收到軟體大廠警告信，指稱公司可能使用未經授權的軟體，甚至要求購買授權、賠償或限期回覆，企業第一時間難免緊張。但最重要的原則是：不要在事實尚未確認前，急著承認、解釋或承諾。這不只是軟體授權問題，也涉及企業的資訊資產管理、內部控制、經營風險與管理責任。
先確認通知是否真實
國外軟體廠商可能透過台灣代理商、經銷商或律師事務所聯繫，也不能排除冒名詐騙。收到通知後，應先進行身分與來源驗證，再處理內容。
- 公司名稱／承辦人／聯絡方式
- 寄件網域
- 對方公司資料
- 律師事務所身分（若涉及律師事務所，應透過其正式公開管道確認）
不要急著回覆，先查公司自己的環境
確認來源後，立即進行內部調查，釐清電腦設備與軟體使用的實際狀況。
- 有哪些電腦
- 安裝哪些軟體
- 誰在使用
- 使用多久
- 是否有授權
- 誰採購、誰管理
- 是否存在試用版、舊版、個人帳號或員工自行安裝等情況
若尚在調查且對方要求限期回覆，可先說明公司正在查核，需要合理時間確認，不宜在資訊不完整時自行猜測或承認。若涉及法律責任、賠償或和解，應由適當的法律或專業角色協助處理。
這其實是 ISO 27001／TISAX 的管理問題
如果公司平常不知道有哪些軟體、誰可以安裝、授權在哪裡、誰負責管理，那麼問題就不只是一次警告信，而是資訊資產管理尚未制度化。
ISO 27001／TISAX 所強調的核心邏輯，可以簡化為：Asset（資產）→ Owner（負責人）→ Risk（風險）→ Control（控制）→ Evidence（證據）→ Review（檢視）。落實到軟體管理，就是：資產盤點 → 授權管理 → 權限控制 → 定期查核 → 異常處理 → 證據留存。
無違規，也要留下證據；有問題，更要先釐清事實
若查核後確認沒有未授權使用，應保存軟體清冊（Software Inventory）、授權紀錄（License Records）、調查紀錄（Investigation Record）與佐證資料（Evidence）。
若確實存在未授權使用，則應釐清軟體、設備、使用者、時間、用途、授權狀況，以及對方提出的證據與請求依據。不要把對方的指控，直接當成既定事實。
事件處理後，建立「軟體授權管理閉環」
企業不應每次收到警告才重新調查，而應建立系統化的管理流程，定期比對已安裝軟體、授權數量與實際使用者，並在必要時加入核准機制。
- Software Inventory（軟體清冊）＋License Management（授權管理）＋Administrator Privilege（管理員權限）＋Compliance Review（合規檢查）
- Approval（核准）＋Owner（負責人）＋License（授權）＋Review（檢視）
讓軟體從「員工自行處理」，轉變為企業可掌握、可追蹤、可稽核的管理流程。
立心諮詢觀點
一封警告信真正值得管理者思考的，不只是「要不要買授權」，而是如果今天沒有收到這封信，我們知道公司有哪些軟體、誰在使用、是否有授權，以及誰負責管理嗎？如果答案不確定，這就是企業應改善的管理訊號。
軟體授權管理不是單一 IT 工作，而是 IT、使用部門、採購、人資與管理階層共同承擔的治理課題。企業管理的成熟度，不在於從未發生問題，而在於發生問題時，能否快速掌握事實、找到責任、保留證據、控制風險並完成改善。