Como lidar com uma auditoria de licenças de software na indústria

O e-mail do fornecedor informa que a empresa foi selecionada para uma auditoria de licenças e pede a execução de um script de inventário, o preenchimento de uma planilha ou o acesso remoto aos servidores. Para a direção, ficam as dúvidas práticas: a empresa é obrigada a atender? O que pode ser compartilhado? Quem deve conduzir o assunto?

A resposta depende, antes de tudo, do contrato. Uma auditoria de licenças é, na maioria dos casos, um mecanismo contratual: o fornecedor verifica se o uso do software corresponde ao que foi licenciado. Este artigo explica como identificar o fundamento do pedido, delimitar o escopo, proteger informações da empresa e organizar a resposta entre TI, compras, direção e jurídico.

Identifique o fundamento do pedido

O primeiro passo é localizar a base do pedido de auditoria. Em geral, ele se apoia em uma cláusula do contrato de licença ou do termo de uso aceito na contratação. Essa cláusula costuma autorizar o fornecedor a verificar a conformidade do uso, mediante aviso prévio, com uma periodicidade máxima e um procedimento definido.

Se o contrato não prevê auditoria, o pedido não tem fundamento contratual automático, e a empresa pode discutir sua realização e seus termos. Se o contrato prevê, a recusa integral pode configurar descumprimento. Por isso, a análise começa pelo documento que rege a relação, e não pelo tom do e-mail recebido.

Vale distinguir ainda três situações que chegam com aparência parecida: a auditoria contratual, anunciada pelo fornecedor; a comunicação de suposto uso irregular, que é uma alegação e não uma auditoria, tratada no artigo sobre notificação por uso de software sem licença; e a medida determinada judicialmente, que tem natureza e obrigatoriedade diferentes.

O que o contrato diz sobre auditoria

Localizada a cláusula, leia com atenção os pontos que definem os limites do pedido:

• Comunicação prévia: quantos dias de antecedência o fornecedor deve respeitar e por qual canal a notificação deve ocorrer.
• Periodicidade: quantas auditorias podem ocorrer por ano e em quais condições uma auditoria extraordinária é admitida.
• Metodologia: se a verificação será por questionário, por ferramenta de inventário, por auditor independente ou por acesso aos sistemas.
• Responsáveis e custos: quem conduz a auditoria, quem arca com seus custos e em que hipóteses o custo pode ser repassado à empresa.
• Confidencialidade: como as informações coletadas serão tratadas, por quanto tempo e com quem podem ser compartilhadas.
• Consequências: o que acontece se for identificada divergência, prazos para regularização e forma de cálculo de valores.

Cláusulas de auditoria fazem parte da negociação de contratos de tecnologia e podem ser revistas em renovações, como detalhado no artigo sobre contratos de software para indústrias.

Defina o escopo antes de abrir os sistemas

Auditoria sem escopo definido tende a crescer. Antes de executar qualquer ferramenta ou enviar qualquer relatório, delimite por escrito o que será verificado: quais unidades e filiais entram na análise, quais produtos do fornecedor, quais usuários e equipamentos, quais versões e qual período.

Um exemplo hipotético: uma indústria de embalagens com matriz e duas filiais recebe um pedido de auditoria do fornecedor do seu sistema de gestão. O contrato prevê auditoria anual, mas a planilha enviada pede dados de todos os softwares instalados nas máquinas, inclusive de outros fornecedores. A empresa delimita a resposta aos produtos do fornecedor que solicitou a auditoria, nas unidades cobertas pelo contrato, e recusa o envio de informações alheias ao objeto. A delimitação documentada evita que a verificação se transforme em um levantamento genérico do parque de TI.

Faça o inventário interno primeiro

Antes de responder ao fornecedor, a empresa deve conhecer a própria situação. O inventário interno levanta o que está instalado, em quais equipamentos, com quais versões e para quantos usuários, e confronta esse quadro com as licenças adquiridas e suas métricas: por usuário nomeado, por acesso simultâneo, por dispositivo, por processador ou por unidade de negócio.

Esse levantamento tem duas funções. Se estiver tudo conforme, a empresa responde com segurança. Se houver divergência, a empresa descobre antes do auditor e pode planejar a regularização em condições negociadas, em vez de reagir a um relatório pronto. O inventário também revela problemas comuns de governança, como instalações feitas por terceiros sem registro, licenças vinculadas a e-mails pessoais e versões desatualizadas fora do suporte.

Cuidados com relatórios, dados e acessos

Ferramentas de inventário e relatórios de auditoria podem coletar mais do que a verificação exige: listas de usuários, nomes de máquinas, logs de acesso e até informações de outros sistemas. Antes de compartilhar dados, verifique:

• Se a ferramenta proposta coleta apenas informações de licenciamento do software auditado.
• Se os relatórios contêm dados pessoais de colaboradores, protegidos pela Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, LGPD), e qual a base para compartilhá-los.
• Se há informações confidenciais do negócio nos arquivos, como desenhos técnicos, receitas, listas de clientes ou parâmetros de produção.
• Se o acesso remoto solicitado é necessário ou se relatórios gerados internamente atendem à cláusula.
• Se o auditor é independente ou vinculado ao fornecedor, e quais compromissos de confidencialidade foram assinados.
• Quem dentro da empresa aprova o envio final de cada documento.

A regra prática: compartilhar o que o contrato exige, da forma menos invasiva que o contrato permite, com registro de tudo o que foi enviado.

Organize a resposta e os responsáveis

A auditoria corre melhor quando cada área tem um papel definido. O TI executa o inventário e gera os relatórios técnicos. Compras reúne contratos, propostas e notas fiscais. A direção aprova o escopo e as decisões de regularização. A assessoria jurídica revisa a cláusula, delimita o compartilhamento de informações e conduz a comunicação formal com o fornecedor. Um único canal de comunicação evita respostas desencontradas.

Auditoria contratual e medida judicial são diferentes

A auditoria contratual nasce do acordo entre as partes e seus limites estão no contrato. Já uma medida determinada em processo judicial, como uma perícia ou uma ordem de exibição de documentos, tem obrigatoriedade própria e não pode ser recusada com base no contrato. Se a empresa receber qualquer comunicação judicial relacionada a software, o encaminhamento é outro: prazos processuais correm independentemente da vontade das partes, e a atuação jurídica passa a ser imediata. Distinguir essas duas naturezas desde o primeiro contato evita tanto a resistência indevida quanto a abertura excessiva de informações.

Perguntas frequentes

A empresa é obrigada a aceitar a auditoria?

Depende do contrato. Se há cláusula de auditoria válida, a recusa pode configurar descumprimento contratual. Se não há, o pedido pode ser discutido. Em ambos os casos, o escopo e a forma de realização podem ser negociados e documentados.

O fornecedor pode acessar diretamente os sistemas da empresa?

Somente se o contrato previr essa forma de verificação. Mesmo nesse caso, o acesso deve ser limitado, monitorado e compatível com a proteção de dados pessoais e de informações confidenciais. Relatórios gerados internamente costumam ser uma alternativa aceitável.

Se a auditoria encontrar divergência, a empresa paga multa automaticamente?

Não. As consequências dependem do que o contrato prevê e da comprovação da divergência. Valores cobrados como regularização ou penalidade podem ser analisados, questionados e negociados, como em qualquer cobrança contratual.

Quem deve assinar a resposta à auditoria?

O ideal é que a resposta formal seja conduzida pela direção com a assessoria jurídica, depois da validação técnica do TI. Respostas técnicas enviadas isoladamente podem conter admissões ou dados além do necessário.

Auditorias bem conduzidas costumam terminar em ajustes pontuais e em contratos mais claros. Empresas que licenciam tecnologias de terceiros ou licenciam as próprias soluções encontram na página de licenciamento e em contratos empresariais a descrição da atuação da Frasson nesses temas.