Mēs Publicējām Visu Savu Vendor Assurance Pack — Ieskaitot To, Kā Mums Vēl Nav

Lūk, kā programmatūras iepirkums reģulētā uzņēmumā patiesībā notiek. Operācijas izvēlas rīku otrajā nedēļā. Kvalitāte un IT drošība sāk pārskatīšanu ceturtajā nedēļā. Piegādātājam anketa nokļūst sestajā nedēļā — četrdesmit cilnes un lūgums pēc GAMP kategorizācijas, kuru piegādātājs nekad nav pierakstījis. Kaut kur ap četrpadsmito nedēļu visi vienojas, un tas, kas aizturēja procesu, nekad nebija pats produkts.

Mēs esam bijuši šīs situācijas otrā pusē pietiekami daudz reižu, lai secinātu, ka secība ir nepareiza. Tāpēc mēs esam publicējuši atbildes jau iepriekš.

*Atjaunināts 2026. gada 12. oktobrī: pakotne tiek atkārtoti izdota kā v1.2 pēc tam, kad katrs statuss tika atkārtoti verificēts pret ražošanā darbojošos pirmkodu, tiešo Azure konfigurāciju un mūsu publiskajām lapām. Versija 1.1 (2026. gada 23. augusts) un tās tikai teksta labojumu izdevums 1.1.1 pārspīlēja vairākas kontroles; v1.2 tās labo un uzrāda katru labojumu. Ja kaut kas nevarēja tikt verificēts, pakotne to atzīmē un norāda vājākā formulējumā.*

Kas tajā iekļauts

Astoņpadsmit sadaļas, sakārtotas tā, lai recenzents var uzreiz doties uz savu daļu. Kvalitātes recenzentam nepieciešams QMS indekss, GAMP 5 kategorizācija un Annex 11 un Part 11 kartējumi. IT drošībai nepieciešama mitināšanas topoloģija, drošības arhitektūra un CAIQ-Lite. DPO nepieciešams pārziņa un apstrādātāja dalījums, apakšapstrādātāju reģistrs un mākslīgā intelekta pārvaldības sadaļa. Iepirkumam nepieciešams sertifikācijas statuss, nepārtrauktības pozīcija un atbildības sadalījums. Pakotne sākas ar tabulu, kas katram norāda, kuras sadaļas lasīt.

Klauzulu kartējumi ir tā kodols. Katra Annex 11 klauzula — visas septiņpadsmit — ar to, ko mēs darām par katru no tām un kur atrodas pierādījumi. Tad 21 CFR Part 11: §11.10 kontroles, §11.50 un §11.70 parakstu noteikumi, un §11.100, §11.200 un §11.300 elektroniskā paraksta prasības. Divas no šīm rindām ir atzīmētas kā *jūsu* pienākums, nevis mūsējais, jo tās nevar uzņemties piegādātājs, un pretēja apgalvošana atstātu plaisu, kas atklājas tikai inspekcijas laikā.

Un kas tajā nav iekļauts

Šī ir daļa, kuras dēļ dokuments bija vērts rakstīt. §13 ir sertifikācijas statusa tabula, bet §17 — pilns atvērto punktu saraksts, un kopā tie skaidri norāda:

• Mums nav SOC 2. SOC 2 iesaistīšanos var apsvērt pēc klienta pieprasījuma, tiklīdz ISO 27001 ir ieviests — Eiropas klientu bāzei ISO 27001 ir sertifikāts, ko piegādātāju pārbaudes prasa pirmkārt.
• Mums vēl nav ISO 27001. ISMS tika atvērts 2026. gada augustā; 2. posma sertifikācijas audits ir plānots 2027. gada februārī, un sertifikāts ir paredzēts 2027. gada 1. ceturksnī. Kamēr sertifikāts nepastāv, pakotne norāda *nav*.
• Mūsu tīmekļa lietojumprogrammas ugunsmūris darbojas ar pieciem pielāgotiem ātruma ierobežošanas noteikumiem, bet bez pārvaldītas OWASP noteikumu kopas. Standarta Front Door līmenis nevar to pievienot — tam nepieciešams Premium, kas ir plānots ar ražošanas pārbūvi.
• Augsta pieejamība nav iespējota datu bāzē, un mūsu RTO un RPO ir iekšēji mērķi, nevis līgumiskas saistības; 99,5% ikmēneša pieejamība apmaksātiem plāniem ir līgumiska. Atjaunošanas pārbaude tiek izpildīta un dokumentēta (pilna ražošanas atjaunošana izmērīta zem 7 minūtēm), un ikmēneša šifrēti rezerves eksemplāri tiek glabāti līdz 7 gadiem atbilstoši laika bāzētai nemainīguma politikai, kas bloķē dzēšanu un pārrakstīšanu (politika vēl nav bloķēta).
• Neatkarīgs iespiešanās tests vēl nav veikts. Tas ir plānots kopā ar atkārtotu testēšanu, un tā tvērums ir sagatavots. Mūsu iekšējais baltās kastes koda audits 2026. gada oktobrī atklāja ievainojamības, tostarp divas Kritiskas; abas Kritiskās atrades ir novērstas ražošanā. 2026. gada aprīļa darbs bija iekšēja funkcionālā drošības testēšana, nevis iespiešanās tests.

Par atšķirību starp atbilstošu un sertificētu

Viena atšķirība, kurai pakotne velta atsevišķu rindkopu, jo šajā tirgū tā regulāri tiek sajaukta. Annex 11 un 21 CFR Part 11 ir regulatīvās prasības, nevis sertifikācijas shēmas. Neviena iestāde neizsniedz "Annex 11 sertifikātu", un pārdevējs, kas tādu piedāvā, pārdod kaut ko neeksistējošu. Ko patiešām var apliecināt, ir ieviešana, kartēta klauzula pa klauzulai ar pierādījumiem aiz katras rindas — tas ir tieši tas, ko satur šī pakotne.

SOC 2 un ISO 27001 *ir* sertifikācijas shēmas. Mums tās nav. Tāpēc mēs sevi nedēvējam par sertificētiem, un mūsu infrastruktūras nodrošinātāja sertifikāti ir uzskaitīti kā viņu, nevis klusi pasniegti kā mūsējie.

Viss tajā tika pārbaudīts, nevis kopēts

Atbilstības dokumenti noveco. Mainās mitināšanas reģions, tiek novērsts nepilnīgums, tiek pārdēvēta kontrole, bet dokuments joprojām apgalvo pagājušā gada arhitektūru ar šā gada pārliecību. Arī mūsējais bija sācis tā: iekšējais QMS dokuments vēl aprakstīja mitināšanas pakalpojumu sniedzēju, no kura bijām migrējuši, un lapa mūsu pašu vietnē norādīja nepareizus Azure reģionus.

Tādējādi katrs statuss paketē tika pārbaudīts publicēšanas dienā pret ražošanā darbojošos pirmkodu, aktuālo Azure konfigurāciju un mūsu publiskajām lapām — reģioni nolasīti no abonementa, atrašanās vietas politika nolasīta no tās piešķires, malas konfigurācija nolasīta no aktīvajām atbilžu galvenēm, revīzijas pieraksts un parakstu uzvedība nolasīta no to implementējošā koda. Ja pārbaude pretrunāja esošam dokumentam, pārbaude uzvarēja. Tā radās v1.2: atkārtoti pārbaudot v1.1, tika atrastas apgalvojumi, kas nekad nav bijuši patiesi, un šī izdevuma tos labo.

Pakotne ir datēta un satur pārskatīšanas saistības: vismaz reizi sešos mēnešos un pārpublicēta ikreiz, kad mainās statuss sertifikācijas tabulā vai atvērto punktu sarakstā.

Ja jūs esat tas, kurš veic novērtēšanu

Tam ir papildinājums. Yard Operations GMP Audita Gatavības Kontrolsaraksts ir 101 pārbaudes pašinspeksijas apskate pa pagalma robežu — un tā pēdējā joma ir piegādātāja kvalifikācija jūsu pagalma sistēmas pārdevējam. Šī pakotne ir rakstīta, lai atbildētu uz šo jomu neatkarīgi no tā, vai vērtētais pārdevējs esam mēs.

Ja jums nepieciešams kaut kas, ko pakotne nesatur — pilns QMS komplekts ar NDA, izpildīti testu pierādījumi, programmatūras sastāvdaļu saraksts norādītajam laidienam vai CAIQ aizpildīts jūsu pašu veidnē — sazinieties ar mums: admin@yardtwin.com. Pieprasījumā pieejamā saraksts atrodas §18.