Software Asset Management (SAM) Audit-forsvar

Hvad er Software Asset Management Audit-forsvar? Software Asset Management Audit-forsvar er arbejdet med at dokumentere, om en virksomhed bruger software inden for de licensrettigheder, den faktisk har købt, når en softwareleverandør indleder en licenskontrol.

Det ses især omkring store leverandører med komplekse licensregler, eksempelvis Microsoft og Oracle. En kontrol kan omfatte softwareinstallationer, brugere, servere, virtuelle maskiner, cloudmiljøer, processor- og core-data, købshistorik og virksomhedens kontrakter.

Audit-forsvar betyder ikke, at virksomheden skjuler software eller nægter at samarbejde. Formålet er at styre processen metodisk, levere korrekte oplysninger og undgå, at tekniske data bliver fortolket som et licenskrav uden først at blive sammenholdt med kontrakter og brugsrettigheder.

Det første spørgsmål er derfor ikke, hvad et discovery-værktøj finder. Det er, hvilke aftaler virksomheden har indgået, hvilke produkter der er købt, og hvilke brugsrettigheder der gælder for de relevante versioner og perioder.

Microsoft Product Terms indgår eksempelvis sammen med virksomhedens underliggende Microsoft-aftale. Product Terms beskriver licensmodeller og produktrettigheder, mens selve aftalen kan indeholde bestemmelser om compliance verification.

Hos Oracle ligger auditrettigheder tilsvarende i den konkrete Oracle-aftale og relevante orders. Oracles standardaftaler kan give Oracle ret til at kontrollere brugen af programmer og anmode om oplysninger eller måledata. Den konkrete underskrevne aftale skal altid læses, fordi vilkår kan variere.

En specialist etablerer normalt først virksomhedens entitlement position. Det er et dokumenteret billede af, hvad virksomheden har ret til at bruge. Her samles aftaler, ordreformularer, køb, maintenance- eller supportrettigheder, tidligere licensændringer og relevante produktvilkår.

Derefter etableres deployment position. Her kortlægges det, der faktisk er installeret, konfigureret eller tilgås. Data kan komme fra asset management, endpoint management, virtualiseringsplatforme, cloudmiljøer, databaser og manuelle undersøgelser.

De to billeder sammenholdes i en reconciliation. En installation er ikke automatisk lig med et licensunderskud. Produktversion, edition, licensmodel, brugeradgang, virtualisering, failover, disaster recovery, cloudplacering og andre brugsrettigheder kan ændre resultatet.

Det er netop her audit-forsvar kræver specialistviden. Microsoft SQL Server kan eksempelvis licenseres efter forskellige modeller, og virtualisering påvirker beregningen. Oracle Database har tilsvarende produkt- og optionsregler, hvor aktiverede eller anvendte funktioner kan have licensmæssig betydning.

En anden typisk opgave er at kontrollere selve auditens scope. Specialisten sammenholder leverandørens spørgsmål med kontrakten og sikrer, at organisationen har én styret proces for indsamling og aflevering af data. Det reducerer risikoen for modstridende svar fra forskellige IT-teams.

Hvis der findes en reel licensmangel, hjælper SAM-specialisten med at beregne den på det korrekte grundlag. Hvis parterne er uenige om kontraktfortolkning eller juridiske forpligtelser, bør en advokat med erfaring i softwareaftaler inddrages. SAM-specialisten leverer det tekniske og licensmæssige faktagrundlag, men erstatter ikke juridisk rådgivning.

Det bedste audit-forsvar begynder før en audit. En moden SAM-funktion ved løbende, hvilke softwareprodukter virksomheden ejer, hvor de bruges, og hvilke licensregler der gælder. ISO/IEC 19770-1 beskriver netop en ledelsesramme for troværdige IT-asset-data, lifecycle-styring og løbende kontrol.

Hvem arbejder med Software Asset Management Audit-forsvar? Software Asset Management Audit-forsvar udføres typisk af Software Asset Managers, IT Asset Managers, licensing specialists og konsulenter med dyb erfaring i bestemte softwareleverandørers licensmodeller.

Microsoft-specialister arbejder blandt andet med Product Terms, Commercial Licensing-aftaler, Windows Server, SQL Server, Microsoft 365 og virtualiseringsrettigheder. Oracle-specialister arbejder blandt andet med Oracle Master Agreements, orders, Database-licensering, options, processorbaserede modeller og tekniske deployment-data.

ITAM- og SAM-profiler arbejder med datagrundlaget. De skal kunne dokumentere købte rettigheder, installationer, brug og ændringer gennem softwareaktivets livscyklus.

Infrastructure engineers, database administrators, cloud engineers og virtualiseringsspecialister bliver ofte involveret. De ved, hvordan miljøet faktisk er bygget. Det er vigtigt, fordi licensresultatet kan afhænge af den tekniske arkitektur og ikke kun af antallet af installerede produkter.

Procurement og vendor management bidrager med kontrakter, ordrehistorik og leverandørdialog. Finance kan bidrage med fakturaer og købshistorik. Legal bør inddrages, når auditten udvikler sig til en fortolkning af kontraktuelle rettigheder eller et økonomisk krav.

En selvstændig specialist er ofte relevant, når auditten primært vedrører én leverandør, og virksomheden allerede har interne IT- og procurement-ressourcer. Her kan en erfaren Microsoft- eller Oracle-licensspecialist gennemgå data, beregne licenspositionen og udfordre fejl i leverandørens beregningsmodel.

Et større SAM- eller ITAM-hus er mere relevant ved flere softwareleverandører, mange lande, komplekse datacentre eller store mængder discovery-data. Her kan der være behov for flere specialister inden for licensregler, teknisk discovery, kontrakter og forhandling.

Ved store eller konfliktfyldte audits anvendes ofte en kombination af SAM-specialist og ekstern juridisk rådgiver. SAM-specialisten vurderer installationer og licensregler. Advokaten vurderer aftalens juridiske rækkevidde og virksomhedens forpligtelser.

En god audit-specialist skal kunne skelne mellem leverandørens tekniske måling, leverandørens licensfortolkning og virksomhedens kontraktlige forpligtelse. De tre ting er ikke nødvendigvis identiske.

Kurser og uddannelser Der findes ikke én dansk autorisation eller certificering, som gør en person til Microsoft- eller Oracle-auditforsvarer. Kompetencen bygges normalt gennem Software Asset Management, leverandørspecifik licensviden og praktisk erfaring med audits.

Certified Software Asset Manager, CSAM, fra IAITAM er et direkte relevant internationalt uddannelsesspor. IAITAM beskriver uddannelsen som rettet mod software lifecycle management, licensing, compliance, cost control og audit risk.

ITIL 4 Practitioner: IT Asset Management fra PeopleCert er et andet relevant spor. Det dækker lifecycle-styring af IT-assets, omkostningskontrol, risici, compliance, processer, roller og de data, der kræves for en moden ITAM-funktion.

ISO/IEC 19770-serien er vigtig for personer, der vil arbejde mere struktureret med SAM og ITAM. ISO/IEC 19770-1 beskriver kravene til et IT asset management-system. Standarden er ikke en leverandørspecifik licensuddannelse, men giver den organisatoriske ramme, som reducerer auditrisiko.

Microsofts Licensing Resources og Product Terms er nødvendige læringskilder for Microsoft-specialister. Microsoft stiller også licensing training resources til rådighed. Reglerne ændrer sig over tid, så ældre kursusmateriale kan ikke erstatte de Product Terms og aftaler, der gælder for den konkrete kundes køb og anvendelse.

Oracle-specialister bør tilsvarende lære direkte fra virksomhedens Oracle-aftaler, orders og Oracles officielle Licensing Information-dokumentation. Databaseprodukter, options og restricted-use rights kan ikke vurderes sikkert ud fra generelle licensoversigter alene.

Den praktiske træning består typisk i at bygge en effective license position. Man tager en kontrakt og købshistorik, normaliserer installationsdata og beregner derefter licensbehovet ud fra de korrekte produktregler.

Et godt næste trin er at træne konkrete virtualiseringsscenarier. Microsoft SQL Server er et relevant eksempel, fordi Microsofts officielle licensing guide viser, at licenskravet afhænger af den valgte licensmodel og den virtuelle arkitektur.

Audit-forsvar kræver også procesdisciplin. Fagpersonen skal kunne dokumentere datakilder, antagelser og beregninger, så et resultat kan forklares og gentages. Det er ofte vigtigere end blot at kende et bestemt SAM-værktøj.

Standardværker og ressourcer ISO/IEC 19770-1 er det centrale internationale standardværk for IT asset management. Standarden beskriver kravene til etablering, drift, vedligeholdelse og forbedring af et ITAM-system. Den er særlig relevant til audit readiness, fordi troværdige asset-data og lifecycle-processer er fundamentet for en forsvarlig licensposition.

ISO/IEC 19770-5 er den centrale introduktion til terminologien i ISO/IEC 19770-serien. Den giver et fælles sprog for ITAM og er nyttig, når procurement, IT, SAM og ledelsen skal arbejde efter samme model.

Microsoft Product Terms er primærkilden ved Microsoft-licensering. Microsoft beskriver selv Product Terms som en del af kundens bredere aftale og som stedet for produkt-, licensmodel- og brugsrettigheder. Historiske Product Terms kan være nødvendige, hvis en audit vedrører ældre køb eller produktversioner.

Microsoft Licensing Resources and Documents er et vigtigt ledsagende opslagsværk. Her findes blandt andet Commercial Licensing-aftaler, licensing briefs, program guides og produktspecifikke licensing guides.

Ved Microsoft SQL Server er den officielle SQL Server Licensing Guide et praktisk eksempel på et leverandørspecifikt standardværk. Den beskriver blandt andet server- og corebaseret licensering samt regler for virtuelle miljøer. Den juridisk gældende position skal stadig vurderes ud fra kundens aftale og Product Terms.

Hos Oracle er kundens Oracle Master Agreement, relevante schedules og orders de vigtigste dokumenter ved en audit. Oracles standardaftaler viser, at auditten skal vurderes op mod den konkrete aftale og de programmer, kunden har licenseret.

Oracle Database Licensing Information User Manual er den centrale produktspecifikke kilde til Database. Den beskriver blandt andet editions, options og restricted-use licenses. Det er vigtigt i audits, fordi installeret eller teknisk tilgængelig funktionalitet ikke altid har samme licensstatus.

IAITAMs CSAM-materiale og PeopleCerts ITIL 4 IT Asset Management-materiale er relevante faglige supplementer. Ved en konkret audit bør leverandørens aktuelle kontrakter og licensvilkår dog altid veje tungere end generelle SAM-bøger eller kursusnoter.