Zveřejnili jsme celý náš Vendor Assurance Pack — včetně toho, co zatím nemáme

Takto probíhá nákup softwaru v regulovaném prostředí. Provoz vybere nástroj ve druhém týdnu. Oddělení kvality a IT bezpečnosti zahájí přezkum ve čtvrtém týdnu. Dotazník dorazí dodavateli v týdnu šestém — čtyřicet záložek a žádost o kategorizaci GAMP, kterou dodavatel nikdy písemně nezachytil. Někdy kolem čtrnáctého týdne se všichni shodnou, přičemž zpoždění nikdy nezpůsobil samotný produkt.

Sami jsme byli na přijímající straně dostatečně dlouho, aby nám bylo jasné, že tento postup je nesprávný. Proto jsme odpovědi zveřejnili předem.

*Aktualizováno 23. srpna 2026: balíček je vydán jako v1.1 po úplném ověření každého stavu oproti živé produkci. Změny jdou oběma směry — položky dlouhodobé zálohy a cvičení obnovy byly uzavřeny, první periodický přezkum byl dokončen, položka PDF pro jednotlivé záznamy byla zúžena a certifikační postup je znovu uveden jako nejprve ISO 27001; položka firewallu byla opravena směrem nahoru. Oddíl správy dokumentů v balíčku uvádí každou změnu.*

Co dokument obsahuje

Osmnáct sekcí uspořádaných tak, aby kontrolor mohl přejít přímo ke své části. Kontrolor kvality potřebuje index QMS, kategorizaci GAMP 5 a mapování Annex 11 a Part 11. IT bezpečnost potřebuje topologii hostingu, bezpečnostní architekturu a CAIQ-Lite. Pověřenec pro ochranu osobních údajů potřebuje rozdělení rolí správce a zpracovatele, registr dílčích zpracovatelů a sekci věnovanou správě AI. Nákupní oddělení potřebuje stav certifikací, postoj ke kontinuitě provozu a rozdělení odpovědností. Dokument je uveden tabulkou, která každého z nich navede na příslušné sekce.

Jádrem dokumentu jsou mapování ustanovení. Každé ustanovení Annex 11 — všech sedmnáct — s popisem našeho přístupu a umístěním důkazů. Následuje 21 CFR Part 11: kontroly §11.10, ustanovení o podpisech §11.50 a §11.70 a požadavky na elektronické podpisy §11.100, §11.200 a §11.300. Dva z těchto řádků jsou označeny jako *vaše* povinnost, nikoli naše, protože je dodavatel splnit nemůže, a předstírat opak by zanechalo mezeru, která se projeví až při inspekci.

A co v něm není

Tato část dala smysl celému dokumentu. §13 obsahuje tabulku stavu certifikací a §17 úplný seznam otevřených položek – a dohromady říkají zcela jasně:

• Nedisponujeme SOC 2 Type II. Je záměrně zařazen až po ISO 27001 — pro evropskou zákaznickou základnu je ISO 27001 certifikátem, který recenze dodavatelů vyžadují — a bude doplněn, jakmile to zákazník bude požadovat.
• ISO 27001 zatím nedisponujeme. ISMS byl formálně otevřen v srpnu 2026 a certifikace akreditovaným orgánem je plánována na konec roku 2026 až začátek roku 2027. Dokud certifikát neexistuje, balíček uvádí *není držen*.
• Náš firewall webových aplikací provozuje pět vlastních pravidel omezení rychlosti, avšak bez spravované sady pravidel OWASP. Úroveň Standard Front Door ji nemůže připojit — k tomu je potřeba úroveň Premium. *Opraveno 2. srpna 2026: v tomto bodě bylo dříve uvedeno, že firewall nemá žádná pravidla a nefiltruje nic na vrstvě 7. To bylo nesprávné a podceňovalo danou kontrolu. Na profilu existují dvě WAF politiky a zkontrolovali jsme tu, která není připojena k veřejné doméně. Opravujeme to ze stejného důvodu, proč jsme původní verzi zveřejnili — tvrzení nesprávné v náš prospěch i tvrzení nesprávné v náš neprospěch jsou prostě obojí nesprávná.*
• Vysoká dostupnost není povolena na databázi a naše cíle RTO a RPO jsou interní, nikoli smluvní závazky. Co se od verze v1.0 změnilo: obnova byla provedena a zdokumentována (úplná produkční obnova trvala méně než 7 minut) a měsíční dlouhodobé zálohy nyní běží do geograficky zónově redundantního úložiště s politikou neměnnosti write-once na 7 let.
• Náš penetrační test nebyl proveden třetí stranou akreditovanou organizací CREST. Test provedený v dubnu 2026 nevykázal žádné nálezy v deseti kategoriích OWASP; nešlo o akreditovaný nezávislý test a uvádíme to tam, kde to auditor hledá.

O rozdílu mezi shodou a certifikací

Jeden rozdíl, kterému balíček věnuje celý odstavec, protože na tomto trhu bývá pravidelně zaměňován. Annex 11 a 21 CFR Part 11 jsou regulatorní požadavky, nikoli certifikační schémata. Žádný orgán nevydává „certifikát Annex 11" a dodavatel, který něco takového nabízí, prodává něco, co neexistuje. Co lze skutečně doložit, je implementace zmapovaná klauzuli po klauzuli s podkladovými artefakty ke každému řádku — a přesně to balíček obsahuje.

SOC 2 a ISO 27001 *jsou* certifikační schémata. My je nevlastníme. Proto se nenazýváme certifikovanými a certifikace našeho poskytovatele infrastruktury jsou uvedeny jako jejich vlastní, nikoli tiše prezentovány jako naše.

Vše v něm bylo ověřeno, nikoli zkopírováno

Dokumenty o souladu s předpisy zastarávají. Změní se hostingový region, odstraní se mezera, přejmenuje se kontrola – a dokument nadále s letošní jistotou popisuje loňskou architekturu. I nám se to stávalo: interní dokument QMS stále popisoval poskytovatele hostingu, od kterého jsme migrovali, a stránka na našem vlastním webu uváděla nesprávné regiony Azure.

Každý stav uvedený v balíčku byl proto v den publikace ověřen oproti živé produkční infrastruktuře a živému zdrojovému kódu – regiony načteny z předplatného, zásady rezidence dat načteny z jejich přiřazení, konfigurace edge načtena ze živých hlaviček odpovědí, chování auditní stopy a podpisů načteno z kódu, který je implementuje. Tam, kde ověření odporovalo stávajícímu dokumentu, mělo ověření přednost. Právě tak jsme také objevili problém se sadou pravidel firewallu.

Balíček je datován a obsahuje závazek k přezkumu: nejméně každých šest měsíců a znovu vydán vždy, když se změní některý stav v tabulce certifikací nebo v seznamu otevřených položek.

Pokud jste tím, kdo hodnocení provádí

K tomuto dokumentu existuje doprovodný materiál. Kontrolní seznam připravenosti na GMP audit provozu skladu je sebehodnotící prohlídka hranice areálu o 101 kontrolních bodech — a její závěrečná oblast se týká kvalifikace dodavatele vašeho yard systému. Tento balíček je vytvořen tak, aby tuto oblast pokryl, bez ohledu na to, zda hodnoceným dodavatelem jsme my, nebo někdo jiný.

Pokud potřebujete něco, co balíček neobsahuje — úplnou sadu QMS pod NDA, realizované důkazy z testování, přehled softwarových komponent pro konkrétní vydání nebo CAIQ vyplněný ve vaší vlastní šabloně — kontaktujte nás na admin@yardtwin.com. Seznam toho, co je k dispozici na vyžádání, je uveden v §18.