Licenskrav ved M&A: hvad due diligence-teams faktisk har brug for

Licensrisiko er handelsrisiko. Udeklareret copyleft, manglende attribution eller en offentlig side, der ikke længere matcher builden, kan blive til holdbacks, prisnedslag eller remediation-programmer efter closing.

Købere spørger, fordi de arver produkterne i produktion og de forpligtelser, der følger med. Sælgere, der allerede vedligeholder en gennemgået oversigt, svarer hurtigere og med færre overraskelser.

• Bekræft, hvilke produkter og release-linjer der er i scope for handlen.
• Identificér copyleft, netværks-copyleft og proprietære SDK-vilkår tidligt.
• Adskil sikkerhedsfund fra licensoplysning. Due diligence har ofte brug for begge, men det er ikke samme leverance.
• Spørg, om registreringen er knyttet til det, der faktisk leveres, ikke kun et scan af marketing-sitet.

Bevismateriale til due diligence består af en gennemgået oversigt for hvert produkt i omfanget, fastfrosset ved en kendt udgivelse, med fuld licenstekst og kildeangivelse, hvor det kræves. En køberrettet attesteringsside med tilsvarende eksportfiler er den normale form.

En indsat lockfil, en ikke-gennemgået SBOM eller en NOTICE-fil fra for tre år siden er input, ikke bevis. Bevis betyder, at nogen godkendte fremstillingen, før den forlod huset.

• Produktafgrænset oversigt (direkte og transitive efter jeres politik).
• Menneskegennemgåede licens-id'er og vedhæftet fuld tekst.
• En stabil URL eller eksport genereret fra det samme godkendte snapshot.
• En klar angivelse af, hvilken release eller dato registreringen dækker.

De fleste brandslukninger starter fra de samme huller. Spot dem, før data room-anmodningen lander.

Ingen af dem betyder, at handlen falder. De betyder, at nogen skal genopbygge en forsvarlig registrering under tidspres.

• Udeklarerede eller uafklarede GPL-, LGPL- eller AGPL-komponenter i builds i produktion.
• Forældede NOTICE- eller attributionsfiler, der ikke matcher den aktuelle lockfil.
• En SBOM behandlet som færdig oplysning, uden gennemgået licenstekst.
• Ét regneark, der dækker flere produkter uden per-produkt-scope.
• Offentlige sider eller eksporter, der ikke kan spores til en udgivelsesgodkendelse.

Byg pakken fra den samme loop, I allerede bør køre for kunder: importér det, der leveres, gennemgå det, udgiv, og eksportér derefter. Opfind ikke en parallel due diligence-only-proces ugen for underskrift.

Når køberen beder om både en URL og filer, generér begge fra ét frosset snapshot, så data room'et ikke indeholder modstridende versioner.

En vedligeholdt compliance-side og matchende eksporter er infrastruktur til due diligence, ikke en erstatning for juridisk rådgivning. Højrisikolicenser, spørgsmål om outbound distribution og handelsspecifikke indeståelser kræver stadig juridisk gennemgang.

SourceTrust hjælper teams med at holde den operationelle registrering aktuel, så advokater argumenterer om de få svære sager, ikke om manglende oversigt.

Normalt ikke alene. En SBOM identificerer komponenter. Due diligence kræver stadig gennemgåede licenser, fuld tekst og et klart produktomfang. Behandl SBOM'en som importen, og fuldfør derefter gennemgang og udgivelse, før I deler.

Pr. produkt: en aktuel, gennemgået oversigt, en attesterings-URL eller tilsvarende licensoplysning og eksportfiler fra det samme snapshot. Når I ved, hvilken udgivelse hver fil dækker, sparer I dage, når datarummet åbner.

Bed om produktafgrænset bevis knyttet til de builds, handlen omfatter: en vedligeholdt side eller oplysningspakke, matchende SPDX eller CycloneDX hvis påkrævet, og bekræftelse af, at copyleft-rækker er gennemgået. Undgå at acceptere ét udateret regneark som komplet.