Me avaldame kogu oma tarnija tagamispakett — sealhulgas selle, mida meil veel ei ole

Nii toimib tarkvarahange reguleeritud ettevõttes tegelikkuses. Operatsioon valib tööriista teisel nädalal. Kvaliteedi- ja IT-turvaosakond alustab ülevaatust neljandal nädalal. Küsimustik jõuab tarnijani kuuendal nädalal – nelikümmend vahekaarti ja nõue GAMP kategoriseerimise kohta, mida tarnija pole kunagi kirja pannud. Kusagil neljateistkümnenda nädala paiku jõuab kõik kokkuleppele ning see, mis protsessi pidurdas, polnud kunagi toode ise.

Oleme ise piisavalt sageli vastuvõtvas rollis olnud, et järeldada: järjestus on vale. Seetõttu oleme vastused avaldanud ette.

*Uuendatud 12. oktoobril 2026: pakett on uuesti välja antud v1.2-na pärast seda, kui iga staatus on uuesti kontrollitud tootmises töötava lähtekoodi, reaalajas Azure'i konfiguratsiooni ja meie avalike lehtede suhtes. Versioon 1.1 (23. august 2026) ja selle ainult sõnastust parandav väljaanne 1.1.1 liialdas mitme kontrolliga; v1.2 parandab need ja loetleb kõik parandused. Kus midagi ei saanud kontrollida, märgib pakett seda ning esitab nõrgemas sõnastuses.*

Mis seal sees on

Kaheksateist jaotist, korraldatud nii, et ülevaataja saab minna otse oma valdkonda. Kvaliteediülevaatajale on vajalikud QMS-i register, GAMP 5 kategoriseerimine ning Annex 11 ja Part 11 kaardistused. IT-turvaosakonnale on vajalikud hostimisstopology, turvaarhitektuur ja CAIQ-Lite. DPO vajab vastutaja ja volitatud töötleja vahelist jaotust, alltöötlejate registrit ja tehisintellekti halduse jaotist. Hankeosakonnal on vaja sertifitseerimise staatust, järjepidevuse hoiakut ja vastutuse jaotust. Dokumendipakk algab tabeliga, mis ütleb igaühele, milliseid jaotisi lugeda.

Klauslite kaardistused on selle tuumik. Iga Annex 11 klausel – kõik seitseteist – koos sellega, mida me selle kohta teeme ja kus tõendusmaterjal asub. Seejärel 21 CFR Part 11: §11.10 kontrollid, §11.50 ja §11.70 allkirjasätted ning §11.100, §11.200 ja §11.300 elektroonilise allkirja nõuded. Kaks rida neist on märgitud *teie* kohustusena, mitte meie omana, kuna neid ei saa tarnija täita ning teisiti väitmine jätaks lünga, mis tuleb päevavalgele alles inspektsiooni käigus.

Ja mis seal sees ei ole

See on osa, mis tegi dokumendi kirjutamise vaevaks. §13 on sertifitseerimisstaatuse tabel ja §17 on täielik avatud punktide loend ning koos öeldakse nendes selgelt:

• Meil ei ole SOC 2 sertifikaati. SOC 2 auditi algatamist saab kaaluda kliendi taotlusel pärast ISO 27001 saamist — Euroopa klientide jaoks on ISO 27001 sertifikaat, mida hankijate ülevaated esimesena nõuavad.
• Meil ei ole veel ISO 27001 sertifikaati. ISMS avati augustis 2026; 2. etapi sertifitseerimisaudit on kavandatud veebruariks 2027 ja sertifikaat on suunatud Q1 2027. Kuni sertifikaadi saamiseni märgib pakett seda kui *ei ole saadud*.
• Meie veebirakenduse tulemüür kasutab viit kohandatud kiirusepiirangu reeglit, kuid mitte hallatavat OWASP reeglite komplekti. Standard Front Door'i tase ei võimalda seda lisada — selleks on vaja Premium'it, mis on kavandatud tootmise ümberehitusega.
• Kõrge kättesaadavus ei ole andmebaasil lubatud ning meie RTO ja RPO on sisemised eesmärgid, mitte lepingulised kohustused; tasulistel plaanidel on 99,5% kuine kättesaadavus lepinguline. Taastamise õppus on läbi viidud ja dokumenteeritud (täielik tootmise taastamine mõõdeti alla 7 minuti) ning igakuised krüpteeritud varukoopiad säilitatakse kuni 7 aastat ajapõhise muutumatuse poliitika alusel, mis blokeerib kustutamise ja ülekirjutamise (poliitika pole veel lukustatud).
• Sõltumatut läbitungimistesti pole veel läbi viidud. Üks on kavandatud koos korduvtestiga ning selle ulatus on ette valmistatud. Meie oktoobri 2026 sisemise valge kasti koodiaudit leidis haavatavusi, sealhulgas kaks Kriitilist; mõlemad Kriitilised leiud on tootmises parandatud. Aprill 2026 töö oli sisemine funktsionaalne turvatestis, mitte läbitungimistest.

Erinevusest vastavuse ja sertifitseerimise vahel

Üks eristus, millele pakett pühendab terve lõigu, kuna seda aetakse selles turusegmendis pidevalt segi. Annex 11 ja 21 CFR Part 11 on regulatiivsed nõuded, mitte sertifitseerimisskeemid. Ükski organ ei väljasta "Annex 11 sertifikaati" ning müüja, kes sellist sertifikaati pakub, müüb midagi, mida tegelikkuses ei eksisteeri. Mida saab tõepoolest tõendada, on rakendus, mis on kaardistatud klauslit klausli haaval koos igale reale vastava dokumentatsiooniga – see ongi paketi sisu.

SOC 2 ja ISO 27001 *on* sertifitseerimisskeemid. Meil neid ei ole. Seetõttu ei kirjelda me ennast sertifitseerituna ning meie infrastruktuuripakkuja sertifikaadid on esitatud tema omadena, mitte vaikselt meie omadena.

Kõik selles oli kontrollitud, mitte kopeeritud

Vastavusdokumendid vananevad. Majutuspiirkond muutub, lünk sulgetakse, kontroll nimetatakse ümber – ja dokument kinnitab jätkuvalt eelmise aasta arhitektuuri tänase enesekindlusega. Meiega oli see juhtumas: sisemine QMS-dokument kirjeldas endiselt majutusteenuse pakkujat, kellelt olime lahkunud, ja meie enda saidil oli vale Azure'i piirkond.

Seega kontrolliti kõik pakis sisalduvad staatused avaldamispäeval tootmiskeskkonnas töötava lähtekoodi, Azure'i reaalajakonfiguratsiooni ja meie avalike lehtede alusel — regioonid loeti tellimusest, residentsuspoliitika loeti selle määrangust, serva konfiguratsioon loeti reaalajas vastuse päistest ning auditijälje ja allkirja käitumine loeti neid rakendavast koodist. Kus kontrollimine olemasolevaga vastuollu läks, seal võitis kontroll. Nii tekkis v1.2: v1.1 ülevaatamisel leiti väiteid, mis polnud kunagi tõesed, ja see väljalase parandab need.

Pakk on kuupäevaga ja sellel on ülevaatuskohustus: vähemalt iga kuue kuu tagant ning uuesti välja antud alati, kui sertifitseerimistabelis või avatud punktide loendis mõni olek muutub.

Kui teie olete see, kes hindamist läbi viib

Sellele on olemas kaasdokument. Yard Operations GMP auditiks valmisoleku kontrollnimekiri on 101-punktiline eneseülevaatuse läbivaatus lao piiridel — ja selle viimane valdkond on teie tarkvara hankija kvalifikatsioon. Käesolev pakett on koostatud selle valdkonna vastamiseks, olenemata sellest, kas hinnatav hankija oleme meie või mitte.

Kui pakett ei sisalda midagi, mida vajate — täielik QMS-komplekt NDA alusel, teostatud testide tõendid, konkreetse versiooni tarkvara komponentide loend või CAIQ teie enda mallil täidetuna — pöörduge meie poole aadressil admin@yardtwin.com. Päringul saadaolevate dokumentide loend on §18.