能够使用一张检查清单来评估云服务提供商吗？

——内容来源：ECA Academy

由于云能够带来显著的财务优势和组织优势，因此制药行业的趋势也是在向云计算发展，与此同时我们也应考虑到潜在的合规风险和监管限制。以下是来自制药行业和监管部门的九位专家针对[对于供应商评估和供应商审计要求]主题发表的系列GxP相关问题：

• 云计算技术基础

• 法规和检查员的期望

• 客户-供应商关系

• 针对云服务提供商（CSP）要求

• 对于供应商评估和供应商审计要求

• 对于确认/验证要求

问题12：只提供一份评估清单，足够评估像亚马逊和微软这样的云服务供应商吗？

云服务供应商作为制药公司最重要的与质量相关的供应商，在药企供应商资格认证过程中，必须进行评估。这意味质量保证部门或审计部门需要承担重大责任，主要涉及到审计员的资格和供应商提供的信息是否可用。

对于每一个云服务供应商来说，接受审计请求就意味着要全面协调各单元的活动，以便进行现场审计或回答长篇问卷。但这两种审计方式都不太受供应商欢迎，因为会占用大量资源。这也就是为什么云服务供应商经常要求对现场审计进行成本分摊，甚至是不太希望执行审计。很显然，云服务供应商的质量部门对于充满开放式问题的问卷也不是很喜欢，因为回答这些问题可能需要几天时间。

为了评估SaaS云服务供应商（尤其是提供质量相关应用），严格来说必须进行审计工作，而且最好是现场审计，因为系统开发和验证文件必须进行GMP方面的评估。如果只能进行远程审计，则必须保证有足够的时间阅读在线提供的文档。并且在进行实际的远程审计之前，审计员应尝试获取与质量相关的文件的副本，并对其进行检查。然而，出于保密方面的原因，大多数供应商会拒绝这一请求。

对IT基础设施领域的全球服务供应商（如IaaS服务供应商）的质量评估往往会带来更大的问题，因为这些公司（如微软、亚马逊）根本不理会这类请求。在这种情况下，制药企业需要评估该企业在更广泛的基础上提供的一般文件。微软提供了全面的质量手册（Microsoft Azure GxP指南，2020 Microsoft Corporation，99页），可从Microsoft网站下载。在这里，审计员可以找到他/她在审计过程中想要讨论的一些问题的答案。