Julkaisimme koko Vendor Assurance Pack -pakettimme — mukaan lukien mitä meillä ei ole

Näin ohjelmistohankinta toimii säännellyssä yrityksessä käytännössä. Operaatiot valitsevat työkalun toisella viikolla. Laatu ja tietoturva aloittavat arvionsa neljännellä viikolla. Kyselylomake saapuu toimittajalle kuudennella viikolla — neljäkymmentä välilehteä ja pyyntö GAMP-luokituksesta, jota toimittaja ei ole koskaan kirjannut ylös. Jossain neljännentoista viikon tienoilla kaikki sopivat, ja se mikä viivästytti ei koskaan ollut itse tuote.

Olemme olleet vastaanottavalla puolella riittävän monta kertaa tehdäksemme johtopäätöksen, että järjestys on väärä. Siksi olemme julkaisseet vastaukset etukäteen.

*Päivitetty 12. lokakuuta 2026: paketti julkaistaan uudelleen versiona v1.2 sen jälkeen, kun jokainen tila tarkistettiin tuotannossa ajettavan lähdekoodin, live-Azure-konfiguraation ja julkisten sivujemme perusteella. Versio 1.1 (23. elokuuta 2026) ja sen pelkkää sanamuotoa koskeva painos 1.1.1 yliarvioivat useita hallintamenetelmiä; v1.2 korjaa ne ja luettelee jokaisen korjauksen. Kun jotakin ei voitu todentaa, paketti merkitsee sen ja esittää sen heikommassa muodossaan.*

Mitä siinä on

Kahdeksantoista osiota, järjestetty niin, että tarkastaja voi siirtyä suoraan omaan osaansa. Laadun tarkastaja tarvitsee QMS-luettelon, GAMP 5 -luokituksen sekä Annex 11- ja Part 11 -mappaukset. Tietoturva tarvitsee hosting-topologian, tietoturva-arkkitehtuurin ja CAIQ-Liten. DPO tarvitsee rekisterinpitäjä–henkilötietojen käsittelijä -jaon, alihankkijarekisterin ja tekoälyhallintaosion. Hankinta tarvitsee sertifiointistuksen, jatkuvuusaseman ja vastuunjaon. Paketti avautuu taulukolla, joka kertoo kullekin, mitkä osiot luetaan.

Lausekemappaukset ovat sen ydin. Jokainen Annex 11:n lauseke — kaikki seitsemäntoista — sillä mitä teemme asian suhteen ja missä todisteet sijaitsevat. Sitten 21 CFR Part 11: §11.10-kontrollit, §11.50:n ja §11.70:n allekirjoitusmääräykset sekä §11.100:n, §11.200:n ja §11.300:n sähköisen allekirjoituksen vaatimukset. Kaksi näistä riveistä on merkitty *sinun* velvollisuudeksesi eikä meidän, koska niitä ei voi täyttää toimittaja, ja muuta väittäminen jättäisi aukon, joka paljastuu vasta tarkastuksessa.

Ja mitä siinä ei ole

Tämä on se osa, joka teki asiakirjasta kirjoittamisen arvoisen. §13 on sertifiointistatustaulukko ja §17 on täydellinen avointen kohtien luettelo, ja yhdessä ne toteavat selvästi:

• Meillä ei ole SOC 2 -sertifikaattia. SOC 2 -arviointia voidaan harkita asiakkaan pyynnöstä, kun ISO 27001 on käytössä — eurooppalaiselle asiakaskunnalle ISO 27001 on se sertifikaatti, jota toimittaja-arvioinnit ensisijaisesti pyytävät.
• Meillä ei vielä ole ISO 27001 -sertifikaattia. ISMS avattiin elokuussa 2026; vaiheen 2 sertifiointiauditointi on suunniteltu helmikuulle 2027 ja sertifikaatin tavoiteajankohtana on Q1 2027. Sertifikaatin saamiseen asti paketti ilmoittaa *ei myönnetty*.
• Verkkosovelluksen palomuurissa on viisi mukautettua nopeuden rajoittamissääntöä, mutta ei hallittua OWASP-sääntöjoukkoa. Standard Front Door -taso ei tue sitä — se vaatii Premium-tason, jonka käyttöönotto on suunniteltu tuotantoympäristön uudistuksen yhteydessä.
• Korkea käytettävyys ei ole käytössä tietokannassa, ja RTO- ja RPO-tavoitteemme ovat sisäisiä tavoitteita sopimuksellisten sitoumusten sijaan. Maksullisten suunnitelmien 99,5 %:n kuukausittainen käytettävyys on sopimuksellinen. Palautusharjoitus on suoritettu ja dokumentoitu (täydellinen tuotantopalautus mitattuna alle 7 minuutissa), ja kuukausittain salatut varmuuskopiot säilytetään jopa 7 vuotta aikapohjaisella muuttumattomuuskäytännöllä, joka estää poistamisen ja ylikirjoittamisen (käytäntöä ei ole vielä lukittu).
• Riippumatonta penetraatiotestausta ei ole vielä suoritettu. Sellainen on suunniteltu uusintatestauksineen, ja sen laajuus on valmisteltu. Sisäinen white-box-koodiauditointi lokakuussa 2026 löysi haavoittuvuuksia, mukaan lukien kaksi Kriittistä; molemmat Kriittiset löydökset on korjattu tuotannossa. Huhtikuun 2026 työ oli sisäistä toiminnallista tietoturvatestausta, ei penetraatiotestausta.

Vaatimustenmukaisuuden ja sertifioinnin välisestä erosta

Paketti käyttää yhden kappaleen tähän erotteluun, koska sitä hämärretään jatkuvasti markkinoilla. Annex 11 ja 21 CFR Part 11 ovat sääntelyodotuksia, eivät sertifiointijärjestelmiä. Mikään taho ei myönnä "Annex 11 -sertifikaattia", ja toimittaja, joka sellaista tarjoaa, myy jotain, jota ei ole olemassa. Mitä voidaan aidosti osoittaa, on lauseke lausekkeelta kartoitettu toteutus, jossa jokaisella rivillä on todistusaineistoa – ja juuri sellaisen paketti sisältää.

SOC 2 ja ISO 27001 *ovat* sertifiointijärjestelmiä. Meillä ei niitä ole. Emme siksi kuvaile itseämme sertifioiduiksi, ja infrastruktuuritoimittajamme sertifioinnit on listattu heidän ominaan eikä hiljaisesti esitetty meidän ominamme.

Kaikki sisältö on varmennettu, ei kopioitu

Vaatimustenmukaisuusasiakirjat vanhentuvat. Isännöintialue vaihtuu, puute korjataan, hallintamekanismi nimetään uudelleen – ja asiakirja jatkaa viime vuoden arkkitehtuurin väittämistä tämän vuoden varmuudella. Meillä oli alkanut käydä samoin: sisäinen QMS-asiakirja kuvaili edelleen isännöintitoimittajaa, jolta olimme siirtyneet pois, ja sivu omalla sivustollamme kuvasi vääriä Azure-alueita.

Jokainen paketin tila tarkistettiin julkaisupäivänä tuotannossa ajettavaa lähdekoodia, Azure-livekonfiguraatiota ja julkisia sivujamme vasten — alueet luettiin tilauksesta, asumispolitiikka sen tehtäväksiannoista, reunakonfiguraatio live-vastausotsikosta sekä auditointipolku- ja allekirjoituskäyttäytyminen niitä toteuttavasta koodista. Kun tarkistus oli ristiriidassa olemassa olevan dokumentin kanssa, tarkistus voitti. Näin syntyi v1.2: v1.1:n uudelleentarkistuksessa löytyi väittämiä, jotka eivät olleet koskaan pitäneet paikkansa, ja tämä painos korjaa ne.

Paketti on päivätty ja siihen sisältyy tarkistussitoumus: vähintään kuuden kuukauden välein, ja se julkaistaan uudelleen aina kun sertifiointitaulukon tai avointen kohtien luettelon status muuttuu.

Jos olet se, jonka on tehtävä arviointi

Tähän liittyy oheismateriaali. Yard Operations GMP Audit Readiness Checklist on 101 tarkistuspisteen omavalvontakierros piha-alueen rajalla – ja sen viimeinen osa-alue käsittelee pihahallintatoimittajan toimittajakelpoisuuden arviointia. Tämä paketti on kirjoitettu vastaamaan kyseiseen osa-alueeseen riippumatta siitä, oletko arvioimassa meitä vai jotain muuta toimittajaa.

Jos tarvitset jotain, mitä paketti ei sisällä – koko QMS-aineistoa NDA:n alaisena, suoritettua testaustodistusaineistoa, ohjelmiston sisältöluetteloa tietylle versiolle tai CAIQ:n täytettynä omaan malliisi – ota yhteyttä osoitteeseen admin@yardtwin.com. Pyynnöstä saatavilla olevan aineiston luettelo on §18:ssa.