Mes Paskelbėme Visą Savo Vendor Assurance Pack — Įskaitant Tai, Ko Dar Neturime

Štai kaip programinės įrangos įsigijimas iš tikrųjų vyksta reguliuojamoje įmonėje. Antrą savaitę operacijų komanda pasirenka įrankį. Ketvirtą savaitę kokybės ir IT saugumo skyriai pradeda peržiūrą. Šeštą savaitę tiekėjui išsiunčiamas klausimynas — keturiasdešimt skirtukų ir prašymas pateikti GAMP kategorizaciją, kurios tiekėjas niekada nebuvo užrašęs. Maždaug keturioliktą savaitę visi susitaria, o tai, kas stabdė procesą, niekada nebuvo pats produktas.

Patys esame to pakankamai patyę, kad galėtume daryti išvadą – seka yra neteisinga. Todėl atsakymus pateikiame iš anksto.

*Atnaujinta 2026 m. spalio 12 d.: paketas išleidžiamas kaip v1.2 po to, kai kiekvienas statusas buvo iš naujo patikrintas pagal gamyboje veikiančio šaltinio kodą, aktyvią Azure konfigūraciją ir mūsų viešus puslapius. 1.1 versijoje (2026 m. rugpjūčio 23 d.) ir jos tik formuluočių leidime 1.1.1 buvo pervertintos kelios kontrolės priemonės; v1.2 jas ištaiso ir kiekvieną pataisymą išvardija. Jei kažko patikrinti nepavyko, tai pažymima pakete ir nurodoma silpnesne forma.*

Kas jame yra

Aštuoniolika skyrių, suskirstytų taip, kad recenzentas galėtų iš karto pereiti prie jam aktualios dalies. Kokybės recenzentui reikalingas KVS indeksas, GAMP 5 kategorizavimas bei Annex 11 ir Part 11 atitikmenų lentelės. IT saugai – prieglobos topologija, saugos architektūra ir CAIQ-Lite. DPA pareigūnui – valdytojo ir tvarkytojo atsakomybių paskirstymas, subtvarkytojų registras ir dirbtinio intelekto valdymo skyrius. Pirkimų skyriui – sertifikavimo būklė, veiklos tęstinumo pozicija ir atsakomybių pasidalijimas. Dokumentas pradedamas lentele, nurodančia kiekvienam iš jų, kuriuos skyrius skaityti.

Straipsnių atitikmenų lentelės yra dokumento šerdis. Kiekvienas Annex 11 straipsnis – visi septyniolika – su aprašymu, ką mes darome ir kur saugomi įrodymai. Toliau – 21 CFR Part 11: §11.10 kontrolės priemonės, §11.50 ir §11.70 parašų nuostatos bei §11.100, §11.200 ir §11.300 elektroninio parašo reikalavimai. Dvi iš tų eilučių pažymėtos kaip *jūsų* pareiga, o ne mūsų, nes jų negali įvykdyti tiekėjas, o apsimesti kitaip reikštų spragą, kuri paaiškėtų tik patikrinimo metu.

Ir ko jame nėra

Tai ta dalis, dėl kurios dokumentas buvo vertas rašymo. §13 yra sertifikavimo būklės lentelė, o §17 – išsamus atvirų klausimų sąrašas; abu kartu aiškiai teigia:

• Mes neturime SOC 2. SOC 2 auditas gali būti svarstomas kliento prašymu, kai bus įdiegtas ISO 27001 — Europos klientų bazei ISO 27001 yra sertifikatas, kurio tiekėjų peržiūros reikalauja pirmiausia.
• Mes dar neturime ISO 27001. ISMS buvo pradėta 2026 m. rugpjūčio mėn.; 2 etapo sertifikavimo auditas planuojamas 2027 m. vasario mėn., o sertifikato išdavimas numatytas 2027 m. I ketvirtį. Kol sertifikatas neišduotas, rinkinyje nurodyta *neturima*.
• Mūsų žiniatinklio programų užkarda vykdo penkias pasirinktines greičio ribojimo taisykles, tačiau nenaudoja valdomos OWASP taisyklių rinkinio. Standartinis „Front Door" lygis negali jo prijungti – tam reikalingas „Premium" lygis, kuris planuojamas kartu su gamybinės sistemos atnaujinimu.
• Aukštas pasiekiamumas duomenų bazėje nėra įjungtas, o mūsų RTO ir RPO yra vidiniai tikslai, o ne sutartiniai įsipareigojimai; 99,5 % mėnesinis pasiekiamumas mokamose planuose yra sutartinis. Atkūrimo pratybos yra vykdomos ir dokumentuotos (pilnas gamybinės aplinkos atkūrimas užtrunka mažiau nei 7 minutes), o mėnesinės užšifruotos atsarginės kopijos saugomos iki 7 metų pagal laiku pagrįstą nekintamumo politiką, kuri blokuoja ištrynimą ir perrašymą (politika dar neužrakinta).
• Nepriklausomas įsiskverbimo testas dar nebuvo atliktas. Vienas testas su pakartotiniu patikrinimu yra planuojamas, jo apimtis parengta. Mūsų vidinis „white-box" kodo auditas, atliktas 2026 m. spalį, atskleidė pažeidžiamumų, įskaitant du Kritinius; abu Kritiniai radiniai yra ištaisyti gamybinėje aplinkoje. 2026 m. balandžio mėn. darbai buvo vidinis funkcinis saugumo testavimas, o ne įsiskverbimo testas.

Apie skirtumą tarp atitikties reikalavimams ir sertifikavimo

Vienas skirtumas, kuriam pakete skirtas atskiras pastraipa, nes šioje rinkoje jis dažnai supainiojamas. Annex 11 ir 21 CFR Part 11 yra reguliaciniai reikalavimai, o ne sertifikavimo schemos. Jokia institucija neišduoda „Annex 11 sertifikato", o tiekėjas, siūlantis tokį dokumentą, parduoda kažką, ko iš tikrųjų neegzistuoja. Tai, kas iš tikrųjų gali būti pagrįsta dokumentais, yra įgyvendinimas, atspindėtas kiekvieną skirsnį su artefaktais prie kiekvienos eilutės — tai ir yra paketo turinys.

SOC 2 ir ISO 27001 *yra* sertifikavimo schemos. Mes jų neturime. Todėl neapibūdiname savęs kaip sertifikuotų, o mūsų infrastruktūros teikėjo sertifikatai nurodyti kaip jo, o ne tyliai pateikiami kaip mūsų.

Viskas jame buvo patikrinta, o ne nukopijuota

Atitikties dokumentai sensta. Pasikeičia prieglobos regionas, užpildoma spraga, pervardijama kontrolė – o dokumentas toliau teigia pernykštę architektūrą su šių metų pasitikėjimu. Mūsų dokumentai jau buvo pradėję tai daryti: vidinis QMS dokumentas vis dar aprašė prieglobos teikėją, nuo kurio jau buvome migravę, o mūsų svetainės puslapis nurodė neteisingus Azure regionus.

Todėl kiekvienas paketo statusas publikavimo dieną buvo patikrintas pagal gamyboje veikiantį išeities kodą, aktyvią Azure konfigūraciją ir mūsų viešuosius puslapius — regionai nuskaityti iš prenumeratos, gyvenamosios vietos politika nuskaitytos iš jos priskyrimo, pakraščio konfigūracija nuskaitytos iš aktyvių atsakymų antraščių, audito žurnalo ir parašo elgsena nuskaitytos iš jas įgyvendinančio kodo. Ten, kur patikrinimas prieštaravo esamam dokumentui, pirmenybė teko patikrinimui. Taip atsirado v1.2: tikrinant v1.1 iš naujo rasti teiginiai, kurie niekada nebuvo teisingi, ir šis leidimas juos ištaiso.

Paketas datuotas ir apima peržiūros įsipareigojimą: bent kas šešis mėnesius, ir iš naujo išleidžiamas, kai tik pasikeičia sertifikavimo lentelės arba atvirų klausimų sąrašo statusas.

Jei jūs esate tas, kuris turi atlikti vertinimą

Tam yra papildomas dokumentas. Kiemo operacijų GMP audito pasirengimo kontrolinis sąrašas — tai 101 tikrinimo punkto savikontrolės apžvalga kiemo perimetro, kurios paskutinis skyrius skirtas jūsų kiemo sistemos tiekėjo kvalifikacijos patikrinimui. Šis paketas parengtas tam skyriui atsakyti, nepriklausomai nuo to, ar vertinamas tiekėjas esame mes.

Jei jums reikia ko nors, ko pakete nėra — visų QMS dokumentų rinkinio pagal NDA, patvirtintų testavimo įrodymų, nurodyto leidimo programinės įrangos komponentų sąrašo (SBOM) ar CAIQ, užpildyto pagal jūsų šabloną — kreipkitės į mus el. paštu admin@yardtwin.com. Prieinama pateikus užklausą išvardyta §18 skyriuje.