客户审厂那天，问了一句"设计软件都正版吧，出个清单"

采购说买过，IT 说装了，法务问凭证呢，谁也拿不出一份能把设备、使用人、合同从头对到尾的东西。不是没花钱，是账烂在那儿好几年了。

品牌这东西最烦人，平时一分钱不值，等客户准入、投标、合作方发合规问卷、尽调进场的时候，人家不听你解释，就看你能不能把一张表对完。对不上，前面活儿干得再漂亮都打折。

这到底是个什么活

别一上来就问"要不要再买几套"，我最烦这个。正版软件治理不是查谁装了盗版，也不是把覆盖率刷到好看，是外部第三方能顺着你的记录，把结论复核一遍。所以目标就三个：可解释、可复核、业务那边还接受得了。

只处理眼前一封函、卸几台机器，不叫能力，叫救火。得把发现 → 判断 → 执行 → 复盘跑成闭环，每一轮都留痕。还有一条容易被忽略，只把利用率提上去、让关键工程师天天被打断，或者只图零投诉、长期养着一堆闲置，两边都不算成。

数据最容易骗自己

管理者要的是决策证据，不是再给他一堆原始日志。设备、账号、许可、项目得串起来，说清楚影响谁、什么时候发生的、是不是重复、现在还挂着什么风险。

老毛病是四个口径各说各的——安装量、授权量、登录人数、峰值并发，采购报一个数，IT 报一个数，日志里又是另一个数，都对，但不是一回事。不先统一，扩容、调度、回收、整改全在蒙。事实底稿还得留版本和时间，不然合同一改、项目一换，上回那个结论你自己都解释不了。

几年攒下来的烂账

凭证散在几个采购员的邮箱附件里，序列号证书跟设备对不上。离职半年的工程师机器上还装着，外包结束带不走的电脑留了几台，借用许可借出去没人还。供应商来函，三个部门分别回，三个版本。日志只有汇总，下不去。历史状态被今天覆盖，三个月前那次整改说不清。例外全靠口头，"先给他开一下"，过俩月谁都不认。别拿"我们一直这么用"当证据，审厂现场那玩意儿不值钱。

先摸底，这轮一个字都不改

• 挑核心软件。先找对交付和知识产权影响最大的那几套，贵的、跟出图绑死的。当前状态和历史变化分开存，别混。
  
• 查凭证能不能追到合同和使用人。技术日志只能当线索，得跟合同条款、业务排期交叉验证，不能单独定结论。
  
• 确认对外是不是只有一个出口。原始记录、统计周期、数据负责人一起留，转述不算证据。
  
• 查不明白的标"待补证据"，别拿推测填。导完表抽样回读源系统，人工合并粘错行这种事我见得太多了，拿份错表去开会非常难看。

再动刀，别一次全铺

政策跟例外审批先写下来，口头授权是万恶之源。优先整改高价值高风险那几套，先定影响范围和回退方案再排执行窗口，关键项目不拿来试错。采购、分配、回收、整改四类记录全留，每条挂责任人、完成时间、回读验证，缺一样人一换就断。然后把合规结果塞进供应商准入和项目复盘里，不然两年后又来一轮。自动回收这类动作要有白名单、延迟、人工恢复入口。

工具放最后说

许可优化这类东西，能把软件发现、许可日志、账号分配、整改记录归到一个视图里，也能一直记着授权证据完整率这种数。但它不替你审批，更不替法务定责任。谁要跟我说"上个系统就齐了"，我一般不接话。

看什么数

正版覆盖率、高风险项关闭率、授权证据完整率、审计响应时长。分子分母加异常样本都留着，按部门按项目能下钻，至少连续看两个复盘周期再决定要不要扩。指标突然变好，先怀疑采集覆盖和口径变了。效率、体验、风险三项同时过得去，才算验收。

别这么干

单日单次报错当长期趋势。没做供需分析就先采购或者强制回收。四个口径混着算利用率。没责任人没完成时间没回读验证的改进，人员一变动立刻回原样。

说个具体的

一家做非标装备的厂，投标被客户要求出设计软件合规声明加授权清单。翻了三天，CAD 买的是 45 套网络浮动许可，凭证散在三个采购邮箱里，两台离职工程师的机器还装着，外包结束留下 4 台，其中几台用的是同一个序列号激活的。

没补购。先把合同、订单、序列号证书按年份归成一份台账，设备、账号、使用人、合同四样一行行对；离职和外包那几台清点完卸载，留了取证截图；装机改成审批入库，例外走书面；借用许可压到 15 天到期提醒。两周后出了一份每行都能对上的清单，对外那份声明是法务改过才发出去的，审厂直接过了。

中间有个项目组闹，说清理影响交付，查下来其实就是有人习惯开着界面下班不关，给长任务加了白名单，当天就消停了。