OSS Compliance Tragen Ihre Unternehmensprozesse Open Source Rechnung? Dr. Christian Laux OpenExpo, 25. September 2008

Transkript

1 OSS Compliance Tragen Ihre Unternehmensprozesse Open Source Rechnung? Dr. Christian Laux OpenExpo, 25. September

2 Compliance?

3 "Bei der Verwendung von OSS in kommerziellen Produkten sind die Lizenzpflichten streng einzuhalten" Was ist zu unternehmen?

4 Themen Welches sind die organisatorischen Massnahmen, um Kerngeschäft (Verbreiten von Distributionen) zu ermöglichen Haftung und Gewährleistung abzuwehren den Wert des Unternehmens zu erhalten den Anforderungen der internen und externen Revision zu genügen

5 Problematik

6 Das Problem

7 Das Problem

8 Das Problem

9 KUNDE Das Problem Lizenz Lizenz ? Lizenz

10 Das Problem KUNDE? Lizenz Lizenz

11 Das Problem KUNDE Lizenz "Lizenz verletzt!"

12 Das Problem KUNDE "Betriebsausfall!" "Workaround!" "Geld zurück!" "Schadenersatz!" "Lizenz verletzt!" "Vertrieb untersagt!" "Strafverfahren!" "Schadenersatz!"

13 Zusammenfassend

14 Die Folgen "Geld zurück!" "Workaround!" "Schadenersatz!" "Schadenersatz!" "Strafverfahren!" Buchungen nicht nachhaltig Unvorhergesehene Kosten Unvorhergesehene Kosten Unvorhergesehene Kosten Kosten, Stress Rückstellungen Rückstellungen Rückstellungen Rückstellungen Erfolgsrechnung belastet

15 Schutzvorkehren? "Geld zurück!" "Workaround!" "Schadenersatz!" "Schadenersatz!" "Strafverfahren!" Disclaimer in Lizenz/Vertrag: - Isolierter Vertrieb - Grenze Grobfahrlässigkeit Keine Versicherbarkeit Keine vertraglichen Bessere Kontrolle Bessere Kontrolle

16 Weitere Interessen

17 Transaktionen Projekt-/Vertriebsverträge Due Diligence im Unternehmensverkauf (z.b. Startups) Lizenzanalyse zwingend

18 Schutzvorkehren?

19 Schutzvorkehren (1/5) Bessere Kontrolle bei der Entwicklung von Software Review und Approval vor Einbindung von Open Source Software Organisatorische Massnahmen Mit Hilfe von Compliance Tools Dokumentierung (Bezugsquelle, Version, Lizenz, Pflichten) Policies

20 Schutzvorkehren (2/5) Policies Schutz des Verwaltungsrats vor persönlicher Haftung Art. 754 Abs. 2 OR: "Wer die Erfüllung einer Aufgabe befugterweise einem anderen Organ überträgt, haftet für den von diesem verursachten Schaden, sofern er nicht nachweist, dass er bei der Auswahl, Unterrichtung und Überwachung die nach den Umständen gebotene Sorgfalt angewendet hat."

21 Schutzvorkehren (3/5) Policies SOX und andere Normen wirken sich vermehrt direkt, indirekt oder als Grundhaltung auch bei uns aus. SOX bezweckt das Herstellen von Transparenz und Nachvollziehbarkeit. Berüchtigt: "Section 404 Responsibility of Management for establishing and maintaining an adequate internal control structure and procedures for financial reporting Grundsätzlich nur "financial reporting". Jedenfalls Internal IT ist fast immer betroffen. Entwicklungsarbeiten können über die Pflicht zu Rückstellungen erfasst sein.

22 Schutzvorkehren (4/5) Policies Schutz vor Haftung auch gegenüber Dritten?

23 Schutzvorkehren (5/5) Bessere Kontrolle bei der Beschaffung von Software (Module etc.) (Anwenderseite) Absicherung des Unternehmens (Haftung/Gewährleistung) Kontinuität der Nutzung

24 Compliance Tools Insbesondere Instrument zur Überwachung, ob die Policies tatsächlich eingehalten werden Kann bei Entlastung von der Haftung nützlich sein (Grobfahrlässigkeit widerlegen) Reports sind Grundlage für Buchprüfung (nicht nur SOX) Reports sind Grundlage für die Lizenzprüfung von Distributionen Helfen, die Wiederverkäuflichkeit des Unternehmens zu erhalten Kein Schutz vor Patentverletzungen

25 Compliance Tools Insbesondere Anbieter Datenbank Anwendung Anwendung vergleicht Nightly-builds mit Datenbank

26 Zusammenfassung Organisatorische Massnahmen beim Einsatz von OSS in eigenen Produkten bei Beschaffung von Software von Dritten Einsatz von Policies von technischen Hilfsmitteln empfehlenswert

27 Diskussion

28 Kontakt Christian Laux Rechtsanwalt, Dr.iur., LL.M. Niederer Kraft & Frey Rechtsanwälte Bahnhofstrasse Zürich Phone Fax