RESOURCES · GUIDE

OSS ライセンス監査の進め方 — 5 段階の実務フロー

上場前、M&A、大手取引先のデューデリジェンス。ライセンス監査が突然必要になったとき、標準フローを知っているかどうかで所要時間は桁で変わる。

監査が発生する典型シーン

上場審査、M&A デューデリジェンス、大手顧客の調達監査、OEM のサプライチェーン要求。共通するのは「第三者に対して、自社ソフトウェアの権利関係が clean であることを証明する」必要が生じる点だ。日常の管理がなければ、証明は棚卸しから始まる長い旅になる。

標準 5 段階

• ① 資産棚卸し——全コードベースのスキャンでコンポーネント一覧を作る。マニフェストだけでなくスニペット級で:コピーされたコード片こそ監査で問われる。
• ② ライセンス識別——各コンポーネント・各断片のライセンスを同定する。デュアルライセンス、例外条項(Classpath Exception 等)、ライセンス変更履歴まで見る。
• ③ 義務マッピング——各ライセンスが自社の利用形態(組込み・配布・SaaS)で発動させる義務を整理する。
• ④ 衝突検出——ライセンス間の非互換と、ライセンスとビジネスモデルの衝突(プロプライエタリ製品内の GPL、SaaS の AGPL)を洗い出す。
• ⑤ 是正と証跡保全——置換・隔離・遵守のいずれかで是正し、NOTICE ファイル・SBOM・監査レポートとして証跡化する。

OpenChain との関係

ISO/IEC 5230(OpenChain)は、この監査を「イベント」ではなく「プロセス」として常態化するための規格だ。日本は世界で最も採用が進む市場であり、サプライチェーン上流への準拠要求も広がっている。監査で一度 clean を証明したら、OpenChain 整合の運用に載せて維持するのが再監査コストを最小化する道になる。

ツールの役割

①②はスニペット級 SCA の主戦場、③④はポリシーエンジン、⑤は自動出力——CleanSource SCA は 5 段階を一気通貫で支援する。まず Community Edition で現状把握から始めるのが実務的だ。

よくある質問

監査はどれくらいの時間がかかりますか？

ツール化されたコードベース全体のスキャンなら初回レポートまで数日、是正を含めて数週間が目安です。手作業の棚卸しから始めると数ヶ月かかることもあります。

GPL 汚染が見つかったらどうなりますか？

即座に「違反」ではありません。利用形態(リンク方式・配布の有無)の判定、隔離・置換・ライセンス遵守のいずれかの是正、そして是正の証跡化——この順で対処します。