计算机化系统的供应商需要定期审计么？

琦瑞福生

xdm
计算机化系统的供应商需要定期审计吗
我看现在新改进的程序，附的厂家资料还是14年的审计报告
这个有定期审计的要求吗
有的话一般都审什么呀

琦瑞福生

计算机化系统供应商评估，主要有三种不同的方式：基础评估、问卷调查、现场
审计。通常，对于具有较低影响的系统(常用的桌面应用程序等),或许采用基础评
估就可以了；对于标准的或可配置软件与服务的供应商，比较适合选择问卷调查方
式；而对于较高影响的系统(如5类定制软件),则建议考虑现场审计的方式，来综
合审核评估供应商。
供应商评估的内容主要包括供应商公司历史和即将实施的信息化系统，这些内
容可以体现在供应商评估报告中。企业还可以在此阶段就系统软件的管理范围局限、
需要线下或其他信息化系统协助的需求点，以及未来可能的版本更新管理与供应商
进行交流。
A. 基础评估
基础评估主要可以包括(但不限于)对供应商公共范围信息的审查、供应商市
场信誉评估、供应商过去表现与经验的评估，以及与其他同行企业的讨论等。评估
结果建议以文件形式存档，且对评估中识别出的问题，进行有效的处理。
B. 问卷调查
问卷调查主要可以包括以下内容(但不限于):
●公司概述，包括特定产品的生产地址；
● 组织架构，角色和职责，员工培训和经验；
●关键软件产品(含服务)的历史与开发计划；
● 质量管理体系在公司层面和相关产品生产过程中的执行；
● 产品与项目管理；
● 软件开发生命周期过程与交付物；
● 软件开发生命周期支持流程；
● 服务交付过程；
●用户培训；
●产品支持与维护；
● 安全性；
● 分包商(如有),包括外部机构与人员。
C. 现场审计
计算机化系统( 含服务) 供应商的现场审计流程，企业可参考其公司层面供应
商现场审计(如物料供应商) 的流程，包括审计准备与组织、审计实施与审计报告
几个步骤；而审计准备与组织主要分为制定计划、明确审计范围、选择审计小组与
通知供应商等几个环节。其中，审计范围主要是根据审计目的(如详细审计、跟踪
审计或监督审计),以及供应商主要活动(如软件产品开发、设备制造、软件集成和
支持服务)来确定的。
详细审计的范围通常包括与所考虑产品或服务相关的所有方面。当寻求定制服
务时，这些审计也可以用来评估供应商生产高质量产品的能力。
跟踪审计通常关注的是在之前审计过程中就确定下来的具体环节或者是供应商
所认可的纠正措施的完成情况。
监督审计通常关注之前审计过程中所发现的不足之处，以及新产品和服务，并
且提供一种手段来监控运行中的合规性。
对于评估之后存在风险，但考虑实际情况仍然选用的供应商，企业应当在实施
各关键节点进行风险管控。

抗争少年

这个这么审计？比如你设备电脑操作界面用的微软的系统，难道你要去审计微软公司？操作屏是西门子的，你要去审计西门子？计算机系统很多都是组装机，没法审计

915_雨

计算机毒太深了        大多是一次性的买卖    还审计个啥   
小厂  本来就涂便宜去的
大厂  就你的水平和知识  可能都是人家教你的    看都没得看  看了也白看

准圣级药老

不需要定期审计，但是，建议首次要进行必要的审计，审计内容在二版指南里有比较明确的建议。如果有新系统要购入，进行二次审计是可以的，但是就一套系统，定期审计没有意义。

琦瑞福生

915_雨 发表于 2024-1-22 10:33
计算机毒太深了        大多是一次性的买卖    还审计个啥   
小厂  本来就涂便宜去的
大厂  就你的水平 ...

确实，太难了，根本看不懂

chinsss

从零开始审计的话多半是把硬件跟软件看作一个整体，首先审核的是供应商非系统本身，系统根据你的URS提供
主要审核供应商对计算机化系统（以下简称系统）的验证/确认支持程度，提供的系统的复杂性，经验及创新性，持续服务水平（售后、更新、维护等）
然后收集评估所涉及资料，如公司介绍，组织机构及相关岗位职责，质量体系的认证证书，相关许可证，产品介绍，培训服务，投诉资料，项目计划、管理、监控、执行、报告、服务等，
再者与系统相关信息，如系统设计规格、功能规格、数据管理、审计追踪、电子签名等等（适用性方面）
你想做周期审计的话一般是有因审计把，毕竟计算机化系统是个确定的东西，不改变功能除了出现BUG或者供应商的更新服务外这个系统一般也不会变，所以没有周期审计的必要
以上信息 仅供参考

琦瑞福生

制药初学者 发表于 2024-1-22 10:37
不需要定期审计，但是，建议首次要进行必要的审计，审计内容在二版指南里有比较明确的建议。如果有新系统要 ...

嗯嗯，赞同      

琦瑞福生

chinsss 发表于 2024-1-22 10:44
从零开始审计的话多半是把硬件跟软件看作一个整体，首先审核的是供应商非系统本身，系统根据你的URS提供
...

确实，主要是使用过程中总是发生错误，来回改系统，我都想重新验证系统了，哈哈哈

wudizzx

现在供应商还给你提供什么服务？单纯的售后支持服务，还是你们有新的需求，供应商需要再给你们升级系统？如果只是前者，让采购按供应商管理就售后服务质量进行评价就行了，非要和GXP相关的话，想想定期回顾（不管是产品还是系统）有没有涉及验证的问题，需要触发供应商的审计；如果是有新的需求，看需求的内容是否需要触发供应商审计，比如需求有要求供应商必须要有ISO90001体系证书，那么可以通过审计的方式要求供应商提供。
所有的前提都是基于有没有风险，以及公司SOP里有没有硬性规定，无论什么情况，都需要进行供应商定期审计