Hemos publicado nuestro Vendor Assurance Pack completo — incluido lo que aún no tenemos

Así es como funciona realmente la adquisición de software en un negocio regulado. Operaciones elige la herramienta en la semana dos. Calidad y seguridad de TI inician su revisión en la semana cuatro. El cuestionario llega al proveedor en la semana seis — cuarenta pestañas y una solicitud de categorización GAMP que el proveedor nunca ha documentado. Alrededor de la semana catorce todo el mundo llega a un acuerdo, y lo que lo retrasó nunca fue el producto.

Hemos recibido suficientes veces ese proceso para concluir que la secuencia es incorrecta. Por eso hemos publicado las respuestas de antemano.

*Actualizado el 12 de octubre de 2026: el paquete se reedita como v1.2 tras verificar cada estado frente al código fuente en ejecución en producción, la configuración activa de Azure y nuestras páginas públicas. La versión 1.1 (23 de agosto de 2026) y su edición de solo texto 1.1.1 sobreestimaban varios controles; v1.2 los corrige y enumera cada corrección. Donde no fue posible verificar algo, el paquete lo indica y lo expresa en su forma más conservadora.*

Qué contiene

Dieciocho secciones, organizadas para que cada revisor pueda ir directamente a su parte. Un revisor de calidad necesita el índice del QMS, la categorización GAMP 5 y los mapeos de Annex 11 y Part 11. Seguridad de TI necesita la topología de alojamiento, la arquitectura de seguridad y el CAIQ-Lite. Un DPO necesita la división responsable-encargado, el registro de subencargados y la sección de gobernanza de IA. Compras necesita el estado de certificación, la postura de continuidad y la distribución de responsabilidades. El documento abre con una tabla que indica a cada perfil qué secciones debe leer.

Los mapeos de cláusulas son el núcleo del documento. Cada cláusula de Annex 11 — las diecisiete — con lo que hacemos al respecto y dónde se encuentra la evidencia. Luego 21 CFR Part 11: los controles del §11.10, las disposiciones sobre firmas del §11.50 y §11.70, y los requisitos de firma electrónica del §11.100, §11.200 y §11.300. Dos de esas filas están marcadas como obligación *suya* y no nuestra, porque no pueden ser asumidas por un proveedor, y fingir lo contrario dejaría una laguna que solo aflora durante una inspección.

Y lo que no contiene

Esta es la parte que justificó escribir el documento. El §13 es una tabla de estado de certificaciones y el §17 es una lista completa de elementos abiertos; entre ambos se afirma con claridad:

• No disponemos de SOC 2. Un proceso de certificación SOC 2 puede considerarse a solicitud del cliente una vez que ISO 27001 esté vigente — para una base de clientes europea, ISO 27001 es el certificado que las revisiones de proveedores solicitan en primer lugar.
• No disponemos de ISO 27001 — todavía. El SGSI se abrió en agosto de 2026; la auditoría de certificación de Fase 2 está prevista para febrero de 2027 y el certificado tiene como objetivo el T1 de 2027. Hasta que el certificado exista, el paquete indica *no obtenido*.
• Nuestro firewall de aplicaciones web ejecuta cinco reglas personalizadas de limitación de velocidad, pero ningún conjunto de reglas OWASP gestionado. El nivel Standard de Front Door no permite adjuntar uno — eso requiere Premium, que está previsto con la renovación del entorno de producción.
• La alta disponibilidad no está habilitada en la base de datos, y nuestros objetivos de RTO y RPO son metas internas en lugar de compromisos contractuales; la disponibilidad mensual del 99,5% en los planes de pago sí es contractual. El simulacro de restauración se ejecuta y documenta (una restauración completa de producción medida en menos de 7 minutos), y las copias de seguridad cifradas mensuales se conservan hasta 7 años bajo una política de inmutabilidad basada en tiempo que bloquea la eliminación y la sobreescritura (política aún no bloqueada).
• Aún no se ha realizado ninguna prueba de penetración independiente. Está prevista una, con una prueba de repetición, y su alcance está preparado. Nuestra auditoría interna de código de caja blanca en octubre de 2026 sí detectó vulnerabilidades, incluidas dos Críticas; ambos hallazgos Críticos están corregidos en producción. El trabajo de abril de 2026 fue una prueba de seguridad funcional interna, no una prueba de penetración.

Sobre la diferencia entre cumplir y estar certificado

El pack dedica un párrafo a una distinción que en este mercado se confunde habitualmente. Annex 11 y 21 CFR Part 11 son expectativas regulatorias, no esquemas de certificación. Ningún organismo emite un «certificado Annex 11», y un proveedor que lo ofrezca está vendiendo algo que no existe. Lo que sí puede evidenciarse genuinamente es una implementación mapeada cláusula por cláusula con artefactos que respaldan cada fila, que es precisamente lo que contiene el pack.

SOC 2 e ISO 27001 *sí* son esquemas de certificación. No disponemos de ellos. Por tanto, no nos describimos como certificados, y las certificaciones de nuestro proveedor de infraestructura se presentan como suyas y no como nuestras de forma implícita.

Todo su contenido fue verificado, no copiado

Los documentos de cumplimiento se deterioran. Una región de alojamiento cambia, se cierra una brecha, se renombra un control, y el documento sigue describiendo la arquitectura del año pasado con la confianza del año en curso. El nuestro había empezado a hacerlo: un documento interno del QMS seguía describiendo un proveedor de alojamiento del que ya habíamos migrado, y una página de nuestro propio sitio web mencionaba las regiones de Azure incorrectas.

Así pues, cada estado incluido en el paquete fue verificado el día de su publicación contra el código fuente en ejecución en producción, la configuración activa de Azure y nuestras páginas públicas: las regiones se leyeron desde la suscripción, la política de residencia desde su asignación, la configuración de edge desde las cabeceras de respuesta en vivo, y el comportamiento del registro de auditoría y las firmas desde el código que los implementa. Cuando la verificación contradijo un documento existente, prevaleció la verificación. Así es como surgió la v1.2: al revisar la v1.1 se encontraron afirmaciones que nunca habían sido ciertas, y esta edición las corrige.

El pack está fechado e incluye un compromiso de revisión: al menos cada seis meses, y se reemite siempre que cambie algún estado en la tabla de certificaciones o en la lista de elementos abiertos.

Si usted es quien debe realizar la evaluación

Existe un documento complementario a este. La Lista de verificación de preparación para auditorías GMP en operaciones de patio es una autoinspección de 101 puntos del perímetro del patio, cuyo dominio final es la cualificación de proveedores de su sistema de gestión de patio. Este pack está redactado para responder a ese dominio, independientemente de si el proveedor que está evaluando somos nosotros.

Si necesita algo que el pack no contiene —el conjunto completo del QMS bajo NDA, evidencia de pruebas ejecutadas, un listado de materiales de software para una versión específica o un CAIQ completado con su propia plantilla— contáctenos en admin@yardtwin.com. La lista de lo disponible bajo solicitud está en el §18.