Objavili smo cijeli naš Vendor Assurance Pack — uključujući ono što još nemamo

Evo kako nabava softvera zapravo funkcionira u reguliranom poslovanju. Operacije odabiru alat u drugom tjednu. Kvaliteta i IT sigurnost počinju pregled u četvrtom tjednu. Upitnik stiže dobavljaču u šestom tjednu — četrdeset kartica i zahtjev za GAMP kategorizacijom koju dobavljač nikad nije zapisao. Negdje oko četrnaestog tjedna svi se slože, a ono što je usporilo proces nikad nije bio sam proizvod.

Bili smo na primajućoj strani toga dovoljno puta da zaključimo kako je redoslijed pogrešan. Stoga smo unaprijed objavili odgovore.

*Ažurirano 23. kolovoza 2026.: paket se ponovno izdaje kao v1.1 nakon potpune provjere svakog statusa u odnosu na produkcijsko okruženje. Izmjene idu u oba smjera — stavke dugoročne sigurnosne kopije i probnog obnavljanja su zatvorene, završen je prvi periodični pregled, stavka PDF-a po zapisu je sužena, a put do certifikacije je ponovo naveden s ISO 27001 kao prvim korakom; unos vatrozida je ispravljen prema gore. Odjeljak kontrole dokumenata u paketu navodi svaku izmjenu.*

Što se u njemu nalazi

Osamnaest poglavlja, organiziranih tako da recenzent može odmah prijeći na svoj dio. Recenzent kvalitete treba indeks QMS-a, GAMP 5 kategorizaciju i mapiranja Annex 11 i Part 11. IT sigurnost treba topologiju hostinga, sigurnosnu arhitekturu i CAIQ-Lite. DPO treba podjelu upravljač-izvršitelj, registar pod-procesora i poglavlje o upravljanju AI-om. Nabava treba status certifikacije, stav o kontinuitetu poslovanja i podjelu odgovornosti. Pack se otvara tablicom koja svakog od njih upućuje koja poglavlja čitati.

Mapiranja klauzula srž su dokumenta. Svaka klauzula Annex 11 — svih sedamnaest — s opisom što mi radimo u vezi s njom i gdje se nalaze dokazi. Zatim 21 CFR Part 11: kontrole iz §11.10, odredbe o potpisu iz §11.50 i §11.70, te zahtjevi za elektronički potpis iz §11.100, §11.200 i §11.300. Dva od tih redaka označena su kao *vaša* obveza, a ne naša, jer ih dobavljač ne može ispuniti umjesto vas, a pretvaranje da može ostavilo bi prazninu koja se otkriva tek pri inspekciji.

A što se u njemu ne nalazi

Ovo je dio koji je dokument učinio vrijednim pisanja. §13 je tablica statusa certifikacija, a §17 je potpuni popis otvorenih stavki, i zajedno jasno govore:

• Ne posjedujemo SOC 2 Type II. Namjerno je planiran nakon ISO 27001 — za europsku bazu klijenata, ISO 27001 je certifikat koji recenzenti dobavljača traže — i bit će dodan kada to klijent zatraži.
• Ne posjedujemo ISO 27001 — još uvijek. ISMS je formalno otvoren u kolovozu 2026. i certifikacija od strane akreditiranog tijela planirana je za kasno 2026. ili rano 2027. Dok certifikat ne postoji, u paketu stoji *nije u posjedu*.
• Naš vatrozid za web aplikacije koristi pet prilagođenih pravila ograničavanja brzine, ali ne i upravljani skup OWASP pravila. Razina Standard Front Door ne podržava prilaganje istog — za to je potrebna razina Premium. *Ispravak od 2. kolovoza 2026.: u ovoj je stavci prethodno pisalo da vatrozid nema nikakva pravila i da ništa ne filtrira na sloju 7. To je bilo pogrešno i podcjenjivalo je kontrolu. Na profilu postoje dvije WAF politike i provjerili smo onu koja nije priložena javnoj domeni. Ispravljamo ovo iz istog razloga zbog kojeg smo objavili original — tvrdnja koja je pogrešna u našu korist i tvrdnja koja je pogrešna na našu štetu jednako su pogrešne.*
• Visoka dostupnost nije omogućena na bazi podataka, a naši RTO i RPO interni su ciljevi, a ne ugovorne obveze. Što SE promijenilo od v1.0: probno obnavljanje je izvršeno i dokumentirano (potpuno produkcijsko obnavljanje izmjereno ispod 7 minuta), a mjesečne dugoročne sigurnosne kopije sada se pohranjuju u geo-zonski redundantnu pohranu prema 7-godišnjoj politici nepromjenjivosti s jednokratnim upisom.
• Naše penetracijsko testiranje nije provela neovisna treća strana akreditirana od CREST-a. Testiranje u travnju 2026. nije pokazalo nalaze u deset OWASP kategorija; nije bilo akreditirano neovisno testiranje, i to jasno navodimo na mjestima gdje recenzent traži.

O razlici između usklađenosti i certifikacije

Jedna distinkcija kojoj paket posvećuje odlomak, jer se rutinski zamagljuje na ovom tržištu. Annex 11 i 21 CFR Part 11 su regulatorna očekivanja, a ne certifikacijske sheme. Nijedno tijelo ne izdaje "Annex 11 certifikat", i dobavljač koji ga nudi prodaje nešto što ne postoji. Ono što se može stvarno dokazati jest implementacija mapirana klauzulu po klauzulu s artefaktima iza svakog retka — što paket i sadrži.

SOC 2 i ISO 27001 *jesu* certifikacijske sheme. Mi ih ne posjedujemo. Stoga se ne opisujemo kao certificirani, a certifikacije našeg pružatelja infrastrukture navedene su kao njihove, a ne tiho prikazane kao naše.

Sve u njemu je verificirano, ne kopirano

Dokumenti o usklađenosti zastarijevaju. Regija hostinga se promijeni, nedostatak se zatvori, kontrola se preimenuje, a dokument nastavlja tvrditi arhitekturu prošle godine s pouzdanjem ove godine. Naš je počeo zastarijevati: interni QMS dokument još je opisivao pružatelja hostinga s kojeg smo migrirali, a stranica na našem vlastitom webu opisivala je pogrešne Azure regije.

Stoga je svaki status u paketu provjeren u odnosu na živu produkcijsku infrastrukturu i živi izvorni kôd na dan objave — regije učitane iz pretplate, pravila rezidencije učitana iz njihove dodjele, konfiguracija ruba učitana iz živih zaglavlja odgovora, ponašanje revizijskog traga i potpisa učitano iz kôda koji ih implementira. Gdje je verifikacija proturječila postojećem dokumentu, verifikacija je pobijedila. Tako smo pronašli i skup pravila vatrozida.

Paket je datiran i nosi obvezu pregleda: najmanje svakih šest mjeseci, i ponovno se izdaje kad god se promijeni status u tablici certifikacija ili popisu otvorenih stavki.

Ako ste vi taj koji mora provoditi procjenu

Postoji prateći materijal uz ovaj. Kontrolna lista GMP spremnosti dvorišnih operacija za reviziju je samoinspekcijaobs na 101 provjeru granice dvorišta — a njezina posljednja domena je kvalifikacija dobavljača vašeg sustava za upravljanje dvorištem. Ovaj paket napisan je kao odgovor na tu domenu, bez obzira procjenjujete li nas ili nekog drugog dobavljača.

Ako trebate nešto što paket ne sadrži — potpuni QMS skup pod NDA, izvršene dokaze testiranja, popis programske sastavnice za nominiranu verziju ili CAIQ popunjen prema vašem predlošku — kontaktirajte nas na admin@yardtwin.com. Popis onoga što je dostupno na zahtjev nalazi se u §18.