Abbiamo Pubblicato il Nostro Intero Vendor Assurance Pack — Incluso Ciò Che Non Abbiamo

Ecco come funziona concretamente l'approvvigionamento software in un'azienda regolamentata. Le Operations scelgono lo strumento nella seconda settimana. Qualità e IT Security avviano la loro revisione nella quarta settimana. Il questionario arriva al fornitore nella sesta settimana — quaranta schede e una richiesta di categorizzazione GAMP che il fornitore non ha mai messo per iscritto. Intorno alla quattordicesima settimana tutti trovano un accordo, e ciò che ha causato i ritardi non è mai stato il prodotto.

Siamo stati abbastanza spesso dall'altra parte per concludere che la sequenza è sbagliata. Perciò abbiamo pubblicato le risposte in anticipo.

*Aggiornato il 12 ottobre 2026: il pacchetto è stato ripubblicato come v1.2 dopo che ogni stato è stato ri-verificato rispetto al codice sorgente in esecuzione in produzione, alla configurazione Azure attiva e alle nostre pagine pubbliche. La versione 1.1 (23 agosto 2026) e la sua edizione solo redazionale 1.1.1 sovrastimavano diversi controlli; la v1.2 li corregge ed elenca ogni correzione. Dove non è stato possibile effettuare una verifica, il pacchetto lo segnala e lo riporta nella sua forma più prudente.*

Cosa contiene

Diciotto sezioni, organizzate in modo che un revisore possa andare direttamente alla propria parte. Un revisore della qualità ha bisogno dell'indice del QMS, della categorizzazione GAMP 5 e delle mappature di Annex 11 e Part 11. L'IT Security ha bisogno della topologia di hosting, dell'architettura di sicurezza e del CAIQ-Lite. Un DPO ha bisogno della suddivisione controller-processor, del registro dei sub-responsabili del trattamento e della sezione sulla governance dell'intelligenza artificiale. Il procurement ha bisogno dello stato delle certificazioni, della postura di continuità operativa e della suddivisione delle responsabilità. Il documento si apre con una tabella che indica a ciascuno quali sezioni leggere.

Le mappature delle clausole ne sono il nucleo. Ogni clausola di Annex 11 — tutte e diciassette — con le nostre azioni corrispondenti e il riferimento alle evidenze. Poi 21 CFR Part 11: i controlli §11.10, le disposizioni sulle firme di §11.50 e §11.70, e i requisiti per le firme elettroniche di §11.100, §11.200 e §11.300. Due di quelle righe sono contrassegnate come obbligo *vostro* anziché nostro, perché non possono essere adempiute da un fornitore, e fingere il contrario lascerebbe una lacuna che emerge solo durante un'ispezione.

E cosa non contiene

Questa è la parte che ha reso il documento degno di essere scritto. Il §13 è una tabella dello stato delle certificazioni e il §17 è un elenco completo delle questioni aperte; tra i due, affermano chiaramente:

• Non disponiamo di SOC 2. Un'adesione a SOC 2 può essere valutata su richiesta del cliente una volta ottenuta la ISO 27001 — per una base clienti europea, la ISO 27001 è il certificato richiesto per primo nelle verifiche dei fornitori.
• Non disponiamo ancora della ISO 27001. Il sistema di gestione della sicurezza delle informazioni (ISMS) è stato avviato nell'agosto 2026; l'audit di certificazione di Stage 2 è pianificato per febbraio 2027 e il certificato è previsto per il Q1 2027. Fino al rilascio del certificato, il pacchetto riporta *non ottenuto*.
• Il nostro web application firewall esegue cinque regole personalizzate di rate limiting, ma nessun set di regole OWASP gestito. Il livello Standard di Front Door non consente di allegarne uno — è necessario il livello Premium, previsto con la ricostruzione dell'ambiente di produzione.
• L'alta disponibilità non è abilitata sul database, e i nostri RTO e RPO sono obiettivi interni anziché impegni contrattuali; la disponibilità mensile del 99,5% sui piani a pagamento è contrattuale. Il ripristino di prova viene eseguito e documentato (un ripristino completo della produzione misurato in meno di 7 minuti), e i backup cifrati mensili vengono conservati per un massimo di 7 anni secondo una politica di immutabilità temporale che blocca l'eliminazione e la sovrascrittura (politica non ancora bloccata).
• Non è ancora stato effettuato alcun penetration test indipendente. Uno è in programma, con retest, e il relativo perimetro è definito. Il nostro audit interno white-box del codice nell'ottobre 2026 ha rilevato vulnerabilità, tra cui due Critiche; entrambe le criticità sono state corrette in produzione. Il lavoro dell'aprile 2026 era un test funzionale di sicurezza interno, non un penetration test.

Sulla differenza tra conforme e certificato

Il pacchetto dedica un paragrafo a questa distinzione, perché viene abitualmente confusa in questo mercato. Annex 11 e 21 CFR Part 11 sono requisiti normativi, non schemi di certificazione. Nessun ente rilascia un "certificato Annex 11", e un fornitore che ne offra uno sta vendendo qualcosa che non esiste. Ciò che può essere genuinamente dimostrato è un'implementazione mappata clausola per clausola con artefatti a supporto di ogni riga — che è esattamente ciò che il pacchetto contiene.

SOC 2 e ISO 27001 *sono* schemi di certificazione. Non li possediamo. Pertanto non ci descriviamo come certificati, e le certificazioni del nostro provider infrastrutturale sono elencate come tali, senza essere presentate tacitamente come nostre.

Tutto ciò che contiene è stato verificato, non copiato

I documenti di conformità invecchiano male. Una regione di hosting cambia, una lacuna viene colmata, un controllo viene rinominato, e il documento continua ad affermare l'architettura dell'anno scorso con la sicurezza di quest'anno. Il nostro aveva iniziato a farlo: un documento interno del QMS descriveva ancora un provider di hosting da cui avevamo migrato, e una pagina del nostro stesso sito indicava le regioni Azure errate.

Ogni stato nel pacchetto è stato verificato il giorno della pubblicazione rispetto al codice sorgente in esecuzione in produzione, alla configurazione Azure attiva e alle nostre pagine pubbliche — le region lette dall'abbonamento, la policy di residenza letta dalla relativa assegnazione, la configurazione edge letta dalle intestazioni di risposta live, il comportamento di audit trail e firma letto dal codice che li implementa. Dove la verifica contraddiceva un documento esistente, ha prevalso la verifica. È così che è nata la v1.2: la revisione della v1.1 ha rilevato affermazioni mai state vere, e questa edizione le corregge.

Il pacchetto è datato e include un impegno di revisione: almeno ogni sei mesi, e viene riemesso ogni volta che uno stato nella tabella delle certificazioni o nell'elenco delle questioni aperte cambia.

Se sei tu quello che deve eseguire la valutazione

Esiste un documento complementare a questo. La Yard Operations GMP Audit Readiness Checklist è un'ispezione autonoma in 101 punti del perimetro del yard — e il suo dominio finale riguarda la qualifica dei fornitori del vostro sistema di yard management. Questo pacchetto è scritto per rispondere a quel dominio, indipendentemente dal fatto che il fornitore che state valutando sia noi o meno.

Se avete bisogno di qualcosa che il pacchetto non contiene — il set completo del QMS sotto NDA, evidenze di test eseguiti, un software bill of materials per una release nominata, o un CAIQ compilato nel vostro template — contattateci all'indirizzo admin@yardtwin.com. L'elenco di ciò che è disponibile su richiesta si trova al §18.