合规不是“买正版”，同时还要“能证明”

怡合达，一家做自动化零部件的上市公司，因为复制了5套SOLIDWORKS，被罚了62万多，软件没收销毁。这不是什么小作坊，是创业板上市企业。你想想，连这种体量的公司，软件合规都栽在这种最原始的方式上——没人管，没人问，没人对账。

更麻烦的是，大多数企业连自己到底“错在哪”都说不清楚。BSA那套东西，员工举报占四成，竞争对手举报占三成，剩下三成是爬虫扫出来的。你内部乱成一锅粥，外面的人比你先知道。

很多人把软件合规理解成“别用破解”。这连及格线都算不上。合规的本质是：你能拿出证据，证明每一份在用的软件，都有对应的授权在支撑它。 这句话有三个关键词：每一份、对应、证据。

“每一份”意味着不是抽查，是全覆盖。设计部门的三台CATIA、仿真组的五套Ansys、车间角落那台没人认领的AutoCAD，全得在册。“对应”意味着不是“公司买了50套所以随便装”，是具体的安装实例要能找到具体的授权条目或并发席位。“证据”意味着不是“我记得买过”，是合同、订单、授权文件、License Server日志，能互相对上。

这里有一个工业企业特别容易踩的坑：授权模型变了，你的台账没跟着变。Autodesk早就停了新的永久授权，并发网络共享也被命名用户订阅取代了。原来十个工程师共享三个并发席位的池子，如果“直转”成十个命名用户，你付的是一个在任何一天都没有真实存在过的峰值。反过来，如果你从命名用户往回看并发时代，又会发现“授权匹配率”这个数根本没法算，因为分子和分母说的不是一种东西。合规的第一步不是查盗版，是把授权模型和台账口径先对齐。

三笔账对不上，后面全是糊涂账

工业企业软件合规最典型的病灶，是三笔账各记各的。

采购那边有一笔账：合同、订单、发票，告诉你“买了什么，花了多少钱”。IT这边有一笔账：部署记录、License Server日志，告诉你“装了什么，谁在用”。业务那边还有一笔账：项目排期、人员进出，告诉你“谁该有，谁不该有”。这三笔账在大多数企业里从来没有被放在同一张桌子上对过。

对不上的后果，不只是“可能超授权”。有一种更隐蔽的损失：你为已经不存在的人付着授权费。离职员工的命名用户席位没回收，转岗人员原来的专业软件订阅还在续，项目结束后临时开的账号变成了永久居民。Synopsys这类厂商的审计逻辑里，拒绝日志（denial log）会被直接读成“少授权”的证据。这意味着你License Server上每天刷屏的“拒绝”，在你自己眼里是“申请预算的理由”，在审计方眼里是“你承认不够用的口供”。这两件事用的是同一份数据，结论却完全相反。不对账，你连自己手里这份数据是武器还是把柄都分不清。

先干三个月脏活，再谈工具

第一个月只做一件事：把三笔账拉到一张表上，按“软件—模块—版本”对齐。

别一上来就搞全公司。选一个最贵的、罚款风险最高的品类开刀，制造业就从CAD/CAE开始。BSA的数据里，CAD/CAE行业软件的典型罚单在200万到1000万区间，SolidWorks、Ansys、Abaqus都在列。拿采购合同里的授权条目（不是“套数”，是具体到feature、token或命名用户的那种），去对License Server日志里的实际签出记录，再拿HR系统里的在职名单去对授权分配对象。

这一步会挖出三类东西：有授权但没人用的（闲置，可以回收或降配）、有人在用但没有对应授权的（裸露风险，要么补授权要么停用）、授权挂在已经不该有的人名下（离职、转岗、项目结束）。标清楚每一类的数量和金额，别急着动手。

第二个月，先把“人走了授权不走”这条缝堵死。

离职账号回收这件事，技术上一点都不难，难在流程上没有触发点。HR知道人走了，IT不一定知道；IT知道了，License Server上的命名用户席位不一定跟着释放。做一个最土的联动：离职生效日触发一张工单，工单上列清楚这个人名下的所有软件授权、账号访问和订阅席位，逐项确认回收或转移，做完打勾。别指望自动化，先把人工闭环跑通。回收动作本身也要留痕：什么时间、谁操作的、回收了哪个软件的哪个模块的哪个席位，写清楚。将来审计来问，这张工单就是证据。

第三个月再碰工具，而且只碰“能对接你现有台账”的工具。

格发这类国产许可优化工具的核心价值不是大屏，是闲置自动回收——工程师开着界面去开会，系统识别到没有交互，把席位收回池子，人回来再无感分配。OpenLM的长处是兼容性广，能覆盖FlexNet、RLM这些底层机制，把拒绝日志和并发占用拉到一个视图里。SMARTLIC这类SAM平台强调的是安装智查和浮动许可监控，支持FlexLM、LM-X、RLM的实时占用状态。

但工具能做的事，建立在你已经定义了“什么算闲置”“什么算该回收”“什么算异常”的基础上。你制度没写清楚，工具只会把混乱自动化。先用手工跑完一个完整季度，知道回收规则会误伤谁、会漏掉谁，再让工具去执行你验证过的规则。

一个跑通过的最小闭环

某做非标设备的制造企业，规模不大，两百多人，用了SolidWorks、AutoCAD和一套仿真软件。触发点是收到了一封厂商的合规自查通知，虽然不是律师函，但足够让老板睡不着。

他们没请咨询公司，IT主管自己拉了三张表。采购的合同台账显示SolidWorks有12个网络浮动席位，AutoCAD有8个命名用户，仿真软件有4个token。IT从License Server导了90天的日志，发现SolidWorks的并发峰值在日常是9到10，但拒绝日志每天都有，集中在下午；AutoCAD的8个命名用户里，3个对应的账号在HR系统里已经显示“离职”，其中一个离职超过一年；仿真软件的4个token里，有2个的签出记录集中在同一台机器上，那台机器属于一个已经结束的外协项目。

三件事，按顺序做：把AutoCAD那3个离职账号的命名席位回收，不新增任何采购；把SolidWorks的并发池加了一个15分钟的空闲回收，拒绝次数下一周从日均十几次掉到个位数；仿真软件那台外协机器的token使用，跟项目负责人确认后停用并释放，后续需要时走临时申请。三个月后复盘，没有买一套新软件，授权匹配率从对不上变成可解释，采购那边终于能回答“我们到底缺不缺”这个问题了，虽然答案还不完美，但至少是一个有台账支撑的答案，而不是拍脑袋。

后来厂商的合规流程走完，对方要的安装清单和授权凭证，他们直接从那张三账合一的表里拉出来，半天交差。IT主管的原话是：脏活干在前面，来函的时候就不用跪着说话。