许可优化这类东西，把软件发现、许可日志、账号分配、整改记录归到一个视图

内审前一周，采购甩来个 xlsx，IT 说这版不是最新的，行政那边还存着一份"最终版最终版"。我直接退回去。靠临时表格撑合规，撑不过一次人员变动。

— 先掰扯性质，别急着立制度

这活儿不是查谁装了盗版，也不是上套扫描工具就完。采购在采购手里，装机在各业务部门，使用在终端，退出没人管，四段散着，得拧成一条能复核的管理链。控制台截图不算证据，用户报错、服务器事件、合同条款、业务排期得互相印证，才分得清是持续问题还是偶发噪声。

还有口径，我懒得反复讲但每次都得讲：安装量、授权量、登录人数、峰值并发，四个数都对，压根不是一回事。不先框死软件、模块、用户、时间范围，扩容、调度、回收、整改全在蒙。目标就仨，可解释、可复核、业务肯认，不追那个漂亮数。清单也不是交完归档就完，得进月度运营和变更管理，每条挂责任人、完成时间、验证材料，缺一样，人一换立刻回原样。

— 账烂在哪儿，按核查表自己对

[ ] 申请、采购、安装、变更、退出，五个环节没一个写清谁签字，出事互相指

[ ] 软件目录两套，采购叫"仿真平台"，IT 台账里写的是某个模块名，对不上

[ ] 凭证散在几个邮箱附件，序列号证书跟设备对不上，合同号空着

[ ] 离职半年的机器还装着，外包留下几台，borrow 借出去没还

[ ] 例外全靠口头，"先给他开一下"，过俩月连批准人都查不出

[ ] 只有汇总下不去，历史被今天盖住，上季度那次整改现在解释不了

[ ] 没责任人没完成时间没回读验证的"改进"，项目一变立刻失效

（别拿"我们一直这么用"当证据，内审现场那玩意儿一分钱不值。）

— 头两周，只许对账，一个字不许改

三项核验做完，拿资产覆盖率和授权匹配率把现状描一遍，再定优先动作。

一，把五个环节的责任钉到人，每条标「已确认 / 待确认 / 不适用」，不然 IT 和采购各查一遍，查重查到打架。二，统一软件目录与授权口径，例外场景和批准人同步记，后面做策略才不误伤关键任务。三，拉高风险软件清单，贵的、跟出图绑死的、合同外模块的先挑出来。

导完抽样回读源系统。人工合并粘错行、导出截断字段太常见，拿份错表去开会一天白开。至少拉一个完整业务周期，项目型的盖住关键节点。查不明白标"待补证据"搁着，别拿推测填空。

— 制度得挂在流程上，不是挂在墙上

▸ 三账对齐先做。安装、授权、使用，一行行对到设备、账号、合同、实际使用人。执行前通知到人，执行后收重新申请和异常反馈。

▸ 申请审批接进软件商城。内部目录里能选的才准装，选不了的走书面例外，口头授权是万恶之源。规则版本和变更理由留着，审计救命。

▸ 按月复核。新增安装、离职账号、borrow 到期，指定数据负责人和复核频率。结果要连到采购或整改决策，不然报表再好看也是死的。

▸ 季度出差异与整改证据。先定影响范围和回退方案再排执行窗口，先拿一个部门试。每次策略变更记前后指标和异常反馈，别只看执行成功数量——命令返回 success 不算完，得回头看业务那边是不是真顺了。

谁干别含糊：IT 出数据和技术策略，采购对合同续费，业务定优先级，扯到合规争议让法务或有资质的专业人员过一遍。合同怎么解释、对外怎么承诺，IT 别顺手签。

— 看板我摆四行，纯文本，别给我做饼图

资产覆盖率，按部门按项目能下钻。授权匹配率，跟整改任务、业务事件关联。未授权安装数，分子分母加异常样本都留着。整改闭环率，谁负责、多久复核写死。口径一变记一笔。单个指标改善不能直接证明整体有效，还得翻关键业务、异常样本和执行记录。指标突然变好，先怀疑采集覆盖。

— 工具排最后

许可优化这类东西，把软件发现、许可日志、账号分配、整改记录归到一个视图，也一直记着未授权安装数这种证据。它不替你审批，不替你定谁例外。谁跟我说上套系统就齐了，这茬我懒得接。

— 见一次烦一次

单日单次报错当长期趋势。没做供需分析就先采购或者强制回收。四个口径混着算利用率。零投诉当验收，多半只是大家懒得骂了。

— 上回那家做液压阀的

CAD 买的是 45 个网络浮动许可，仿真那套按 Named User 绑账号，另外几间实验室还有单机激活散着的。内审要出合规差异说明，三份表对不上：终端清点 63 台，采购台账 45 套，IT 账号表里还挂着 11 个离职半年的。

没补购。先把合同、订单、序列号证书按年份归成一份台账，设备、账号、合同、使用人四样一行行对；离职和外包那几台清点完卸载，留取证截图；装机改成软件商城里申请入库，例外走书面、批准人挂号；borrow 压到 14 天到期提醒；按月复核新增安装和离职账号，季度差异表连整改证据一起交。

一个季度下来资产覆盖率从七成多到九成八，未授权安装掉到 2 台，那 2 台是老版本散在测试机上，单独挂了整改单、责任人和回退方案。中间有个项目组闹说清理影响出图，查下来就是有人习惯开着界面下班不关，给长任务加了白名单，当天消停。对外那份说明法务改了两遍才发，台账第 22 行记着批准人，是研发部部长，不是 IT。