Ne-am Publicat Întregul Vendor Assurance Pack — Inclusiv Ce Nu Avem

Iată cum funcționează în realitate achiziția de software într-o companie reglementată. Operațiunile aleg instrumentul în săptămâna a doua. Calitatea și securitatea IT încep revizuirea în săptămâna a patra. Chestionarul ajunge la furnizor în săptămâna a șasea — patruzeci de file și o solicitare de categorizare GAMP pe care furnizorul nu a redactat-o niciodată. Undeva prin săptămâna paisprezece toată lumea cade de acord, iar ceea ce a întârziat procesul nu a fost niciodată produsul.

Am fost suficient de des în postura de a primi astfel de solicitări încât să concluzionăm că ordinea este greșită. Prin urmare, am publicat răspunsurile din start.

*Actualizat la 12 octombrie 2026: pachetul este reemis ca v1.2 după ce fiecare status a fost reverificat față de codul sursă rulat în producție, configurația Azure activă și paginile noastre publice. Versiunea 1.1 (23 august 2026) și ediția cu modificări doar de formulare 1.1.1 au supraestimat mai multe controale; v1.2 le corectează și listează fiecare corecție. Acolo unde ceva nu a putut fi verificat, pachetul îl marchează și îl prezintă în forma sa mai slabă.*

Ce conține

Optsprezece secțiuni, organizate astfel încât un evaluator să poată merge direct la secțiunea sa. Un evaluator de calitate are nevoie de indexul SMC, categorizarea GAMP 5 și mapările Annex 11 și Part 11. Securitatea IT are nevoie de topologia de găzduire, arhitectura de securitate și CAIQ-Lite. Un DPA are nevoie de separarea operator-procesator, registrul sub-procesatorilor și secțiunea de guvernanță AI. Achizițiile au nevoie de statusul certificărilor, postura de continuitate și delimitarea responsabilităților. Pachetul se deschide cu un tabel care indică fiecăruia ce secțiuni să citească.

Mapările clauzelor reprezintă nucleul documentului. Fiecare clauză din Annex 11 — toate șaptesprezece — cu ceea ce facem în privința lor și unde se află dovezile. Apoi 21 CFR Part 11: controalele §11.10, prevederile privind semnătura din §11.50 și §11.70, și cerințele privind semnătura electronică din §11.100, §11.200 și §11.300. Două dintre acele rânduri sunt marcate ca obligație *a dumneavoastră*, nu a noastră, deoarece nu pot fi îndeplinite de un furnizor, iar a pretinde altfel ar lăsa o lacună care apare abia în timpul unei inspecții.

Și ce nu conține

Aceasta este partea care a justificat redactarea documentului. §13 este un tabel cu statusul certificărilor, iar §17 este o listă completă a elementelor deschise, și împreună formulează clar:

• Nu deținem SOC 2. Un angajament SOC 2 poate fi luat în considerare la cererea clientului odată ce ISO 27001 este obținut — pentru o bază de clienți europeni, ISO 27001 este certificatul pe care auditurile de furnizori îl solicită în primul rând.
• Nu deținem ISO 27001 — încă. ISMS a fost deschis în august 2026; auditul de certificare Stage 2 este planificat pentru februarie 2027, iar certificatul este vizat pentru T1 2027. Până la obținerea certificatului, pachetul indică *neobținut*.
• Firewall-ul nostru pentru aplicații web rulează cinci reguli personalizate de limitare a ratei, fără un set de reguli OWASP gestionat. Nivelul Standard Front Door nu permite atașarea unuia — aceasta necesită Premium, planificat odată cu reconstrucția mediului de producție.
• Înalta disponibilitate nu este activată pe baza de date, iar RTO și RPO sunt obiective interne, nu angajamente contractuale; disponibilitatea lunară de 99,5% pentru planurile cu plată este contractuală. Exercițiul de restaurare este executat și documentat (o restaurare completă a producției măsurată la sub 7 minute), iar copiile de rezervă criptate lunare sunt păstrate până la 7 ani în baza unei politici de imuabilitate bazate pe timp care blochează ștergerea și suprascrierea (politică neîncă blocată).
• Nu a fost efectuat niciun test de penetrare independent până în prezent. Unul este planificat, cu un retest, iar domeniul de aplicare este pregătit. Auditul intern de cod white-box din octombrie 2026 a identificat vulnerabilități, inclusiv două Critice; ambele constatări Critice sunt remediate în producție. Activitatea din aprilie 2026 a reprezentat testare funcțională internă de securitate, nu un test de penetrare.

Despre diferența dintre conformitate și certificare

O distincție căreia pachetul îi dedică un paragraf, deoarece este frecvent estompată pe această piață. Annex 11 și 21 CFR Part 11 sunt cerințe de reglementare, nu scheme de certificare. Niciun organism nu emite un "certificat Annex 11", iar un furnizor care oferă unul vinde ceva ce nu există. Ceea ce poate fi cu adevărat dovedit este o implementare mapată clauză cu clauză, cu artefacte în spatele fiecărui rând — ceea ce conține pachetul.

SOC 2 și ISO 27001 *sunt* scheme de certificare. Noi nu le deținem. Prin urmare, nu ne descriem ca fiind certificați, iar certificările furnizorului nostru de infrastructură sunt prezentate ca aparținând acestuia, nu prezentate discret ca fiind ale noastre.

Tot ce conține a fost verificat, nu copiat

Documentele de conformitate se degradează în timp. O regiune de găzduire se schimbă, o lacună este remediată, un control este redenumit, iar documentul continuă să descrie arhitectura anului trecut cu încrederea anului curent. Al nostru începuse să o facă: un document intern din QMS descria în continuare un furnizor de găzduire de la care migraseră, iar o pagină de pe propriul nostru site descria regiunile Azure incorecte.

Astfel, fiecare status din pachet a fost verificat în ziua publicării față de codul sursă rulat în producție, configurația Azure activă și paginile noastre publice — regiunile citite din abonament, politica de reședință citită din atribuirea sa, configurația edge citită din anteturile de răspuns active, comportamentul auditului și al semnăturilor citit din codul care le implementează. Acolo unde verificarea a contrazis un document existent, verificarea a prevalat. Astfel a apărut v1.2: reverificarea v1.1 a identificat afirmații care nu au fost niciodată adevărate, iar această ediție le corectează.

Pachetul este datat și include un angajament de revizuire: cel puțin o dată la șase luni și reemis ori de câte ori un status din tabelul de certificări sau din lista elementelor deschise se modifică.

Dacă ești cel care trebuie să efectueze evaluarea

Există un document complementar acestuia. Lista de verificare a pregătirii pentru auditul GMP al operațiunilor de curte este o autoinspecție de 101 puncte a perimetrului curții — iar ultimul domeniu al acesteia vizează calificarea furnizorului sistemului dumneavoastră de yard management. Acest pachet este elaborat pentru a răspunde acelui domeniu, indiferent dacă furnizorul pe care îl evaluați suntem noi sau nu.

Dacă aveți nevoie de ceva ce pachetul nu conține — setul complet QMS sub NDA, dovezi de testare executate, un software bill of materials pentru o versiune nominalizată sau un CAIQ completat în propriul dumneavoastră șablon — contactați-ne la admin@yardtwin.com. Lista elementelor disponibile la cerere se găsește la §18.