покриття контролем   | ✔/✘             | шкала 0‑5 (0=відсутнє, 5=повністю інтегровано) |
| Якість доказів       | ✔/✘             | оцінка 1‑10 (на основі актуальності, походження, повноти) |
| Автоматизація процесу| ✔/✘             | 0‑100 % автоматизованих кроків |
| Вплив ризику (постачальник) | Низький/Високий | кількісний ризиковий бал (0‑100) |

Карта зрілості агрегує ці нюансовані оцінки, дозволяючи керівництву:

* **Виявляти сконцентровані слабкості** – кластери низько оцінених контролів стають візуально очевидними.  
* **Пріоритизувати усунення** – поєднання інтенсивності кольору (низька зрілість) з ризиковим впливом створює упорядкований список справ.  
* **Відстежувати прогрес з часом** – та сама карта може анімуватися місяць за місяцем, перетворюючи відповідність у вимірювальну подорож вдосконалення.

---

## 2. Високорівнева архітектура

Карта живиться трьома щільно пов’язаними шарами:

1. **Збір та нормалізація даних** – сирі відповіді на опитувальники, політики та сторонні докази завантажуються в Procurize через конектори (Jira, ServiceNow, SharePoint тощо). Семантична проміжна прослойка витягує ідентифікатори контролів і зіставляє їх з єдиною **онтологією відповідності**.

2. **AI‑рушій (RAG + LLM)** – Retrieval‑augmented generation (RAG) запитує базу знань для кожного контролю, оцінює докази і повертає два результати:  
   * **Оцінка зрілості** – зважений композитний показник покриття, автоматизації та якості доказів.  
   * **Текст рекомендації** – стислий, практичний крок, згенерований донавченим LLM.

3. **Візуалізаційний шар** – діаграма на базі Mermaid в реальному часі формує карту. Кожен вузол представляє сімейство контролів (наприклад, “Управління доступом”, “Шифрування даних”) і розфарбований за спектром від червоного (низька зрілість) до зеленого (висока зрілість). При наведенні курсору відкривається AI‑згенерована рекомендація.

Нижче наведена діаграма Mermaid, що ілюструє потік даних:

```mermaid
graph TD
    A["Data Connectors"] --> B["Normalization Service"]
    B --> C["Compliance Ontology"]
    C --> D["RAG Retrieval Layer"]
    D --> E["Maturity Scoring Service"]
    D --> F["LLM Recommendation Engine"]
    E --> G["Heatmap Builder"]
    F --> G
    G --> H["Mermaid Heatmap UI"]
    H --> I["User Interaction"]
    I --> J["Feedback Loop"]
    J --> B
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#bbf,stroke:#333,stroke-width:2px
```

*Усі підписи вузлів взяті в подвійні лапки, як вимагає синтаксис.*

---

## 3. Оцінка зрілості

**Оцінка зрілості** – це не довільне число, а результат відтворюваної формули:

```
Maturity = w1 * Coverage + w2 * Automation + w3 * EvidenceQuality + w4 * Recency
```

* **Coverage** – 0 до 1, базується на відсотку підконтрольних під‑контролів, які охоплені.  
* **Automation** – 0 до 1, вимірюється часткою кроків, виконаних через API або боти.  
* **EvidenceQuality** – 0 до 1, оцінюється за типом документа (наприклад, підписаний аудиторський звіт vs. електронна пошта) та перевірками цілісності (хеш‑верифікація).  
* **Recency** – 0 до 1, старі докази «згасають», стимулюючи постійне оновлення.

Ваги (`w1‑w4`) налаштовуються кожною організацією, що дозволяє керівникам безпеки наголошувати на найважливішому (наприклад, у високо‑регульованій галузі може бути підвищене `w3`).

### Приклад розрахунку

| Контроль | Покриття | Автоматизація | ЯкістьДоказів | Актуальність | Ваги (0.4,0.2,0.3,0.1) | Зрілість |
|----------|----------|----------------|----------------|--------------|------------------------|----------|
| IAM‑01   | 0.9      | 0.7            | 0.8            | 0.6          | 0.4·0.9 + 0.2·0.7 + 0.3·0.8 + 0.1·0.6 = **0.79** | 0.79 |

Карта зрілості переводить оцінки 0‑1 у градієнт кольорів: 0‑0.4 = червоний, 0.4‑0.7 = оранжевий, 0.7‑0.9 = жовтий, >0.9 = зелений.

---

## 4. AI‑згенеровані рекомендації

Після розрахунку оцінки зрілості **LLM Recommendation Engine** формує стислий план усунення. Шаблон запиту, збережений як повторно‑використовний актив у Prompt Marketplace Procurize, виглядає так (спрощено для демонстрації):

```
You are a compliance advisor. Based on the following control data, provide a single actionable recommendation (max 50 words) that will most improve the maturity score.

Control ID: {{ControlID}}
Current Score: {{MaturityScore}}
Weakest Dimension: {{WeakestDimension}}
Evidence Summary: {{EvidenceSnippet}}
```

Оскільки запит **параметризований**, один і той же шаблон може обслуговувати тисячі контролів без додаткового тренування. LLM донавчений на ретельно відібраному корпусі керівництв з безпеки (NIST CSF, ISO 27001 тощо), що гарантує домен‑специфічну термінологію.

### Приклад відповіді

> *Контроль IAM‑01 – Найслабша вимір: Автоматизація*  
> **Рекомендація:** “Інтегруйте ваш провайдер ідентифікації з процесом закупівель через SCIM API, щоб автоматично створювати та видаляти облікові записи користувачів для кожного нового запису постачальника.”

Ці рекомендації відображаються у вигляді підказок (tooltip) на вузлах карти, забезпечуючи **один клік** від інсайту до дії.

---

## 5. Інтерактивний досвід для команд

### 5.1 Спільна робота в реальному часі

UI Procurize дозволяє кільком учасникам **спільно редагувати** карту. При кліці на вузол відкривається бокова панель, де можна:

* Прийняти AI‑рекомендацію або додати власні нотатки.  
* Призначити задачу відповідальному.  
* Прикріпити супровідні артефакти (SOP‑документи, фрагменти коду).

Усі зміни фіксуються в **незмінному аудиторському журналі**, збереженому у блокчейн‑задійному реєстрі для підтвердження відповідності.

### 5.2 Анімація тенденцій

Платформа зберігає знімок карти кожного тижня. Користувачі можуть перемкнути **тайм‑лайн слайдер**, щоб анімувати карту і миттєво бачити вплив виконаних завдань. Вбудований віджет аналітики обчислює **швидкість зрілості** (середнє підвищення оцінки за тиждень) і сигналізує про застою, які потребують уваги керівництва.

---

## 6. Чек‑лист впровадження

| Крок | Опис | Відповідальний |
|------|------|-----------------|
| 1 | Увімкнути конектори даних для репозиторіїв опитувальників (наприклад, SharePoint, Confluence). | Інженер інтеграції |
| 2 | Спроектувати зіставлення вихідних контролів з онтологією Procurize. | Архітектор відповідності |
| 3 | Налаштувати ваги оцінки відповідно до регуляторних пріоритетів. | Керівник безпеки |
| 4 | Розгорнути сервіси RAG + LLM (хмара або on‑prem). | DevOps |
| 5 | Активувати UI карти зрілості у порталі Procurize. | Менеджер продукту |
| 6 | Провести навчання команд щодо інтерпретації кольорів та користування панеллю рекомендацій. | Координатор навчань |
| 7 | Налаштувати щотижневі знімки та пороги сповіщень. | Операції |

Дотримання цього чек‑листу гарантує **плавний запуск** та негайну віддачу інвестицій – більшість ранніх користувачів повідомляють про 30 % скорочення часу відповіді на опитувальники вже в перший місяць.

---

## 7. Безпека та конфіденційність

* **Ізоляція даних** – Корпус доказів кожного орендаря зберігається в окремому просторі і захищений ролями доступу.  
* **Докази з нульовим знанням** – При запиті зовнішніх аудиторів система генерує ZKP, що підтверджує оцінку зрілості без розкриття сирих доказів.  
* **Диференціальна приватність** – Агреговані статистики карти для міжорендарного порівняння піддаються шумуванню, аби запобігти витоку чутливих даних окремої організації.

---

## 8. Дорожня карта

Карта зрілості – це фундамент для більш просунутих можливостей:

1. **Прогнозування прогалин** – використання моделей часових рядів для передбачення майбутніх падінь оцінки, що дозволяє запобігати проблемам заздалегідь.  
2. **Гейміфікація відповідності** – нагороди у вигляді «значків зрілості» для команд, які досягають стійкого високого рівня.  
3. **Інтеграція з CI/CD** – автоматичне блокування релізів, які знижують оцінку зрілості критичних контролів.

Ці розширення тримають платформу у відповідності до мінливого ландшафту регулювання та зростаючого очікування **безперервного забезпечення**.

---

## 9. Висновки

* Візуальна **карта зрілості** перетворює сирі дані опитувальників у інтуїтивну, практичну карту здоров’я відповідності.  
* **AI‑згенеровані рекомендації** усувають здогадки, надаючи конкретні кроки за лічені секунди.  
* Поєднання **RAG**, **LLM** та **Mermaid** створює живий дашборд, що масштабується по фреймворках, командах та географіях.  
* Вбудовуючи карту у щоденні процеси, організації переходять від реактивної відповіді до проактивного вдосконалення, прискорюючи швидкість угод і знижуючи ризики аудитів.

---

## Дивіться також

- [Огляд NIST Cybersecurity Framework (офіційний сайт)](https://www.nist.gov/cyberframework)  
- [ISO 27001:2022 – Система управління інформаційною безпекою (ISO)](https://www.iso.org/standard/80002.html)  
- [Mermaid Live Editor – Створюйте та ділячись діаграми миттєво](https://mermaid.live)