正版软件治理不是买发票，是保住客户的信任

甲方来审厂，问你们用的 SolidWorks、ANSYS 有没有正版授权。采购把合同往桌上一拍，甲方翻两页就问：这套许可对应哪台设备？这个人为什么在用？去年那个离职员工的账号回收了没有？采购当场就哑了。

正版软件治理这件事，外面的人看的是"有没有合同"，里面的人知道真正要命的是能不能对得上。客户、合作伙伴、资本市场现在都看这个，不是面子工程，是真会影响订单和估值。

这事到底在管什么

正版软件治理，说白了就是三件事：发现、判断、执行。

发现——装了哪些、谁在用、用了多久。判断——有没有授权、授权够不够、授权类型对不对。执行——该补的补、该收的回收、该买的买。

只处理眼前的事，比如有人举报就赶紧卸载、收到合规函就临时补买，那是救火，不是治理。救火救一次少一次，下次还来。

企业里最常见的三类矛盾

管理者和IT说的不是同一种话。 管理者要的是"风险在哪、影响多大、要不要花钱"，IT甩过去一堆日志和截图，谁也看不懂。

采购和研发永远在打架。 采购说"我们买了50套"，研发说"根本不够用"。两边口径不一样——采购算的是合同套数，研发说的是同时在线人数，中间差了浮动许可、模块拆分、闲置占用好几层。

法务和IT各管各的。 法务管合同条款，IT管技术事实，两边对不上。收到供应商来函，IT凭日志下结论，法务凭合同下结论，最后对外口径不一致。

先摸底，别急着动

第一步：锁定核心软件。 不是所有软件都要管，先抓对交付和知识产权影响最大的那几个——CAD、CAE、EDA、PLM。把当前状态和历史变化分开记，别拿今天的数据解释上个月的事。

第二步：核对授权凭证。 每套许可能不能追溯到合同、发票、使用人？浮动许可的服务器地址、端口号、特征码有没有记录？单机版的机器码和绑定设备能不能对上？技术日志不能独立下结论，必须和合同交叉验证。

第三步：确认供应商沟通出口。 谁来对接达索、西门子、ANSYS 的合规沟通？同步保存原始记录、统计周期、数据负责人，不能用转述代替证据。

事实底稿要保留版本和时间，后面合同变了、业务变了，才能解释为什么结论不一样。

从试点到常态

• 先写政策，再执行。 什么软件必须正版、什么情况可以例外、例外谁审批，写清楚。不然每次都要临时拍脑袋。
• 先抓高价值高风险的。 SolidWorks、ABAQUS 这种单价高、审计风险大的优先整改，办公软件往后排。
• 所有动作留痕。 采购、分配、回收、整改，谁做的、什么时候做的、依据是什么，全部记录。指定负责人和截止时间，做完回读验证。
• 纳入供应商和项目管理。 新供应商准入要看软件合规，新项目启动要评估许可容量。从可控的部门试点，稳了再推广。

怎么算做对了

别只看一个总数，这几个指标要连续看：

• 正版覆盖率：记录口径变化，趋势比单点有意义。
• 高风险项关闭率：抽样回读源记录，验证准确性。
• 授权证据完整率：按部门或项目保留明细，能下钻。
• 审计响应时长：和业务事件关联，看是不是项目节点导致的。
• 至少连续观察两个复盘周期，再决定要不要扩大策略。效率、体验、风险三个都在可接受范围，才算过验收。

几个坑

• 凭单日报错当长期趋势。
• 没做供需分析就先采购或强制回收。
• 安装量、授权量、登录人数、并发量混为一谈。
• 改进没责任人、没时间、没验证，人一换就失效。

一个小案例

某工程机械企业，甲方审厂前两周才突击整理软件台账。采购翻了合同说"ANSYS 买了 20 套"，IT 查服务器说"并发峰值才 12"，看起来没问题。

甲方现场问：这 20 套是哪些模块？IT 答不上来。再问：仿真组 8 个人同时用结构模块，许可够吗？IT 回去查日志才发现，20 套里只有 6 套是结构模块许可，其余是流体和电磁的。审厂当天仿真组正好在跑项目，8 个人抢 6 套许可，当场被甲方记了一笔。

后来整改就三件事：把许可模块按实际使用重新分配，写了软件使用政策，每次采购前让业务确认模块需求。第二年审厂，甲方问什么都能拿出对应记录，没再卡壳。