合规不是等审计通知才开始做的事

收到律师函那天，IT 才想起来去翻合同，采购才想起来去对发票，法务才想起来问"我们到底装了多少套"。三张表一对，差了一半。这时候再补台账，已经晚了。

这就是大多数企业软件合规的现状：平时没人管，出事一起扛。

合规到底在管什么

别把"正版化"和"合规"混为一谈。正版化是"别用盗版"，合规是"用的每套软件都有授权依据"。两个事，后者范围大得多。

买了 100 套 SolidWorks，装了 95 套，看起来合规。但合同里写的是"指定设备授权"，你装在了没登记的机器上，审计来了照样算违规。买了 50 套 ABAQUS，用了 40 套，看起来没问题。但合同里写的是"按 CPU 核心计费"，你装在了 128 核的服务器上只买了 32 核的授权，这也是违规。

合规的核心是授权边界和实际使用对齐，不是"有没有装"那么简单。

为什么总失控

采购、安装、使用三本账对不上。 采购有合同，IT 有安装记录，业务有实际使用人，三边数据各跑各的。采购不知道 IT 装了多少台，IT 不知道业务谁在用，业务不知道采购买了多少套。

授权类型搞不清。 按用户、按设备、按核心、并发、订阅，五种授权模式混在一起管。用管"按设备"的方式管"按核心"，数字永远对不上。

离职不清、转岗不转。 员工走了，账号还在，许可还绑着。三年下来授权池里一半是死人。浮动许可的 borrow 功能被借走不还，其他人用不了。

临时安装走口头。 项目急用，工程师自己装一套，没人记账。等项目结束早忘了卸，审计来的时候多出来一堆"幽灵安装"。

先摸底，三件事

第一件：三账对齐。 安装量、授权量、使用量，拉到一张表里。安装量来自终端扫描（Agent 或网络扫描），授权量来自采购合同和发票，使用量来自许可服务器日志（FlexNet / DSLS）。三个数放一起比，差多少一目了然。

第二件：统一软件目录和授权口径。 软件名称统一，别"SolidWorks 2023"和"SW23"当两个软件。授权类型标清楚，是 node-locked 还是 concurrent，是 per-user 还是 per-core。例外场景单独标，谁批准的、为什么例外，后面审计用得上。

第三件：建高风险软件清单。 CAD 类（SolidWorks、CATIA、NX）、CAE 类（ABAQUS、ANSYS）、EDA 类、数据库类，这些是厂商重点审计对象，单独列出来重点盯。完成后抽样回源系统验证，别光信 Excel。

执行顺序

先管入口。 建软件商城或白名单，员工要装软件走审批，别自己下载。审批通过的自动分发，安装记录自动入账。从源头堵住"幽灵安装"。

再清存量。 离职账号统一回收，转岗账号重新分配，长期闲置的许可释放回池。borrow 时限从默认 14 天缩到 3 天，到期自动收回。

按月复核新增安装和离职。 月度运营，不是一次性项目。新增安装有没有走审批？离职账号有没有清干净？每月过一遍。

按季度输出合规差异和整改证据。 哪个软件超了、超多少、谁在用、怎么改的，写清楚。整改留痕，审计来的时候拿得出来。

看板放四个数

• 资产覆盖率：扫描到的终端 / 应该扫描的终端。按部门下钻，别只看总数。
• 授权匹配率：安装量 ≤ 授权量的软件比例。低于 100% 的单独列出来。
• 未授权安装数：装了但没授权的安装数量。保留异常样本，定位到具体机器和人。
• 整改闭环率：发现问题的整改完成率。指定负责人和截止时间，别烂尾。
• 单个指标改善不代表整体有效，四个数一起看。效率、体验、风险三个都在可接受范围，才算过验收。

几个坑

• 凭单日数据当长期趋势。
• 没做供需分析就先采购或强制回收。
• 安装量、授权量、登录人数、并发量混为一谈。
• 改进没责任人、没时间、没验证，人一换就失效。

一个小案例

某汽车零部件厂，收到达索律师函说 SolidWorks 超用。IT 拉了终端扫描数据，装了 87 套；采购翻合同，买了 60 套 node-locked 许可；许可服务器日志显示同时在线最多 52 套。看起来"没超"，但仔细一查问题大了：60 套 node-locked 许可绑定了 60 台指定机器，但实际装了 87 台，多出来的 27 台里有 15 台是工程师自己装的破解版，还有 12 台是把离职员工的许可绑到了新机器上但没走变更流程。

整改做了四件事：15 台破解版全部卸载换正版，12 台重新走授权变更流程，建了软件商城统一分发，离职账号自动回收。三个月后资产覆盖率从 72% 升到 98%，未授权安装从 27 台降到 0。第二年达索来例行核查，IT 半天就交出了完整的安装-授权-使用三账对齐报告，没出任何问题。