Comment un investisseur audite-t-il un code produit avec assistance ?

Introduction

L’audit d’un éditeur comporte désormais un volet consacré aux méthodes de développement. En connaître le déroulement permet de le préparer.

Le volet juridique

Il porte sur la chaîne de titularité.

Pour chaque contributeur : son statut, sa période d’intervention, l’acte de cession lorsqu’il est nécessaire.

Les développements antérieurs à la constitution, apportés ou cédés.

Les prestataires et les dirigeants non salariés, dont les droits ne sont pas dévolus automatiquement.

Il porte ensuite sur les conditions des outils utilisés : attribution des droits sur les productions, réutilisation des saisies, garanties offertes, restrictions d’usage.

Il porte enfin sur les engagements pris envers les clients : déclarations sur la titularité, garanties, engagements de confidentialité potentiellement méconnus.

Le volet technique

Il est conduit par un prestataire spécialisé.

Il examine la qualité du code, la couverture de tests, la dette technique et la maintenabilité.

Il analyse les dépendances et leurs licences, généralement à l’aide d’outils automatisés produisant un inventaire complet.

Il recherche des similarités avec du code public, par des outils de comparaison.

Il examine la sécurité : vulnérabilités connues dans les dépendances, défauts détectables par analyse statique, gestion des secrets.

Il analyse l’historique du projet : rythme des contributions, taille des changements, présence de revues, messages de révision.

Les indices d’un développement assisté

Ils ne sont pas décisifs isolément mais convergent.

Des contributions de volume important, ajoutées en une seule fois, sans phase de mise au point.

L’absence de traces de revue par un tiers.

Des motifs de code homogènes, des styles de commentaire caractéristiques, des noms de variables d’exemple.

Des similarités avec du code public.

Des vulnérabilités élémentaires coexistant avec une architecture élaborée.

L’auditeur ne cherche pas à établir un pourcentage : il cherche à évaluer la maîtrise du processus.

Ce qui est réellement examiné

La question de l’auditeur n’est pas de savoir si des outils ont été utilisés, ce qui est admis, mais si leur usage a été maîtrisé.

Existe-t-il une politique interne, adoptée et diffusée.

Les composants tiers sont-ils inventoriés et leurs licences vérifiées.

Une revue humaine est-elle organisée et tracée.

Des contrôles de similarité sont-ils exécutés.

L’apport humain est-il documenté.

Des protections alternatives ont-elles été constituées.

Les réponses à ces questions déterminent l’appréciation.

Les constats les plus fréquents

L’absence de politique interne.

L’absence d’inventaire des composants tiers.

La présence de composants sous licence à réciprocité, voire sous licence réseau, non identifiés.

L’absence de documentation de l’apport humain.

L’absence d’actes de cession pour les prestataires et les dirigeants non salariés.

L’usage d’offres grand public en phase initiale, avec des conditions moins favorables.

Ces constats sont tous corrigeables en amont.

Les conséquences

Une condition de régularisation préalable : traiter le point avant la réalisation de l’opération.

Une déclaration et une garantie spécifiques, avec un plafond rehaussé.

Un séquestre d’une fraction du prix ou des fonds.

Une renégociation de la valorisation.

Un retrait, dans les cas extrêmes : contamination par une licence imposant la publication du code, réclamation de tiers en cours.

La préparation

Conduire soi-même l’audit six à douze mois avant.

Produire l’inventaire des composants et corriger les licences problématiques.

Régulariser la chaîne de titularité.

Adopter la politique interne selon les formalités.

Mettre en place les contrôles automatisés et documenter les revues.

Constituer les protections alternatives.

Rédiger la note méthodologique et l’annexe de divulgation.

Cette préparation transforme un sujet de réserve en démonstration de maîtrise.

S’auditer avant d’être audité

Ce que l’auditeur trouvera, autant le trouver le premier. Notre expertise en fusions-acquisitions conduit ces audits préparatoires.

En résumé

• L’audit combine un volet juridique sur la titularité et un volet technique sur le code.
• Les indices d’un développement assisté convergent sans être décisifs isolément.
• La question examinée n’est pas l’usage mais la maîtrise du processus.
• Les constats les plus fréquents portent sur l’absence de politique, d’inventaire et de cessions.
• Conduire soi-même l’audit six à douze mois avant l’opération.