Ми опублікували весь наш Vendor Assurance Pack — включно з тим, чого у нас ще немає

Ось як насправді відбувається закупівля програмного забезпечення у регульованому бізнесі. Операційний відділ обирає інструмент на другому тижні. Відділ якості та IT-безпека розпочинають перевірку на четвертому. Анкета потрапляє до постачальника на шостому тижні — сорок вкладок і запит на категоризацію GAMP, яку постачальник ніколи не фіксував письмово. Десь до чотирнадцятого тижня всі доходять згоди, і затримка ніколи не була пов'язана з самим продуктом.

Ми досить часто опинялися на стороні отримувача таких запитів, щоб дійти висновку: послідовність хибна. Тому ми заздалегідь публікуємо відповіді.

Що міститься всередині

Вісімнадцять розділів, організованих так, щоб рецензент міг одразу перейти до свого блоку. Спеціаліст із якості потребує індексу QMS, категоризації GAMP 5 та маппінгів Annex 11 і Part 11. IT-безпека — топології хостингу, архітектури безпеки та CAIQ-Lite. DPO — розподілу відповідальності контролера й процесора, реєстру субпроцесорів і розділу щодо управління ШІ. Закупівля — статусу сертифікації, позиції щодо безперервності діяльності та розподілу відповідальності. Документ відкривається таблицею, яка вказує кожному з них, які розділи читати.

Маппінги положень — це основа документа. Кожне положення Annex 11 — усі сімнадцять — із описом того, що ми робимо, і посиланням на докази. Далі — 21 CFR Part 11: контролі §11.10, положення про підписи §11.50 і §11.70, а також вимоги до електронних підписів §11.100, §11.200 і §11.300. Два з цих рядків позначені як *ваш* обов'язок, а не наш, оскільки вони не можуть бути виконані постачальником, і вдавати протилежне означало б залишити прогалину, яка виявляється лише під час інспекції.

І чого в ньому немає

Саме ця частина виправдала написання документа. §13 — таблиця статусів сертифікації, §17 — повний перелік відкритих питань, і разом вони чітко свідчать:

• Ми не маємо SOC 2 Type II. Спільна програма з ISO 27001 запланована із реалістичними цільовими термінами — без заяв про те, що аудит уже розпочато.
• Ми не маємо ISO 27001.
• До нашого брандмауера веб-застосунків не підключено жодного набору правил. Політика перебуває в режимі Prevention, що звучить заспокійливо, однак без правил не фільтрує нічого на рівні 7. Ми виявили це під час перевірки тверджень для цього документа й вважали за краще опублікувати факт, ніж дозволити рецензенту знайти його самостійно.
• Висока доступність не ввімкнена для бази даних, георезервне резервне копіювання вимкнено, а наші RTO та RPO є внутрішніми цільовими показниками, а не договірними зобов'язаннями.
• Наше тестування на проникнення не проводилося акредитованою CREST третьою стороною. Тест у квітні 2026 року не виявив жодних недоліків у десяти категоріях OWASP; він не був акредитованим незалежним тестом, і ми вказуємо на це там, де рецензент шукатиме відповідь.

Різниця між відповідністю вимогам і сертифікацією

Один нюанс, якому пакет присвячує окремий абзац, оскільки на цьому ринку його регулярно ігнорують. Annex 11 і 21 CFR Part 11 — це регуляторні вимоги, а не схеми сертифікації. Жоден орган не видає «сертифікат Annex 11», і постачальник, який його пропонує, продає те, чого не існує. Що справді можна підтвердити — це впровадження, зіставлене пункт за пунктом із артефактами за кожним рядком, що й містить цей пакет.

SOC 2 та ISO 27001 *є* схемами сертифікації. Ми їх не маємо. Тому ми не називаємо себе сертифікованими, а сертифікати нашого провайдера інфраструктури зазначені як його власні, а не мовчазно представлені як наші.

Усе в ньому перевірено, а не скопійовано

Документи з відповідності застарівають. Змінюється регіон хостингу, усувається прогалина, перейменовується засіб контролю, а документ продовжує стверджувати архітектуру минулого року з упевненістю поточного. З нашим так і сталося: внутрішній документ QMS досі описував провайдера хостингу, від якого ми вже мігрували, а сторінка на нашому сайті містила неправильні регіони Azure.

Тому кожен статус у пакеті перевірявся на відповідність живій виробничій інфраструктурі та живому вихідному коду в день публікації: регіони зчитувалися з підписки, політика резидентності — з її призначення, конфігурація периметра — з живих заголовків відповідей, поведінка журналу аудиту та підписів — з коду, що їх реалізує. Там, де перевірка суперечила наявному документу, перемагала перевірка. Саме так ми й виявили відсутність набору правил брандмауера.

Пакет датований і містить зобов'язання щодо перегляду: не рідше ніж кожні шість місяців, а також повторний випуск щоразу, коли змінюється статус у таблиці сертифікації або переліку відкритих питань.

Якщо ви той, хто проводить оцінку

До цього матеріалу є супутній документ. Контрольний список готовності до GMP-аудиту операцій на дворі — це самоінспекція з 101 перевірки периметра двору, і її фінальний розділ присвячений кваліфікації постачальника вашої системи управління двором. Цей пакет написано, щоб відповісти на питання цього розділу — незалежно від того, чи оцінюєте ви нас.

Якщо вам потрібне щось, чого пакет не містить — повний комплект QMS під NDA, виконані свідчення тестування, специфікація програмного забезпечення для визначеного релізу або CAIQ у вашому власному шаблоні — зверніться до нас за адресою admin@yardtwin.com. Перелік того, що доступне на запит, міститься в §18.