Vi Publicerade Hela Vår Vendor Assurance Pack — Inklusive Det Vi Inte Har

Så här fungerar mjukvaruupphandling i verkligheten inom en reglerad verksamhet. Driften väljer verktyget i vecka två. Kvalitet och IT-säkerhet inleder sin granskning i vecka fyra. Frågeformuläret når leverantören i vecka sex — fyrtio flikar, och en begäran om en GAMP-kategorisering som leverantören aldrig skrivit ned. Någonstans kring vecka fjorton är alla överens, och det som försenade processen var aldrig produkten.

Vi har befunnit oss i den situationen tillräckligt många gånger för att dra slutsatsen att ordningsföljden är fel. Därför publicerar vi svaren i förväg.

*Uppdaterad 12 oktober 2026: paketet återutges som v1.2 efter att varje status verifierats mot källkoden som körs i produktion, den aktiva Azure-konfigurationen och våra publika sidor. Version 1.1 (23 augusti 2026) och dess redaktionella utgåva 1.1.1 överdrev flera kontroller; v1.2 korrigerar dem och listar varje korrigering. Där något inte kunde verifieras markerar paketet det och anger det i sin svagare form.*

Vad som ingår

Arton avsnitt, organiserade så att en granskare kan gå direkt till sin del. En kvalitetsgranskare behöver QMS-registret, GAMP 5-kategoriseringen samt Annex 11- och Part 11-mappningarna. IT-säkerhet behöver värdtopologin, säkerhetsarkitekturen och CAIQ-Lite. En DPO behöver uppdelningen mellan personuppgiftsansvarig och biträde, registret över underbiträden och avsnittet om AI-styrning. Inköp behöver certifieringsstatus, kontinuitetsställning och ansvarsfördelning. Paketet inleds med en tabell som anger vilka avsnitt respektive granskare ska läsa.

Klausulmappningarna är kärnan. Varje klausul i Annex 11 — alla sjutton — med vad vi gör avseende den och var bevisningen finns. Sedan 21 CFR Part 11: §11.10-kontrollerna, signaturbestämmelserna i §11.50 och §11.70, samt kraven på elektroniska signaturer i §11.100, §11.200 och §11.300. Två av dessa rader är markerade som *ditt* ansvar snarare än vårt, eftersom de inte kan uppfyllas av en leverantör, och att låtsas något annat skulle lämna en lucka som bara uppdagas vid en inspektion.

Och vad som inte ingår

Det här är den del som gjorde dokumentet värt att skriva. §13 är en tabell över certifieringsstatus och §17 är en komplett lista över öppna punkter, och tillsammans säger de tydligt:

• Vi innehar inte SOC 2. En SOC 2-granskning kan övervägas på kundönskemål när ISO 27001 är på plats — för en europeisk kundbas är ISO 27001 det certifikat som leverantörsgranskningar efterfrågar i första hand.
• Vi innehar inte ISO 27001 — ännu. ISMS öppnades i augusti 2026; Stage 2-certifieringsrevisionen är planerad till februari 2027 och certifikatet är målsatt till Q1 2027. Till dess att certifikatet finns anger paketet *ej innehaft*.
• Vår brandvägg för webbapplikationer kör fem anpassade hastighetsbegränsningsregler, men ingen hanterad OWASP-regeluppsättning. Standard Front Door-nivån kan inte ansluta en sådan — det kräver Premium, vilket är planerat i samband med produktionsombyggnaden.
• Hög tillgänglighet är inte aktiverad på databasen, och våra RTO- och RPO-mål är interna targets snarare än avtalsenliga åtaganden; den avtalsenliga tillgängligheten på 99,5 % per månad gäller för betalplaner. Återställningstestet utförs och dokumenteras (en fullständig produktionsåterställning uppmätt till under 7 minuter), och månatliga krypterade säkerhetskopior bevaras i upp till 7 år enligt en tidsbaserad oföränderlighetsregel som blockerar radering och överskrivning (regeln är ännu inte låst).
• Inget oberoende penetrationstest har genomförts ännu. Ett sådant är planerat, med omtest, och dess omfattning är förberedd. Vår interna white-box-kodgranskning i oktober 2026 identifierade sårbarheter, inklusive två kritiska; båda kritiska fynd är åtgärdade i produktion. Arbetet i april 2026 var intern funktionell säkerhetstestning, inte ett penetrationstest.

Om skillnaden mellan regelefterlevnad och certifiering

En distinktion som paketet ägnar ett stycke åt, eftersom den rutinmässigt suddas ut på denna marknad. Annex 11 och 21 CFR Part 11 är regulatoriska förväntningar, inte certifieringssystem. Inget organ utfärdar ett "Annex 11-certifikat", och en leverantör som erbjuder ett säljer något som inte existerar. Det som verkligen kan styrkas är en implementation kartlagd klausul för klausul med underlag bakom varje rad – vilket är vad paketet innehåller.

SOC 2 och ISO 27001 *är* certifieringssystem. Vi innehar dem inte. Vi beskriver oss därför inte som certifierade, och vår infrastrukturleverantörs certifieringar redovisas som deras egna snarare än att tyst presenteras som våra.

Allt i det verifierades, kopierades inte

Efterlevnadsdokument åldras dåligt. En värdregion ändras, en brist åtgärdas, en kontroll byter namn, och dokumentet fortsätter att hävda förra årets arkitektur med årets tillförsikt. Vårt hade börjat göra det: ett internt QMS-dokument beskrev fortfarande en värdleverantör vi migrerat bort ifrån, och en sida på vår egen webbplats angav fel Azure-regioner.

Varje status i paketet kontrollerades på publiceringsdagen mot källkoden som körs i produktion, den aktiva Azure-konfigurationen och våra publika sidor — regioner lästa från prenumerationen, datalagringspoolicyn läst från dess tilldelning, edge-konfigurationen läst från aktiva svarshuvuden, granskningsspåret och signaturbeteendet läst från den kod som implementerar dem. Där verifieringen motsade ett befintligt dokument vann verifieringen. Det är så v1.2 uppstod: en ny kontroll av v1.1 hittade påståenden som aldrig hade stämt, och denna utgåva korrigerar dem.

Paketet är daterat och innehåller ett granskningsåtagande: minst var sjätte månad, och återutgivet när en status i certifieringstabellen eller listan över öppna punkter ändras.

Om du är den som ska utföra bedömningen

Det finns ett kompletterande dokument till detta. Yard Operations GMP Audit Readiness Checklist är en självinspektion med 101 kontroller längs gårdens gräns – och dess sista domän är leverantörskvalificering av er gårdshanteringsleverantör. Det här paketet är skrivet för att besvara den domänen, oavsett om leverantören ni bedömer är vi eller inte.

Om ni behöver något som paketet inte innehåller – fullständig QMS-dokumentation under NDA, utfört testunderlag, en mjukvaruförteckning för en specificerad release, eller en CAIQ ifylld i er egen mall – kontakta oss på admin@yardtwin.com. Listan över vad som finns tillgängligt på begäran finns i §18.