Δημοσιεύσαμε Ολόκληρο το Vendor Assurance Pack μας — Συμπεριλαμβανομένου Αυτού που Δεν Έχουμε

Έτσι λειτουργεί στην πραγματικότητα η προμήθεια λογισμικού σε ρυθμιζόμενη επιχείρηση. Οι λειτουργίες επιλέγουν το εργαλείο την δεύτερη εβδομάδα. Η Ποιότητα και η IT ασφάλεια ξεκινούν την αξιολόγησή τους την τέταρτη εβδομάδα. Το ερωτηματολόγιο φτάνει στον προμηθευτή την έκτη εβδομάδα — σαράντα καρτέλες και αίτημα για κατηγοριοποίηση GAMP που ο προμηθευτής δεν έχει ποτέ καταγράψει. Κάπου γύρω στην δέκατη τέταρτη εβδομάδα όλοι συμφωνούν, και αυτό που καθυστέρησε δεν ήταν ποτέ το προϊόν.

Έχουμε βρεθεί αρκετές φορές στη θέση του παραλήπτη για να καταλήξουμε ότι η σειρά είναι λανθασμένη. Γι' αυτό δημοσιεύουμε τις απαντήσεις εκ των προτέρων.

*Ενημερώθηκε 12 Οκτωβρίου 2026: το πακέτο επανεκδίδεται ως v1.2 αφού κάθε κατάσταση επαληθεύτηκε εκ νέου σε σχέση με τον πηγαίο κώδικα που εκτελείται σε παραγωγή, την ενεργή διαμόρφωση Azure και τις δημόσιες σελίδες μας. Η έκδοση 1.1 (23 Αυγούστου 2026) και η έκδοση μόνο διατύπωσης 1.1.1 υπερεκτιμούσαν αρκετούς ελέγχους· η v1.2 τους διορθώνει και παραθέτει κάθε διόρθωση. Όπου κάτι δεν μπόρεσε να επαληθευτεί, το πακέτο το σημειώνει και το δηλώνει στην ασθενέστερη μορφή του.*

Τι περιέχει

Δεκαοκτώ ενότητες, οργανωμένες ώστε ο αξιολογητής να μπορεί να μεταβεί απευθείας στο δικό του τμήμα. Ο αξιολογητής ποιότητας χρειάζεται το ευρετήριο QMS, την κατηγοριοποίηση GAMP 5 και τις αντιστοιχίσεις Annex 11 και Part 11. Η IT ασφάλεια χρειάζεται την τοπολογία φιλοξενίας, την αρχιτεκτονική ασφάλειας και το CAIQ-Lite. Ο DPO χρειάζεται τον διαχωρισμό υπευθύνου-εκτελούντος επεξεργασία, το μητρώο υπο-επεξεργαστών και την ενότητα διακυβέρνησης AI. Οι προμήθειες χρειάζονται την κατάσταση πιστοποίησης, τη στάση επιχειρησιακής συνέχειας και τον διαχωρισμό ευθυνών. Το πακέτο ανοίγει με πίνακα που τους υποδεικνύει ποιες ενότητες να διαβάσουν.

Οι αντιστοιχίσεις ρητρών αποτελούν τον πυρήνα του. Κάθε ρήτρα του Annex 11 — και οι δεκαεπτά — με τα μέτρα που λαμβάνουμε και πού βρίσκονται τα αποδεικτικά στοιχεία. Στη συνέχεια 21 CFR Part 11: οι έλεγχοι §11.10, οι διατάξεις υπογραφής §11.50 και §11.70, και οι απαιτήσεις ηλεκτρονικής υπογραφής §11.100, §11.200 και §11.300. Δύο από αυτές τις γραμμές επισημαίνονται ως *δική σας* υποχρέωση και όχι δική μας, γιατί δεν μπορούν να εκπληρωθούν από προμηθευτή, και η παραποίηση αυτού θα άφηνε κενό που αποκαλύπτεται μόνο κατά τη διάρκεια επιθεώρησης.

Και τι δεν περιέχει

Αυτό είναι το τμήμα που έκανε το έγγραφο αξιόλογο. Η §13 είναι πίνακας κατάστασης πιστοποιήσεων και η §17 είναι πλήρης λίστα ανοιχτών θεμάτων, και μαζί δηλώνουν ξεκάθαρα:

• Δεν διαθέτουμε SOC 2. Μια δέσμευση SOC 2 μπορεί να εξεταστεί κατόπιν αιτήματος πελάτη μόλις υπάρξει το ISO 27001 — για ευρωπαϊκή πελατειακή βάση, το ISO 27001 είναι το πιστοποιητικό που ζητούν πρώτα οι αξιολογήσεις προμηθευτών.
• Δεν διαθέτουμε ISO 27001 — ακόμη. Το ISMS εγκαινιάστηκε τον Αύγουστο 2026· ο έλεγχος πιστοποίησης Σταδίου 2 προγραμματίζεται για τον Φεβρουάριο 2027 και το πιστοποιητικό στοχεύεται για το Q1 2027. Έως ότου εκδοθεί το πιστοποιητικό, το πακέτο αναφέρει *δεν κατέχεται*.
• Το τείχος προστασίας εφαρμογής ιστού μας εκτελεί πέντε προσαρμοσμένους κανόνες περιορισμού ρυθμού, αλλά κανένα διαχειριζόμενο σύνολο κανόνων OWASP. Το επίπεδο Standard Front Door δεν μπορεί να επισυνάψει κάποιο — αυτό απαιτεί το Premium, το οποίο προγραμματίζεται με την αναδόμηση παραγωγής.
• Η υψηλή διαθεσιμότητα δεν είναι ενεργοποιημένη στη βάση δεδομένων, και τα RTO και RPO μας είναι εσωτερικοί στόχοι και όχι συμβατικές δεσμεύσεις· η μηνιαία διαθεσιμότητα 99,5% στα επί πληρωμή πλάνα είναι συμβατική. Η ανάκτηση δοκιμάζεται και τεκμηριώνεται (πλήρης ανάκτηση παραγωγής μετρήθηκε σε λιγότερο από 7 λεπτά), και τα μηνιαία κρυπτογραφημένα αντίγραφα ασφαλείας διατηρούνται για έως 7 χρόνια βάσει πολιτικής αμετάβλητης χρονικής βάσης που αποκλείει διαγραφή και αντικατάσταση (η πολιτική δεν έχει ακόμη κλειδωθεί).
• Δεν έχει διενεργηθεί ακόμη ανεξάρτητη δοκιμή διείσδυσης. Μία προγραμματίζεται, με επαναδοκιμή, και το πεδίο εφαρμογής της είναι έτοιμο. Ο εσωτερικός λευκού κουτιού έλεγχος κώδικα τον Οκτώβριο 2026 εντόπισε ευπάθειες, συμπεριλαμβανομένων δύο Κρίσιμων· και τα δύο Κρίσιμα ευρήματα έχουν διορθωθεί σε παραγωγή. Η εργασία του Απριλίου 2026 ήταν εσωτερικές λειτουργικές δοκιμές ασφάλειας, όχι δοκιμή διείσδυσης.

Η διαφορά μεταξύ συμμόρφωσης και πιστοποίησης

Μια διάκριση στην οποία το πακέτο αφιερώνει μια παράγραφο, καθώς συχνά θολώνει στην αγορά αυτή. Το Annex 11 και το 21 CFR Part 11 είναι κανονιστικές απαιτήσεις, όχι σχήματα πιστοποίησης. Κανένας φορέας δεν εκδίδει «πιστοποιητικό Annex 11», και ένας προμηθευτής που το προσφέρει πουλά κάτι που δεν υπάρχει. Αυτό που μπορεί να τεκμηριωθεί αξιόπιστα είναι μια υλοποίηση αντιστοιχισμένη ρήτρα-ρήτρα με αποδεικτικά στοιχεία πίσω από κάθε γραμμή — και αυτό ακριβώς περιέχει το πακέτο.

Το SOC 2 και το ISO 27001 *είναι* σχήματα πιστοποίησης. Δεν τα διαθέτουμε. Επομένως δεν περιγράφουμε τους εαυτούς μας ως πιστοποιημένους, και οι πιστοποιήσεις του παρόχου υποδομών μας παρατίθενται ως δικές του και όχι σιωπηλά ως δικές μας.

Κάθε στοιχείο επαληθεύτηκε, δεν αντιγράφηκε

Τα έγγραφα συμμόρφωσης παλιώνουν. Αλλάζει μια περιοχή φιλοξενίας, κλείνει ένα κενό, μετονομάζεται ένας έλεγχος, και το έγγραφο συνεχίζει να περιγράφει την αρχιτεκτονική του προηγούμενου έτους με την εμπιστοσύνη του τρέχοντος. Το δικό μας είχε αρχίσει να το κάνει: ένα εσωτερικό έγγραφο QMS περιέγραφε ακόμη έναν πάροχο φιλοξενίας από τον οποίο είχαμε μεταναστεύσει, και μια σελίδα στον ιστότοπό μας ανέφερε λανθασμένες περιοχές Azure.

Κάθε κατάσταση στο πακέτο ελέγχθηκε την ημέρα δημοσίευσης έναντι του πηγαίου κώδικα που εκτελείται στην παραγωγή, της ζωντανής διαμόρφωσης Azure και των δημόσιων σελίδων μας — οι περιοχές διαβάστηκαν από τη συνδρομή, η πολιτική κατοικίας από την ανάθεσή της, η διαμόρφωση edge από τα ζωντανά headers απόκρισης, η συμπεριφορά ιχνηλασίου ελέγχου και υπογραφής από τον κώδικα που τα υλοποιεί. Όπου η επαλήθευση αντέφασκε με ένα υπάρχον έγγραφο, υπερίσχυσε η επαλήθευση. Αυτός είναι ο τρόπος που προέκυψε η v1.2: η επανεξέταση της v1.1 αποκάλυψε δηλώσεις που δεν ήταν ποτέ αληθείς, και η παρούσα έκδοση τις διορθώνει.

Το πακέτο φέρει ημερομηνία και δέσμευση επανεξέτασης: τουλάχιστον κάθε έξι μήνες, και επανεκδίδεται κάθε φορά που αλλάζει μια κατάσταση στον πίνακα πιστοποιήσεων ή στη λίστα ανοιχτών θεμάτων.

Εάν εσείς είστε αυτός που πρέπει να αξιολογήσει

Υπάρχει ένα συνοδευτικό κείμενο για αυτό. Το Yard Operations GMP Audit Readiness Checklist είναι μια αυτοεπιθεώρηση 101 σημείων στη ζώνη yard — και ο τελευταίος τομέας του αφορά την αξιολόγηση προμηθευτή για τον πάροχο συστήματος yard. Αυτό το πακέτο είναι γραμμένο για να απαντά σε αυτόν τον τομέα, ανεξάρτητα από το αν ο προμηθευτής που αξιολογείτε είμαστε εμείς.

Εάν χρειάζεστε κάτι που το πακέτο δεν περιέχει — το πλήρες σύνολο QMS υπό NDA, εκτελεσμένα αποδεικτικά δοκιμών, software bill of materials για μια συγκεκριμένη έκδοση, ή CAIQ συμπληρωμένο στο δικό σας πρότυπο — επικοινωνήστε μαζί μας στο admin@yardtwin.com. Η λίστα των διαθέσιμων κατόπιν αιτήματος βρίσκεται στη §18.