Escrow

Ohjelmistoescrow

Escrow tarkoittaa turvatalletusta eli sulkutiliä. Sulkutilien avulla pyritään pienentämään kaupallisiin transaktioihin liittyvää petosriskiä. Menettelyssä osapuoli voi tallettaa esimerkiksi maksun tai arvopaperin kolmannen, luotetun osapuolen haltuun. Tämä kolmas osapuoli säilyttää talletusta sulkutilillä siihen saakka, kunnes sovitut vapautusehdot täyttyvät. Tämän jälkeen talletus vapautetaan ja siirretään toiselle osapuolelle. Sulkutilejä käytetään muun muassa:

kiinteistökaupoissa
vuokraustoiminnassa
yritysjohdon arvopaperikaupoissa
tavarakaupassa

Ohjelmistoescrow

Digitalisaation myötä yritykset ovat yhä riippuvaisempia ohjelmistoista ja ulkoisista teknologiapalveluista. Monet liiketoimintakriittiset sovellukset perustuvat kolmansien osapuolien toimittamiin ohjelmistoihin, joskus jopa yksittäisten kehittäjien ratkaisuihin. Tällöin escrow-sopimus tarjoaa keinon turvata liiketoiminnan jatkuvuus ja hallita riippuvuusriskejä tilanteissa, joissa ohjelmistotoimittaja ei kykene enää täyttämään velvoitteitaan. Näissä tapauksissa escrow-sopimus tarkoittaa talletussopimusta, joka on kolmen osapuolen välinen järjestely:

Toimittaja (esimerkiksi ohjelmistokehittäjä) tallettaa lähdekoodin ja muun keskeisen dokumentaation
Kolmas osapuoli (escrow-agentti) säilyttää materiaalin turvallisesti ja luottamuksellisesti
Asiakas saa oikeuden käyttää tai ottaa koodi haltuun tietyissä olosuhteissa, kuten toimittajan konkurssin tai vakavan sopimusrikkomuksen yhteydessä

Sopimuksen tarkoituksena on varmistaa, että asiakas voi jatkaa ohjelmiston käyttöä, ylläpitoa ja kehittämistä myös silloin, kun toimittaja ei siihen enää kykene.

Tehtävälista

Tarpeen tunnistaminen

Tunnista liiketoimintakriittiset ohjelmistot ja palvelut, jotka ovat ulkopuolisen toimittajan hallinnassa.
Arvioi ohjelmistojen vaikutus liiketoiminnan jatkuvuuteen, tietoturvaan ja lakisääteisiin vaatimuksiin.
Kirjaa ohjelmistot, jotka vaativat escrow-sopimusta osana riskienhallintaa.

Sopimuksellisten valmiuksien tarkistaminen

Tarkista, onko nykyisissä toimittajasopimuksissa mainintaa escrow-järjestelystä.
Keskustele ohjelmistotoimittajan kanssa mahdollisuudesta solmia escrow-sopimus.
Osallista juridinen asiantuntija arvioimaan mahdolliset riskit ja ehtovaihtoehdot.

Escrow-sopimuksen suunnittelu

Määritä osapuolet. toimittaja, asiakas ja escrow-agentti (kolmas osapuoli).
Määrittele talletettava aineisto, kuten lähdekoodi, dokumentaatio, asennusohjeet, lisenssit, kehitystyökalut.
Määrittele käyttöoikeuden laukaisuehdot, esimerkiksi konkurssi, tuki lakkaa, sopimusrikkomus.
Talletusten päivitystiheys ja vastuut.
Tarkastus- ja validointipalvelut.

Sopimuksen toteutus

Solmi escrow-sopimus kaikkien osapuolten välillä.
Järjestä ensimmäinen talletus: toimittaja toimittaa aineiston escrow-agentille.
Varmista, että agentti kuittaa vastaanoton ja säilytys on turvallinen, esimerkiksi salaus, fyysinen suojaus.
Toteuta ensimmäinen validointi, esimerkiksi koodi toimii, ohjeet riittävät.

Sopimuksen ylläpito ja valvonta

Laadi aikataulu päivityksille, esimerkiksi 2–4 kertaa vuodessa.
Seuraa, että toimittaja tekee päivitykset ajallaan.
Tarkista säännöllisesti sopimuksen ja aineiston ajantasaisuus.
Dokumentoi escrow-sopimus osaksi yrityksen riskienhallinta- ja jatkuvuussuunnitelmaa.

Koulutus ja viestintä

Kouluta keskeiset sidosryhmät (IT, hankinta, johto, lakiasiat) escrow-sopimuksen merkityksestä.
Päivitä sisäiset ohjeistukset ja sopimusmallit sisällyttämään escrow-vaihtoehto toimittajahankintoihin.

Auditointi ja parantaminen

Arvioi escrow-järjestelyn tehokkuus vuosittain osana riskienhallintaa.
Tee tarvittaessa muutoksia sopimukseen, esimerkiksi ehtojen tai aineiston laajuus.
Pidä escrow-malli mukana uusien ohjelmistohankintojen arviointikriteereissä.

Ohjelmistoescrow yrityksen riskienhallinnan työkaluna
Yritystoiminta on riippuvainen ohjelmistoista ja digitaalisista palveluista. Moni kriittinen liiketoimintaprosessi, kuten tuotannonohjaus, asiakashallinta, laskutus tai raportointi toimii kolmansien osapuolien toimittamien ohjelmistojen varassa. Tässä tilanteessa ohjelmistoescrow-sopimus tarjoaa tärkeän keinon riskienhallintaan, mikäli toimittaja ei jostain syystä pysty enää tukemaan ohjelmistoa tai jatkamaan liiketoimintaansa.

Mitä ohjelmistoescrow tarkoittaa?
Ohjelmistoescrow-sopimus on talletussopimus, jossa ohjelmistotoimittaja tallettaa sovelluksen lähdekoodin, dokumentaation ja mahdolliset kehitystyökalut luotettavan kolmannen osapuolen ns. escrow-agentin säilytettäväksi. Tämä mahdollistaa sen, että asiakas saa oikeuden käyttää ja hyödyntää ohjelmistoa itsenäisesti tietyissä ennalta sovituissa tilanteissa.

Tyypillisiä laukaisuehtoja ovat esimerkiksi toimittajan konkurssi, sopimusrikkomus, tuen lopettaminen tai ohjelmiston kehityksen pysähtyminen. Escrow ei tarkoita asiakkaan täyttä omistusta ohjelmistoon, vaan hätävaraista käyttöoikeutta silloin, kun normaali asiakastoimittajasuhde ei enää toimi.

Escrow osana yrityksen riskienhallintaa

Toimittajariippuvuuden hallinta
Yrityksen digitaalinen infrastruktuuri voi olla rakennettu ohjelmistojen ja palveluiden varaan, joita toimittaa yksi pieni tai keskisuuri ohjelmistoyritys. Mikäli kyseinen yritys lakkaa toimimasta, asiakas jää tyhjän päälle ilman käyttöoikeuksia tai teknistä tukea. Escrow-sopimus tarjoaa ratkaisun tähän riippuvuuteen ja auttaa varautumaan toimittajariskiin.

Liiketoiminnan jatkuvuus
Ilman escrow-sopimusta liiketoiminnan jatkuvuus voi vaarantua kriittisessä tilanteessa. Esimerkiksi tuotantoprosessin pysähtyminen ohjelmistovirheen vuoksi voi aiheuttaa huomattavia taloudellisia tappioita. Escrown avulla asiakas voi päästä käsiksi lähdekoodiin ja korjata virheen itse tai kolmannen osapuolen avulla.

Sääntely- ja auditointivaatimukset
Useilla toimialoilla, kuten rahoitus, terveydenhuolto ja julkishallinto, viranomaiset tai standardit saattavat edellyttää riskienhallintatoimia liiketoimintakriittisissä ohjelmistoissa. Escrow voi olla osa tätä dokumentoitua riskienhallintakehystä ja antaa lisäarvoa esimerkiksi tietoturvasertifioinneissa (esim. ISO 27001, SOC 2).

Escrow-sopimuksessa sovittava sisältö

Ohjelmiston lähdekoodi

Dokumentaatio (asennus, käyttö, arkkitehtuuri)
Kehitysympäristöt ja kirjastot
Konfiguraatiot ja mahdolliset datamigraation ohjeet

Laukaisuehdot

Toimittajan konkurssi tai maksukyvyttömyys
Tuen lopettaminen ilman vaihtoehtoa
Pitkittynyt tai vakava sopimusrikkomus

Päivitykset ja validointi
Lähdekoodiin viimeisimpien versioiden talletus
Lähdekoodin käyttökelpoisuuden verifiointi

Escrow pilvipalveluiden aikakaudella
Pilvipohjaiset SaaS-ratkaisut (Software as a Service) ovat haastaneet perinteistä escrow-ajattelua, koska asiakas ei yleensä asenna ohjelmistoa omiin ympäristöihinsä. Tämä ei kuitenkaan poista tarvetta escrowlle, päinvastoin. SaaS-escrow voi sisältää:

Sovelluksen lähdekoodin
Palvelualustan ja infrastruktuurin kuvauksen, esimerkiksi AWS- tai Azure-ympäristöt.
Automaattisia skriptejä ja konttipohjaisia asennuksia, esimerkiksi Docker, Kubernetes.
Ohjeet palvelun uudelleenkäynnistämiseen asiakkaan ympäristössä

Hyödyt yritykselle

Vähentää teknologia- ja toimittajariippuvuutta.
Mahdollistaa liiketoiminnan jatkumisen häiriötilanteissa.
Lisää läpinäkyvyyttä asiakas–toimittajasuhteeseen.
Voi olla kilpailuetu tarjouskilpailussa tai asiakashankinnassa.