Das erwartet Sie beim Software Compliance Audit

Die Softwarehersteller schicken i. d. R. ein Ankündigungsschreiben an ihren Vertragspartner. In diesem wird mit Verweis auf die Vertragsbedingungen eine Lizenzüberprüfung mit einer gewissen Frist angekündigt. In einigen Fällen wird die Überprüfung durch einen zertifizierten Partner durchgeführt, in anderen werden vom Hersteller beauftragte Wirtschaftsprüfungsgesellschaften eingesetzt, die eine Prüfung vornehmen sollen.

Warum ein Audit zu einer bestimmten Zeit angekündigt wird, kann nicht pauschal beantwortet werden. Entweder gibt es turnusmäßige Prüfungen oder Unternehmensgröße und Kundenbeziehungen spielen eine Rolle. Eventuell kann auch eine Unstimmigkeit in den Lizenzassets zu einer Überprüfung führen. 

Um bestmöglich auf ein Software Compliance Audit vorbereitet zu sein, sollten Sie sich schnell einen Überblick über den aktuellen Lizenzstatus verschaffen. Im Unternehmen eingesetzte SAM-Tools können hier helfen, sollten aber genauestens verifiziert werden.

Mit einem sog. Pre-Audit, das auch von den Lizenzexperten der TIMETOACT durchgeführt wird, identifizieren Sie ggf. Risiken oder Unklarheiten und können damit die Strategie für das Audit festlegen. Ein weiterer Vorteil ist bei einer vorigen Datenerhebung, dass das offizielle Audit deutlich verkürzt werden kann, weil die Softwarenutzungsdaten schon vorliegen bzw. man weiß, wie Daten ermittelt werden. Hier hilft es, sich einen erfahrenen Partner ins Boot zu holen, damit die Grundlage für den weiteren Verlauf des Audits auf soliden Beinen steht.

Da in einem Audit firmeninterne Daten mit externen Prüfungsgesellschaften oder Partnern ausgetauscht werden, sollte in jedem Fall eine detaillierte Geheimhaltungsvereinbarung (sog. NDA Non-Disclosure-Agreement) zwischen allen Parteien aufgesetzt und unterschrieben werden. Des Weiteren empfiehlt sich, einen Projektleiter für das Audit zu definieren, der die alleinige Kommunikation und den Austausch von Daten vornimmt, damit Daten nur kontrolliert und konsolidiert das Haus verlassen.

Die Dauer eines Audits variiert von Kunde zu Kunde und ist auch abhängig vom jeweiligen Hersteller. Genauso verhält es sich mit der Anzahl der involvierten Personen. Je nach Umfang können ganze Teams erforderlich sein, auf Kunden- wie auf Prüfer-Seite. Meist ist der personelle Aufwand beim Kunden jedoch sehr hoch, da viele Abteilungen betroffen sind, die über die Nutzung der Software Auskunft geben müssen.

Die Hersteller sind generell daran interessiert, ein Audit schnellstmöglich abzuschließen. Aus diesem Grund werden die Zeitpläne zur Datenlieferung meistens auch recht straff gehalten. Davon sollten Sie sich nicht unter Druck setzen lassen. Eine genaue Dauer eines Audits ist in keinem bekannten Vertrag genau definiert, somit besteht auf Kundenseite keine Verpflichtung zu vorschnell Daten zu übermitteln.

Generell wird die Einhaltung der Lizenzbestimmungen überprüft und ob die Nutzung mit den erworbenen Lizenzen übereinstimmt. Dazu werden die erworbenen Lizenzen den tatsächlich festgestellten Nutzungsdaten gegenübergestellt. Aufgrund der Vielzahl an Softwareprodukten, -herstellern und -metriken ergeben sich unterschiedliche Vorgehensweisen der Datenerhebung und Prüfung. Bei einer User-Lizenz ist die Prüfung relativ einfach (aber auch hier können sich gravierende Unterschiede in der Definition eines „Users“ finden), bei Hardware-basierter Lizenzierung werden i. d. R. Processor Core Faktoren oder PVUs verwendet, die mit den vom Hersteller veröffentlichten Tabellen abgeglichen werden müssen. Nutzungsabhängige Lizenzierung ist meist schwieriger zu ermitteln, da hier häufig Tools zum Einsatz kommen, die über einen längeren Zeitraum ausgewertet werden müssen.

Nach Sammlung der Nutzungsdaten und der Vertragsdaten inkl. Lizenzbestand und sonstiger Zusatzvereinbarungen wird eine sogenannte Lizenzbilanz erstellt. Hier werden die Lizenzbestände der ermittelten Nutzung gegenübergestellt. Aus dem Ergebnis können viele Erkenntnisse gewonnen werden, wie zukünftig das IT Asset Management angepasst werden sollte.

In den seltensten Fällen gibt es eine korrekte Lizenzbilanz ohne Abweichungen. Bei Unterlizenzierung drohen ungeplante Nachzahlungen zu meistens schlechteren Konditionen als bei einem Neuprojekt und ggf. sogar Penaltyzahlungen und rückwirkende Wartungskosten. Aber auch eine Überlizenzierung zeigt, dass zu hohe Lizenzkosten gezahlt wurden und zumindest in der Planung und in der Vertragsgestaltung noch Verbesserungspotential besteht.  

Bei einer Unterlizenzierung empfiehlt sich die Unterstützung eines erfahrenen Beraters, der eine Verhandlung des Settlements (also den Ausgleich der festgestellten Lizenzdifferenz) am Ende für beide Seiten zu einem vernünftigen Ergebnis führen kann.

In jedem Fall sollte das Auditergebnis als Basis für die Zukunft genutzt werden. Ist noch kein umfangreiches Lizenzmanagement im Unternehmen vorhanden, kann eine Lizenzprüfung einen guten Startpunkt setzen. Aber auch bei einem bereits etablierten IT Asset Management ergeben sich Verbesserungspotentiale, entweder durch Anpassung bestehender Prozesse, im Reporting, im SAM-Tool oder in der zukünftigen Strategie hinsichtlich Softwarehersteller und der Vertrags- und Lizenzgestaltung.