别等原厂审计函来了，才想起软件资产

说句难听的，大部分企业真正开始重视软件资产，都是因为收到了审计函。

那封邮件一来，整个IT部门、采购、法务全得动起来。翻三年前的合同、导终端安装记录、核对License Server日志、查离职人员名单。忙活一两个月，最后发现账对不上，要么补买，要么罚款，少则几十万，多则几百万。

问题不在临场能力，而在平时根本没管。

审计这事儿的本质是什么

原厂审计不是来查你"有没有合同"的。合同谁都有，买了就是买了。他们查的是：你实际用的，跟合同允许的，是不是对得上。

这个"对得上"没那么简单。你买了50套SolidWorks永久许可，但终端上装了73套，多出来的23套怎么解释？你买了ANSYS的Structural模块，但有人调用了CFD，算不算越权？浮动许可池里有个账号连续挂机48小时，这算正常使用还是异常占用？

审计考验的不是你资料齐不齐，而是你平时有没有一套可追溯的治理机制。 平时不管，临时抱佛脚，基本就是被动挨打。

三个最常见的管理缺口

缺口一：台账和现场对不上。

采购那边记录买了什么，IT那边知道装了什么，但两边从来没对过账。时间一长，偏差越来越大。有人私自装了新版本没人知道，有人离职了账号没回收，测试用的临时许可过期了还在跑。审计一来，一查一个准。

缺口二：授权边界说不清。

很多企业的IT管理员自己都搞不清楚手里的许可到底是什么规则。是节点锁定还是浮动许可？允不允许装虚拟机？版本升级有没有次数限制？能不能跨地域使用？这些细节合同里都写了，但没人细看。等到审计的时候，原厂拿合同条款一条条对，你这边连自己买的什么权益都说不清楚。

缺口三：整改没闭环。

就算平时发现了问题——比如某个部门多装了十几套CATIA——也就是口头说一声，没人跟踪到底回收没有。下次盘点，问题还在那儿。审计来了，这些历史遗留问题全冒出来，而且没有任何处理记录，解释都没法解释。

怎么破？别等审计来了再动

第一步，先摸底。

别想着一步到位搞个大而全的系统，先从高风险的软件开始。CAD、CAE、EDA、仿真类这些高价值的，优先盘。干三件事：

• 拉一份安装清单，用工具扫终端，或者查AD域、SCCM，搞清楚每台机器上装了什么版本
• 拉一份授权清单，把采购合同、License Server配置、订阅账号全整理出来，明确每套许可的类型、数量、适用范围
• 拉一份使用清单，浮动许可查Server日志，节点锁定许可靠终端扫描，看谁在用、用多久、调了哪些模块
• 三张清单一对比，问题自然就出来了。
• 第二步，优化整改。
• 发现问题别光记下来，得动真格的。闲置的回收，越权的卸载，重复的合并，该补买的补买。每个整改项要有责任人、有时间节点、有完成证据。别搞那种"已通知相关部门"的虚话，得看到实际动作。
• 第三步，建日常机制。
• 把软件资产管理变成常规动作，而不是审计前的突击任务。续费前必须看使用数据，新人入职自动分配许可，离职自动回收，异常占用设告警。让企业平时就处在"可审计"的状态，而不是临时进入"备战"状态。
• 工具可以放在最后考虑。像许可优化这类SAM工具，能帮你把盘点、授权核对、使用监控和证据沉淀放到同一个工作流里，日常就能持续更新，不用等审计来了再临时整理。但工具只是手段，关键还是流程和责任要到位。

一个真实案例

武汉有家做模具的企业，2023年底收到达索的审计通知，要求两周内提供SolidWorks和CATIA的使用情况。当时他们连完整的安装清单都没有，IT管理员花了十天挨个部门跑，手工统计了200多台机器，最后发现装了186套SolidWorks，但合同上只有140套永久许可加20套订阅，缺口26套。

更麻烦的是CATIA，合同买的是V5R28的5个模块，但现场发现有人装了V5-6R2019，还调用了合同里没有的复合建模模块。这要是硬扛，罚款加补买至少一百多万。

后来他们找了第三方做了一轮全面盘点，把历史使用数据拉出来，证明大部分超装是版本升级时遗留的测试环境，实际活跃用户只有120人左右。最后跟原厂谈了个打包方案：补买15套许可，把版本统一到合同允许的范围，再签三年维护协议，总花费控制在40万以内。

事后他们上了许可优化做日常管理，浮动许可池设了自动回收规则，终端安装纳入SCCM管控，每季度做一次使用数据复盘。第二年原厂再来函，两周内就交出了完整的资产报告，审计顺利通过，没再产生额外费用。