企业软件合规管理那点事——临时表格管不住 500 台电脑上的 3000 个安装

年底内审，IT 拿出一张 Excel：“公司软件台账”。财务翻到第二页就懵了：设计部 SolidWorks 38 台装机，台账上写着 25 席；台账上有个叫“李四”的用户，早两年就离职了，账号还挂着，装机记录里还有 5 台对应不上任何人。合规函一来，这张表就成了唯一的救命稻草——可它救不了。

临时表格最大的问题是“只记新账不追旧账”：装的时候登记一下，后续没人管，人员流动、机器重装、版本升级、模块越界，全都跟台账脱节。合规不是应付某次检查的一张表，是一条持续跑的流水线。

先把流程捋顺：谁干什么，什么时候干

软件生命周期五步，每一步都得有责任人、有动作、有记录：

• 申请：用户提需求，写清楚什么软件、给谁用、用到什么时候；
• 采购：采购下单，合同 + 发票 + 授权证书三件套同步归档，序列号对得上合同号；
• 安装：IT 走工单，装到哪台机器、绑哪个账号，台账自动登记——别靠事后人工补；
• 变更：机器换人、岗位调动、版本升级，变更记录跟着走；
• 退出：离职、报废、项目结束，账号禁用、装机回收、记录闭环。

少一步，合规链条就断一节。审计来的时候，断在哪一节，责任就落在谁的头上。

台账不是表，是三条账的对齐

别把台账做成一张“软件清单”，它得是安装账、授权账、使用账三张表交叉核对的产物：

• 安装账：从 SCCM/MECM 或 AD 推送记录里拉，精确到机器、账号、版本、安装日期lenovo.com
• 授权账：从采购档案里拉，精确到合同号、发票号、序列号、授权数量、授权类型（named user / concurrent / site license）
• 使用账：从 FlexNet 的 lmstat、SNL 的 debug.log 这类许可日志里拉，看真实并发和闲置

三张账对不上的部分，就是风险敞口。装机多于授权是违规风险，授权多于装机是预算浪费——两头都是账，都得清。

别只管“买了”，还要管“用了”

台账只管登记，不管验证，照样出事。几个常见坑：

• 只记购买不查使用：买了 50 席，实际活跃 32 个，剩下 18 个闲着，钱白花；
• 版本混乱：合同是 2023 版，机器上跑的是 2024 版的升级包——版本越界也是违规；
• 临时授权无记录：外包、访客、临时项目用完没回收，审计时对不上号；
• 离职账号成精：人走了，账号和装机还挂着，中山那家赔 247 万的案子就是这么算出来的。

月度复核：新增安装（装机/合同对账）、离职账号（HR 名单对 AD 账号）、版本越界（合同版本 vs 实际版本）。
季度复盘：合规差异报告 + 整改证据，审计响应时长是关键指标。

谁来干，各管一摊

• IT：数据采集、技术策略、装机台账、许可日志；
• 采购：合同、发票、授权凭证、续费决策；
• 业务：确认使用优先级，说明哪些软件哪些岗位必须用；
• 法务：合同解释、合规争议、对外口径。

四个部门各管一段，单一口径输出——别让每个部门手里都有一份“自己的台账”，那就成了三个和尚没水喝。

看板指标，四个就够

• 资产覆盖率：发现到的装机 / 实际存在的装机（下钻到部门）
• 授权匹配率：装机数 ≤ 授权数的比例
• 未授权安装数：分母要写清楚是全部装机还是核心装机
• 整改闭环率：发现的问题有多少在规定时间内完成闭环

单个指标好转不等于整体过关——某项改好了，关键业务用得爽不爽、异常样本处理得对不对，都得一起看。

规模化之后，考虑工具

人少、软件少，Excel + AD 脚本 + 定期人工复核顶得住。多软件、多部门、多园区、多版本混跑，手工台账就撑不住——发现、许可日志、账号分配、整改记录散在四个地方，谁也对不上账。这时候再上许可优化类工具做集中纳管和留痕，把三条账串起来自动对。工具是把流程跑顺的，不是替你合规的——责任人、决策、口径，还是得人定。

说个事

苏州一家做汽车零部件的，500 多台终端，SolidWorks 60 席 + Office 500 套 + 若干专业软件，台账是一张三年没更新的 Excel。年底内审发现：装机 82 台 vs 授权 60 席，超量 22 台；外包账号 14 个没注销；3 个软件版本超出合同版本范围。

按上面流程走：先把流程责任写清，IT/采购/业务/法务四部门各签字认领；三张账对齐，找出 22 台超量装机——其中 9 台是离职员工遗留、8 台是外包临时安装、5 台是真实业务缺口；建立月度复核和季度整改机制，台账从“表格”升级成“三账联动”的动态清单。

三个月后复查：超量装机从 22 台降到 0，外包账号全清，真实缺口 5 席按岗位优先级补购。合规风险清零，年审计响应时长从两周压到半天——审计来要材料，一页纸直接输出，不用再翻三天抽屉。