Objavili smo cijeli naš Vendor Assurance Pack — uključujući ono što još nemamo

Evo kako nabava softvera zapravo funkcionira u reguliranom poslovanju. Operacije odabiru alat u drugom tjednu. Kvaliteta i IT sigurnost počinju pregled u četvrtom tjednu. Upitnik stiže dobavljaču u šestom tjednu — četrdeset kartica i zahtjev za GAMP kategorizacijom koju dobavljač nikad nije zapisao. Negdje oko četrnaestog tjedna svi se slože, a ono što je usporilo proces nikad nije bio sam proizvod.

Bili smo na primajućoj strani toga dovoljno puta da zaključimo kako je redoslijed pogrešan. Stoga smo unaprijed objavili odgovore.

Što se u njemu nalazi

Osamnaest poglavlja, organiziranih tako da recenzent može odmah prijeći na svoj dio. Recenzent kvalitete treba indeks QMS-a, GAMP 5 kategorizaciju i mapiranja Annex 11 i Part 11. IT sigurnost treba topologiju hostinga, sigurnosnu arhitekturu i CAIQ-Lite. DPO treba podjelu upravljač-izvršitelj, registar pod-procesora i poglavlje o upravljanju AI-om. Nabava treba status certifikacije, stav o kontinuitetu poslovanja i podjelu odgovornosti. Pack se otvara tablicom koja svakog od njih upućuje koja poglavlja čitati.

Mapiranja klauzula srž su dokumenta. Svaka klauzula Annex 11 — svih sedamnaest — s opisom što mi radimo u vezi s njom i gdje se nalaze dokazi. Zatim 21 CFR Part 11: kontrole iz §11.10, odredbe o potpisu iz §11.50 i §11.70, te zahtjevi za elektronički potpis iz §11.100, §11.200 i §11.300. Dva od tih redaka označena su kao *vaša* obveza, a ne naša, jer ih dobavljač ne može ispuniti umjesto vas, a pretvaranje da može ostavilo bi prazninu koja se otkriva tek pri inspekciji.

A što se u njemu ne nalazi

Ovo je dio koji je dokument učinio vrijednim pisanja. §13 je tablica statusa certifikacija, a §17 je potpuni popis otvorenih stavki, i zajedno jasno govore:

• Ne posjedujemo SOC 2 Type II. Planiran je kombinirani program s ISO 27001, s realnim ciljnim rokovima — ne tvrdnja da je revizija u tijeku.
• Ne posjedujemo ISO 27001.
• Naš web-aplikacijski vatrozid nema priložen skup pravila. Pravila su u načinu Prevencije, što zvuči umirujuće, ali bez pravila ne filtrira ništa na sloju 7. Otkrili smo to prilikom provjere tvrdnji za ovaj dokument i radije ćemo to objaviti nego dopustiti da recenzent sam pronađe.
• Visoka dostupnost nije omogućena na bazi podataka, georedundantna pohrana sigurnosnih kopija je isključena, a naši RTO i RPO su interni ciljevi, a ne ugovorne obveze.
• Naše penetracijsko testiranje nije provela neovisna treća strana akreditirana od CREST-a. Testiranje u travnju 2026. nije pokazalo nalaze u deset OWASP kategorija; nije bilo akreditirano neovisno testiranje, i to jasno navodimo na mjestima gdje recenzent traži.

O razlici između usklađenosti i certifikacije

Jedna distinkcija kojoj paket posvećuje odlomak, jer se rutinski zamagljuje na ovom tržištu. Annex 11 i 21 CFR Part 11 su regulatorna očekivanja, a ne certifikacijske sheme. Nijedno tijelo ne izdaje "Annex 11 certifikat", i dobavljač koji ga nudi prodaje nešto što ne postoji. Ono što se može stvarno dokazati jest implementacija mapirana klauzulu po klauzulu s artefaktima iza svakog retka — što paket i sadrži.

SOC 2 i ISO 27001 *jesu* certifikacijske sheme. Mi ih ne posjedujemo. Stoga se ne opisujemo kao certificirani, a certifikacije našeg pružatelja infrastrukture navedene su kao njihove, a ne tiho prikazane kao naše.

Sve u njemu je verificirano, ne kopirano

Dokumenti o usklađenosti zastarijevaju. Regija hostinga se promijeni, nedostatak se zatvori, kontrola se preimenuje, a dokument nastavlja tvrditi arhitekturu prošle godine s pouzdanjem ove godine. Naš je počeo zastarijevati: interni QMS dokument još je opisivao pružatelja hostinga s kojeg smo migrirali, a stranica na našem vlastitom webu opisivala je pogrešne Azure regije.

Stoga je svaki status u paketu provjeren u odnosu na živu produkcijsku infrastrukturu i živi izvorni kôd na dan objave — regije učitane iz pretplate, pravila rezidencije učitana iz njihove dodjele, konfiguracija ruba učitana iz živih zaglavlja odgovora, ponašanje revizijskog traga i potpisa učitano iz kôda koji ih implementira. Gdje je verifikacija proturječila postojećem dokumentu, verifikacija je pobijedila. Tako smo pronašli i skup pravila vatrozida.

Paket je datiran i nosi obvezu pregleda: najmanje svakih šest mjeseci, i ponovno se izdaje kad god se promijeni status u tablici certifikacija ili popisu otvorenih stavki.

Ako ste vi taj koji mora provoditi procjenu

Postoji prateći materijal uz ovaj. Kontrolna lista GMP spremnosti dvorišnih operacija za reviziju je samoinspekcijaobs na 101 provjeru granice dvorišta — a njezina posljednja domena je kvalifikacija dobavljača vašeg sustava za upravljanje dvorištem. Ovaj paket napisan je kao odgovor na tu domenu, bez obzira procjenjujete li nas ili nekog drugog dobavljača.

Ako trebate nešto što paket ne sadrži — potpuni QMS skup pod NDA, izvršene dokaze testiranja, popis programske sastavnice za nominiranu verziju ili CAIQ popunjen prema vašem predlošku — kontaktirajte nas na admin@yardtwin.com. Popis onoga što je dostupno na zahtjev nalazi se u §18.