ベンダー保証パックを全公開しました — 未対応項目も含めて

規制対象事業におけるソフトウェア調達の実態はこうです。運用部門が2週目にツールを選定します。品質部門とITセキュリティ部門のレビューは4週目に始まります。6週目にベンダーへアンケートが届きます — 40タブにわたる質問と、ベンダーが一度も文書化したことのないGAMP分類の提出依頼が含まれています。14週目頃にようやく全員が合意しますが、足かせになっていたのは製品そのものではありませんでした。

私たちはこのプロセスの受け手として何度も経験し、この順序が間違っていると結論づけました。そこで、回答を事前に公開することにしました。

*2026年10月12日更新：本パックは、本番稼働中のソースコード、ライブAzure構成および公開ページに対してすべてのステータスを再検証した後、v1.2として再発行されました。バージョン1.1（2026年8月23日）およびその文言修正版1.1.1は複数のコントロールを過大に記載しており、v1.2はそれらを修正し各修正箇所を列挙しています。検証できなかった項目については、パック内でその旨を明示し、より弱い表現で記載しています。*

収録内容

18のセクションで構成されており、レビュー担当者がそれぞれの担当箇所に直接アクセスできるよう整理されています。品質レビュー担当者はQMSインデックス、GAMP 5分類、Annex 11およびPart 11マッピングを参照します。ITセキュリティ担当者はホスティングトポロジー、セキュリティアーキテクチャ、CAIQ-Liteを参照します。DPOはコントローラー・プロセッサー分担、サブプロセッサー登録簿、AIガバナンスセクションを参照します。調達担当者は認証状況、継続性体制、責任分担を参照します。パックの冒頭に、各担当者が参照すべきセクションを示す一覧表があります。

条項マッピングが核心です。Annex 11の全17条項について、私たちの対応内容とエビデンスの所在を記載しています。次に21 CFR Part 11：§11.10のコントロール、§11.50および§11.70の署名規定、§11.100、§11.200、§11.300の電子署名要件。そのうち2行はベンダーではなく*お客様*の義務として明示されています。これらはベンダーが代わりに履行できるものではなく、そのように装うことで査察時にのみ発覚するギャップが生じるためです。

収録されていない内容

この文書を作成する価値があったのは、まさにこの部分です。§13は認証ステータス一覧表、§17は未解決事項の完全なリストであり、両者は明確に次のことを示しています。

• 当社はSOC 2を取得していません。 ISO 27001取得後、顧客の要請に応じてSOC 2エンゲージメントを検討できます。欧州の顧客基盤においては、ベンダーレビューで最初に求められる認証はISO 27001です。
• 当社はISO 27001をまだ取得していません。 ISMSは2026年8月に開始し、ステージ2認証審査は2027年2月を予定、認証取得目標は2027年Q1です。認証取得まで、パックには*未取得*と記載されています。
• 当社のウェブアプリケーションファイアウォールは5つのカスタムレート制限ルールを実行していますが、OWASPマネージドルールセットは使用していません。 Standard Front Doorティアでは適用できないため、本番環境の再構築で予定しているPremiumへの移行が必要です。
• データベースの高可用性は有効化されていません。 RTOおよびRPOは契約上のコミットメントではなく内部目標です。有料プランの月間99.5%可用性は契約上のコミットメントです。リストアドリルは実施・記録済みで（本番フル復元を7分未満で完了）、月次の暗号化バックアップは削除・上書きをブロックする時間ベースの不変ポリシーにより最大7年間保持されます（ポリシーはまだロックされていません）。
• 独立した侵入テストはまだ実施されていません。 再テストを含む侵入テストが計画済みで、スコープも準備されています。2026年10月の社内ホワイトボックスコード監査では、Critical 2件を含む脆弱性が発見され、いずれもCritical所見は本番環境で修正済みです。2026年4月の作業は内部の機能的セキュリティテストであり、侵入テストではありません。

「準拠」と「認証取得」の違いについて

この区別については、パック内で1段落を割いて説明しています。この市場では日常的に混同されているためです。Annex 11および21 CFR Part 11は規制上の要件であり、認証スキームではありません。「Annex 11認証書」を発行する機関は存在せず、これを提供しているベンダーは存在しないものを販売していることになります。真に証拠として示せるのは、各条項を個別にマッピングし、各行に裏付けとなる証跡を添付した実装内容であり、それがまさにこのパックに含まれるものです。

SOC 2およびISO 27001は*認証スキームです*。当社はこれらを取得していません。したがって、自社を「認証取得済み」とは称しておらず、インフラプロバイダーが保有する認証についても、あたかも当社のものであるかのように暗示せず、プロバイダー自身のものとして明示しています。

記載内容はすべて転記ではなく検証済みです

コンプライアンス文書は陳腐化します。ホスティングリージョンが変わり、ギャップが解消され、コントロールの名称が変更されても、文書は昨年のアーキテクチャを今年の確信をもって主張し続けます。当社の文書でも同様のことが起き始めていました。社内QMS文書には既に移行済みのホスティングプロバイダーに関する記述が残っており、自社サイトのページには誤ったAzureリージョンが記載されていました。

パック内のすべてのステータスは、公開日当日に、本番稼働中のソースコード、Azure のライブ構成、および公開ページに対して確認されました。リージョンはサブスクリプションから、居住ポリシーはその割り当てから、エッジ構成はライブのレスポンスヘッダーから、監査証跡と署名動作はそれらを実装するコードからそれぞれ読み取っています。検証結果が既存のドキュメントと矛盾する場合は、検証結果を優先しました。v1.2 が生まれた経緯はこれです。v1.1 を再確認したところ、一度も事実でなかった記述が見つかり、本版でそれを修正しています。

パックには発行日が記載されており、レビューのコミットメントとして、少なくとも6ヶ月ごと、および認証ステータス一覧または未解決事項リストに変更があった場合は随時再発行することが明記されています。

評価を担当される方へ

本文書には関連コンテンツがあります。Yard Operations GMP Audit Readiness Checklistは、ヤード境界を対象とした101項目のセルフインスペクションです。その最終ドメインは、ヤードシステムベンダーのサプライヤー適格性評価です。このパックは、評価対象のベンダーが当社であるかどうかにかかわらず、そのドメインに回答するために作成されています。

パックに含まれていない情報が必要な場合——NDA締結のうえでのQMS一式、実施済みテストのエビデンス、指定リリースのソフトウェア部品表、または御社のテンプレートで記入済みのCAIQ——については、admin@yardtwin.comまでお問い合わせください。請求に応じて提供可能な資料の一覧は§18に記載されています。