审计函到了才开始盘软件，那时候基本已经晚了

上周群里一个同行问，说收到原厂那边的合规审查函，要求 30 天内交部署清单和授权凭证，问有没有模板能套一下。我说模板有，但你先想清楚一件事：今天你连夜赶出来的这份东西，明年再被查一次，你还能交出同一个口径吗。他没回我。

这事儿每年都在发生，而且每次的剧本都差不多——收函、找人、导数据、翻合同、三个人关会议室对两周，最后交一份自己都不太信的清单上去。

为什么平时看着没事，一查就崩

先说清楚审计到底在查什么。很多人以为是在查"你有没有合同",错。合同你肯定有，付款记录也在。厂商真正要验证的是：实际部署和使用，跟你买的授权规则是不是一致的，而且这种一致性能不能追溯到过去几年。

所以杀伤力不在罚款本身，在于追溯。查出来缺 12 套，不是让你买 12 套就完了。常见的是按当前价补差（true-up），再往前追维护费，运气不好连别的产品线一起被翻出来。几十万的事最后变成几百万，都是这么来的。

而大多数企业平时根本没把这层当回事：采购签完合同就归档，终端那边装了什么没人管，账号谁还在用没人清，以前发现过的问题处理完也没留记录。这些东西分散在各个部门手里，平时看着各管一段挺合理，一旦要同时拿出来，就全乱了。

我的看法是，审计本质上不是资料考试，是管理能力考试。你交上去的材料只是结果，人家看的是你这套结果是不是平时就在维护的。

几个最容易在审计里爆的坑

订单 ≠ 授权。

PO、合同、授权证明（Proof of Entitlement / license certificate）是三样东西。钱付了但授权文件没归档，这种事我见过不止一次。审计的时候你拿 PO 说"我买了"，人家认的是授权凭证。

并发许可的排队，不等于不够用。

这个前面讲过，还是得再说一遍，因为吃这个亏的最多。研发喊卡，你去加采购，钱花了排队照旧——实际是有人占着不用。看许可服务器日志里的 DENIED 和排队记录，对时间点，再去查那个时段谁持有 license，基本能抓出来。

默认勾上的模块，是审计里最贵的那笔。

装的时候一路下一步，套件里附加模块全勾了。主程序你有授权，模块你没有，或者授权数量少得多。这块往往比主程序贵，而且你自己都不知道装了。

node-locked 装到了不该装的地方。

节点锁定许可是绑机器的，装到虚拟机里、克隆一份、或者迁到云上，规则上就是另一回事了。浮动许可（floating/concurrent）是抢池子的，命名用户（named user）是绑人的，这几种千万别混着算。

盘点的范围永远少一块。

云上的机器、测试环境、外包自带的、项目临时加的那几台——扫的时候全不在清单里。等审计方把部署清单甩给你，你才发现人家扫得比你全。

整改过，但没留痕。

这条最冤。你明明处理过一批闲置账号，也回收过一批许可，但没记录、没时间、没责任人。审计的时候你说"我们处理过了",拿不出证据，在对方眼里就等于没处理。能不能自证，比有没有做更重要。

怎么弄，顺序还是：摸底、优化、工具

摸底：先把证据链建起来

别一上来就想全覆盖，先盯着高风险的做——CAD、CAE、EDA、仿真设计这类，单价高、授权模式复杂、厂商爱查。

要凑齐这几样，缺一样这条链就断：

• 合同 + PO + 授权证明（买了什么权益）
  
• 安装清单（终端侧扫，云和虚拟机别漏）
  
• 使用日志（FlexNet/FlexLM、DS License Server、SolidNetWork、SPLM 各家不一样，能导就导）
  
• 整改记录（谁、什么时候、处理了什么）
  
• 字段必须对齐：软件名、版本、模块、授权单位、归属法人主体。集团签的合同子公司在用，这条在审计上经常翻车，而且很难临时补。

优化：先把能自证的部分做掉

• 回收：最后使用超 90 天的，先停再通知。停两周没人找，就回收。先问的话答案永远是"我要用"
  
• idle 超时：闲置半小时自动释放，各家配置位置不一样，有的在服务端有的在客户端，逐个试
  
• 摘模块：把没人用的从标准镜像里拿掉
  
• 续费前复核：拿使用率去谈降基数，谈不谈得成看关系，不谈肯定没有
  
• 流程必须有"回收"这一环：申请—审批—分配—回收—续费。只进不出，永远堵

工具

Excel 加日志，两三个人跑两三个月能通一遍。通完你才知道自己的数据长什么样、口径怎么定。这时候再看工具，盯四点：能不能接现有终端数据、能不能解析你那几个许可服务器的日志、关键厂商的授权规则认不认、能不能自动回收。

别信"一键合规"。最后一步一定是人拿合同一条条对，工具只能把范围从几千条缩到几十条。gofar 在这块的作用就是帮企业把软件资产集中管起来、看许可实际用了多少、给成本控制和审计留数据基础。上之前把自己的合同和流程理一遍，实施范围自己定，关键结论人工过一遍再往外拿。

一个具体点的例子

某工业自动化企业，研发 + 电气设计 + 仿真，300 人左右。被一家 EDA 厂商通过代理发了审查函，30 天。

自盘出来的情况：EDA 浮动 60 套，实际装了 78 台，日志峰值 43。feature 层面拆开看，12 个里 3 个连续 14 个月零使用，另外有 2 个是超量状态——其中一个默认勾的附加模块，装了 34 台，授权只有 15 套。CAD 席位 200 个，零使用超 12 个月的 38 个。离职和外包账号 52 个，其中 31 个对应项目已结束。

处理方式：一周内先把能回收的收了（38 个 CAD、31 个账号、9 套零使用模块），超量那个模块从标准镜像里摘掉重推，idle 设 30 分钟，之后才交材料，所有动作都留了记录单。

结果：最初按自盘估算要补 18 套，按当时报价 200 多万。最终按 4 套结算，加追溯维护费一共 63 万。第二年又来了一次，这次两天交完。