Ești pregătit pentru un audit Microsoft?

Procesul de auditare al licenţierii , în general, este prezentat de către vendori ca un ajutor pentru companii, în vederea verificării nivelului de complianţa software, însă în rândul clienţilor această terminologie poartă o conotaţie negativă deoarece este asociată cu un control.

Conform rapoartelor Gartner, numarul auditurilor este intr-o crestere accelerată, fiind folosite de catre marii producători de software, atât în scopul obţinerii de venituri, cât şi în stoparea pirateriei software, iar in ultimii ani companiile din Romania nu au fost ocolite de catre acestia.
In aceste rapoarte se fac o serie de recomandări către persoanele care ocupă poziţii de CIO sau administratori IT, in cadrul companiilor private, îndemnând pe aceştia să investească în procese, instrumente şi soluţii de Software Asset Management (SAM) pentru a menţine în mod proactiv respectarea condiţiilor şi termenelor prevăzute în contractele de licenţiere.

Aş adauga ca şi recomandare, îmbunătăţirea comunicarii şi operaţiunilor care se realizeaza între departamentele IT şi cele de achiziţii - esenţială fiind existenţa unei proceduri prin care sa fie urmărit pachetul software din momentul achiziţiei (înregistrarea în evidenţele contabile ) şi până la scoaterea din uz (casare/ decomisionare).
La fel de important este să se cunoască modul de achiziţie al unei licenţe (tipul de licenţiere), punerea în uz (instalarea), drepturile de tranziţie ale acesteia pe diferite device-uri, precum şi managementul documentelor (fiscale, juridice) ce o însoţesc.

Modificarea frecventă a licenţierii, coroborată cu lipsa unui instrument de management şi control al licenţelor, expun compania dumneavoastra la un risc financiar major în cazul unui audit din partea vendorilor.

În următoarele rânduri voi sumariza câteva informaţii importante despre auditul din partea Microsoft:

1. Cele mai comune criterii privind selectarea companiilor ce vor fi auditate:

• fuziuni de companii

 În general, atunci când se realizează achiziţii, asimilări sau fuziuni între companii, se omite transferul licentelelor între entiati, şi/sau nu se fac achiziţii suficiente pentru ca nouă formă juridică să fie la un nivel bun de compliance din punct de vedere al licenţierii software.

•  istoricul achiziţiilor corelat cu datele anuale declarate către Instituţiile de finanţe publice

 În acest criteriu, se încadrează companiile care au încheiat un Contract de licenţiere în Volum şi ulterior acestuia (în ultimii ani), nu au efectuat un număr suficient de achiziţii, în concordanţă cu evoluţia economică a companiei: creşterea numărului de angajaţi, creşterea cifrei de afaceri etc.

•  auditarea companiilor în paralel şi de către alţi vendori

 În cele mai multe situaţii, companiile care au în desfăşurare proces de audit realizat de către un vendor, ajung şi în "atenţia" Microsoft, respectiv a celorlalţi mari producători de software.

• contracte de licenţiere în derulare

 Dacă se realizează creşteri semnificative ale numărului de angajaţi, sau asimilări de alte companii pe durata contractului activ, însă la declararea rapoartelor anuale (true-up), nu există o creştere a numărului de licenţe corelată cu numărul de angajaţi, atunci este posibil că această să fie o situaţie de non-compliance.

•    contracte de licenţiere ce nu beneficiază de reînnoire

 Prin acest criteriu, sunt "vizate" companiile care după încetarea perioadei de valabilitate a contractului de licenţiere în volum, nu îşi manifestă intenţia de reînnoire a acestuia sau nu există intenţia de încheiere a unui alt tip de contract în volum.

•   schimbarea modului de licenţiere

 Exemplu: Un mare impact l-a avut, schimbarea licenţierii pentru produsele Microsoft SQLServer. Odată cu lansarea versiunii 2014, o mare parte din companiile care aveau contracte în volum active, au beneficiat de upgrade la această versiune, însă,  în acelaşi timp au ajuns într-un scenariu de non-compliance.

2. Tipuri de audit Microsoft:

Self Audit - este cel mai "indulgent" tip de audit. Prin aceasta procedura, companiile auditate trebuie sa realizeze un "inventar" al licentelor utilizate in infrastructura propie, ca apoi rezultatele sa fie livrate catre Microsoft. Aceste informatii vor fi comparate cu istoricul achizitiilor pentru a se verifica daca sunt discrepante intre numarul de licente utilizate versus cele achizitionate.

Microsoft Software Asset Management Engagement - este un audit de tip proactiv, ce poate fi realizat voluntar de catre companii. Microsoft recomanda clientilor realizarea unui proiect (audit intern), cu ajutorul unui partener specializat in licentiere si Software Asset Management (SAM).

Partenerul va pune la dispozitia clientilor Microsoft, atat specialisti tehnici care sa realizeze colectarea datelor privind utilizarea pachetelor software, cat si specialisti in licentiere pentru o interpretare de specialitate a modului in care sunt utilizate acestea.

In urma unui astfel de audit intern,  companiile primesc un raport cu situatia actuala a utilizarii licentelor, recomandari pentru optimizare, precum si ajutor in implementarea unor proceduri interne de management si control al licentierii.
Costurile unui Microsoft SAM engagement sunt suportate in totalitate de catre Microsoft.

Legal Contracts and Compliance (LCC) Audit - este cel mai "costisitor" audit.

Aceste audituri se realizeaza prin intermediul unui auditor autorizat, care va actiona in interesul producatorului de software.

Auditorul este imputernicit legal de catre Microsoft:

- sa colecteze date din infrastructura companiilor despre configuratiile hardware ale device-urilor, despre pachetele software Microsoft instalate pe fiecare device (servere, lapotpuri, desktopuri, tablete, telefoane) si despre utilizatorii (angajatii, colaboratorii) care utilizeaza device-urile, respectiv software-ul Microsoft.

- sa verifice documentele ce reprezinta dovezi de licentiere, 

- sa efectueze control on-site la sediul companiilor,

- si sa furnizeze catre Microsoft, un raport care sa contina rezultatele verificarii licentierii.

La finalul procesului, daca auditorul a identificat utilizarea unor produse software fara licenta, companiile sunt obligate sa achite catre Microsoft, costurile asociate pentru efectuarea auditului, si de asemena sa achizitioneze licentele lipsa cu o penalizare de 25% fata de pretul contractat.

3. Etapele unui Audit Microsoft

A. Kickoff meeting

În prima faza, reprezentanţii auditorului angajat de către Microsoft (PriceWaterhouseCoopers, Deloitte, KPMG sau Ernst & Young) vor programa o întâlnire (de obicei conference call) pentru a prezenţa companiei auditate etapele şi timeline-ul proiectului.

B. Data collection

Compania auditată va colecta o serie de informaţii despre infrastructură IT, ce vor fi prezentate auditorului:

•  Confirguratiile hardware ale device-urilor
•  Aplicaţiile Microsoft instalate pe fiecare device
•  Utilizatorii care accesează device-urile şi aplicaţiile Microsoft
• Documentele ce reprezintă dovezile de licenţiere software

C. Onsite visit

În această etapă, reprezentanţii auditorului vor face o vizită la sediul companiei auditate, pentru a verifica şi valida acurateţea informaţiilor prezentate anterior, eventual colectarea unor date adiţionale.

D.  Draft Report

Pe baza informaţiilor adunate în cadrul etapei numărul 2, respectiv al vizitei onsite, auditorul va pregăti un raport comparativ: aplicaţii Microsoft instalate versus aplicaţii Microsoft achiziţionate.

Acest raport va fi transmis companiei auditate pentru a identifica eventualele erori sau discrepanţe.

E. 3 Way Exit meeting

În cadrul etapei finale, se stabileşte un call cu toate părţile implicate în procesul de auditare: reprezentanţii auditorului, rezprentantii companiei auditate şi reprezentanţii Microsoft.

Auditorii vor expune rezultatele finale şi vor răspunde la eventualele întrebări cu privire la raport.

După finalizarea acestui ultim pas, auditorul îşi încheie activitatea, urmând că stabilirea termenilor finali (comerciali) să fie negociaţi între Microsoft şi client.

4. Intrebari frecvente

 Microsoft deţine autoritatea legală să auditeze companiile private?

Conform conditiilor cuprinse in sectiunea “Verifying Compliance”, din contractul de licentiere “The Microsoft Business and Services (MBSA)”, Microsoft detine drepturile legale de a angaja un auditor autorizat, care sa realizeze verificarea utilizarii aplicatiilor software in infrastructura IT a clientilor.
Mentiune: Majoritatea contractelor de licentiere de volum sunt sub incidenta conditiilor cuprinse in MBSA.

Pot refuza companiile procesul de auditare Microsoft?

Companiile care refuză auditarea, încalcă termenii contractuali prevăzuţi în MBSA.

În acest caz, Microsoft poate rezilia contractul/ contractele de licenţiere şi clienţii trebuie să dezinstaleze toate aplicaţiile şi/ sau vor fi acţionaţi în instanţa pentru încălcarea drepturilor de autor.

Există vreun risc în furnizarea informaţiilor cerute de către auditor/ Microsoft?

Odata cu selectarea companiei dumneavoastra pentru un astfel de proces, apar si o serie de intrebari:

“Pot refuza procesul de auditare Microsoft?”

“Nu-mi cunosc situatia actuala a licentierii, pot amana sau intarzia acest audit?”

“Cum ar trebui sa raspundem la scrisoarea de instiintare primita din partea Microsoft?”

“Cine trebuie implicat intr-un astfel de proces si ce responsabilitati trebuie sa aiba?”

“Exista vreun risc in furnizarea informatiilor solicitate de catre auditor?” 

“Auditorul doreste rularea unor scripturi in infrastructura mea informatica. Sunt obligat sa-i permit accesul?”

“Noi nu detinem experienta in licentiere si audit. Cum putem verifica daca auditorul analizeaza in mod corespunzator scenariul nostru de licentiere?”

“Daca auditorul identifica licente utilizate necorespunzator, sunt pasibil de amenda? Care sunt costurile?”

Auditul Microsoft este un proces complex cu scenarii variabile, ce necesita experienta in domeniul tehnic, licentiere si in cadrul legislativ. Pentru combaterea cu succes a unui astfel de audit este recomandat sa cereti ajutorul unui consultant/partener specializat în consultanţă audit Microsoft.

Aceşti parteneri sunt familiarizaţi cu modul de lucru al auditorilor software, au experţi în licenţiere, experţi tehnici şi departament juridic specializat pe drepturile de autor.
Cu ajutorul acestora, puteti obtine ajutor pe perioada proiectului, o interpretare realistă şi corectă a rezultatelor auditorului şi un cost saving substanţial.

Cea mai buna protectie impotriva auditarii o reprezinta implementarea in companie a unui sistem complet de management al activelor software (SAM) - solutia tehnica si serviciile asociate, pentru mentinerea permanenta a compliantei software.

Ai primit o scrisoare de audit din partea Microsoft? 

Avem experienta a zeci de audituri realizate de catre Microsoft in Romania si am ajutat companiile auditate sa treaca cu brio peste controalele “Legal Contract and Compliance – Microsoft Audit”, in calitate de avocati tehnici. 

Atentie! Din experienta noastra iti putem confirma ca auditorul desemnat de catre Microsoft greseste intotdeauna in defavoarea companiilor auditate.

 Acest lucru se intampla in 100% din cazuri.

Te putem ghida pas cu pas de-a lungul auditului pentru a obtine cel mai bun rezultat posibil.

Are you prepared for a Microsoft audit?

A Software Asset Management process is, in general, presented by vendors as a helping tool that will help you keep your software compliance level in check. However, for most customers, SAM has a negative connotation, as it is seen as a check-up by the vendor.

According to Gartner, software audits have had an accelerated growth over the last years as they are used by software vendors both as a stream of revenue and as a way to stop piracy.

Gartner’s reports also include recommendations, for CIOs and IT Managers, to invest in Software Asset Management processes and tools in order to be able to abide, in a proactive manner, to the terms and condition of licensing contracts.

I would also recommend the improvement of communications and operational flow between the IT and sourcing departments – as it is essential that a procedure exists to track the software asset from the moment of the acquisition (financial records) until it is decommissioned.

It is very important to track the type of acquisition of a software license (type of contract), the way it is used (installation), the rights to move it between different devices and the financial/legal documents that appendix it.

The major vendors: Microsoft, Oracle, IBM and others have made, lately, a series of changes to their licensing models making it extremely complex by using a multitude of metrics (per CPU, per Core, NUP, PVU etc). As the IT environments became dynamic due to virtualization, these changes have had a huge impact on licensing, expressly on the number of licenses needed.

The frequent changes in licensing rules, coupled with the lack of a software management and control tool are putting companies in a major financial risk of getting audited by the vendors.

Below I will summarize a number of important information regarding Microsoft audit:

 

1. Common criteria used for selecting audit prospects:

• Mergers and acquisition

In mergers and acquisitions scenarios, usually, the transfer and consolidation of software licenses between the entities is done poorly or not at all. In this case, the new entity is lacking heavily in software compliance

• The correlation made by vendors between your acquisition history and your companies’ official financial data

 This category includes companies that opened an Enterprise Wide Volume Licensing agreement and their number of licenses is not on par with the economic growth of the company, like: number of employees, net worth etc.

• Ongoing Volume Licensing Agreements

If there are significant growths in number of employees or mergers and acquisitions during an active contract, but these situations are not reflected in your true-ups, than your compliance will be questioned by Microsoft.

• Volume licensing contracts that are not renewed

 This category includes companies that don’t present an interest in renewing their ongoing Volume Licensing Contract or moving to another type of contract.

• After a major licensing change occurs

 A good example is the change of Microsoft SQL Server licensing. Once 2014 version was released, a lot of companies that benefited from an upgrade to this version, made the upgrade, but found themselves in a non-compliant scenario because of it.

2. Types of Microsoft audits:

Self Audit – is the “easiest” types of audit. As for this procedure, audited companies need to create an inventory of their used licenses and send this info to Microsoft. The information will then be verified against the acquisition history to determine compliance.

Software Asset Management (SAM) Engagement – is a preventive type of audit. Microsoft recommends an internal audit with the help of a Microsoft Certified SAM partner. At the end of this engagement, the results are discussed with Microsoft.

The advantages of a SAM Engagement:

• The cost for the project/audit simulation will be covered by Microsoft;
• The Microsoft SAM certified partner will enlist in the customer’s aid both technical specialist (for roll-over of the technical solutions) and licensing specialist (for compliance assessments and delta clarity)
•  The customer will be able to use this expertise to better understand and comprehend his license grant and will be helped to establish inside procedures for asset management.

 Legal Contracts and Compliance (LCC) Audit – it is the most “expensive” audit.

This type of engagement is done by an authorized auditor that will act in the best interest of the vendor. The auditor is legally empowered to examine the licensing proof, to make technical on-site checkups and to supply the results of said audit to Microsoft.

The best audit protection is the implementation of an on-going Software Asset Management solution, made out of the technical solution and licensing expertise – that will keep your company’s software compliance up to date.

 3. The stages of a Microsoft audit

A. Kickoff meeting

In this initial stage, the representatives from the auditor contracted by Microsoft (PriceWaterhouseCoopers, Deloitte, KPMG or Ernst & Young) will schedule a meeting (usually a conference call) in order to present the stages of the audit and the timeline.

B. Data collection

The audited company will have to collect a series of IT infrastructure related information that will have to present to the auditor, like:

-          The hardware configuration of the devices;

-          A list of Microsoft application installed on their devices;

-          The users that access these devices and Microsoft applications;

-          Proof of licensing (documents).

C. Onsite visit

In this stage, representatives from the auditor will visit the audited company to verify the accuracy of the supplied information, eventually to collect additional information.

D.  Draft Report

Based on the information collected during stages B and C, the auditor will prepare a delta report (comparative report - ELP) of installed Microsoft licenses versus purchased Microsoft licenses. This report will be sent to the audited company for checkup of possible errors and discrepancies.

E. 3 Way Exit meeting

In this final stage, a virtual meeting will be set up with all interested parties of the audit process: representatives of the auditor, representatives of the audited company and Microsoft reps. The auditors will present their final report and will answer any questions regarding it.

After this final stage, the auditor gets out of the picture leaving the final commercial/legal terms to be negotiated between Microsoft and the customer.

4. FAQ

Is Microsoft entitled to audit private companies?

Based on the conditions enlisted in section “Verifying Compliance” of the licensing agreement: The Microsoft Business and Services (MBSA), Microsoft has the legal right to hire an authorized auditor that will engage in verifying the use of software licenses inside a customer’s IT infrastructure, based on the contract.

Most of the Volume Licensing contracts abide by the terms and conditions of the MBSA.

Can companies refuse a Microsoft audit?

By refusing the audit, you are infringing the contractual terms of the MBSA. In this case, Microsoft can cancel all licensing contracts with the customer, leading to the immediate uninstall of all Microsoft proprietary applications. Not abiding to this will lead to Microsoft suing for copyright.

Is there any risk in providing the auditor/Microsoft with the requested information?

A Microsoft audit is a complex process with many possible outcomes. It requires licensing, technical and law related expertise.

It is recommended that companies request outside help from a consultant that is a software licensing/ technical expert.

With help from these consultants, you will get a realistic and correct interpretation of your software licensing grant that will help you go against the auditor resulting in a substantial cost saving.

more info:  https://www.sam-romania.ro/microsoft-audit-consultanta/