Tüm Vendor Assurance Pack'imizi Yayımladık — Sahip Olmadıklarımız Dahil

Düzenlenmiş bir ortamda yazılım tedariki gerçekte böyle işler. Operasyon ekibi ikinci haftada aracı seçer. Kalite ve BT güvenliği dördüncü haftada incelemeye başlar. Tedarikçiye anket altıncı haftada ulaşır — kırk sekme ve tedarikçinin hiç yazmadığı bir GAMP kategorisi talebi. On dördüncü haftada herkes anlaşır; süreci geciktiren şey hiçbir zaman ürün olmamıştır.

Bu sürecin alıcı tarafında yeterince bulunduk ve sıranın yanlış olduğu sonucuna vardık. Bu yüzden yanıtları önceden yayımladık.

*12 Ekim 2026'da güncellendi: paket, üretimdeki kaynak kodu, canlı Azure yapılandırması ve genel sayfalarımıza karşı her durum yeniden doğrulandıktan sonra v1.2 olarak yeniden yayımlanmıştır. Sürüm 1.1 (23 Ağustos 2026) ve yalnızca ifade değişikliği içeren 1.1.1 baskısı, birkaç kontrolü olduğundan fazla göstermiştir; v1.2 bunları düzeltmekte ve her düzeltmeyi listelemektedir. Doğrulanamayan hususlar için paket bunu belirtmekte ve konuyu daha zayıf biçimiyle ifade etmektedir.*

İçinde neler var

On sekiz bölüm; her inceleyicinin doğrudan kendi bölümüne gidebileceği şekilde düzenlenmiştir. Kalite inceleyicisi QMS dizinine, GAMP 5 kategorisine ve Annex 11 ile Part 11 eşleştirmelerine ihtiyaç duyar. BT güvenliği barındırma topolojisine, güvenlik mimarisine ve CAIQ-Lite'a ihtiyaç duyar. DPO, kontrolcü-işlemci ayrımına, alt işlemci kaydına ve yapay zeka yönetişim bölümüne ihtiyaç duyar. Satın alma, sertifikasyon durumuna, süreklilik pozisyonuna ve sorumluluk dağılımına ihtiyaç duyar. Belge, her birinin hangi bölümleri okuması gerektiğini gösteren bir tabloyla açılır.

Madde eşleştirmeleri belgenin özünü oluşturur. Annex 11'in tüm on yedi maddesi — her biri için ne yaptığımız ve kanıtın nerede bulunduğu. Ardından 21 CFR Part 11: §11.10 kontrolleri, §11.50 ve §11.70'in imza hükümleri ile §11.100, §11.200 ve §11.300'ün elektronik imza gereksinimleri. Bu satırlardan ikisi *sizin* yükümlülüğünüz olarak işaretlenmiştir; çünkü bunlar bir tedarikçi tarafından yerine getirilemez ve aksini iddia etmek yalnızca bir denetim sırasında ortaya çıkacak bir boşluk bırakır.

Ve içinde olmayanlar

Belgeyi yazmaya değer kılan kısım buydu. §13 bir sertifikasyon durumu tablosu, §17 ise eksiksiz bir açık madde listesidir; ikisi birlikte açıkça şunu söyler:

• SOC 2 belgemiz bulunmamaktadır. SOC 2 süreci, ISO 27001 alındıktan sonra müşteri talebi üzerine değerlendirilebilir — Avrupa müşteri tabanı için tedarikçi değerlendirmelerinin öncelikle talep ettiği sertifika ISO 27001'dir.
• Henüz ISO 27001 belgemiz bulunmamaktadır. BGYS Ağustos 2026'da açıldı; Aşama 2 sertifikasyon denetimi Şubat 2027 için planlanmış olup sertifikanın hedef tarihi 2027 Q1'dir. Sertifika alınana kadar paket *mevcut değil* ifadesini kullanmaktadır.
• Web uygulaması güvenlik duvarımız beş özel hız sınırlama kuralıyla çalışmakta, ancak yönetilen bir OWASP kural seti içermemektedir. Standard Front Door katmanı buna izin vermemektedir — bunun için üretim yeniden yapılanmasıyla planlanmış olan Premium katman gerekmektedir.
• Veritabanında yüksek kullanılabilirlik etkinleştirilmemiştir. RTO ve RPO hedeflerimiz sözleşmesel taahhüt değil, dahili hedeflerdir; ücretli planlardaki aylık %99,5 kullanılabilirlik ise sözleşmeseldir. Geri yükleme tatbikatı gerçekleştirilmiş ve belgelenmiştir (tam üretim geri yüklemesi 7 dakikanın altında ölçülmüştür); aylık şifreli yedeklemeler, silme ve üzerine yazmayı engelleyen zamana dayalı bir değişmezlik politikası kapsamında 7 yıla kadar saklanmaktadır (politika henüz kilitlenmemiştir).
• Henüz bağımsız bir sızma testi gerçekleştirilmemiştir. Yeniden test dahil bir sızma testi planlanmış olup kapsamı hazırlanmıştır. Ekim 2026'daki dahili white-box kod denetimimizde, ikisi Kritik olmak üzere güvenlik açıkları tespit edilmiştir; her iki Kritik bulgu üretimde giderilmiştir. Nisan 2026'daki çalışma, bir sızma testi değil, dahili işlevsel güvenlik testiydi.

Uyumlu olmak ile sertifikalı olmak arasındaki fark üzerine

Pakette bir paragraf bu konuya ayrılmıştır; zira bu piyasada söz konusu ayrım sürekli bulanıklaştırılmaktadır. Annex 11 ve 21 CFR Part 11 düzenleyici beklentilerdir, sertifikasyon şemaları değildir. Hiçbir kuruluş "Annex 11 sertifikası" düzenlemez; bunu sunan bir tedarikçi var olmayan bir şeyi satmaktadır. Gerçekten kanıtlanabilir olan, her satırın arkasında kanıt bulunacak şekilde madde madde eşlenmiş bir uygulama haritalamasıdır; paketin içerdiği de budur.

SOC 2 ve ISO 27001 *birer* sertifikasyon şemasıdır. Bu sertifikalara sahip değiliz. Dolayısıyla kendimizi sertifikalı olarak tanımlamamaktayız; altyapı sağlayıcımızın sertifikaları onlara ait olarak listelenmekte, sessiz sedasız bizim sertifikalarımızmış gibi sunulmamaktadır.

İçindeki her şey kopyalanmadı, doğrulandı

Uyumluluk belgeleri eskir. Bir barındırma bölgesi değişir, bir eksiklik giderilir, bir kontrol yeniden adlandırılır; belge ise bu yılın güveniyle geçen yılın mimarisini aktarmaya devam eder. Bizimki de öyle olmaya başlamıştı: Dahili bir KYS belgesi, göç ettiğimiz bir barındırma sağlayıcısını hâlâ tanımlıyordu; kendi sitemizde yer alan bir sayfa ise yanlış Azure bölgelerini gösteriyordu.

Bu nedenle paketteki her durum, yayın günü; üretimde çalışan kaynak kod, canlı Azure yapılandırması ve genel sayfalarımız esas alınarak doğrulandı — bölgeler abonelikten, yerleşim politikası atamasından, uç yapılandırması canlı yanıt başlıklarından, denetim izi ve imza davranışı ise bunları uygulayan koddan okundu. Doğrulama mevcut bir belgeyle çeliştiğinde, doğrulama kazandı. v1.2 bu şekilde ortaya çıktı: v1.1'in yeniden incelenmesi hiçbir zaman doğru olmayan ifadeler buldu ve bu sürüm bunları düzeltiyor.

Paket tarih içermekte ve bir gözden geçirme taahhüdü taşımaktadır: en az altı ayda bir ve sertifikasyon tablosundaki ya da açık madde listesindeki herhangi bir durum değiştiğinde yeniden yayımlanacaktır.

Değerlendirmeyi yapmak zorunda olan sizseniz

Buna eşlik eden bir içerik daha bulunmaktadır. Yard Operations GMP Audit Readiness Checklist, saha sınırının 101 kontrollü öz-denetim yürüyüşüdür; son alanı ise saha sistemi tedarikçinizin tedarikçi yeterliliğine ayrılmıştır. Bu paket, değerlendirdiğiniz tedarikçi biz olsak da olmasak da o alanı yanıtlamak üzere hazırlanmıştır.

Paketin içermediği bir şeye ihtiyaç duyarsanız — NDA kapsamındaki tam KYS seti, yürütülmüş test kanıtları, belirli bir sürüm için yazılım malzeme listesi veya kendi şablonunuzda tamamlanmış bir CAIQ — admin@yardtwin.com adresinden bizimle iletişime geçin. Talep üzerine sunulabileceklerin listesi §18'dedir.