收到 SolidWorks 合规函别慌，先把事实清单摆出来

合规函一来，采购、IT、研发部门电话就被打爆了。厂商或代理那边甩过来一堆数据，说你安装了多少套、用了多少人、峰值并发多少，看着挺吓人。这时候最容易犯的错误就是手忙脚乱——有人急着卸载软件，有人忙着删日志，还有人直接拍脑袋说“那赶紧补买几套”。

先停一下。第一份交付物不该是采购结论，也不该是整改方案，而是一份 IT、采购、业务三方都认的事实清单。没有这个清单，后面所有动作都是瞎搞。

这事到底是个啥性质

SolidWorks 软件合规函本质上是一次“账实核对”的提醒。厂商手里的数据通常是安装量、登录记录、网络并发这些技术线索，但技术线索不等于法律责任。安装量不等于授权量，活跃人数不等于并发峰值，不同口径混在一起，数字自然对不上。

治理目标就三条：可解释、可复核、业务可接受。别追求什么漂亮数字，能自圆其说、经得起查、不影响干活，就够了。

企业常踩的几个坑

• 口径混乱。采购数、活跃数、峰值并发各算各的，拿来一比肯定对不上。
• 急于销毁证据。收到函当天就卸载软件、清日志，内部核查的时间线直接断了，反而说不清楚。
• 多头对外回复。IT 说一套、采购说一套、研发又说一套，口径打架，厂商抓住一个漏洞就能做文章。
• 把技术排查当法律结论。日志只能说明技术事实，合同条款、授权类型、使用场景这些得看法务和合同。

先做三项核验，别急着动

1. 核对来函主体、授权范围、沟通渠道。来函是谁发的？达索官方还是代理？授权范围是单机版、网络版还是订阅制？沟通渠道是否正规？汇总数字不够，必须能回到具体设备、账号、模块。
2. 盘点安装、授权、使用三类清单。安装了多少台、授权了多少套、实际谁在用，分开列。当前状态和历史变化分开记，别拿今天的数据解释上个月的事。
3. 区分个人行为、历史遗留和公司管理责任。有人自己偷偷装、离职人员账号没回收、老项目遗留的未授权安装，性质完全不同。技术日志不能独立下结论，必须和合同、业务排期交叉验证。
4. 盘点完抽样回读源系统验证，导出或人工合并容易出新的误差，这一步不能省。

治理路径，一步步来

• 组建单一响应窗口。法务、IT、采购各出一人，明确一个负责人，所有材料记录来源和时间，对外只走一个出口。
• 冻结破坏证据的操作。卸载、删日志、格式化设备这些动作先停，保留原始记录，由法务确认哪些可以动。
• 按设备和账号核验授权凭证。每台设备、每个账号对应的合同、授权书、采购记录都要能对上，对不上的标出来。
• 形成事实清单再决定方案。哪些是实锤、哪些存疑、哪些待补证据，列清楚之后再谈整改和对外沟通。

怎么证明你做对了

别光看总数，验收必须能下钻：

• 已核验设备覆盖率：分子、分母、异常样本都留着。
• 授权凭证匹配率：指定数据负责人和复核频率。
• 异常安装数量：明确计算公式和纳入范围。
• 整改闭环率：连续观察趋势，记录口径变化。
• 汇总数只能看趋势，原因必须回到具体账号和设备才能定位。效率、体验、风险三个都在可接受范围，才算过验收。

几个关键问答

能先卸载吗？ 不建议。先保留记录、确认业务影响，法务和 IT 一起决定隔离、停用还是整改的顺序。

谁来核查？ IT 还原技术事实，采购整理授权材料，业务确认使用场景，法务或专业人员审核对外口径。

要马上回复吗？ 先确认来函主体、要求和截止时间，由统一窗口回复。事实没核清之前，个人别做任何责任或金额承诺。

一个真实的小案例

某汽车零部件厂收到代理发来的合规函，说检测到 87 台设备安装了 SolidWorks，但采购记录只有 45 套网络许可。IT 负责人第一反应是赶紧卸载，被采购拦住了。

三方坐下来先做核验：核对来函发现代理提供的数据里混了 12 台已经报废的设备和 8 台只装了 Viewer 不需要许可的机器；盘点安装清单发现实际活跃设备 61 台，其中 9 台是离职人员未回收的账号；再查合同，发现其中有 5 套是单机永久授权，不在网络许可池里。

最后事实清单是：实际需网络许可 47 台，采购 45 套，缺口 2 套。整改动作是回收 9 个离职账号、补买 2 套许可、建立账号回收机制。对外回复时把核验过程和证据链附上，代理那边也没再追。

没花冤枉钱，也没留隐患，就是台账做扎实了。