Мы опубликовали весь наш Vendor Assurance Pack — включая то, чего у нас пока нет

Вот как на самом деле происходит закупка программного обеспечения в регулируемом бизнесе. Операционный отдел выбирает инструмент на второй неделе. Отделы качества и ИТ-безопасности начинают проверку на четвёртой. Опросник поступает к поставщику на шестой — сорок вкладок и запрос категоризации GAMP, которую поставщик никогда не оформлял письменно. Где-то к четырнадцатой неделе все приходят к согласию, хотя тормозил процесс никогда не сам продукт.

Мы достаточно часто оказывались в этой ситуации, чтобы прийти к выводу: последовательность неверна. Поэтому мы заранее публикуем все ответы.

*Обновлено 12 октября 2026 г.: пакет переиздан как v1.2 после повторной проверки каждого статуса на основании исходного кода, работающего в продуктиве, действующей конфигурации Azure и наших публичных страниц. Версия 1.1 (23 августа 2026 г.) и её редакция 1.1.1, отличавшаяся только формулировками, преувеличивали ряд мер контроля; v1.2 исправляет их и перечисляет каждое исправление. Если что-то не удалось проверить, пакет отмечает это и излагает в более слабой формулировке.*

Что входит в документ

Восемнадцать разделов, организованных так, чтобы рецензент мог сразу перейти к нужной части. Специалист по качеству найдёт индекс QMS, категоризацию GAMP 5 и соответствия Annex 11 и Part 11. ИТ-безопасности нужны топология хостинга, архитектура безопасности и CAIQ-Lite. DPO потребуются разграничение ролей контролёра и обработчика, реестр субпроцессоров и раздел об управлении ИИ. Отделу закупок — статус сертификации, позиция по непрерывности деятельности и разграничение ответственности. Документ открывается таблицей с указанием разделов для каждой из этих ролей.

Основу документа составляют постатейные соответствия. Каждый из семнадцати пунктов Annex 11 — с описанием нашего подхода и ссылкой на доказательную базу. Затем 21 CFR Part 11: меры контроля §11.10, положения о подписях §11.50 и §11.70, а также требования к электронным подписям §11.100, §11.200 и §11.300. Две строки помечены как *ваша* обязанность, а не наша — поскольку их не может выполнить поставщик, и делать вид, что может, означало бы оставить пробел, который обнаружится только в ходе инспекции.

И чего в нём нет

Это та часть, ради которой стоило писать документ. §13 — таблица статусов сертификации, §17 — полный перечень открытых вопросов, и вместе они прямо говорят следующее:

• Мы не имеем SOC 2. Аудит SOC 2 может быть рассмотрен по запросу клиента после получения ISO 27001 — для европейской клиентской базы именно ISO 27001 является сертификатом, который поставщики запрашивают в первую очередь.
• Мы ещё не имеем ISO 27001. СМИБ открыта в августе 2026 г.; аудит сертификации второго этапа запланирован на февраль 2027 г., получение сертификата намечено на I квартал 2027 г. До получения сертификата в пакете указано *не получен*.
• Наш брандмауэр веб-приложений работает с пятью пользовательскими правилами ограничения частоты запросов, но без управляемого набора правил OWASP. Уровень Standard Front Door не позволяет его подключить — для этого необходим уровень Premium, который планируется при перестройке продуктивной среды.
• Высокая доступность не включена на уровне базы данных, а наши показатели RTO и RPO являются внутренними целевыми значениями, а не договорными обязательствами; ежемесячная доступность 99,5% для платных тарифов закреплена договором. Учения по восстановлению проводятся и документируются (полное восстановление продуктива заняло менее 7 минут), а ежемесячные зашифрованные резервные копии хранятся до 7 лет в соответствии с политикой неизменяемости на основе времени, блокирующей удаление и перезапись (политика ещё не заблокирована).
• Независимое тестирование на проникновение ещё не проводилось. Оно запланировано вместе с повторным тестированием, и его область охвата подготовлена. В ходе внутреннего аудита кода методом «белого ящика» в октябре 2026 г. были выявлены уязвимости, в том числе две с уровнем Critical; обе критические уязвимости устранены в продуктиве. Работы в апреле 2026 г. представляли собой внутреннее функциональное тестирование безопасности, а не тестирование на проникновение.

О разнице между соответствием требованиям и наличием сертификата

Этому различию пакет посвящает отдельный абзац, поскольку на рынке его постоянно размывают. Annex 11 и 21 CFR Part 11 — это регуляторные требования, а не схемы сертификации. Ни один орган не выдаёт «сертификат по Annex 11», и поставщик, предлагающий таковой, продаёт то, чего не существует. Что действительно можно подтвердить — это внедрение, задокументированное пункт за пунктом с артефактами к каждой строке, что и содержит данный пакет.

SOC 2 и ISO 27001 *являются* схемами сертификации. Мы ими не располагаем. Поэтому мы не называем себя сертифицированными, а сертификаты нашего провайдера инфраструктуры указаны как его собственные, а не молчаливо представлены как наши.

Всё в документе проверено, а не скопировано

Документы по соответствию устаревают. Меняется регион хостинга, закрывается пробел, переименовывается контроль — а документ продолжает утверждать прошлогоднюю архитектуру с уверенностью текущего года. У нас так и началось: внутренний документ СМК всё ещё описывал провайдера хостинга, с которого мы мигрировали, а страница нашего сайта указывала неверные регионы Azure.

Таким образом, каждый статус в пакете был проверен в день публикации по исходному коду, запущенному в производственной среде, актуальной конфигурации Azure и нашим общедоступным страницам — регионы считаны из подписки, политика хранения данных — из её назначения, конфигурация Edge — из заголовков ответов в реальном времени, поведение журнала аудита и подписей — из реализующего их кода. Там, где результаты верификации расходились с существующим документом, верификация имела приоритет. Именно так появилась версия v1.2: повторная проверка v1.1 выявила утверждения, которые никогда не соответствовали действительности, и данная редакция их исправляет.

Пакет датирован и содержит обязательство по пересмотру: не реже одного раза в шесть месяцев, а также при каждом изменении статуса в таблице сертификации или перечне открытых вопросов.

Если именно вам предстоит проводить оценку

К этому материалу есть дополнение. Контрольный список готовности к GMP-аудиту операций на складском дворе представляет собой самопроверку из 101 пункта по периметру складского двора — и его последний раздел посвящён квалификации поставщика системы управления двором. Настоящий пакет составлен так, чтобы ответить на вопросы этого раздела — независимо от того, является ли оцениваемым поставщиком наша компания.

Если вам нужно то, чего нет в пакете, — полный комплект СМК под NDA, выполненные свидетельства тестирования, перечень программного обеспечения для конкретного релиза или CAIQ по вашему шаблону — обращайтесь к нам по адресу admin@yardtwin.com. Перечень материалов, доступных по запросу, приведён в §18.