Audyt licencyjny Microsoft: jak wygląda i jak się do niego przygotować

Audyt licencyjny Microsoft to porównanie stanu faktycznego, czyli tego, co firma zainstalowała i uruchomiła, z zakupionymi uprawnieniami. Producent zbiera dane skryptami inwentaryzacyjnymi, zestawia je z zakupami i wskazuje różnicę. Jeśli wdrożenie przewyższa uprawnienia, firma dopłaca brakujące licencje, często po cenach katalogowych, bez rabatów negocjowanych przy zwykłym zakupie.

Dla większości firm audyt jest nieprzyjemną niespodzianką nie dlatego, że świadomie łamią zasady, tylko dlatego, że nikt nie pilnował, ile instalacji faktycznie działa. Program się zainstalował, wirtualna maszyna się rozmnożyła, ktoś dostał dostęp do bazy przez aplikację i nagle liczba realnych użytkowników nie ma nic wspólnego z liczbą kupionych licencji. Ten tekst pokazuje, jak taki audyt wygląda, i co zrobić zawczasu, żeby wypadł jak najtaniej.

Czym różni się SAM Engagement od formalnego audytu Microsoft

Z punktu widzenia firmy różnica jest mniejsza, niż sugeruje ton zaproszenia. SAM Engagement, czyli Software Asset Management Engagement, to program, w którym Microsoft albo jego partner proponuje bezpłatny przegląd zasobu oprogramowania i pomoc w uporządkowaniu licencji. Brzmi jak usługa doradcza, ale zbiera dokładnie te same dane co audyt i kończy się takim samym raportem zgodności.

Formalny audyt jest po prostu bardziej stanowczy. Wynika wprost z zapisu w umowie licencyjnej, który daje producentowi prawo do weryfikacji, bywa prowadzony przez zewnętrzną firmę audytorską i ma jasny termin. Praktyczny wniosek jest jeden: SAM Engagement traktuj jak audyt i przygotuj się tak samo. Zebrane dane trafiają w to samo miejsce, a wykryta niezgodność kosztuje tyle samo, niezależnie od tego, jak przyjaźnie brzmiało pierwsze pismo.

Jak przebiega audyt licencyjny Microsoft krok po kroku

Przebieg jest powtarzalny i warto go znać, bo pozwala odróżnić rutynowe czynności od momentów, w których firma ma coś do ugrania. Zwykle wygląda to tak:

• Zawiadomienie. Pismo od Microsoftu albo partnera z informacją o audycie lub propozycją SAM Engagement, zwykle z zakresem i wstępnym harmonogramem.
• Zbieranie danych. Firma uruchamia w środowisku skrypty lub narzędzia inwentaryzacyjne, które wykrywają zainstalowane produkty, wersje, edycje i sposób uruchomienia, w tym wirtualizację.
• Zestawienie uprawnień. Zebrane wdrożenie porównuje się z posiadanymi licencjami: umowami wolumenowymi, fakturami, prawami z Software Assurance.
• Raport wstępny. Audytor przedstawia różnicę między wdrożeniem a uprawnieniami wraz z wyliczoną kwotą ewentualnego wyrównania.
• Wyjaśnienia i korekta. Etap, na którym firma pokazuje dokumenty pominięte w automatycznym zestawieniu i koryguje błędne przypisania. Tu odzyskuje się najwięcej.
• Rozliczenie. Zakup brakujących licencji i domknięcie audytu.

Najkosztowniejsze błędy siedzą zwykle w wirtualizacji i w dostępie pośrednim. Przenoszenie maszyn wirtualnych w klastrze potrafi wymusić licencjonowanie wszystkich hostów, na które maszyna mogłaby się przenieść, a użytkownik korzystający z aplikacji, która w tle czyta z serwera, też wymaga licencji dostępowej. To nie są rzeczy, które widać gołym okiem, dlatego liczy się rzetelna inwentaryzacja oprogramowania zrobiona przed audytem, a nie w jego trakcie.

Czy można odmówić audytu Microsoft

Zwykle nie, bo prawo do audytu wynika z umowy licencyjnej, którą firma zaakceptowała, kupując oprogramowanie w kanale wolumenowym. Odmowa oznacza naruszenie umowy, a nie sprytne uniknięcie kontroli. Można natomiast negocjować zakres, termin i sposób zbierania danych, i z tego prawa warto korzystać, bo daje czas na uporządkowanie dokumentacji.

Co innego SAM Engagement przedstawiony jako bezpłatna pomoc. Formalnie w niego nie musisz wchodzić, ale odmowa nie usuwa problemu, jeśli firma naprawdę ma niezgodność, tylko odsuwa go do momentu twardszego audytu. Rozsądniejszą reakcją jest wykorzystanie zaproszenia jako sygnału i przeprowadzenie własnego, wewnętrznego przeglądu, zanim dane zbierze ktokolwiek z zewnątrz.

Co grozi za niezgodność licencyjną

Najczęstszą konsekwencją jest dopłata. Firma kupuje brakujące licencje, żeby pokryć wdrożenie, i robi to zwykle po cenie katalogowej, bez rabatów, które przysługują przy planowanym zakupie. Do tego mogą dojść koszty Software Assurance liczone wstecz oraz koszt samego audytu, jeśli tak stanowi umowa. Skala potrafi być dotkliwa właśnie dlatego, że różnica narastała latami niezauważona.

Osobno działa odpowiedzialność za oprogramowanie bez jakiejkolwiek licencji, która w Polsce wychodzi poza relację z producentem i wchodzi w prawo karne. To już nie jest kwestia dopłaty, tylko zawiadomienia i postępowania. Piszemy o tym osobno przy okazji audytu legalności oprogramowania, który obejmuje wszystkich producentów, nie tylko Microsoft.

Jak przygotować firmę do audytu Microsoft

Przygotowanie sprowadza się do jednego: mieć własny obraz zgodności, zanim narzuci go ktoś z zewnątrz. Firma, która zna swoją lukę wcześniej, może ją domknąć taniej i na swoich warunkach. Firma, która poznaje ją z raportu audytora, płaci po cenniku. Zanim przyjdzie zawiadomienie, warto przejść przez kilka rzeczy:

• Kompletny spis wdrożenia. Wykaz zainstalowanych produktów, wersji i edycji, z uwzględnieniem serwerów, maszyn wirtualnych i dostępu pośredniego.
• Uporządkowane uprawnienia. Umowy wolumenowe, faktury, potwierdzenia Software Assurance zebrane w jednym miejscu, a nie rozproszone po skrzynkach mailowych.
• Zamknięcie kont po odejściach. Licencje po pracownikach, którzy odeszli, powinny wrócić do puli. Sprawny proces rozstania z pracownikiem to nie tylko sprawa kadr, ale i odzyskane stanowiska w licencjach.
• Wyłapanie dublowanych zakupów. Te same licencje kupione dwa razy albo opłacane mimo braku użytkownika to pieniądze do odzyskania jeszcze przed audytem.
• Plan domknięcia luki. Jeśli brakuje licencji, warto policzyć, ile kosztuje wyrównanie nowymi, a ile legalnymi wieczystymi z rynku wtórnego.

Ten ostatni punkt bywa najbardziej niedoceniany. Część niezgodności dotyczy produktów, które da się pokryć wieczystymi licencjami wolumenowymi z legalnego obrotu wtórnego, o 50 do 70 procent taniej niż nowe. Dotyczy to zwłaszcza Office, Windows Server i SQL Server, czyli tych pozycji, wokół których narasta najwięcej luk. Zestawienie, co i na jakich warunkach można w ten sposób domknąć, znajdziesz na stronie o używanych licencjach Microsoft. Cały proces wychodzenia z niezgodności w kanale Microsoft opisujemy na stronie o audycie licencji Microsoft.

Dlaczego audyt boli mniej, gdy firma prowadzi rejestr na bieżąco

Audyt jest bolesny wtedy, gdy jest zdarzeniem jednorazowym, do którego firma zrywa się w panice. Kiedy rejestr licencji jest prowadzony na bieżąco, audyt przestaje być śledztwem, a staje się eksportem danych, które i tak są pod ręką. Różnica w kosztach bierze się właśnie stąd: nie z tego, że firma ma mniej instalacji, tylko z tego, że w każdej chwili wie, ile ich ma i czym są pokryte.

Dlatego gotowość audytowa to nie projekt, lecz stan. Utrzymuje go stała ewidencja oprogramowania, w której każda licencja ma przypisany dowód zakupu i warunki, a każda zmiana w środowisku odkłada się w rejestrze. Kiedy do tego dojdzie zawiadomienie o audycie, firma nie zaczyna od zera, tylko od pozycji, w której zna wynik, zanim policzy go ktokolwiek inny. To nie jest porada prawna, tylko praktyczny opis tego, jak wygląda audyt i co realnie zmniejsza jego koszt.