Källkodsdeposition – när behövs escrow?

Tänk tanken att leverantören som byggt och driftar ert viktigaste system försvinner imorgon – i konkurs, eller i en tvist som fryser samarbetet. Vem har då koden, och kan ni driva systemet vidare? För verksamhetskritiska system som en leverantör ensam sitter på är källkodsdeposition, escrow, svaret på just den frågan. Det är en nischad åtgärd, men för rätt system är den skillnaden mellan en hanterbar övergång och ett haveri. Den här guiden förklarar hur det fungerar, vad som måste regleras och när enklare skydd räcker.

Så fungerar ett depositionsupplägg

Grundidén är enkel. Källkoden till systemet, tillsammans med det som behövs för att bygga och driva det, deponeras hos en oberoende part – en escrow-agent. Ni som beställare får inte koden i handen så länge allt fungerar; den ligger i förvar. Men om något av de i förväg avtalade villkoren inträffar lämnar agenten ut koden till er, så att ni eller en ny leverantör kan ta över.

Tre parter ingår alltså: ni som beställare, leverantören och den oberoende agenten. Avtalet reglerar vad som ska deponeras, hur ofta nya versioner ska lämnas in – en deposition som är två år gammal hjälper föga – och exakt vad som ska utlösa en utlämning. Kostnaden består av en löpande avgift till agenten plus visst arbete med att hålla depositionen aktuell. Den är sällan stor jämfört med vad ett kritiskt system är värt, men den finns, och det är ett skäl att först fråga sig om upplägget verkligen behövs.

Utlösande villkor måste definieras skarpt

Escrow står och faller med de villkor som utlöser en utlämning. Är de vaga blir försäkringen verkningslös precis när den behövs, eftersom leverantören eller ett konkursbo kan bestrida att något faktiskt inträffat.

Villkoren måste därför vara objektiva och verifierbara. Vanliga utlösare är konkurs eller likvidation, att leverantören upphör med verksamheten, eller att den i strid med avtalet slutar underhålla systemet. Poängen är att agenten ska kunna konstatera att ett villkor är uppfyllt utan att först behöva vänta på utgången av en långdragen tvist. Ett dåligt formulerat villkor – “om leverantören inte längre kan leverera” – öppnar för just den sortens strid. Ett skarpt villkor – “vid registrerad konkurs” – går att agera på direkt. Här är det värt att lägga tiden, för det är i detaljen escrow antingen håller eller inte.

Enklare alternativ – och när de räcker

Escrow är inte det enda sättet att skydda sig, och ofta inte det enklaste. Innan ni sätter upp ett depositionsavtal är det värt att pröva om ett lättare alternativ ger tillräcklig trygghet.

Det vanligaste och ofta bästa alternativet är att helt enkelt ha läsande tillgång till leverantörens kodförråd och regelbundna kopior av både kod och data. Då har ni redan mycket av det escrow skyddar mot, utan avgift till en agent och utan administration. Escrow tillför mest i de fall där sådan direkt tillgång inte är möjlig, eller där en oberoende mellanhand av andra skäl känns nödvändig. Med andra ord: börja med det enkla, och ta till escrow när det enkla inte räcker.

Ett konkret scenario

En verksamhet lät en mindre leverantör bygga och drifta ett system som styrde en central del av verksamheten. Leverantören var skicklig men liten, och all kod och kunskap satt hos dem. Ledningen insåg risken: om bolaget gick omkull skulle systemet bli en svart låda ingen kunde röra.

De vägde alternativen. Löpande tillgång till kodförrådet hade räckt, men leverantörens upplägg gjorde det svårt att ge extern åtkomst. Valet föll därför på escrow, med konkurs och avbrutet underhåll som skarpt formulerade utlösare och kvartalsvisa depositioner så att koden aldrig blev inaktuell. När systemet några år senare skulle tas över av annan part visade det sig att depositionen var aktuell och komplett – övergången blev ordnad i stället för panikartad.

Matcha skyddet mot risken

Källkodsdeposition är varken något varje projekt behöver eller något att avfärda. Frågan är alltid densamma: hur illa vore det om leverantören försvann, och har ni redan tillräcklig tillgång till koden? Är systemet kritiskt och tillgången osäker, är escrow en billig försäkring mot ett dyrt scenario. Är systemet mindre viktigt eller koden redan inom räckhåll, räcker enklare grepp.

Vi på Weapp arbetar för att våra kunder aldrig ska känna sig inlåsta och resonerar gärna kring rätt nivå av skydd som en del av våra tjänster. Funderar ni på hur ni säkrar ett kritiskt system? Hör av dig så hjälper vi er väga escrow mot de enklare alternativen för just er situation.