Come registrare correttamente le metriche di licenza dei fornitori svizzeri

Perché la metrica di licenza determina costi e rischi

Questa guida illustra come le aziende registrano correttamente le metriche di licenza presso i fornitori di software svizzeri: dalla scelta della metrica (core/utente), passando per inventario, ruoli, automazione, strumenti e conservazione dei dati, fino alle prove di verifica.

Tre punti di riferimento svizzeri sono concretamente individuabili: InvestGlass come piattaforma per un CRM sovrano, ADVANIS come partner SAP Gold di lunga data e l'UFIT quale prestatore di servizi informatici della Confederazione. Essi rappresentano tre ruoli distinti: piattaforma software, consulenza sulle licenze e prestazione di servizi IT pubblici.

ADVANIS agisce come partner SAP e consulente per le licenze, non come produttrice di software proprio. Le grandezze rilevanti per il calcolo derivano dal modello di licenza SAP, che ADVANIS adatta per i clienti svizzeri.

I ruoli sono quindi separati: ADVANIS è partner e consulente per le licenze, l'UFIT è prestatrice di servizi informatici della Confederazione, InvestGlass è fornitrice di piattaforma. Nessuna di queste tre entità fornisce una propria metrica di licenza intrinseca.

Non tutti i fornitori rendono pubblica la propria metrica. Laddove l'indicazione manchi, essa deve essere richiesta per iscritto al fornitore o al partner prima della registrazione e fissata contrattualmente. Senza questa indicazione, non è possibile giustificare alcun quantitativo di licenze.

Per InvestGlass, la metrica deve essere definita contrattualmente; è documentata la sede di hosting in Svizzera. L'UFIT non gestisce una metrica di licenza: i suoi circa 50'000 sistemi workstation e oltre 1000 applicazioni specialistiche servono come ordine di grandezza per l'inventario.

Sono nominati concretamente il partner SAP svizzero ADVANIS e la piattaforma InvestGlass per un CRM sovrano. L'UFIT è il principale prestatore di servizi informatici dell'amministrazione federale; mette a disposizione circa 50'000 sistemi workstation e gestisce oltre 1000 applicazioni specialistiche prevalentemente nei propri moderni data center.

Presso i fornitori svizzeri e i loro partner, la metrica contrattuale è determinante. ADVANIS indica il numero di utenti o il volume dei dati come possibile base di calcolo per le licenze SAP.

La metrica nel contratto di licenza stabilisce quali grandezze vengono misurate. A scelta vi sono i core (nuclei del processore) o gli user (utenti ovvero account); la stessa installazione porta a quantitativi di licenza e costi diversi a seconda della metrica applicata.

Una registrazione lacunosa non rimane senza conseguenze. In Svizzera, il riciclaggio di denaro, la corruzione e le violazioni del diritto cartellare figurano tra i reati economici più frequenti; possono comportare multe, sanzioni legali fino alla perdita duratura di reputazione.

Le metriche di licenza non riguardano questi reati, ma il meccanismo è lo stesso. Una metrica basata su dati incompleti viene tipicamente scoperta solo durante un audit – con conseguenti richieste di pagamento arretrato e un danno d'immagine che supera l'importo delle licenze.

Nella quotidianità degli acquisti, le licenze transitano attraverso partner, rivenditori o contratti quadro; la base documentale si trova spesso presso enti diversi. Senza un metodo di conteggio comune, non è possibile riconciliare i dati d'acquisto, gli inventari tecnici e l'utilizzo effettivo – ogni ente calcola con numeri diversi.

Grandi fornitori di software come Oracle, Microsoft e SAP utilizzano ciascuno le proprie metriche di licenza. All'interno della stessa azienda esse si incontrano: il reparto marketing utilizza una suite Adobe con licenze per utente, l'IT gestisce software server di Microsoft, a cui si aggiungono servizi cloud fatturati in base al volume di dati o alle transazioni.

Chi non conosce la metrica del proprio software rischia un eccesso di licenze e quindi costi di licenza troppo elevati o problemi legali se le condizioni di licenza non vengono rispettate.

Per la selezione dei fornitori, ADVANIS cita: consulenza neutrale e indipendente, una partnership SAP Gold di lunga data e la scelta delle licenze SAP giuste nella quantità corretta, con la durata migliore e al prezzo ottimale. Ciò permette di verificare i modelli di licenza rispetto alle alternative.

Prima di ogni registrazione, per ogni applicazione devono essere fissate tre indicazioni: fornitore o partner, metrica contrattuale e durata. Se manca una di queste indicazioni, non è possibile giustificare il quantitativo di licenze.

Core o User: il metodo di conteggio impronta la logica di registrazione

La metrica basata sui core richiede dati hardware: numero e tipo di nuclei del processore per server nonché informazioni sugli ambienti virtuali, sui cluster e sulle riserve per l'alta disponibilità. La registrazione avviene a livello di server e data center, non di persone; ogni rinnovo hardware modifica il fabbisogno di licenze e deve essere aggiornato nell'inventario hardware.

La metrica basata sugli user richiede dati identitari: utenti nominativi, account e la loro assegnazione a persone o ruoli. Le fonti sono le rubriche del personale, i servizi di directory, gli account di partner esterni nonché i account funzionali e di servizio; determinante è il gruppo di utenti definito contrattualmente, non il numero di postazioni di lavoro.

Le soluzioni partner esterne al runtime NetWeaver di SAP costituiscono un caso a sé: chi valuta solo il runtime principale e ne deriva la dichiarazione di licenza, non registra questi componenti. Per la logica di registrazione, l'ambiente di runtime deve essere documentato per ogni applicazione, affinché sia decidibile se rientra nel conteggio principale.

A seconda del fornitore vale un'unità diversa: Microsoft Office 365 e Adobe Creative Cloud sono licenziati per utente, i sistemi operativi nonché il software di sicurezza e antivirus per dispositivo, Microsoft SQL Server per processore, Oracle Database per core, SAP HANA per istanza. I servizi cloud vengono fatturati in base al volume di dati o alle transazioni.

Le fornitrici svizzere seguono la stessa logica: l'unità determinante figura nel contratto. ADVANIS indica per SAP il numero di utenti o il volume dei dati; per InvestGlass l'unità deve essere definita contrattualmente.

Le unità possono essere denominate: Per utente (User), Per dispositivo (Device), Per processore (Processor), Per nucleo (Core), Per istanza (Instance) e Per transazione (Transaction). NUP, Core e altre unità coesistono nella giungla delle metriche di licenza.

Determinante è l'unità definita nel contratto. Essa viene documentata per ogni applicazione e allegata a ogni richiesta di licenza.

Il partner SAP svizzero ADVANIS definisce come leve del modello di licenza SAP diverse metriche di utilizzo come il numero di utenti o il volume dei dati, diverse licenze utente in base all'ambito e alla frequenza di utilizzo, edizioni con diverso spettro funzionale, add-on opzionali nonché diversi modelli per Public e Private Cloud.

ADVANIS è partner, non produttrice: le metriche provengono dal modello di licenza SAP e vengono adattate per i clienti svizzeri. La controparte contrattuale per i clienti svizzeri rimane ADVANIS.

ADVANIS distingue le licenze utente in base all'ambito e alla frequenza di utilizzo. Il numero di utenti e il volume dei dati non sono numeri di dispositivi; non possono essere derivati dal parco postazioni di lavoro.

SAP offre i suoi prodotti come SaaS; si paga ciò che viene effettivamente utilizzato. La durata e un eventuale ramp-up appartengono quindi alla registrazione, poiché le durate variano.

La scelta della metrica determina quale evento genera costi: per i core una modifica hardware, per gli user l'ingresso o l'uscita di una persona ovvero l'assegnazione di un account. La registrazione deve essere collegata a questi eventi, non a un inventario annuale.

Vengono registrati due flussi di dati separati: dati hardware per i core e dati identitari per gli user. Essi vengono confluiti solo per la dichiarazione.

Per SAP Sales and Service Core, ADVANIS richiede il numero di utenti, il numero di admin user, una durata da 12 a 60 mesi nonché add-on e opzioni. Così la metrica SAP svizzera è concreta: quantità di utenti e dati, durata, edizioni e modello cloud.

Per la scelta di un fornitore o di un modello di licenza, ADVANIS cita: consulenza neutrale e indipendente, una partnership SAP Gold di lunga data e la scelta delle licenze SAP giuste nella quantità corretta, con la durata migliore e al prezzo ottimale. Ciò permette di verificare un modello rispetto alle alternative.

Presso i fornitori di software svizzeri e i loro partner, l'unità contrattuale rimane determinante. ADVANIS indica il numero di utenti o il volume dei dati.

Per il confronto dei modelli di licenza contano le unità: Per utente, Per dispositivo, Per processore, Per nucleo, Per istanza e Per transazione. Esse determinano quali dati devono essere rilevati.

Un confronto tra più fornitrici svizzere presuppone che ciascuna indichi la propria metrica. Se l'indicazione manca, la rilevazione resta vincolata all'unità contrattuale.

Applicazioni, postazioni di lavoro e gruppi di utenti come base

Come ordine di grandezza per un inventario solido serve il prestatore di servizi IT della Confederazione: l'Ufficio federale dell'informatica e della telecomunicazione (UFIT) mette a disposizione circa 50'000 sistemi workstation e gestisce oltre 1000 applicazioni specialistiche, prevalentemente nei propri moderni data center. Circa 1'700 collaboratori assistono l'amministrazione federale in tutti i settori IT.

L'UFIT è prestatore di servizi informatici della Confederazione, non fornitrice di software. I suoi numeri forniscono l'ordine di grandezza per i sistemi workstation e le applicazioni specialistiche, non una metrica di licenza.

Con questo ordine di grandezza, una metrica di licenza non può più essere determinata in modo affidabile senza un inventario strutturato. Un tale inventario consiste in almeno tre liste collegate tra loro.

La lista delle applicazioni riporta per ogni applicazione specialistica nome, ambiente di runtime, gestore e sede di hosting. La lista dei sistemi workstation elenca dispositivi e installazioni e serve come controprova al conteggio degli utenti.

Alla lista delle applicazioni appartiene la via di approvvigionamento: licenza diretta, partner, rivenditore o contratto quadro. Essa determina presso quale ente va richiesta la metrica contrattuale.

La lista dei gruppi di utenti distingue i collaboratori interni, i partner esterni nonché gli account funzionali e di servizio, poiché questi gruppi contano diversamente a seconda del contratto. Il vantaggio sta nel raffronto: se applicazioni, dispositivi e gruppi di utenti rimandano l'uno all'altro, si può dimostrare se un'applicazione specialistica viene utilizzata su un sistema workstation che non appare in nessun registro utenti.

Per le soluzioni SAP, per ogni applicazione va tenuta la metrica di utilizzo fatturata, ad esempio il numero di utenti o il volume dei dati. Il numero di utenti e il numero di admin user vengono indicati separatamente, poiché entrambe le grandezze confluiscono nella richiesta di licenza.

Allo stesso modo si può chiarire se un'applicazione gira al di fuori dell'ambiente di runtime principale e deve quindi essere conteggiata separatamente. Vincolanti sono tre liste: applicazioni, sistemi workstation e gruppi di utenti. Ogni riga rimanda alle altre liste, affinché nessuna voce resti isolata.

Tre indicazioni sono obbligatorie per applicazione: fornitore o partner, ambiente di runtime e metrica contrattuale. Solo con tutte e tre si può derivare il quantitativo di licenze di un'applicazione specialistica.

Per SAP Sales and Service Core, ADVANIS indica per le richieste di licenza dati sul numero di utenti, numero di admin user, durata nonché add-on e opzioni. Queste indicazioni vengono confrontate con la lista delle applicazioni e la lista dei gruppi di utenti.

InvestGlass è una piattaforma per un CRM sovrano e può essere ospitata in Svizzera. La sede di hosting appartiene quindi alla lista delle applicazioni.

Per piattaforme come InvestGlass, la sede di hosting va inserita nella lista delle applicazioni; la metrica di licenza va chiarita nel contratto.

Ordine di grandezza dell'UFIT come prestatore di servizi informatici

Chi registra cosa: ruoli, direttive e punti di controllo

Tra gli elementi chiave di un programma di compliance figurano direttive e procedure chiare con regole di comportamento specifiche nonché procedure di valutazione e mitigazione del rischio. Il responsabile della compliance è sottoposto direttamente alla direzione generale.

Per le metriche di licenza serve una procedura scritta. Essa fissa quale metrica si applica, chi estrae i dati, con quale ritmo, con quale strumento e come vengono escalate le deviazioni.

La procedura nomina la metrica stessa. Per le metriche user verifica gli account, per i core l'hardware; l'azione di verifica segue la metrica.

Il Codice delle obbligazioni svizzero fissa le responsabilità della direzione aziendale e richiede meccanismi di controllo; per la registrazione delle metriche serve una persona responsabile nominata con potere decisionale. Essa separa la misurazione dall'approvazione della dichiarazione di licenza e prevede controlli a campione, invece di affidarsi a una singola fornitura di numeri.

Punti di controllo pratici sono il confronto del quantitativo dichiarato con l'ultimo inventario, la verifica di nuove entrate e uscite nonché il controllo di casi speciali come sistemi di test e account di servizio. Normative internazionali come il Foreign Corrupt Practices Act statunitense e il Regolamento generale sulla protezione dei dati europeo influenzano i requisiti delle aziende svizzere operanti a livello internazionale. Ne consegue per la registrazione delle metriche di licenza: le procedure di rilevamento devono essere regolamentate per iscritto, tracciabili e verificabili.

Il quadro giuridico svizzero per la compliance comprende norme nazionali e accordi internazionali. Per le aziende svizzere operanti a livello internazionale, FCPA e GDPR richiedono il rispetto sia degli standard svizzeri che di quelli internazionali. Ciò richiede una revisione e un adeguamento dei programmi di compliance. Il complesso panorama giuridico richiede un monitoraggio costante e un adattamento flessibile delle strutture di compliance.

Per le soluzioni SAP, il ruolo di valutazione fornisce preliminarmente indicazioni su numero di utenti, numero di admin user, durata e add-on desiderati; l'approvazione verifica queste indicazioni rispetto all'inventario. Così il numero di admin user rimane separato dal numero degli altri utenti.

Vengono separati tre ruoli: titolare dei dati, valutazione e approvazione. Il quadro è dato dal responsabile della compliance e dalla direzione aziendale secondo il Codice delle obbligazioni.

Le questioni aperte sulla metrica vengono chiarite dall'ente titolare dei dati direttamente con la fornitrice o il partner e la risposta viene fissata per iscritto. L'approvazione verifica se la risposta corrisponde alla situazione dell'inventario.

Per le soluzioni SAP, ADVANIS è la controparte contrattuale per le informazioni sulla metrica. Per piattaforme come InvestGlass, la sede di hosting è l'indicazione aggiuntiva determinante.

Per piattaforme con hosting svizzero come InvestGlass, la sede di hosting è un punto di controllo a sé stante. Essa determina quale ente estrae i dati di utilizzo e dove essi risiedono.

Alle condizioni contrattuali appartengono durata, add-on, opzioni e il quantitativo di licenze.

Registrare in modo automatizzato e monitorare continuamente

InvestGlass è una piattaforma per un CRM sovrano. L'automazione di onboarding, KYC e monitoraggio riduce gli errori manuali, accelera le verifiche e facilita audit e ispezioni regolari da parte delle autorità di vigilanza.

Per le metriche di licenza vale lo stesso nesso: rilevamenti ricorrenti basati su regole generano meno lacune rispetto a tabelle gestite manualmente. Lo strumento è diverso, la logica è trasferibile.

Si possono automatizzare tre punti. L'inventariazione di server e sistemi workstation avviene tramite agent di discovery invece che tramite sondaggi.

L'assegnazione degli account ai gruppi di utenti avviene tramite un confronto con il servizio di directory invece che tramite liste. La dichiarazione nasce da una valutazione ricorrente secondo regole fisse invece che da un'azione speciale annuale.

Il servizio di directory separa i collaboratori interni, i partner esterni nonché gli account funzionali e di servizio. Per le richieste di licenza, il numero di utenti e il numero di admin user devono essere indicati separatamente.

Il guadagno di controllo sta nella ripetibilità: se la stessa valutazione viene eseguita mensilmente con le stesse regole, ogni deviazione rispetto al mese precedente mostra una variazione dello stock – una nuova installazione, un utente uscito, un nuovo server. Si possono così definire valori soglia tali da attivare una segnalazione o un'approvazione prima che venga superata la soglia contrattuale.

Nei modelli SaaS come i prodotti di SAP, il quantitativo di utilizzo cambia continuamente, poiché si paga solo ciò che viene utilizzato. Una valutazione ricorrente mantiene visibile questo movimento, senza che sia necessaria un'azione speciale annuale.

L'automazione non genera una metrica. Essa mantiene aggiornata l'unità concordata contrattualmente, anche se una fornitrice non nomina una propria metrica.

Come strumenti servono agent di discovery per l'hardware, il servizio di directory per gli account e una valutazione ricorrente per la dichiarazione. Essi sostituiscono sondaggi manuali e azioni speciali annuali.

Un quadro strutturato composto da valutazione del rischio, direttive, tecnologia e monitoraggio continuo soddisfa gli standard di compliance internazionali. Per la registrazione delle metriche di licenza ciò significa: regole, strumenti e competenze devono essere coordinati tra loro.

Presso i fornitori di software svizzeri la logica rimane la stessa: agent di discovery, servizio di directory e valutazione ricorrente sostituiscono i sondaggi manuali. ADVANIS richiede per SAP Sales and Service Core numero di utenti, numero di admin user, durata e add-on.

Dove risiedono i dati di utilizzo: hosting svizzero e trasmissione

I dati di utilizzo e telemetria vengono generati dove l'applicazione viene gestita. L'UFIT gestisce oltre 1000 applicazioni specialistiche, prevalentemente nei propri moderni data center.

Con la Swiss Government Cloud (SGC) dovrebbe nascere presso l'UFIT una nuova infrastruttura cloud su misura per le esigenze della Confederazione; la realizzazione è prevista per il periodo 2025-2032. Chi impiega strumenti di registrazione deve chiarire se essi girano nel proprio data center, in un cloud svizzero o presso il fornitore del software licenziato.

La sovranità dei dati svizzera e l'hosting in loco o in un cloud svizzero possono aiutare le aziende regolamentate, come quelle che utilizzano piattaforme quali InvestGlass, a dissipare le preoccupazioni sul trasferimento transfrontaliero dei dati. Per la registrazione delle metriche ciò è rilevante, poiché i dati di licenza contengono regolarmente nomi utente e identificativi di dispositivo e possono quindi essere dati personali.

Per le trasmissioni verso gli USA vale dal 15 settembre 2024 l'Ordinanza sulla protezione dei dati modificata. Il Consiglio federale ha deciso il 14 agosto 2024 di inserire gli USA, nell'ambito del Swiss-U.S. Data Privacy Framework, nell'elenco dei paesi con un livello adeguato di protezione dei dati.

La certificazione delle imprese statunitensi e un nuovo tribunale statunitense per la protezione dei dati permettono di trasmettere dati personali dalla Svizzera a imprese certificate negli USA senza garanzie aggiuntive. I destinatari non certificati non rientrano in questa categoria; prima della trasmissione va quindi verificato lo stato di certificazione del destinatario.

SAP offre i suoi prodotti come SaaS; i dati di utilizzo e telemetria vengono allora generati presso il fornitore. Così il luogo della valutazione si sposta dal proprio data center al fornitore, cosa che va chiarita prima dell'impiego dello strumento di registrazione.

Per la conservazione dei dati della registrazione delle metriche, il luogo della valutazione va fissato contrattualmente e tecnicamente. Esso si trova nel proprio data center, in un cloud svizzero o presso il fornitore di software.

Il luogo di valutazione determina anche quale ente fornisce i dati grezzi per la dichiarazione di licenza: la propria IT, un cloud svizzero o il fornitore di software.

Per la registrazione delle metriche sono determinanti la LPD svizzera e l'Ordinanza sulla protezione dei dati. L'Ordinanza sulla protezione dei dati è stata modificata al 15 settembre 2024; il Consiglio federale ha inserito il 14 agosto 2024 gli USA, nell'ambito del Swiss-U.S. Data Privacy Framework, nell'elenco dei paesi con un livello adeguato di protezione dei dati.

Per piattaforme come InvestGlass, la sede di hosting svizzera determina dove vengono generati i dati di utilizzo. L'UFIT gestisce le sue applicazioni specialistiche prevalentemente in data center propri.

I dati di licenza contengono regolarmente nomi utente e identificativi di dispositivo e sono quindi dati personali. Il luogo di valutazione va quindi fissato anche sotto il profilo della protezione dei dati.

Presso i fornitori di software svizzeri, il luogo di valutazione fa parte della verifica contrattuale e della protezione dei dati. La Swiss Government Cloud dovrebbe essere costruita presso l'UFIT; InvestGlass può essere ospitata in Svizzera.

Prove per il controllo interno e la verifica esterna

Un audit non chiede il numero attuale, ma la sua provenienza. Le prove portanti sono i dati grezzi dallo strumento di inventario con timestamp, la versione dello strumento, le regole di conteggio applicate, il confronto con il contratto, l'approvazione da parte della persona responsabile nonché una lista delle deviazioni con motivazione. Se la valutazione viene eseguita ricorrentemente, questa documentazione nasce come prodotto secondario, non come sforzo speciale.

La sicurezza si basa su meccanismi di controllo e sulle responsabilità della direzione aziendale secondo il Codice delle obbligazioni. Complementarmente possono essere utilizzati framework e norme di compliance riconosciuti.

Un procedimento costruito secondo i principi CMS riconosciuti non prova il quantitativo di licenze in sé. Prova che la rilevazione avviene in modo regolamentato, tracciabile e verificabile – esattamente ciò che richiedono controllo interno e verifica esterna.

Per SAP Sales and Service Core, la durata concordata da 12 a 60 mesi nonché gli add-on e le opzioni scelti appartengono alla fascicolo delle prove. Allo stesso modo il numero di utenti e il numero di admin user che erano alla base della richiesta di licenza. Un eventuale ramp-up è una leva generale del modello di licenza SAP.

Conservazione e tracciabilità appartengono alla prova: chi non può più ricostruire la valutazione di un trimestre, non può provare la dichiarazione di allora. Dati grezzi, regolamento e approvazioni vanno conservati oltre il termine fissato contrattualmente o internamente e collegati alla rispettiva dichiarazione di licenza.

Laddove una fornitrice non nomina una propria metrica, la risposta scritta della fornitrice o del partner appartiene al fascicolo delle prove. Così è dimostrabile su quale unità si basava il quantitativo dichiarato.

Sono richieste quattro prove: dati grezzi, regole di conteggio, approvazione e lista delle deviazioni. Esse vengono collegate alla dichiarazione di licenza e conservate per il termine stabilito.

Il fascicolo delle prove riporta per ogni applicazione quattro indicazioni: fornitore o partner, metrica contrattuale, durata e sede di hosting. Così è dimostrabile quale metrica stava alla base di quale quantitativo dichiarato.

Le condizioni contrattuali come durata, add-on e opzioni appartengono al fascicolo delle prove.

Presso i fornitori di software svizzeri e i loro partner, le indicazioni contrattuali appartengono al fascicolo delle prove. ADVANIS indica per SAP Sales and Service Core numero di utenti, numero di admin user, durata, add-on e opzioni. La metrica concordata contrattualmente va inclusa nel fascicolo delle prove.

Per InvestGlass, la sede di hosting svizzera fa parte della prova, poiché determina il luogo di conservazione dei dati.