Vi publiserte hele vår Vendor Assurance Pack – inkludert det vi ikke har

Slik fungerer programvareanskaffelse faktisk i en regulert virksomhet. Drift velger verktøyet i uke to. Kvalitet og IT-sikkerhet starter sin gjennomgang i uke fire. Spørreskjemaet havner hos leverandøren i uke seks – førti faner og en forespørsel om en GAMP-kategorisering leverandøren aldri har skrevet ned. Et sted rundt uke fjorten er alle enige, og det som forsinket prosessen var aldri selve produktet.

Vi har vært på mottakersiden av dette nok ganger til å konkludere med at rekkefølgen er feil. Derfor har vi publisert svarene på forhånd.

*Oppdatert 12. oktober 2026: pakken utgis på nytt som v1.2 etter at hver status ble verifisert på nytt mot kildekoden i produksjon, den aktive Azure-konfigurasjonen og våre offentlige sider. Versjon 1.1 (23. august 2026) og dens rent ordlydsbaserte utgave 1.1.1 overvurderte flere kontroller; v1.2 korrigerer disse og lister opp hver korreksjon. Der noe ikke kunne verifiseres, er dette markert i pakken og angitt i en svakere form.*

Hva som er i den

Atten seksjoner, organisert slik at en gjennomgår kan gå direkte til sin egen del. En kvalitetsansvarlig trenger QMS-indeksen, GAMP 5-kategoriseringen og kartleggingene for Annex 11 og Part 11. IT-sikkerhet trenger driftstopologien, sikkerhetsarkitekturen og CAIQ-Lite. En DPO trenger behandlingsansvarlig/databehandler-inndelingen, underdatabehandlerregisteret og seksjonen om AI-styring. Innkjøp trenger sertifiseringsstatus, kontinuitetsposisjon og ansvarsfordeling. Pakken åpner med en tabell som forteller hver av dem hvilke seksjoner de bør lese.

Klausulkartleggingene er kjernen i det. Hver klausul i Annex 11 – alle sytten – med hva vi gjør og hvor dokumentasjonen befinner seg. Deretter 21 CFR Part 11: §11.10-kontrollene, signaturbestemmelsene i §11.50 og §11.70, og kravene til elektroniske signaturer i §11.100, §11.200 og §11.300. To av disse radene er merket som *ditt* ansvar fremfor vårt, fordi de ikke kan oppfylles av en leverandør, og å late som om det er mulig ville etterlatt et hull som bare avdekkes under en inspeksjon.

Og hva som ikke er i den

Dette er den delen som gjorde dokumentet verdt å skrive. §13 er en tabell over sertifiseringsstatus og §17 er en fullstendig liste over åpne punkter, og mellom disse fremgår det tydelig:

• Vi har ikke SOC 2. En SOC 2-engasjement kan vurderes på kundeforespørsel når ISO 27001 er på plass — for en europeisk kundebase er ISO 27001 sertifikatet leverandøranmeldelser etterspør først.
• Vi har ikke ISO 27001 — ennå. ISMS ble åpnet i august 2026; Stage 2-sertifiseringsrevisjonen er planlagt til februar 2027, og sertifikatet er målsatt til Q1 2027. Inntil sertifikatet foreligger, angir pakken *ikke innehatt*.
• Vår brannmur for nettapplikasjoner kjører fem egendefinerte hastighetsbegrensningsregler, men inget administrert OWASP-regelsett. Standard Front Door-nivå kan ikke tilknytte et slikt — det krever Premium, som er planlagt med den kommende produksjonsombyggingen.
• Høy tilgjengelighet er ikke aktivert på databasen, og våre RTO- og RPO-mål er interne mål snarere enn kontraktsmessige forpliktelser; den månedlige tilgjengeligheten på 99,5 % for betalte abonnementer er kontraktsmessig. Gjenopprettingsdrillen gjennomføres og dokumenteres (en fullstendig produksjonsgjenoppretting målt til under 7 minutter), og månedlige krypterte sikkerhetskopier oppbevares i opptil 7 år under en tidsbasert uforanderlighetsretningslinje som blokkerer sletting og overskriving (retningslinjen er ennå ikke låst).
• Ingen uavhengig penetrasjonstest er gjennomført ennå. En slik test er planlagt, med en ny test, og omfanget er forberedt. Vår interne white-box-kodegjennomgang i oktober 2026 avdekket sårbarheter, inkludert to kritiske; begge kritiske funn er utbedret i produksjon. Arbeidet i april 2026 var intern funksjonell sikkerhetstesting, ikke en penetrasjonstest.

Om forskjellen mellom compliant og sertifisert

Et skille pakken bruker et avsnitt på, fordi det jevnlig viskes ut i dette markedet. Annex 11 og 21 CFR Part 11 er regulatoriske forventninger, ikke sertifiseringsordninger. Ingen instans utsteder et «Annex 11-sertifikat», og en leverandør som tilbyr et slikt selger noe som ikke eksisterer. Det som faktisk kan dokumenteres, er en implementering kartlagt klausul for klausul med underlag bak hver rad – og det er nettopp det pakken inneholder.

SOC 2 og ISO 27001 *er* sertifiseringsordninger. Vi har dem ikke. Vi beskriver oss derfor ikke som sertifiserte, og vår infrastrukturleverandørs sertifiseringer er oppgitt som deres – ikke stilltiende presentert som våre egne.

Alt i den ble verifisert, ikke kopiert

Compliance-dokumenter foreldes. En vertsregion endres, et avvik lukkes, en kontroll omdøpes – og dokumentet fortsetter å hevde fjorårets arkitektur med årets selvtillit. Vårt hadde begynt å gjøre dette: et internt QMS-dokument beskrev fortsatt en vertsleverandør vi hadde migrert bort fra, og en side på vår egen nettside beskrev feil Azure-regioner.

Hver status i pakken ble derfor kontrollert på publiseringsdagen mot kildekoden som kjører i produksjon, den aktive Azure-konfigurasjonen og våre offentlige sider — regioner lest fra abonnementet, oppholdsretningslinjene lest fra tilordningen, kantlagerkonfigurasjonen lest fra aktive svarhodere, og revisjonsloggens og signaturfunksjonens atferd lest fra koden som implementerer dem. Der verifiseringen motsa et eksisterende dokument, hadde verifiseringen forrang. Det er slik v1.2 ble til: en ny gjennomgang av v1.1 avdekket påstander som aldri hadde vært korrekte, og denne utgaven retter dem.

Pakken er datert og har en gjennomgangsforpliktelse: minst hvert sjette måned, og utgitt på nytt når en status i sertifiseringstabellen eller listen over åpne punkter endres.

Hvis du er den som må foreta vurderingen

Det finnes et tilhørende dokument til dette. Yard Operations GMP Audit Readiness Checklist er en egenkontroll med 101 sjekkpunkter gjennom yard-grensen – og dens siste domene er leverandørkvalifisering av din yard-systemleverandør. Denne pakken er skrevet for å besvare det domenet, uavhengig av om leverandøren du vurderer er oss.

Hvis du trenger noe pakken ikke inneholder – hele QMS-settet under NDA, gjennomført testdokumentasjon, en programvarestykkliste for en navngitt versjon, eller en CAIQ utfylt i din egen mal – kontakt oss på admin@yardtwin.com. Listen over hva som er tilgjengelig på forespørsel finnes i §18.