Objavili smo cijeli naš Vendor Assurance Pack — uključujući ono što još nemamo

Evo kako nabava softvera zapravo funkcionira u reguliranom poslovanju. Operacije odabiru alat u drugom tjednu. Kvaliteta i IT sigurnost počinju pregled u četvrtom tjednu. Upitnik stiže dobavljaču u šestom tjednu — četrdeset kartica i zahtjev za GAMP kategorizacijom koju dobavljač nikad nije zapisao. Negdje oko četrnaestog tjedna svi se slože, a ono što je usporilo proces nikad nije bio sam proizvod.

Bili smo na primajućoj strani toga dovoljno puta da zaključimo kako je redoslijed pogrešan. Stoga smo unaprijed objavili odgovore.

*Ažurirano 12. listopada 2026.: paket je ponovo izdan kao v1.2 nakon što je svaki status ponovno provjeren u odnosu na izvorni kod koji radi u produkciji, živu Azure konfiguraciju i naše javne stranice. Verzija 1.1 (23. kolovoza 2026.) i njeno izdanje samo s izmjenama teksta 1.1.1 prenaglasile su nekoliko kontrola; v1.2 ih ispravlja i navodi svaku ispravku. Gdje nešto nije moglo biti verificirano, paket to označava i navodi u slabijem obliku.*

Što se u njemu nalazi

Osamnaest poglavlja, organiziranih tako da recenzent može odmah prijeći na svoj dio. Recenzent kvalitete treba indeks QMS-a, GAMP 5 kategorizaciju i mapiranja Annex 11 i Part 11. IT sigurnost treba topologiju hostinga, sigurnosnu arhitekturu i CAIQ-Lite. DPO treba podjelu upravljač-izvršitelj, registar pod-procesora i poglavlje o upravljanju AI-om. Nabava treba status certifikacije, stav o kontinuitetu poslovanja i podjelu odgovornosti. Pack se otvara tablicom koja svakog od njih upućuje koja poglavlja čitati.

Mapiranja klauzula srž su dokumenta. Svaka klauzula Annex 11 — svih sedamnaest — s opisom što mi radimo u vezi s njom i gdje se nalaze dokazi. Zatim 21 CFR Part 11: kontrole iz §11.10, odredbe o potpisu iz §11.50 i §11.70, te zahtjevi za elektronički potpis iz §11.100, §11.200 i §11.300. Dva od tih redaka označena su kao *vaša* obveza, a ne naša, jer ih dobavljač ne može ispuniti umjesto vas, a pretvaranje da može ostavilo bi prazninu koja se otkriva tek pri inspekciji.

A što se u njemu ne nalazi

Ovo je dio koji je dokument učinio vrijednim pisanja. §13 je tablica statusa certifikacija, a §17 je potpuni popis otvorenih stavki, i zajedno jasno govore:

• Ne posjedujemo SOC 2. SOC 2 angažman može se razmotriti na zahtjev kupca kada ISO 27001 bude uspostavljen — za europsku bazu kupaca, ISO 27001 je certifikat koji recenzije dobavljača traže prvo.
• Još ne posjedujemo ISO 27001. ISMS je otvoren u kolovozu 2026.; certifikacijska revizija Faze 2 planirana je za veljača 2027., a certifikat je usmjeren prema Q1 2027. Dok certifikat ne postoji, paket navodi *nije u posjedu*.
• Naš vatrozid web aplikacije pokreće pet prilagođenih pravila ograničavanja brzine, ali bez upravljanog OWASP skupa pravila. Standardni Front Door razred ne može priložiti jedno — to zahtijeva Premium razred, koji je planiran uz produkcijsku rekonstrukciju.
• Visoka dostupnost nije omogućena na bazi podataka, a naši RTO i RPO su interni ciljevi, a ne ugovorne obveze; ugovorna je 99,5% mjesečna dostupnost na plaćenim planovima. Vježba obnavljanja izvodi se i dokumentira (potpuno produkcijsko obnavljanje izmjereno na manje od 7 minuta), a mjesečne šifrirane sigurnosne kopije čuvaju se do 7 godina prema vremenski zasnovanoj politici nepromjenjivosti koja blokira brisanje i prepisivanje (politika još nije zaključana).
• Još nije proveden neovisni penetracijski test. Jedan je planiran, s ponovnim testiranjem, a njegov opseg je pripremljen. Naša interna revizija koda s bijelim kutijom u listopadu 2026. otkrila je ranjivosti, uključujući dvije Kritične; oba Kritična nalaza su ispravljena u produkciji. Rad iz travnja 2026. bilo je interno funkcionalno sigurnosno testiranje, a ne penetracijski test.

O razlici između usklađenosti i certifikacije

Jedna distinkcija kojoj paket posvećuje odlomak, jer se rutinski zamagljuje na ovom tržištu. Annex 11 i 21 CFR Part 11 su regulatorna očekivanja, a ne certifikacijske sheme. Nijedno tijelo ne izdaje "Annex 11 certifikat", i dobavljač koji ga nudi prodaje nešto što ne postoji. Ono što se može stvarno dokazati jest implementacija mapirana klauzulu po klauzulu s artefaktima iza svakog retka — što paket i sadrži.

SOC 2 i ISO 27001 *jesu* certifikacijske sheme. Mi ih ne posjedujemo. Stoga se ne opisujemo kao certificirani, a certifikacije našeg pružatelja infrastrukture navedene su kao njihove, a ne tiho prikazane kao naše.

Sve u njemu je verificirano, ne kopirano

Dokumenti o usklađenosti zastarijevaju. Regija hostinga se promijeni, nedostatak se zatvori, kontrola se preimenuje, a dokument nastavlja tvrditi arhitekturu prošle godine s pouzdanjem ove godine. Naš je počeo zastarijevati: interni QMS dokument još je opisivao pružatelja hostinga s kojeg smo migrirali, a stranica na našem vlastitom webu opisivala je pogrešne Azure regije.

Tako je svaki status u paketu bio provjeren na dan objave prema izvornom kodu koji se izvodi u produkciji, aktivnoj Azure konfiguraciji i našim javnim stranicama — regije su pročitane iz pretplate, politika rezidentnosti pročitana iz njezine dodjele, konfiguracija ruba pročitana iz aktivnih zaglavlja odgovora, a ponašanje revizijskog traga i potpisa pročitano iz koda koji ih implementira. Gdje je provjera bila u suprotnosti s postojećim dokumentom, provjera je prevagnula. Tako je nastala verzija 1.2: ponovnom provjerom verzije 1.1 pronađene su tvrdnje koje nikada nisu bile točne, a ovo izdanje ih ispravlja.

Paket je datiran i nosi obvezu pregleda: najmanje svakih šest mjeseci, i ponovno se izdaje kad god se promijeni status u tablici certifikacija ili popisu otvorenih stavki.

Ako ste vi taj koji mora provoditi procjenu

Postoji prateći materijal uz ovaj. Kontrolna lista GMP spremnosti dvorišnih operacija za reviziju je samoinspekcijaobs na 101 provjeru granice dvorišta — a njezina posljednja domena je kvalifikacija dobavljača vašeg sustava za upravljanje dvorištem. Ovaj paket napisan je kao odgovor na tu domenu, bez obzira procjenjujete li nas ili nekog drugog dobavljača.

Ako trebate nešto što paket ne sadrži — potpuni QMS skup pod NDA, izvršene dokaze testiranja, popis programske sastavnice za nominiranu verziju ili CAIQ popunjen prema vašem predlošku — kontaktirajte nas na admin@yardtwin.com. Popis onoga što je dostupno na zahtjev nalazi se u §18.