Zveřejnili jsme celý náš Vendor Assurance Pack — včetně toho, co zatím nemáme

Takto probíhá nákup softwaru v regulovaném prostředí. Provoz vybere nástroj ve druhém týdnu. Oddělení kvality a IT bezpečnosti zahájí přezkum ve čtvrtém týdnu. Dotazník dorazí dodavateli v týdnu šestém — čtyřicet záložek a žádost o kategorizaci GAMP, kterou dodavatel nikdy písemně nezachytil. Někdy kolem čtrnáctého týdne se všichni shodnou, přičemž zpoždění nikdy nezpůsobil samotný produkt.

Sami jsme byli na přijímající straně dostatečně dlouho, aby nám bylo jasné, že tento postup je nesprávný. Proto jsme odpovědi zveřejnili předem.

*Aktualizováno 12. října 2026: balíček je znovu vydán jako v1.2 poté, co byl každý stav ověřen vůči zdrojovému kódu běžícímu v produkci, živé konfiguraci Azure a našim veřejným stránkám. Verze 1.1 (23. srpna 2026) a její vydání 1.1.1 upravující pouze formulaci nadhodnocovaly několik kontrol; v1.2 je opravuje a každou opravu uvádí. Tam, kde nebylo možné ověření provést, balíček tuto skutečnost označuje a uvádí kontrolu v její slabší podobě.*

Co dokument obsahuje

Osmnáct sekcí uspořádaných tak, aby kontrolor mohl přejít přímo ke své části. Kontrolor kvality potřebuje index QMS, kategorizaci GAMP 5 a mapování Annex 11 a Part 11. IT bezpečnost potřebuje topologii hostingu, bezpečnostní architekturu a CAIQ-Lite. Pověřenec pro ochranu osobních údajů potřebuje rozdělení rolí správce a zpracovatele, registr dílčích zpracovatelů a sekci věnovanou správě AI. Nákupní oddělení potřebuje stav certifikací, postoj ke kontinuitě provozu a rozdělení odpovědností. Dokument je uveden tabulkou, která každého z nich navede na příslušné sekce.

Jádrem dokumentu jsou mapování ustanovení. Každé ustanovení Annex 11 — všech sedmnáct — s popisem našeho přístupu a umístěním důkazů. Následuje 21 CFR Part 11: kontroly §11.10, ustanovení o podpisech §11.50 a §11.70 a požadavky na elektronické podpisy §11.100, §11.200 a §11.300. Dva z těchto řádků jsou označeny jako *vaše* povinnost, nikoli naše, protože je dodavatel splnit nemůže, a předstírat opak by zanechalo mezeru, která se projeví až při inspekci.

A co v něm není

Tato část dala smysl celému dokumentu. §13 obsahuje tabulku stavu certifikací a §17 úplný seznam otevřených položek – a dohromady říkají zcela jasně:

• Nemáme certifikaci SOC 2. Audit SOC 2 lze zvážit na žádost zákazníka po zavedení ISO 27001 — pro evropskou zákaznickou základnu je ISO 27001 certifikátem, který audity dodavatelů vyžadují jako první.
• Zatím nemáme certifikaci ISO 27001. ISMS byl otevřen v srpnu 2026; certifikační audit Stage 2 je plánován na únor 2027 a certifikát je cílován na Q1 2027. Do té doby, než certifikát existuje, balíček uvádí *není k dispozici*.
• Náš firewall webových aplikací provozuje pět vlastních pravidel omezování rychlosti, ale žádnou spravovanou sadu pravidel OWASP. Úroveň Standard Front Door ji neumožňuje připojit — to vyžaduje úroveň Premium, která je plánována v rámci přestavby produkčního prostředí.
• Vysoká dostupnost není povolena na databázi a naše RTO a RPO jsou interní cíle, nikoli smluvní závazky; smluvní je měsíční dostupnost 99,5 % u placených plánů. Cvičení obnovy je prováděno a dokumentováno (úplná obnova produkce měřená na méně než 7 minut) a měsíční šifrované zálohy jsou uchovávány až 7 let podle zásady neměnnosti na základě času, která blokuje mazání a přepisování (zásada dosud nezamčena).
• Dosud nebyl proveden žádný nezávislý penetrační test. Jeden je naplánován, včetně retestu, a jeho rozsah je připraven. Náš interní audit kódu metodou white-box v říjnu 2026 zranitelnosti odhalil, včetně dvou kritických; obě kritické nálezy jsou v produkci opraveny. Práce z dubna 2026 bylo interní funkční bezpečnostní testování, nikoli penetrační test.

O rozdílu mezi shodou a certifikací

Jeden rozdíl, kterému balíček věnuje celý odstavec, protože na tomto trhu bývá pravidelně zaměňován. Annex 11 a 21 CFR Part 11 jsou regulatorní požadavky, nikoli certifikační schémata. Žádný orgán nevydává „certifikát Annex 11" a dodavatel, který něco takového nabízí, prodává něco, co neexistuje. Co lze skutečně doložit, je implementace zmapovaná klauzuli po klauzuli s podkladovými artefakty ke každému řádku — a přesně to balíček obsahuje.

SOC 2 a ISO 27001 *jsou* certifikační schémata. My je nevlastníme. Proto se nenazýváme certifikovanými a certifikace našeho poskytovatele infrastruktury jsou uvedeny jako jejich vlastní, nikoli tiše prezentovány jako naše.

Vše v něm bylo ověřeno, nikoli zkopírováno

Dokumenty o souladu s předpisy zastarávají. Změní se hostingový region, odstraní se mezera, přejmenuje se kontrola – a dokument nadále s letošní jistotou popisuje loňskou architekturu. I nám se to stávalo: interní dokument QMS stále popisoval poskytovatele hostingu, od kterého jsme migrovali, a stránka na našem vlastním webu uváděla nesprávné regiony Azure.

Každý stav v balíčku byl v den publikace ověřen oproti zdrojovému kódu spuštěnému v produkci, živé konfiguraci Azure a našim veřejným stránkám — regiony načteny z předplatného, zásady rezidence načteny z jejich přiřazení, konfigurace edge načtena z živých hlaviček odpovědí, chování auditní stopy a podpisů načteno z kódu, který je implementuje. Kde ověření odporovalo stávajícímu dokumentu, ověření zvítězilo. Tak vznikla verze v1.2: opětovná kontrola v1.1 odhalila tvrzení, která nikdy nebyla pravdivá, a toto vydání je opravuje.

Balíček je datován a obsahuje závazek k přezkumu: nejméně každých šest měsíců a znovu vydán vždy, když se změní některý stav v tabulce certifikací nebo v seznamu otevřených položek.

Pokud jste tím, kdo hodnocení provádí

K tomuto dokumentu existuje doprovodný materiál. Kontrolní seznam připravenosti na GMP audit provozu skladu je sebehodnotící prohlídka hranice areálu o 101 kontrolních bodech — a její závěrečná oblast se týká kvalifikace dodavatele vašeho yard systému. Tento balíček je vytvořen tak, aby tuto oblast pokryl, bez ohledu na to, zda hodnoceným dodavatelem jsme my, nebo někdo jiný.

Pokud potřebujete něco, co balíček neobsahuje — úplnou sadu QMS pod NDA, realizované důkazy z testování, přehled softwarových komponent pro konkrétní vydání nebo CAIQ vyplněný ve vaší vlastní šabloně — kontaktujte nás na admin@yardtwin.com. Seznam toho, co je k dispozici na vyžádání, je uveden v §18.