ベンダー保証パックを全公開しました — 未対応項目も含めて

規制対象事業におけるソフトウェア調達の実態はこうです。運用部門が2週目にツールを選定します。品質部門とITセキュリティ部門のレビューは4週目に始まります。6週目にベンダーへアンケートが届きます — 40タブにわたる質問と、ベンダーが一度も文書化したことのないGAMP分類の提出依頼が含まれています。14週目頃にようやく全員が合意しますが、足かせになっていたのは製品そのものではありませんでした。

私たちはこのプロセスの受け手として何度も経験し、この順序が間違っていると結論づけました。そこで、回答を事前に公開することにしました。

収録内容

18のセクションで構成されており、レビュー担当者がそれぞれの担当箇所に直接アクセスできるよう整理されています。品質レビュー担当者はQMSインデックス、GAMP 5分類、Annex 11およびPart 11マッピングを参照します。ITセキュリティ担当者はホスティングトポロジー、セキュリティアーキテクチャ、CAIQ-Liteを参照します。DPOはコントローラー・プロセッサー分担、サブプロセッサー登録簿、AIガバナンスセクションを参照します。調達担当者は認証状況、継続性体制、責任分担を参照します。パックの冒頭に、各担当者が参照すべきセクションを示す一覧表があります。

条項マッピングが核心です。Annex 11の全17条項について、私たちの対応内容とエビデンスの所在を記載しています。次に21 CFR Part 11：§11.10のコントロール、§11.50および§11.70の署名規定、§11.100、§11.200、§11.300の電子署名要件。そのうち2行はベンダーではなく*お客様*の義務として明示されています。これらはベンダーが代わりに履行できるものではなく、そのように装うことで査察時にのみ発覚するギャップが生じるためです。

収録されていない内容

この文書を作成する価値があったのは、まさにこの部分です。§13は認証ステータス一覧表、§17は未解決事項の完全なリストであり、両者は明確に次のことを示しています。

• SOC 2 Type IIは取得していません。 ISO 27001との統合プログラムを計画しており、現実的な目標月を設定していますが、監査が進行中であるとは主張していません。
• ISO 27001は取得していません。
• Webアプリケーションファイアウォールにルールセットが設定されていません。 ポリシーはPreventionモードになっており、一見すると安心できるように見えますが、ルールがなければレイヤー7では何もフィルタリングされません。この問題は本文書の記載内容を検証する過程で発見したものであり、レビュアーに指摘される前に公開することを選択しました。
• 高可用性はデータベースで有効化されておらず、地理冗長バックアップもオフになっています。また、RTOおよびRPOは契約上のコミットメントではなく、社内目標にとどまっています。
• ペネトレーションテストはCRESTに認定されたサードパーティによって実施されたものではありません。 2026年4月のテストでは10のOWASPカテゴリにわたってゼロの指摘事項が返されましたが、認定を受けた独立したテストではなく、レビュアーが確認する箇所にその旨を明記しています。

「準拠」と「認証取得」の違いについて

この区別については、パック内で1段落を割いて説明しています。この市場では日常的に混同されているためです。Annex 11および21 CFR Part 11は規制上の要件であり、認証スキームではありません。「Annex 11認証書」を発行する機関は存在せず、これを提供しているベンダーは存在しないものを販売していることになります。真に証拠として示せるのは、各条項を個別にマッピングし、各行に裏付けとなる証跡を添付した実装内容であり、それがまさにこのパックに含まれるものです。

SOC 2およびISO 27001は*認証スキームです*。当社はこれらを取得していません。したがって、自社を「認証取得済み」とは称しておらず、インフラプロバイダーが保有する認証についても、あたかも当社のものであるかのように暗示せず、プロバイダー自身のものとして明示しています。

記載内容はすべて転記ではなく検証済みです

コンプライアンス文書は陳腐化します。ホスティングリージョンが変わり、ギャップが解消され、コントロールの名称が変更されても、文書は昨年のアーキテクチャを今年の確信をもって主張し続けます。当社の文書でも同様のことが起き始めていました。社内QMS文書には既に移行済みのホスティングプロバイダーに関する記述が残っており、自社サイトのページには誤ったAzureリージョンが記載されていました。

そのため、パック内のすべてのステータスは公開日当日に本番稼働中のインフラおよびソースコードと照合して確認しています。リージョンはサブスクリプションから、データレジデンシーポリシーはその割り当てから、エッジ構成はライブのレスポンスヘッダーから、監査証跡と署名の動作はそれを実装するコードから読み取りました。検証結果が既存文書と矛盾する場合は、検証結果を優先しました。ファイアウォールのルールセット未設定を発見したのも、この過程においてです。

パックには発行日が記載されており、レビューのコミットメントとして、少なくとも6ヶ月ごと、および認証ステータス一覧または未解決事項リストに変更があった場合は随時再発行することが明記されています。

評価を担当される方へ

本文書には関連コンテンツがあります。Yard Operations GMP Audit Readiness Checklistは、ヤード境界を対象とした101項目のセルフインスペクションです。その最終ドメインは、ヤードシステムベンダーのサプライヤー適格性評価です。このパックは、評価対象のベンダーが当社であるかどうかにかかわらず、そのドメインに回答するために作成されています。

パックに含まれていない情報が必要な場合——NDA締結のうえでのQMS一式、実施済みテストのエビデンス、指定リリースのソフトウェア部品表、または御社のテンプレートで記入済みのCAIQ——については、admin@yardtwin.comまでお問い合わせください。請求に応じて提供可能な資料の一覧は§18に記載されています。