Vi har offentliggjort hele vores Vendor Assurance Pack – inklusive det, vi endnu ikke har

Sådan foregår softwareindkøb reelt i en reguleret virksomhed. Drift vælger værktøjet i uge to. Kvalitet og IT-sikkerhed begynder deres gennemgang i uge fire. Spørgeskemaet lander hos leverandøren i uge seks – fyrre faneblade og en anmodning om en GAMP-kategorisering, som leverandøren aldrig har nedskrevet. Et sted omkring uge fjorten er alle enige, og det, der forsinkede processen, var aldrig selve produktet.

Vi har befundet os i den modtagende ende af det tilstrækkeligt mange gange til at konkludere, at rækkefølgen er forkert. Derfor har vi offentliggjort svarene på forhånd.

*Opdateret 12. oktober 2026: pakken genudgives som v1.2, efter at hver status er genbekræftet mod kildekoden, der kører i produktion, den aktive Azure-konfiguration og vores offentlige sider. Version 1.1 (23. august 2026) og dens redaktionelle udgave 1.1.1 overvurderede flere kontroller; v1.2 korrigerer dem og angiver hver korrektion. Hvor noget ikke kunne verificeres, markerer pakken det og angiver det i en svagere form.*

Hvad indeholder den

Atten sektioner, struktureret så en reviewer kan gå direkte til sin egen del. En kvalitetsreviewer skal bruge QMS-indekset, GAMP 5-kategoriseringen samt Annex 11- og Part 11-mappingen. IT-sikkerhed skal bruge hostingtopologien, sikkerhedsarkitekturen og CAIQ-Lite. En DPO skal bruge den registeransvarliges/databehandlerens opdeling, registeret over underdatabehandlere og AI-governance-afsnittet. Indkøb skal bruge certificeringsstatus, beredskabsstilling og ansvarsfordelingen. Pakken indledes med en tabel, der fortæller hver af dem, hvilke sektioner de skal læse.

Klausulmappingerne udgør kernen. Alle sytten klausuler i Annex 11 – med beskrivelse af, hvad vi gør ved dem, og hvor dokumentationen befinder sig. Derefter 21 CFR Part 11: §11.10-kontrollerne, signaturbestemmelserne i §11.50 og §11.70 samt kravene til elektroniske signaturer i §11.100, §11.200 og §11.300. To af disse rækker er markeret som *jeres* forpligtelse frem for vores, fordi de ikke kan opfyldes af en leverandør – og at lade som om de kunne, ville efterlade et hul, der kun opdages under en inspektion.

Og hvad der ikke er i den

Dette er den del, der gjorde dokumentet værd at skrive. §13 er en tabel over certificeringsstatus, og §17 er en komplet liste over åbne punkter – tilsammen siger de klart:

• Vi er ikke SOC 2-certificeret. Et SOC 2-engagement kan overvejes på kundens anmodning, når ISO 27001 er på plads — for en europæisk kundebase er ISO 27001 det certifikat, leverandørgennemgange normalt efterspørger først.
• Vi er endnu ikke ISO 27001-certificeret. ISMS'et blev åbnet i august 2026; Stage 2-certificeringsauditten er planlagt til februar 2027, og certifikatet forventes i Q1 2027. Indtil certifikatet foreligger, angiver pakken *ikke opnået*.
• Vores webapplikationsfirewall kører fem brugerdefinerede hastighedsbegrænsningsregler, men intet administreret OWASP-regelsæt. Standard Front Door-niveauet understøtter ikke et sådant — det kræver Premium, som er planlagt til produktionsombygget.
• Høj tilgængelighed er ikke aktiveret på databasen, og vores RTO og RPO er interne målsætninger snarere end kontraktmæssige forpligtelser; 99,5 % månedlig tilgængelighed på betalingsplaner er kontraktmæssig. Gendannelsesøvelsen udføres og dokumenteres (en fuld produktionsgendannelse målt til under 7 minutter), og krypterede sikkerhedskopier opbevares månedligt i op til 7 år under en tidsbaseret uforanderligheds-politik, der blokerer sletning og overskrivning (politikken er endnu ikke låst).
• Der er endnu ikke foretaget en uafhængig penetrationstest. En sådan er planlagt med en retest, og dens omfang er forberedt. Vores interne white-box-kodeaudit i oktober 2026 afdækkede sårbarheder, herunder to kritiske; begge kritiske fund er rettet i produktion. Arbejdet i april 2026 var intern funktionel sikkerhedstest, ikke en penetrationstest.

Om forskellen på compliant og certificeret

En sondring som pakken bruger et afsnit på, fordi den løbende sløres i dette marked. Annex 11 og 21 CFR Part 11 er regulatoriske forventninger, ikke certificeringsordninger. Ingen myndighed udsteder et "Annex 11-certifikat", og en leverandør der tilbyder et, sælger noget der ikke eksisterer. Det der reelt kan dokumenteres, er en implementering kortlagt klausul for klausul med artefakter bag hver række – hvilket er præcis, hvad pakken indeholder.

SOC 2 og ISO 27001 *er* certificeringsordninger. Vi har dem ikke. Vi beskriver os derfor ikke som certificerede, og vores infrastrukturleverandørs certificeringer er anført som deres egne frem for stiltiende at blive præsenteret som vores.

Alt i den er verificeret, ikke kopieret

Compliance-dokumenter forældes. En hostingregion ændres, et hul lukkes, en kontrol omdøbes – og dokumentet bliver ved med at hævde fortidens arkitektur med nutidens selvtillid. Vores var begyndt på det: et internt QMS-dokument beskrev stadig en hostingudbyder vi var migreret væk fra, og en side på vores eget websted angav forkerte Azure-regioner.

Hver status i pakken blev kontrolleret på udgivelsesdagen mod den kildekode, der kører i produktion, den aktive Azure-konfiguration og vores offentlige sider — regioner læst fra abonnementet, opbevaringspolitikken læst fra dens tildeling, edge-konfigurationen læst fra aktive svarheadere, revisionsloggen og signaturadferden læst fra den kode, der implementerer dem. Hvor verifikationen modsagde et eksisterende dokument, vandt verifikationen. Det er sådan v1.2 opstod: gennemgang af v1.1 afslørede udsagn, der aldrig havde været korrekte, og denne udgave retter dem.

Pakken er dateret og indeholder en reviewforpligtelse: mindst hvert halve år, og genudgivet når en status i certificeringstabellen eller listen over åbne punkter ændres.

Hvis du er den, der skal foretage vurderingen

Der er et supplerende dokument til dette. Yard Operations GMP Audit Readiness Checklist er en selvinspektionsvandring med 101 kontroller af yard-grænsen – og dens sidste domæne er leverandørkvalificering af dit yard-system. Denne pakke er skrevet til at besvare det domæne, uanset om den leverandør du vurderer er os eller ej.

Hvis du har behov for noget, pakken ikke indeholder – det fulde QMS-sæt under NDA, eksekveret testdokumentation, en software bill of materials for en navngivet release, eller en CAIQ udfyldt i din egen skabelon – kontakt os på admin@yardtwin.com. Listen over, hvad der er tilgængeligt på anmodning, findes i §18.