Opublikowaliśmy Cały Nasz Vendor Assurance Pack — Łącznie z Tym, Czego Jeszcze Nie Mamy

Oto jak naprawdę wygląda procurement oprogramowania w regulowanej firmie. Operacje wybierają narzędzie w drugim tygodniu. Jakość i bezpieczeństwo IT rozpoczynają przegląd w czwartym tygodniu. Kwestionariusz trafia do dostawcy w szóstym tygodniu — czterdzieści zakładek i prośba o kategoryzację GAMP, której dostawca nigdy nie zapisał. Gdzieś około czternastego tygodnia wszyscy się zgadzają, a powodem opóźnienia nigdy nie był sam produkt.

Byliśmy po tej stronie wystarczająco wiele razy, by dojść do wniosku, że ta kolejność jest błędna. Dlatego publikujemy odpowiedzi z wyprzedzeniem.

*Aktualizacja 12 października 2026: pakiet zostaje wydany jako v1.2 po ponownej weryfikacji każdego statusu względem kodu źródłowego działającego na produkcji, aktualnej konfiguracji Azure oraz naszych publicznych stron. Wersja 1.1 (23 sierpnia 2026) i jej wydanie wyłącznie redakcyjne 1.1.1 zawyżały opis kilku zabezpieczeń; v1.2 koryguje je i wymienia każdą korektę. Tam, gdzie weryfikacja nie była możliwa, pakiet zaznacza to i podaje informację w jej słabszej formie.*

Co się w nim znajduje

Osiemnaście sekcji, zorganizowanych tak, aby recenzent mógł przejść bezpośrednio do swojej części. Recenzent ds. jakości potrzebuje indeksu QMS, kategoryzacji GAMP 5 oraz mapowań Annex 11 i Part 11. Bezpieczeństwo IT potrzebuje topologii hostingu, architektury bezpieczeństwa i CAIQ-Lite. DPO potrzebuje podziału na administratora i podmiot przetwarzający, rejestru podprzetwarzających i sekcji dotyczącej zarządzania AI. Procurement potrzebuje statusu certyfikacji, pozycji w zakresie ciągłości działania i podziału odpowiedzialności. Pack otwiera tabela informująca każdego z nich, które sekcje przeczytać.

Kluczowym elementem są mapowania klauzul. Każda klauzula Annex 11 — wszystkie siedemnaście — wraz z opisem naszych działań i lokalizacją dowodów. Następnie 21 CFR Part 11: kontrole §11.10, postanowienia dotyczące podpisów z §11.50 i §11.70 oraz wymagania dotyczące podpisów elektronicznych z §11.100, §11.200 i §11.300. Dwa z tych wierszy oznaczono jako *Twój* obowiązek, a nie nasz, ponieważ nie mogą zostać spełnione przez dostawcę — udawanie inaczej pozostawiłoby lukę, która ujawnia się dopiero podczas inspekcji.

Czego w nim nie ma

To jest część, która sprawiła, że dokument był wart napisania. §13 to tabela statusów certyfikacji, a §17 to kompletna lista otwartych punktów — razem mówią wprost:

• Nie posiadamy certyfikatu SOC 2. Zaangażowanie w proces SOC 2 może być rozważone na życzenie klienta po uzyskaniu ISO 27001 — dla europejskiej bazy klientów ISO 27001 jest certyfikatem, o który recenzenci dostawców pytają w pierwszej kolejności.
• Nie posiadamy jeszcze ISO 27001. System zarządzania bezpieczeństwem informacji (ISMS) został uruchomiony w sierpniu 2026 r.; audit certyfikacyjny Etap 2 zaplanowany jest na luty 2027 r., a uzyskanie certyfikatu przewidywane jest na I kwartał 2027 r. Do czasu uzyskania certyfikatu pakiet wskazuje status *nie posiadamy*.
• Nasz zapora aplikacji webowych stosuje pięć niestandardowych reguł ograniczania liczby żądań, lecz nie korzysta z zarządzanego zestawu reguł OWASP. Warstwa Standard usługi Front Door nie obsługuje jego dołączenia — wymaga to warstwy Premium, której wdrożenie planowane jest wraz z przebudową środowiska produkcyjnego.
• Wysoka dostępność nie jest włączona na bazie danych, a nasze wartości RTO i RPO stanowią cele wewnętrzne, a nie zobowiązania umowne; dostępność miesięczna na poziomie 99,5% w płatnych planach jest zobowiązaniem umownym. Ćwiczenie przywracania danych jest wykonywane i udokumentowane (pełne przywrócenie produkcji zmierzone poniżej 7 minut), a miesięczne zaszyfrowane kopie zapasowe są przechowywane do 7 lat zgodnie z polityką niezmienności opartą na czasie, która blokuje usuwanie i nadpisywanie (polityka nie jest jeszcze zablokowana).
• Nie przeprowadzono jeszcze niezależnego testu penetracyjnego. Jeden jest zaplanowany wraz z retestem, a jego zakres jest przygotowany. Nasz wewnętrzny audyt kodu metodą white-box przeprowadzony w październiku 2026 r. ujawnił podatności, w tym dwie o poziomie Krytycznym; obie zostały usunięte w środowisku produkcyjnym. Prace z kwietnia 2026 r. stanowiły wewnętrzne funkcjonalne testy bezpieczeństwa, a nie test penetracyjny.

O różnicy między zgodnością a certyfikacją

Jedno rozróżnienie, któremu materiały poświęcają osobny akapit, ponieważ jest ono nagminnie pomijane na tym rynku. Annex 11 i 21 CFR Part 11 to wymagania regulacyjne, a nie schematy certyfikacji. Żadna jednostka nie wydaje „certyfikatu Annex 11", a dostawca oferujący coś takiego sprzedaje produkt, który nie istnieje. To, co można rzetelnie udokumentować, to wdrożenie odwzorowane punkt po punkcie, z artefaktami przypisanymi do każdego wiersza — i właśnie to zawierają niniejsze materiały.

SOC 2 i ISO 27001 *są* schematami certyfikacji. Nie posiadamy tych certyfikatów. W związku z tym nie określamy się jako certyfikowani, a certyfikaty naszego dostawcy infrastruktury są wymienione jako jego własne, a nie po cichu przedstawiane jako nasze.

Wszystko w nim zostało zweryfikowane, nie skopiowane

Dokumenty zgodności się dezaktualizują. Region hostingu się zmienia, luka zostaje usunięta, kontrola zostaje przemianowana, a dokument nadal opisuje architekturę sprzed roku z pewnością siebie roku bieżącego. Nasz zaczął właśnie tak wyglądać: wewnętrzny dokument QMS nadal opisywał dostawcę hostingu, z którego zmigrowano, a strona na naszej własnej witrynie podawała błędne regiony Azure.

Każdy status w pakiecie został zweryfikowany w dniu publikacji na podstawie kodu źródłowego działającego na produkcji, aktywnej konfiguracji Azure i naszych publicznych stron — regiony odczytane z subskrypcji, polityka rezydencji odczytana z jej przypisania, konfiguracja brzegowa odczytana z nagłówków odpowiedzi na żywo, ścieżka audytu i zachowanie podpisów odczytane z implementującego je kodu. Tam, gdzie weryfikacja była sprzeczna z istniejącym dokumentem, weryfikacja miała pierwszeństwo. W ten sposób powstała wersja 1.2: ponowna kontrola wersji 1.1 ujawniła stwierdzenia, które nigdy nie były prawdziwe, a niniejsze wydanie je koryguje.

Pakiet jest opatrzony datą i zawiera zobowiązanie do przeglądu: co najmniej raz na sześć miesięcy oraz ponownie wydawany każdorazowo, gdy zmieni się status w tabeli certyfikacji lub na liście otwartych punktów.

Jeśli to Ty przeprowadzasz ocenę

Istnieje uzupełniający dokument do tego materiału. Lista kontrolna gotowości do audytu GMP dla operacji yardowych to samodzielna inspekcja obejmująca 101 punktów kontrolnych obszaru yardu — jej ostatnia dziedzina dotyczy kwalifikacji dostawcy systemu zarządzania yardem. Niniejszy pakiet został opracowany, aby odpowiedzieć na wymagania tej dziedziny, niezależnie od tego, czy ocenianym dostawcą jest nasza firma.

Jeśli potrzebujesz czegoś, czego pakiet nie zawiera — pełnego zestawu QMS na podstawie NDA, wykonanych dowodów testowych, zestawienia komponentów oprogramowania dla wskazanego wydania lub CAIQ wypełnionego według własnego szablonu — skontaktuj się z nami pod adresem admin@yardtwin.com. Lista materiałów dostępnych na żądanie znajduje się w §18.