We hebben ons volledige Vendor Assurance Pack gepubliceerd — inclusief wat we nog niet hebben

Zo verloopt softwareaanschaf in de praktijk binnen een gereguleerd bedrijf. Operations kiest de tool in week twee. Kwaliteit en IT-beveiliging beginnen hun beoordeling in week vier. De vragenlijst bereikt de leverancier in week zes — veertig tabbladen, en een verzoek om een GAMP-categorisering die de leverancier nooit op papier heeft gezet. Ergens rond week veertien is iedereen het eens, en het was nooit het product dat het vertraagde.

We hebben dit vaak genoeg van de ontvangende kant meegemaakt om te concluderen dat de volgorde verkeerd is. Daarom hebben we de antwoorden vooraf gepubliceerd.

*Bijgewerkt op 12 oktober 2026: het pakket is opnieuw uitgegeven als v1.2 nadat elke status opnieuw is geverifieerd aan de hand van de broncode die in productie draait, de live Azure-configuratie en onze publieke pagina's. Versie 1.1 (23 augustus 2026) en de tekstuele editie 1.1.1 daarvan overschatten meerdere beheersmaatregelen; v1.2 corrigeert deze en geeft elke correctie weer. Waar iets niet kon worden geverifieerd, is dit in het pakket aangegeven en in de zwakkere formulering opgenomen.*

Wat erin staat

Achttien secties, georganiseerd zodat een beoordelaar direct naar zijn of haar eigen onderdeel kan gaan. Een kwaliteitsbeoordelaar heeft de QMS-index, de GAMP 5-categorisering en de Annex 11- en Part 11-koppelingen nodig. IT-beveiliging heeft de hostingtopologie, de beveiligingsarchitectuur en de CAIQ-Lite nodig. Een DPO heeft de verwerkingsverantwoordelijke-verwerkersverdeling, het sub-verwerkerregister en de AI-governancesectie nodig. Inkoop heeft de certificeringsstatus, de continuïteitspositie en de verantwoordelijkheidsverdeling nodig. Het pack opent met een tabel die elk van hen vertelt welke secties ze moeten lezen.

De clausulekoppelingen vormen de kern ervan. Elke clausule van Annex 11 — alle zeventien — met wat wij daaraan doen en waar het bewijsmateriaal zich bevindt. Vervolgens 21 CFR Part 11: de §11.10-maatregelen, de handtekeningbepalingen van §11.50 en §11.70, en de vereisten voor elektronische handtekeningen van §11.100, §11.200 en §11.300. Twee van die rijen zijn gemarkeerd als *uw* verplichting in plaats van de onze, omdat ze niet door een leverancier kunnen worden nagekomen, en het anders voorstellen zou een leemte achterlaten die pas tijdens een inspectie aan het licht komt.

En wat er niet in staat

Dit is het onderdeel dat het document de moeite waard maakte om te schrijven. §13 is een tabel met certificeringsstatus en §17 is een volledige lijst van openstaande punten, en samen zeggen ze duidelijk:

• Wij beschikken niet over SOC 2. Een SOC 2-traject kan op verzoek van een klant worden overwogen zodra ISO 27001 is behaald — voor een Europees klantenbestand is ISO 27001 het certificaat waar leveranciersbeoordelingen als eerste om vragen.
• Wij beschikken nog niet over ISO 27001. Het ISMS is in augustus 2026 opgezet; de Stage 2-certificeringsaudit is gepland voor februari 2027 en het certificaat is beoogd voor Q1 2027. Zolang het certificaat er niet is, vermeldt het pakket *niet behaald*.
• Onze webapplicatiefirewall heeft vijf aangepaste rate-limitingregels, maar geen beheerde OWASP-regelset. De Standard Front Door-laag ondersteunt dit niet — daarvoor is Premium vereist, wat is gepland bij de productieherstructurering.
• Hoge beschikbaarheid is niet ingeschakeld op de database, en onze RTO en RPO zijn interne doelstellingen in plaats van contractuele verplichtingen; de maandelijkse beschikbaarheid van 99,5% op betaalde abonnementen is contractueel vastgelegd. De hersteltest wordt uitgevoerd en gedocumenteerd (een volledig productieherstel gemeten op minder dan 7 minuten), en maandelijkse versleutelde back-ups worden tot 7 jaar bewaard onder een op tijd gebaseerd onveranderbaarheidsbeleid dat verwijdering en overschrijving blokkeert (beleid nog niet vergrendeld).
• Er is nog geen onafhankelijke penetratietest uitgevoerd. Er is er één gepland, inclusief hertest, en de scope is voorbereid. Onze interne white-box-codeaudit in oktober 2026 heeft kwetsbaarheden gevonden, waaronder twee Critical; beide Critical-bevindingen zijn opgelost in productie. Het werk van april 2026 betrof intern functioneel beveiligingstesten, geen penetratietest.

Over het verschil tussen compliant en gecertificeerd

Eén onderscheid waaraan het pakket een alinea besteedt, omdat het in deze markt routinematig wordt vervaagd. Annex 11 en 21 CFR Part 11 zijn regulatoire verwachtingen, geen certificeringsschema's. Geen enkele instantie geeft een 'Annex 11-certificaat' af, en een leverancier die er een aanbiedt verkoopt iets dat niet bestaat. Wat wel aantoonbaar is, is een implementatie die clausule voor clausule is uitgewerkt met bewijsmateriaal achter elke rij — en dat is wat het pakket bevat.

SOC 2 en ISO 27001 *zijn* certificeringsschema's. Wij beschikken hier niet over. Daarom beschrijven wij onszelf niet als gecertificeerd, en de certificeringen van onze infrastructuurprovider worden als die van hen vermeld — niet stilzwijgend als de onze gepresenteerd.

Alles is geverifieerd, niet gekopieerd

Compliancedocumenten verouderen. Een hostingregio verandert, een tekortkoming wordt opgelost, een maatregel krijgt een nieuwe naam — en het document blijft de architectuur van vorig jaar beschrijven met het vertrouwen van dit jaar. Bij ons was dat al aan het gebeuren: een intern QMS-document beschreef nog een hostingprovider waarvandaan we waren gemigreerd, en een pagina op onze eigen site vermeldde de verkeerde Azure-regio's.

Elke status in het pakket werd op de dag van publicatie gecontroleerd aan de hand van de broncode die in productie draait, de live Azure-configuratie en onze publieke pagina's — regio's gelezen uit het abonnement, het opslagbeleid gelezen uit de bijbehorende toewijzing, de edge-configuratie gelezen uit live response-headers, het auditspoor en het handtekeninggedrag gelezen uit de code die ze implementeert. Waar verificatie in tegenspraak was met een bestaand document, had de verificatie voorrang. Zo is v1.2 ontstaan: bij hercontrole van v1.1 werden uitspraken aangetroffen die nooit klopten, en deze editie corrigeert ze.

Het pakket is gedateerd en bevat een reviewverplichting: minimaal elke zes maanden, en opnieuw uitgegeven wanneer een status in de certificeringstabel of de lijst van openstaande punten wijzigt.

Als u degene bent die de beoordeling moet uitvoeren

Er is een aanvullend document bij dit pakket. De Yard Operations GMP Audit Readiness Checklist is een zelfinspectie met 101 controlepunten langs de grens van het terrein — en het laatste domein betreft de leveranciersbeoordeling van uw yard-systeemverkoper. Dit pakket is geschreven om dat domein te beantwoorden, ongeacht of de leverancier die u beoordeelt wij zijn.

Als u iets nodig heeft dat het pakket niet bevat — de volledige QMS-set onder NDA, uitgevoerd testmateriaal, een software bill of materials voor een aangewezen release, of een CAIQ ingevuld in uw eigen sjabloon — neem dan contact op via admin@yardtwin.com. De lijst van wat op aanvraag beschikbaar is, staat in §18.