Если мы покупаем "коробочный" продукт и собираемся использовать его в том виде в котором он поставляется (на 100% соответствует URS без изменения конфигурации), есть ли необходимость в его валидации?

Есть, рассматривается как категория 3 согласно GAMP5:

Другой вопрос, что лично я не сталкивался с ситуациями именно по 1С, чтобы они в фарма не нуждались как минимум в кастомизации (а это уже категория 4), а чаще - полноценная доработка функционала по некоторым специфическим фарма-процессам (тогда это категория 5). Но, тут зависит, действительно какой "коробочный" продукт вы берёте. Те же склады вы ведь настраиваете под себя - вряд ли они в коробке есть именно ваши. Но последняя фраза - это наугад, конечно. Так же это могут быть, например, бизнес-процессы по смене статусов "карантин"/"брак"/"разрешено" по сырью и готовой продукции или же по заполнению аналитических листов (сертификации номенклатуры). Я не видел таких "коробок" 1С, не нуждающихся в допиливании, во всяком случае, пока )). Не забываем, что интересна не столько их коробочность, сколько их GxP-релевантность. Например, закрытие неоперативного проведения для GxP-транзакций - ведь если эту возможность не закрыть, то это будет "выстрел в висок" по целостности данных. Разграничение прав доступа? Ведь это тоже не в коробке. Аудиторский след тоже, скорее всего, будет нуждаться в доработке, поскольку в полной мере родной контрольный журнал не будет соответствовать требованиям Приложения 11 GMP (указание причины при изменении GxP-релевантных данных - те же данные по статусам и/или аналитическим листам).

Опубликовано: @dmitry_1

Ведь по факту он уже должен быть многократно протестирован службой качества поставщика ПО

Вот с этим тезисом я был бы поосторожнее с любой системой - потому что следующий вопрос - может ли поставщик предоставить по запросу отчет о тестировании такой любой системы? :) Например, производители CDS (хроматографических систем данных) - могут. Поставщики решений типа Elpro, Vaisala, Testo Saveris Pharma - могут. От 1С отродясь ничего подобного не видел. Но, возможно, что-то поменялось в этом отношении или именно вашем случае это иначе.

Но в любом случае - тесты от поставщика - это хорошо. Но "жить" ведь будет 1С на вашей ИТ-инфраструктуре? Если да, то как минимум стандартные, "коробочные" GxP-релевантные бизнес-процессы нужно воспроизвести у вас под конкретными пользователями, документы и справочники тоже будут вашими - это и будет основной объем валидации, если всё-таки категория 3 по GAMP 5. Ну и квалификация вашей ИТ-инфраструктуры.

Если же поставщик "дописывает" под нас какие-то процессы, которые являются GxP-критичными - то проводим интеграционное тестирование этого процесса с составлением протокола вадации и отчета.  Хотелось бы услышать от коллег имеет ли право на жизнь такой подход.

Если документы не могут повлиять на качество, то можно не проводить валидацию.

Как вариант, можно отдать на аутсорсинг валидацию одного ПО, а потом (по аналогии) делать самим...