技术尽职调查工作台
一位投资者要求审查目标公司的代码。该公司连接其自身的代码仓库，并选择要共享的内容。投资者将收到一份分级报告，其中每一项结论都可以追溯到其背后的文件，而存在的问题也会被明确标注为问题。
- 行业投资尽职调查
- 项目类型自研产品
- 状态持续开发中
它做什么
资金落定之前，投资方需要知道自己买的是什么。这个工作台用一份有评级、有证据支撑的代码库报告来回答这个问题，而不是一份只能选择相信的摘要。
流程由双方共同完成。投资方发起审阅并发出邀请；标的公司连接自己的账户，自行选择哪些仓库进入审阅。公司没有交出的内容不会被分析。
无法出示依据的审阅
技术审阅往往只给出结论。读的人既无法核对，也看不出哪些部分从未被看过。
只有结论，没有证据
一份书面审阅说代码有风险或者稳健。读的人无法把这个判断追溯到具体文件，也无从判断审阅者是否真的看过那部分代码。
信任建立之前就要交出访问权
标的公司往往要在交易早期一次性交出全部源代码，对共享范围没有发言权，也没有去向记录。
看起来像干净结果的缺口
某项检查没有完成时，报告往往绕开缺口取平均。证据缺失和良好结果在纸面上看起来是一样的。
围绕可证实的部分构建的工作台
投资者和目标公司可以信赖的四点。
按照公司的条款进行访问
投资者发起一次代码审查并发送邀请。目标公司关联其自有账户，并选择哪些代码仓库纳入审查范围，因此访问权限将根据该公司的条款授予。
- 公司会根据每个代码库的情况，决定共享哪些内容
- 未移交的物品均不予分析
- 运行结束后删除工作副本
一份会说明自己无法核查内容的报告
审核以一系列检查的形式进行。报告中会标出未能完成的检查项，并据此降低该报告的完整性评分。
- 安全发现会在上报前经过验证
- 已检查依赖项和泄露的凭据
- 将变更历史、架构和技术债务整合到一份报告中
带着证据的评级
代码库在质量、安全性、架构和可维护性方面均被评定等级，每个等级背后都有相应的评估指标。
- 调查结果指向了该文件和该行
- 安全发现附有可重现的证明
- 技术债务的成本计算依据的是一个已发布的模型，其中展示了计算过程。
写进报告的诚实
该报告的设计旨在便于核查。其就绪检查表包含三种状态：通过、未通过和证据不足。
- 运行不完整时不给出总体评级
- 没有发现问题被记为证据不足，而不是结果干净
- 这些结论得到了源文件中证据的支持
它改变了审阅的什么
投资者将收到一份有据可依的报告，其中明确说明了报告的覆盖范围。
可追溯
每一条结论
一个评级可以回溯到产生它的文件与行号，读者也能看到自己正在读的这一节由哪个模型写成。
你自己的硬件
分析运行的位置
分析可在运营商自身的硬件上运行，因此敏感代码无需离开该硬件即可接受审查。
不取平均
缺失的证据
若存在缺漏，则报告中会将其标注为“缺漏”。当覆盖范围不完整时，报告将不予评定总体等级。