Аудит лицензий на ПО в компании: как подготовиться к проверке и не попасть на штраф

За пятнадцать лет в IT-аутсорсинге я видел десятки компаний, у которых лицензии на софт существовали только в голове бухгалтера — «вроде что-то покупали в 2016-м». А потом приходит проверка. Или партнёр решает «настучать» на конкурента, и всё, приплыли. Расскажу, как за один рабочий день навести порядок в лицензиях самостоятельно, без дорогих аудиторских контор — так, как я это делаю у своих клиентов.

Почему «нас пока не проверяли» — не аргумент

У меня есть клиент — юридическая фирма на 18 рабочих мест, назовём её «Х». Директор был железно уверен: раз десять лет работали, никто не приходил — значит, и не придёт. В марте прилетело письмо от правообладателя одной из систем автоматизации документооборота с требованием предоставить документы на лицензии. Не полиция, не прокуратура — просто юристы копирайтхолдера, которые мониторят рынок и рассылают такие письма пачками. У фирмы половина рабочих станций работала на активаторах Windows и пиратской версии специализированного софта. Разбирались два месяца, откупились компенсацией в районе 400 тысяч рублей — по рыночным меркам ещё повезло.

Дело в том, что проверка сегодня — это не обязательно люди в форме с понятыми. Правообладатели (тот же Microsoft, 1С, КриптоПро, Autodesk) давно работают через юридические конторы, которые мониторят объявления о вакансиях, тендерную документацию, сайты компаний — и просто присылают запрос. Плюс доносы бывших сотрудников, обиженных партнёров, конкурентов. По ст. 146 УК РФ за использование контрафактного софта в крупном размере (свыше 100 тысяч рублей по лицензионной стоимости) светит уголовная ответственность, вплоть до реального срока при особо крупном размере — от миллиона. Для юрлица по ст. 7.12 КоАП — штраф от 30 до 40 тысяч плюс конфискация техники, на которой стоит контрафакт. Технику, кстати, реально забирают.

Короче: инвентаризация — это не бюрократическая блажь, а страховка. И хорошая новость в том, что сделать её своими силами, без выездных аудиторов за 150 тысяч рублей, реально. День, максимум полтора — если у вас до полусотни рабочих мест.

С чего начать: соберите список того, что вообще должно стоять

Прежде чем лезть в компьютеры, откройте бухгалтерию. Найдите все счета, накладные, лицензионные договоры и акты за последние лет пять — на Windows, Office, 1С, антивирусы, КриптоПро, специализированный отраслевой софт. Не поленитесь поднять переписку с интеграторами — часто лицензии покупались через них, а не напрямую. У одной торговой компании, с которой я работал, за семь лет сменилось три бухгалтера, и договор на 1С:Управление торговлей просто физически потеряли — пришлось поднимать архив у партнёра-франчайзи, благо они хранят такие вещи.

Составьте табличку в Excel: название ПО, версия, тип лицензии (коробка, OEM, подписка, облако), количество купленных мест, номер документа, дата покупки. Это и есть ваш «реестр закупленного» — эталон, с которым дальше будете сверять то, что реально стоит на машинах. Без этого шага вся инвентаризация превращается в гадание: стоит программа — хорошо это или плохо, непонятно.

Отдельно выпишите облачные и подписочные штуки — Microsoft 365, антивирусы с годовой продлевашкой, облачную 1С. Про них чаще всего забывают, а платёж «проехал» автоматически с карты, и через два года никто не помнит, за что именно платят и сколько мест оплачено.

Инвентаризация машин: пошаговый план на один день

Дальше — техническая часть, и вот тут действительно можно управиться за один день, если у вас 15-50 компьютеров. Вариант для тех, кто дружит с PowerShell: на Windows-машинах в домене есть встроенный WMI, который позволяет удалённо опросить установленное ПО без беготни по кабинетам. Команда вида Get-WmiObject -Class Win32_Product на каждой машине (или через Invoke-Command сразу по списку компьютеров домена) выгружает список установленных программ с версиями. Да, Win32_Product работает медленно и местами капризничает — для больших парков лучше смотреть через реестр (ветка Uninstall), но для 20-40 машин сойдёт и так.

Если домена нет и машины разрозненные — есть бесплатные утилиты вроде PDQ Inventory (бесплатная версия тянет до сотни хостов) или тот же WMI-скрипт, запущенный локально на каждой машине через удалённый рабочий стол. У себя мы гоняем свой скрипт на PowerShell, который собирает установленный софт, серийники (где можно достать) и сохраняет всё в один CSV — час на подготовку, дальше запускается само.

Отдельно — серверы. Загляните на Windows Server: сколько там CAL-лицензий куплено и сколько реально подключается пользователей и устройств. Частая история: сервер терминалов на 15 купленных RDP CAL, а по факту через RDP заходит 22 человека, потому что отдел вырос, а про докупку лицензий забыли. Технически это тоже нарушение лицензионных условий, хотя выглядит безобидно — просто разрослась команда.

Где чаще всего вылезают «хвосты»

За годы аудитов у меня сложился свой топ мест, где прячется нелицензионный софт. Первое — старые рабочие станции бухгалтерии и юристов, которые никто не трогал годами: там живут древние версии Adobe Acrobat Pro, WinRAR (да-да, формально он платный после пробного периода), иногда пиратский Photoshop у дизайнера, который сам себе поставил «чтобы было».

Второе — виртуальные машины. Разворачивали тестовый стенд, поставили Windows Server на пробную лицензию, потестировали и... забыли выключить или перевести на боевую лицензию. У производственной компании в Подольске нашли три таких «забытых» тестовых сервера, которые год простояли в проде на триальных ключах Windows Server 2019 — а ведь их видно при любой проверке, серийник светится в системе.

Третье — КриптоПро и другие СКЗИ. Их часто покупают на конкретное количество рабочих мест под сдачу отчётности, а потом ставят на все компьютеры бухгалтерии «чтобы не бегать». КриптоПро CSP считает активации, и если у вас куплено 3 лицензии, а стоит на 8 машинах — это прямое нарушение, которое элементарно всплывает при обновлении программы, когда она стучится на сервер активации.

1С, КриптоПро, Windows Server — что смотреть отдельно

1С — отдельная больная тема, потому что там путаница с типами лицензий: клиентские (на рабочее место), серверные (на сервер 1С), многопользовательские. Откройте конфигуратор или личный кабинет портал.1с.ру и сверьте количество зарегистрированных ключей с реальным числом одновременно работающих пользователей. Часто бывает так: купили лицензию на 10 пользователей, а по факту одновременно заходит 14 — и вроде работает, потому что 1С не всегда жёстко блокирует превышение, но по лицензионному соглашению это нарушение.

Windows и Office — смотрите не только на факт установки, но и на тип ключа. Через команду slmgr /dli в командной строке (запускается за пять секунд) можно узнать статус активации и канал лицензирования. Если видите KMS-активацию на рабочей станции, которая формально не должна быть в корпоративной KMS-инфраструктуре — это повод разбираться, откуда взялся ключ.

Veeam, если используете для бэкапов, тоже лицензируется по сокетам процессора или по количеству защищаемых машин в зависимости от редакции — я видел компании, которые за три года нарастили серверный парк вдвое, а лицензию Veeam так и не пересчитали. Формально бэкапы продолжают работать даже с превышением лимита, только это тоже не про закон, а про везение, что пока не проверяли.

Нашли нелицензионные копии — что делать дальше

Без паники. Первым делом — не удалять сгоряча всё подряд, особенно если на машине рабочие данные: сначала выгрузите нужное, потом разбирайтесь с софтом. Дальше — три пути: купить недостающие лицензии (часто дешевле, чем кажется — та же 1С:Бухгалтерия базовая версия стоит около 6-8 тысяч рублей за рабочее место), перейти на легальный бесплатный аналог (LibreOffice вместо пиратского MS Office для второстепенных машин, где не критична совместимость форматов) или вообще снести программу, если ей никто не пользуется.

У медицинской клиники, с которой я работал в прошлом году, обнаружили пиратский AutoCAD на компьютере, который administrator использовал раз в год для правки чертежа вентиляции — переставили на бесплатный LibreCAD, и вопрос закрылся без затрат.

Если объём нарушений большой и денег на разовую докупку всех лицензий нет — составьте план поэтапного перехода на 3-6 месяцев и зафиксируйте его внутренним приказом. Это не защитит от штрафа автоматически, но при разбирательстве показывает добросовестность компании, а не злостное уклонение — суды и правообладатели это учитывают при определении суммы компенсации.

Как не наступать на те же грабли через год

Инвентаризация — это не разовая акция для галочки, а процесс. Заведите тот самый реестр лицензий в общедоступном месте (у нас для клиентов — обычно табличка в облаке или карточка в таск-трекере), назначьте ответственного — не обязательно IT-специалиста, подойдёт офис-менеджер, который умеет читать счета и сверять цифры.

Раз в полгода — повторная выгрузка установленного софта тем же скриптом, что был в шаге три, и сверка с реестром. Это займёт уже не день, а час-два, потому что база у вас уже собрана. Заодно сразу видно, если кто-то из сотрудников самовольно поставил себе что-то лишнее — я это называю «инициативная самодеятельность», и она встречается в каждой второй компании.

И последнее: при закупке новой техники или найме нового сотрудника сразу закладывайте стоимость лицензий в бюджет, а не «поставим пока пробную версию, потом купим». Пробное почти всегда становится постоянным — просто потому что руки не доходят вернуться и оформить как надо. Проверено на десятках клиентов.

Частые вопросы

Какой штраф грозит компании за нелицензионный софт?
Для юрлица по административной статье 7.12 КоАП РФ — от 30 до 40 тысяч рублей плюс конфискация техники с контрафактным ПО. Если стоимость нелицензионных копий превышает 100 тысяч рублей (крупный размер) — это уже уголовная статья 146 УК РФ, и отвечать будет конкретное должностное лицо, вплоть до руководителя. При особо крупном размере (от миллиона рублей) санкции жёстче, включая реальные сроки.

У нас нет своего IT-специалиста — реально ли справиться самим?
Да, для компании до полусотни рабочих мест инвентаризацию можно провести своими силами за день, следуя шагам из этой статьи — большая часть работы это сверка документов и запуск готового скрипта, а не программирование. Если совсем не хочется разбираться со скриптами, наймите фрилансера-системщика на разовую задачу часов на пять — это в разы дешевле полноценного аудита от консалтинговой компании.

Можно ли просто заменить весь платный софт на бесплатные аналоги и не думать о лицензиях?
Частично да — LibreOffice вместо MS Office, LibreCAD вместо AutoCAD для несложных задач вполне рабочий вариант для второстепенных рабочих мест. Но для 1С, специализированного отраслевого софта и систем с обязательной сертификацией (та же КриптоПро для сдачи отчётности) полноценных бесплатных замен нет, и переходить придётся на легальные платные версии.

Как часто нужно повторять инвентаризацию?
Я советую своим клиентам делать полную сверку раз в полгода и лёгкий контрольный прогон скрипта — при любом заметном событии: массовом найме, переезде офиса, обновлении парка техники. Тогда это никогда не превращается в аврал, а остаётся рутинной десятиминутной процедурой.