Antwoorden op uw Top Twintig Vragen over een Oracle License Review of Oracle. e info: valdatum

Transcriptie

1 e info: um m valdatum. Antwoorden op uw Top Twintig Vragen over een Oracle License Review of Oracle

2 Contents 1. WAT IS EEN ORACLE AUDIT EN WAT IS HET VERSCHIL MET EEN ORACLE REVIEW? WAT IS ORACLE LICENSE MANAGEMENT SERVICES (LMS)? WAT GEBEURT ER TIJDENS EEN AUDIT VAN ORACLE? HOE VER VAN TEVOREN WAARSCHUWT ORACLE BIJ EEN AUDIT? HOE VAAK KRIJGEN WE TE MAKEN MET EEN AUDIT? WAAROM WORD IK GESELECTEERD VOOR EEN ORACLE LICENSE AUDIT? MOET IK ERGENS SPECIAAL OP LETTEN BIJ ORACLE-LICENTIES ALS IK MIJN IT HEB GEOUTSOURCET? WIE BETAALT DE KOSTEN VAN EEN AUDIT? WE WAREN ONS ER NIET VAN BEWUST DAT WE NIET COMPLIANT ZIJN. KAN ORACLE ZICH NIET SOEPELER OPSTELLEN? BEN IK VERPLICHT OM DE ORACLE LMS-SCRIPTS TE INSTALLEREN/GEBRUIKEN TIJDENS EEN AUDIT? ALS IK DE SCRIPTS ZELF DRAAI, KAN IK DAN ZELF OOK UITZOEKEN OF IK COMPLIANT BEN? WIJ MAKEN GEBRUIK VAN DOOR ORACLE GECERTIFICEERDE LEVERANCIERS. DUS ER KAN MIJ TIJDENS DE AUDIT NIKS GEBEUREN, TOCH? WELKE SOFTWAREPROGRAMMA S MAKEN NORMAAL ONDERDEEL UIT VAN DE OLA? ORACLE GAF ME EEN LIJST MET AL ONZE LICENTIES. ZIET ER GOED UIT. IS DE KOUS DAARMEE AF? WELKE FOUTEN KOMEN VAAK VOOR IN GEAUTOMATISEERDE SOFTWARE-INVENTARISATIES? WE HEBBEN EEN SCHIKKING GETROFFEN, MOET IK ME NOG ERGENS ANDERS ZORGEN OVER MAKEN? WELKE DATA-ELEMENTEN HEB IK NODIG VOOR EEN ORACLE AUDIT-INVENTARISATIE? ONZE MEDEWERKERS ZITTEN VERSPREID OVER DE WERELD OP VERSCHILLENDE LOCATIES. HOE KAN IK VOORKOMEN DAT ZE SOFTWARE ZONDER GELDIGE LICENTIE INSTALLEREN? WIJ BEGRIJPEN ALLE RISICO S EN HEBBEN BESLOTEN DE AUDIT ZELF UIT TE VOEREN. OP WELKE FOUTEN MOETEN WE VOORBEREID ZIJN, BIJ HET ONDERZOEKEN VAN ONS EIGEN SOFTWARELICENTIEGEBRUIK? WANNEER HEB JE EEN ORACLE-SOFTWARELICENTIE ECHT NODIG; ALS JE DE SOFTWARE INSTALLEERT OF ALS JE DE SOFTWARE GEBRUIKT? OVER INSIGHT Insight Moves Your Technology Goals Forward Bedrijfsprofiel OVER DE AUTEURS... 16

3 1. WAT IS EEN ORACLE AUDIT EN WAT IS HET VERSCHIL MET EEN ORACLE REVIEW? Wanneer u een Oracle-programma (software) installeert, als individu of als organisatie, gaat u akkoord met de voorwaarden van een licentieovereenkomst. In het verleden werd deze overeenkomst OLSA (Oracle License & Services Agreement) genoemd, maar tegenwoordig is dit de OMA (Oracle Master Agreement). Deze overeenkomsten geven aan onder welke voorwaarden u gebruik mag maken van de Oracle-software, maar geven Oracle ook toestemming om een audit uit te voeren. Oracle License Management Services (LMS) is de afdeling binnen Oracle die normaal gesproken de audits uitvoert in opdracht van Oracle Corporation. Dit doet LMS soms met steun van een aantal externe partijen (LMS-partners) die de audit uitvoeren in opdracht van Oracle LMS. Oracle LMS is de enige afdeling binnen Oracle welke gerechtigd is om licentie-audits uit te voeren bij eindgebruikers en partners. Echter, in sommige landen beginnen lokale Account Managers zelf de licentie-audit of -review, meestal door dit te verkopen aan de eindgebruiker als een licentieoptimalisatie of business review. Hierbij doen de Accountmanagers zelf een analyse, zonder verdere inhoudelijke (licentie-) kennis. Tijdens een audit wordt u verzocht om een Excel-overzicht (Oracle Server Worksheet of OSW) in te vullen met details van uw IT-infrastructuur. Daarnaast kan u worden gevraagd om scripts te draaien op uw Oracle servers of om verschillende commando s uit te voeren op de verschillende softwareprogramma's. Dit resulteert in een totaaloverzicht en logbestanden; u wordt vervolgens verzocht om deze bestanden naar Oracle te sturen voor analyse. Uiteindelijk worden de resultaten van de analyse geformaliseerd in een eind rapportage, waarmee Oracle de licentie compliance status binnen uw organisatie vaststelt. Als u erin toestemt om te betalen voor de benodigde software licenties om compliant te worden, betekent dat meestal het einde van het proces. Als u de aanvraag voor een licentie-review of -audit negeert, kan de zaak worden overgedragen aan de License Management Services-afdeling van Oracle (als het project aanvankelijk in gang werd gezet door salesvertegenwoordigers) of anders aan de juridische afdeling van Oracle. Niet meewerken aan een officiële Oracleaudit wordt beschouwd als een materiële schending van de licentieovereenkomst. Dit kan leiden tot juridische stappen van de kant van Oracle. Maar wat is het verschil tussen een Oracle Review en Oracle Audit? In essentie is er geen verschil. De License Management Services-afdeling van Oracle noemt het een Oracle License Review in plaats van een Oracle License Audit. Dit om aan te geven dat ze medewerking nodig hebben van de eindgebruiker en om het vriendelijker te laten klinken. Echter, een licentie-review betekent nog steeds een beoordeling of analyse van uw gebruik, om te verifiëren of u voldoet aan de licentievoorwaarden. Dit komt daarom neer op een audit van uw gebruik. Als gevolg van de gebruikte terminologie van License Review, zijn eindgebruikers vaak in verwarring of zich niet bewust van het feit dat een review eigenlijk een audit is. Daarnaast is dit de reden waarom een aankondigingsbrief voor een License Review meestal ook verwijst naar een specifieke clausule in uw overeenkomst; de audit-clausule.

4 2. WAT IS ORACLE LICENSE MANAGEMENT SERVICES (LMS)? Oracle License Management Services (LMS) is de afdeling binnen Oracle die belast is met de bescherming van contractuele en intellectuele eigendomsrechten van Oracle. Dit doet de afdeling door licentie-audits uit te voeren bij klanten en partners van Oracle. Oracle LMS is onderdeel van de financiële organisatie binnen Oracle, en is een wereldwijde organisatie met een paar honderd medewerkers en gevestigd in bijna elk land. LMS werkt nauw samen met de verschillende Salesorganisaties. Ondanks het feit dat er andere vertegenwoordigers van Oracle (bijvoorbeeld Oracle Account Managers of Compliance Optimisation License Sales-vertegenwoordigers) vergelijkbare review activiteiten uitvoeren is Oracle s License Management Services-afdeling de enige afdeling die officieel bevoegd is om licentie-audits uit te voeren in opdracht van Oracle Corporation. Meer informatie over de License Management Services-afdeling van Oracle is te vinden op: 3. WAT GEBEURT ER TIJDENS EEN AUDIT VAN ORACLE? De audit begint wanneer u een aankondigingsbrief krijgt waarin staat dat u bent geselecteerd voor een licentie-audit of licentie-review. De LMS-consultant die de audit uitvoert of de LMS-partner die is geselecteerd voor de audit is ook vermeld in de brief. In de regel geeft de brief aan welke rechtspersonen en welke Oracle-software producten zijn opgenomen in de scope van de audit. De brief wordt gericht aan de CIO en/of CFO van uw organisatie. Dit mede om ervoor te zorgen dat de audit de grootst mogelijke aandacht binnen uw organisatie krijgt en om te kunnen escaleren indien Oracle het idee heeft dat het bedrijf niet meewerkt aan de uitvoering van de audit. U wordt in de brief verzocht om een contactpersoon aan te wijzen binnen de organisatie. Deze persoon fungeert als auditcoördinator binnen het bedrijf. Deze persoon moet verschillende IT-medewerkers aanspreken om de gevraagde informatie te verstrekken. Aan het begin van de audit wordt een kick-off -bijeenkomst gepland, waarin de auditors het te volgen proces uitleggen. Een van hun doelen is om de tijdslijnen te bespreken en af te stemmen wanneer welke gegevens die opgevraagd worden door uw organisatie aan Oracle worden opgeleverd De voorgestelde methodiek omvat een Excel-template (Oracle Server Worksheet) welke u gevraagd wordt om in te vullen met alle details van uw ITinfrastructuur. Daarnaast zal de auditor meestal vragen om verschillende scripts te installeren en uit te voeren om de installatie en/of het gebruik van de verschillende software componenten vast te stellen.. Uw interne (en geoutsourcete) IT-medewerkers, database- en bedrijfsapplicatiebeheerder(s) zijn meestal de mensen die deze informatie moeten verstrekken. Zodra alle data is gedeeld met Oracle worden de gegevens geanalyseerd. Na de analyse wordt een aantal extra validatie- en/of additionele vragen gesteld. U wordt verzocht om al deze vragen te beantwoorden, net zolang totdat de totale inzet en het gebruik van de Oracle-software binnen uw organisatie helder is. De conclusies van deze analyse worden vervolgens bijeengebracht in een formeel rapport, met daarin uw huidige licentie compliance-status. Eindgebruikers zijn niet verplicht dit rapport te ondertekenen of goed te keuren; het is de formele aankondiging van alle vastgestelde schendingen van uw huidige licentieovereenkomst (indien van toepassing). Vervolgens wordt er meestal een andere bespreking gepland, waarin u uitleg krijgt over de bevindingen in het rapport. Het eindrapport wordt vervolgens overhandigd aan uw Sales account manager en wordt opgedragen om de vastgestelde issues binnen een termijn van dertig dagen commercieel op te lossen, conform de licentie overeenkomst Oracle s Compliance Policy.

5 4. HOE VER VAN TEVOREN WAARSCHUWT ORACLE BIJ EEN AUDIT? De voorwaarden van de standaard overeenkomst vermelden: Upon 45 days written notice, Oracle may audit your use of the software programs. Als eindgebruikers hun geïmplementeerde software goed, volledig en nauwkeurig hebben bijgehouden, zullen deze 45 dagen ruim voldoende zijn om op het audit-verzoek te reageren. Het is echter niet ongewoon dat de auditors van Oracle de audit sneller (eerder dan de 45 dagen) willen beginnen. Eindgebruikers hebben doorgaans geen volledig en nauwkeurig overzicht van de geïnstalleerde en daadwerkelijk in gebruik zijnde softwareprogramma s binnen hun organisatie. Als gevolg hiervan is de kennisgevingstermijn van 45 dagen meestal niet genoeg voor eindgebruikers om volledig voorbereid te zijn op de audit. Het is eenvoudigweg door de complexiteit onmogelijk voor een eindgebruiker om alle kennis en expertise in huis te hebben om te bepalen wat de uitkomst van de review of audit zal zijn. Een beperkt aantal eindgebruikers heeft geen audit-clausule in hun licentieovereenkomsten. Dit betekent echter niet dat een softwareleverancier als Oracle geen audit kan starten. Lokale (of Europese) wetgeving bieden softwareleveranciers bij wet het recht om te allen tijde te controleren of een eindgebruiker zich houdt aan de voorwaarden waaronder hij gebruik maakt van de software. Het ontbreken van een audit-clausule betekent dat de procedure om een dergelijke audit te starten (door aan een rechter te vragen om dit te formaliseren) alleen langer duurt als gevolg van het ontbreken van een contractuele basis. 5. HOE VAAK KRIJGEN WE TE MAKEN MET EEN AUDIT? Het is gangbaar dat elke eindgebruiker door Oracle LMS (of één van haar LMS-partners) gemiddeld eens in de drie tot vier jaar wordt ge-audit. Oracle past deze interval toe, omdat ook Oracle weet dat eindgebruikers doorgaans hun hardware om de drie tot vier jaar vervangen. Aangezien het aantal licenties voor Oracle-software voor een groot deel afhangt van de hardware waarop de programma s zijn geïnstalleerd (vooral voor database en MiddleWare software) is deze interval van drie tot vier jaar bepaald. Uiteraard kan Oracle zo n interval inkorten als het bedrijf verwacht dat een organisatie niet-compliant is of als de vorige audit beperkt was tot een deel van de software binnen een organisatie. Het interval is natuurlijk ook afhankelijk van de hoeveelheid auditors/ in een bepaald land en hun lokale werklast. 6. WAAROM WORD IK GESELECTEERD VOOR EEN ORACLE LICENSE AUDIT? Het gebruikelijke antwoord van auditors is dat u willekeurig bent geselecteerd. Er zijn echter twee verschillende kanalen, waarlangs eindgebruikers worden geselecteerd voor een licentie-audit van Oracle: de Sales organisatie van Oracle of de License Management Services-afdeling (LMS) van Oracle. Wanneer uw account manager van Oracle het vermoeden of aanwijzingen heeft dat u niet-compliant bent, kan hij of zij u voordragen voor een licentie-audit. De LMS-afdeling van Oracle beoordeelt vervolgens de financiële risico s (voor Oracle), waarna ze besluiten om wel of niet in te gaan op het verzoek om een audit uit te voeren. De LMSafdeling voert deze risicoanalyse zelf op regelmatige basis uit. Deze risicoanalyse omvat een aantal criteria waarop eindgebruikers worden beoordeeld met het oog op het risico van niet-naleven van de licentie voorwaarden en de geschatte financiële risico's voor Oracle Corporation. Criteria die zijn opgenomen in een dergelijke analyse zijn bijvoorbeeld de laatste aankoopdatum van Oracle-software. Aangezien een wijziging van hardware meestal om de drie tot vier jaar plaatsvindt en een verandering in hardware meestal een verandering in Oracle-softwarelicenties betekent, wijst het uitblijven van een nieuwe aanschaf van Oracle-licenties in een periode van 3 4 jaar meestal op het risico van niet-naleving. De datum waarop de laatste audit plaatsvond is een ander criterium. Logischerwijs betekent een recent uitgevoerde audit een lager compliance-risico en een audit die meer dan drie jaar geleden werd uitgevoerd een hoger compliance-risico. Oudere licentie vormen of metrics (bijvoorbeeld voor Named User, Concurrent Device en Universal Power Unit) worden al een aantal jaren niet meer verkocht door Oracle, omdat ze de huidige software-implementaties niet meer op een correcte wijze kunnen afdekken. Eindgebruikers met oude licenties lopen daarom een hoger risico van niet-naleving en komen dus eerder in aanmerking voor een audit.

6 Recente fusies, overnames en/of het afstoten van bedrijfsonderdelen, vereisen doorgaans eveneens een aanpassing van de softwarelicentieovereenkomst. Dit soort organisatorische veranderingen, resulteren vaak ook in een andere software-implementatie en vereisen daarom een aanpassing van de softwarelicentie-overeenkomsten. 7. MOET IK ERGENS SPECIAAL OP LETTEN BIJ ORACLE-LICENTIES ALS IK MIJN IT HEB GEOUTSOURCET? Ja. Allereerst omdat u, als eindgebruiker van de software, verantwoordelijk bent voor de correcte nalevering van de Oracle-voorwaarden; met inbegrip van de software die u uitbesteed of outsourced aan derden. Ten tweede omdat Oracle-softwarelicenties bijna altijd afhankelijk zijn van de hardware/servers waarop de Oracle-software geïnstalleerd staat. Wanneer een eindgebruiker besluit zijn IT aan derden uit te besteden, beslist de outsourcer meestal over het te gebruiken hardware-platform (virtualisatie-technologie en hardware) om de Oraclesoftwareprogramma's op te installeren. De Service Level Agreement (SLA) tussen de eindgebruiker en de outsourcers dekt KPI s, zoals performance, af. Om aan de prestatie-eisen te voldoen, moeten outsourcers meestal kiezen voor een grotere of flexibelere hardware-infrastructuur om aan de performance eisen te voldoen en de in gebreke -claims van de eindgebruiker te voorkomen. Maar door meer of grotere servers (qua capaciteit) en een flexibelere hardware-infrastructuur (bijvoorbeeld virtualisatie via VMWare) in te zetten, dient de eindgebruiker doorgaans meer Oracle-licenties aan te schaffen. Gebrek aan (interne) controles en transparante verslaglegging tussen de outsourcer en de eindgebruiker (die doorgaans niet in lijn zijn met de licentieovereenkomsten) resulteert vaak in (grote) compliance-problemen met enorme financiële risico's. En de eindgebruiker is en blijft eindverantwoordelijk richting Oracle. 8. WIE BETAALT DE KOSTEN VAN EEN AUDIT? Conform de voorwaarden van de licentieovereenkomst bent u zelf verantwoordelijk voor alle kosten die worden gemaakt in verband met de audit. Sommige leveranciers zeggen dat de kosten van de audit alleen voor uw rekening komen als uw organisatie vijf of tien procent meer gebruikt dan wat er is gelicenseerd. Bij Oracle is dit echter niet het geval. Oracle is verantwoordelijk voor haar eigen kosten. Echter, de tijd en geld die u moet besteden aan interne middelen en capaciteit (inkoop, IT-personeel) en/of de tijd en dus geld van uw outsourcers, om de door Oracle gevraagde gegevens op te leveren, zijn voor uw eigen rekening. In het geval dat u niet-compliant wordt bevonden voor de inzet en/of het gebruik van een van de Oracle-software, bent u verplicht om eventuele onkosten te betalen om alsnog het recht te verkrijgen om deze programma s te gebruiken. In zo n non-compliant-situatie zal Oracle u verwijzen naar haar Compliance Policy. Bij akkoord van de bevindingen moet u binnen dertig dagen de juiste licenties kopen en de gerelateerde onderhoudskosten betalen. Deze kosten worden meestal zonder extra korting in rekening gebracht. In het geval u een price-hold met Oracle bent overeengekomen (waarin standaard kortingsafspraken in zijn opgenomen) dan dienen deze reeds overeengekomen kortingen gehanteerd te worden. In het geval u bereid bent om extra licenties aan te schaffen voor Oracle programma s welke u eventueel naar de toekomst toe zou willen inzetten, kan het zo zijn dat Oracle een hogere korting aan u toekent. Afgezien van de licentie- en supportkosten die u moet betalen om compliant te zijn, brengt Oracle zogenaamde Back Support -kosten in rekening. Back Support -kosten zijn de supportkosten die Oracle misloopt voor de periode waarin een eindgebruiker zonder geldige licenties gebruik heeft gemaakt van softwareprogramma s. Ze worden berekend als 22 procent van de netto-licentieprijs naar rato teruggerekend tot de datum waarop is vastgesteld dat de eindgebruiker oneigenlijk gebruik maakte van de specifieke licenties.

7 Een voorbeeld: Wanneer een eindgebruiker twee Processor licenties heeft voor de Oracle Database Enterprise Edition en gebruik maakt van drie Processor licenties voor een periode van zes jaar, dan moet deze eindgebruiker de volgende kosten betalen: Bruto licentie prijs $ Bruto support prijs: $ Standaard korting: 10% Netto licentie prijs: $ Netto support prijs: $ Back Support (6 jaar): 6 jaar x $ = $ Totale kosten: $ $ $ = $ WE WAREN ONS ER NIET VAN BEWUST DAT WE NIET COMPLIANT ZIJN. KAN ORACLE ZICH NIET SOEPELER OPSTELLEN? Nee. Conform uw overeenkomst en de Compliance Policy van Oracle: als een eindgebruiker softwarelicenties koopt, dan is het haar verantwoordelijkheid om te zorgen dat het gebruik van de licenties in overeenstemming is met de voorwaarden van de licentieovereenkomst. Daarom is het de verantwoordelijkheid van de klant om ervoor te zorgen dat deze a) haar licentierechten begrijpt (inclusief het licentiebeleid, supportbeleid en softwaredocumentatie) en b) zich houdt aan de verkregen rechten en plichten. In geval een eindgebruiker niet-compliant is, is het belangrijk om een goede schikking met Oracle te treffen. Oracle is er uiteraard niet op uit om een klant te verliezen. Maar het bedrijf wil ook niet dat haar klanten illegaal gebruik maken van Oracle software. Of u betaalt, of als u het gevoel hebt dat Oracle zich enorm misrekend heeft bij de licentie-audit u neemt een advocaat in de arm of een adviseur met expertise op dit gebied.

8 10. BEN IK VERPLICHT OM DE ORACLE LMS-SCRIPTS TE INSTALLEREN/GEBRUIKEN TIJDENS EEN AUDIT? Nee. Zoals aangegeven in de audit-clausule van uw overeenkomst you agree to cooperate with Oracle s audit and provide reasonable assistance and access to information. Any such audit shall not unreasonably interfere with your normal business operations *. De clausule geeft dus niet specifiek aan dat u verplicht bent om de Oracle-scripts of die van een van zijn geverifieerde tool-leveranciers te installeren/implementeren. U bent alleen verplicht om toegang te geven tot alle relevante informatie. Als u in staat bent om de vereiste informatie volledig en accuraat op een andere manier te produceren, dan is dit ook voldoende. Eindgebruikers zijn echter meestal niet in staat om de informatie die de scripts van Oracle verzamelen, op een volledige en nauwkeurige manier te bieden. Als gevolg daarvan stappen ze vaak over op LMS-scripts. Indien een eindgebruiker zich zorgen maakt over de impact van de scripts op de performance van de (vaak bedrijf kritische) systemen waar deze scripts op uitgevoerd dienen te worden, zal Oracle u verzekeren dat dit minimaal is. Dat is ook de werkelijkheid. Oracle zal echter niet schriftelijk met u overeenkomen dat eventuele performanceproblemen (en de kosten die hiermee verband houden), door Oracle vergoed zullen worden omdat ze (potentieel) zijn veroorzaakt door het installeren/draaien van de scripts. Het installeren/draaien van de scripts is geheel voor eigen risico/kosten; Oracle neemt geen enkele verantwoordelijkheid voor het gebruik maken van deze scripts en vraagt derhalve aan u zelf om ze uit te voeren (en voert ze dus zelf niet uit). In het geval dat een eindgebruiker zich zorgen maakt over de vertrouwelijkheid van de gegevens die deze scripts verzamelen, kan Oracle voorstellen om deze gegevens te maskeren. Oracle zal u echter te allen tijde (proberen) te overtuigen om zijn standaard (ongewijzigde) scripts te gebruiken, zodat haar technische-analyseteam de data automatisch kan laden en analyseren in haar databasesystemen om zo op deze wijze het gebruik van Oraclesoftwareprogramma s zo efficiënt mogelijk te bepalen. 11. ALS IK DE SCRIPTS ZELF DRAAI, KAN IK DAN ZELF OOK UITZOEKEN OF IK COMPLIANT BEN? Nee, de scripts verzamelen ruwe informatie over de geïnstalleerde en/of in gebruik genomen Oracle software programma s. De output van deze scripts vereist specialistische kennis van Oracle of een gespecialiseerd bedrijf om deze gegevens te analyseren en te vergelijken met de bestaande contracten om zo te bepalen of u wel of niet voldoet aan de licentie voorwaarden. Bovendien is er niet één, maar zijn er meerdere scripts nodig om specifieke installatie en gebruiksgegevens van de verschillende Oracle programma s te verzamelen. De Oracle Database vereist bijvoorbeeld het uitvoeren van query s op de Oracle Database zelf en op de hardware waarop de software staat geïnstalleerd. De Oracle WebLogic-programma's vereisen andere scripts om te bepalen of specifieke software componenten op een server zijn geïnstalleerd; Oracle Siebel vereist weer andere scripts, evenals Oracle E-Business Suite, etc.

9 12. WIJ MAKEN GEBRUIK VAN DOOR ORACLE GECERTIFICEERDE LEVERANCIERS. DUS ER KAN MIJ TIJDENS DE AUDIT NIKS GEBEUREN, TOCH? De License Management Services-afdeling van Oracle heeft een aantal toolleveranciers geverifieerd (niet gecertificeerd!) waaronder BDNA, Easyteam, Flexera Software, Hewlett-Packard, iquate, Lime Software en Nova Ratio. De beslissing van Oracle LMS om deze leveranciers te controleren is eigenlijk heel slim geweest; immers in het geval dat en eindgebruiker te maken krijgt met een Oracle-audit en een van deze tools heeft geïmplementeerd kan de eindgebruiker tijdens het auditproces zich niet verbergen achter het feit dat het gegevensverzamelingsproces zoveel tijd en energie vergt, omdat de tool al is geïmplementeerd in uw infrastructuur! Eindgebruikers denken (of veronderstellen) vaak dat zij de volledige controle hebben over hun Oracle-software, omdat zij een dergelijke geverifieerde tool hebben geïmplementeerd. Ze vergeten echter of weten het niet - of hebben de tools zelf niet in detail gevalideerd dat dergelijke tools alleen ruwe data verzamelen voor de Oracle Database en de bijbehorende Database Opties, zoals de zogenaamde Review Lite scripts van Oracle LMS ook doen. De verzameling van ruwe softwaredata voor alle overige (duizenden) andere Oracle-programma s blijft onaangeraakt door dergelijke tools. Daarnaast is de hardware data welke door de geverifieerde tools worden opgeleverd niet door Oracle LMS gevalideerd. Bij een audit vereist LMS immers dan ook nog steeds dat je Oracle s zogenaamde CPU-query s uitvoert om de benodigde hardwareinformatie te verzamelen. Ruwe data of de ruwe meetgegevens, zoals verzameld door de Oracle LMS-scripts (of een van de externe toolleveranciers), vertellen niet wat je nodig hebt voor een licentie. Een analyse en nog belangrijker: de juiste interpretatie van de ruwe meetgegevens is nog steeds te allen tijde nodig om een volledig en accuraat inzicht te krijgen in het te licenseren software gebruik. Dit vereist specialistische kennis die moet worden onderhouden. Daarom vereist Oracle LMS dan ook dat de ruwe meetgegevens die door middel van een dergelijke geverifieerde tool zijn verzameld, tijdens een met Oracle wordt gedeeld om het daadwerkelijke gebruik en de daaraan gerelateerde software licenties die benodigd zijn om dit gebruik af te dekken, te analyseren. Alleen na de uitvoering van een dergelijke analyse door een licentie expert, krijgt u een duidelijk inzicht in de werkelijke licentiebehoeften. U moet de door Oracle geverifieerde tools eigenlijk zien als uw ERP-systeem. Elke ERP-systeem heeft een Tax Report-functionaliteit. Zo'n geautomatiseerd rapport is geweldig, omdat het u een hoop tijd en energie bespaart om de cijfers zelf te verzamelen. Maar stuurt u de data uit uw ERP-systeem gewoon 1 op 1 door naar de Belastingdienst, of laat u uw accountant of belastingconsulent met zijn kennis eerst nog de cijfers controleren voordat u dit rapport naar de Belastingdienst stuurt?

10 13. WELKE SOFTWAREPROGRAMMA S MAKEN NORMAAL ONDERDEEL UIT VAN DE OLA? Oracle s productportfolio omvat een groot aantal verschillende softwareprogramma's. Dit komt ook door het grote aantal overnames van de afgelopen jaren (bijvoorbeeld BEA Systems, Siebel Systems, PeopleSoft en JD Edwards). Elk van deze softwareprogramma's, die eigendom zijn van Oracle Corporation, kunnen worden onderworpen aan een Oracle-licentie-audit. Uiteraard vooral als ze een hoog (financieel) risico vormen voor niet-naleving. De Oracleprogramma's waarop het auditteam zich doorgaans richt, zijn Oracle Database (inclusief Database Options en Database Enterprise Managers), Oracle Application Server, WebLogic en Tuxedo (ofwel gekocht in het verleden door BEA of na de overname door Oracle), SOA, E- Business Suite, Siebel en JD Edwards. In bepaalde landen/divisies, zoals de VS, wordt ook nog gefocust op Agile-/AutoVue-programma s en in EMEA wordt extra aandacht geschonken aan Primavera-programma s gezien het grote aantal klanten in die divisies. 14. ORACLE GAF ME EEN LIJST MET AL ONZE LICENTIES. ZIET ER GOED UIT. IS DE KOUS DAARMEE AF? Het zou verleidelijk zijn om de validatie van uw huidige licenties op dit punt te beëindigen. Vaak mede door de tijdsdruk en de inspanningen die het kost om de door Oracle geleverde lijst zelf te valideren. U neemt wellicht aan dat een organisatie als Oracle in staat moet zijn om u te voorzien van een volledig en nauwkeurig overzicht van uw licenties. Desalniettemin: het zou zo maar kunnen zijn dat u te veel betaalt als u de validatie zelf niet voltooit. Waarom? In veel gevallen waarin we een analyse hebben uitgevoerd van de lijst die Oracle heeft aangeleverd ten opzichte van de eigenlijke overeenkomsten, signaleerden we veel verschillen. Enkele voorbeelden: licentiegegevens worden soms niet correct geregistreerd in de interne systemen van Oracle (dit o.a. door de vele overnames), de huidige (en niet de contractuele) licentiedefinities worden toegepast en de auditors houden geen rekening met producten/componenten die onderdeel zijn van een bepaalde licentie(bundel). De identificatie van dergelijke verschillende dienen tijdens het validatieproces te worden gedocumenteerd en te worden afgehandeld tijdens het auditproces zelf. Het is daarom belangrijk om te allen tijde het volgende te verzamelen: alle Ordering Documents, License Agreements (oftewel Software License & Services Agreements (SLSA's), Oracle License & Service Agreement (OLSA) of Oracle Master Agreements (OMA)), Support Maintenance Renewals, Partner Ordering Forms, Partner Agreements en de bijbehorende documentatie bij het programma (die overigens deel uitmaakt van de licentieovereenkomst) en alle andere papieren (bijvoorbeeld facturen, PO s, commerciële voorstellen/ s uit het verleden) die inzicht geven in de verkregen licentie- en supportrechten.

11 15. WELKE FOUTEN KOMEN VAAK VOOR IN GEAUTOMATISEERDE SOFTWARE- INVENTARISATIES? Software Asset Management (SAM) kan het juiste instrument zijn om mee te beginnen, maar er is altijd extra inspanning nodig om nauwkeurige en uitgebreide informatie over gebruik te verkrijgen. De meeste inventarisatietools zijn niet in staat om het aantal individuen te tellen welke geautoriseerd zijn om gebruik te maken van de software in een zogenaamde multiplexing omgeving en ze zijn niet in staat om gebruikers te dedupliceren of (zonder specifieke, deskundige kennis) duidelijkheid te verschaffen of bepaalde geïnstalleerde softwareprogramma's inderdaad in gebruik zijn en aparte licenties vereisen. Een goede vergelijking van de producten/onderdelen waarvoor een organisatie Oracle-licenties heeft vs. de werkelijk geïnstalleerde en/of gebruikte producten/componenten is bijna onmogelijk te maken met een van de huidige beschikbare SAM-inventarisatietools. Laten we bijvoorbeeld eens kijken naar een eindgebruiker die Oracle Application Server Enterprise Edition gebruikt. Een software-inventarisatie/-scanprogramma zou bij zo'n eindgebruiker de installatie van een Oracle Application Server vinden, maar ook van een Oracle Database. Aangezien de scan beide programma's vindt, betekent dat deze tools dit vertalen als een feit dat je voor beide programma s een afzonderlijke licentie nodig hebt. Licenties voor de Oracle Application Server Enterprise Edition omvatten echter in zichzelf het beperkte gebruiksrecht om gebruik te maken van de Oracle Database (beperkt tot het opslaan van de infrastructuur-/configuratiegegevens ). Door dit hiaat in de software-inventarisatie-/scantool en het gebrek aan deze specifieke expertise, hebben veel bedrijven twee licenties voor softwareproducten gekocht, zonder dat zij zich er van bewust zijn dat zij het recht al hadden verkregen om dit specifieke product in te zetten op basis van hun bestaande Oracle Application Server Enterprise Edition licentie. 16. WE HEBBEN EEN SCHIKKING GETROFFEN, MOET IK ME NOG ERGENS ANDERS ZORGEN OVER MAKEN? Bij een commerciële schikking voor geïdentificeerde Oracle compliance-problemen is het belangrijk om een schriftelijke bevestiging ( Close Letter ) van Oracle License Management Services te ontvangen. Deze brief moet bevestigen dat Oracle uw organisatie vrijstelt en vrijspreekt van alle verplichtingen, schulden, aansprakelijkheid, vorderingen, geschilpunten, beloften, boetes, rente, honoraria van advocaten, en alle schade van allerlei aard en karakter (met inbegrip van, maar niet beperkt tot, licentiekosten, onderhoudskosten, sancties op inbreuk, ontstane gevolgschade en aansprakelijkheid; bekend of onbekend, uitgeoefend of niet-uitgeoefend) die voortvloeien uit de gesignaleerde compliance-problemen. Als de zaak voor de rechter komt, zal het waarschijnlijk openbaar worden gemaakt en de negatieve publiciteit kan schadelijker zijn dan het strafbare feit of de boetes.

12 17. WELKE DATA-ELEMENTEN HEB IK NODIG VOOR EEN ORACLE AUDIT- INVENTARISATIE? Dat is volledig afhankelijk van de voorwaarden van uw licentieovereenkomst(en). Een gedetailleerde analyse van - en inzicht in - uw contracten moet dan ook bovenaan uw lijstje staan. De informatie over de software-installatie en het softwaregebruik zijn echter onder te verdelen in vijf verschillende groepen tijdens de uitvoering van een Oracle Licentie Audit: 1) Hardware-inventarisatie a. Hardware-specificaties (servermodel, aantal CPU s, aantal Cores per CPU, CPU-type etc.) b. Gebruikte virtualisatie-technologieën (VMware, LPAR, Sun Solaris Containers etc) c. Virtualisatie-configuratie (VMWare-cluster, Capped/Uncapped LPAR s etc.) d. Gerelateerde DR-servers (failover clustering, databasesynchronisatie, SAN-mirroring etc.) 2) Software-inventarisatie a. Installatie folders, die een indicatie geven dat een bepaald software programma is geïnstalleerd b. Executables die een indicatie geven dat een bepaald software programma is geïnstalleerd c. Actieve processen, die een indicatie geven dat een bepaald software programma is geïnstalleerd d. Actieve poorten die een indicatie geven dat een bepaald software programma is geïnstalleerd. 3) Softwareconfiguratie a. Specifieke software versies die zijn geïnstalleerd (standaard editie, enterprise-editie etc.) b. Specifieke database componenten die zijn geïnstalleerd en/of gebruikt (bijvoorbeeld DB Option, DB Packs) c. Specifieke MiddleWare-componenten die zijn geconfigureerd (bijvoorbeeld Coherence, WebLogic-clustering) 4) Softwaregebruik a. Welke individuen zijn geautoriseerd om gebruik te maken van de software? b. Welke niet door mensen bediende apparaten zijn geautoriseerd om gebruik te maken van de software? c. Wat is het multiplexing front-end van de software? d. Welke applicatiesoftware wordt gebruikt samen met welke MiddleWare-software? En welke MiddleWare-software wordt gebruikt samen met de database software? 5) Non System Data a. Welke rechtspersonen maken gebruik van de softwareprogramma s? b. Welke bedrijfsonderdelen maken gebruik van de software? c. Wat is de geografische locatie van de geïnstalleerde software? d. Wordt de software ingezet voor bedrijfsdoeleinden van derden (hosting)?

13 18. ONZE MEDEWERKERS ZITTEN VERSPREID OVER DE WERELD OP VERSCHILLENDE LOCATIES. HOE KAN IK VOORKOMEN DAT ZE SOFTWARE ZONDER GELDIGE LICENTIE INSTALLEREN? De meeste gebruikers vertrouwen op hun IT afdeling of tooling om de compliance positie van hun softwarelicenties op orde te houden en/of te brengen. Maar wat gebruikers misschien niet kennen (of waar ze zich niet aan kunnen houden), zijn de rechten voor apparaten die niet onder de IT-afdeling vallen. Denk bijvoorbeeld aan onderaannemers en/of agenten die binnen uw organisatie en namens uw organisatie werken. Of de mensen van het outsourcing-bedrijf dat uw IT onderhoudt. Weten zij allemaal welke softwareprogramma s ze mogen installeren en/of gebruiken? Oracle-software heeft geen technische beperkingen (zoals softwarelicentie keys) en is eenvoudig te downloaden en te gebruiken. Hoe weten deze mensen wat ze wel en niet kunnen doen? Een belangrijk en vaak vergeten aspect van SAM is om uw medewerkers en softwaregebruikers juist te informeren, zodat de regels duidelijk zijn. Het informeren van medewerkers moet een continu proces zijn binnen uw bedrijf, om te garanderen dat uw medewerkers geen kostbare of pijnlijke licentieproblemen veroorzaken tussen uw bedrijf en Oracle. 19. WIJ BEGRIJPEN ALLE RISICO S EN HEBBEN BESLOTEN DE AUDIT ZELF UIT TE VOEREN. OP WELKE FOUTEN MOETEN WE VOORBEREID ZIJN, BIJ HET ONDERZOEKEN VAN ONS EIGEN SOFTWARELICENTIEGEBRUIK? Vanuit onze ervaring met wereldwijde klanten, zijn er ongeveer vijftig tot zestig punten die tijdens een audit vaak onnauwkeurig worden gerapporteerd. We noemen hiervan een aantal: Het niet erkennen van historisch verkregen rechten (producten die drie tot negen jaar geleden zijn gekocht). welke nog in te zetten zijn om eventuele hiaten in de huidige licenties (deels) op te vangen. Onjuiste toepassing van verkeerde licentiecriteria (vaak de licentiecriteria waaronder Oracle zijn licenties tegenwoordig verkoopt), in plaats van de contractuele definities en condities van de licenties en de bijbehorende contractueel overeengekomen voorwaarden. Licenties van overgenomen of gefuseerde bedrijven, welke nog in te zetten om de huidige licentiehiaten (deels) op te vangen. Onvolledig en/of onjuist inzicht in welke producten/componenten onderdeel uitmaken van bepaalde specifieke Oracle-licenties die in te zetten zijn om de huidige licentiehiaten (deels) op te vangen. De beperkte gebruiksrechten van Oracle Database Enterprise Edition zijn bijvoorbeeld onderdeel van de Oracle Internet Application Server Enterprise Edition-licenties en de Oracle Coherence-gebruiksrechten van de Oracle Web Logic Suite-licentie. Onvolledig en/of gebrek aan inzicht in de datastromen van en/of naar de Oracle-software om de multiplexing frontend te begrijpen of het niet goed begrijpen van wat Oracle bedoelt met het feit dat gebruikers aan het multiplexing front-end gemeten dienen te worden. Onjuiste berekening van het vereiste aantal licenties voor gevirtualiseerde omgevingen, (bijvoorbeeld IBM LPAR, VMWare vsphere, Sun Solaris Capped Containers, Oracle VM etc.). Het op een onjuiste manier incorrect (of volledig niet) licenseren van disaster recovery-omgevingen. Het niet voldoen aan het minimaal vereiste aantal licenties per processor voor alle servers waarop de Oracleprogramma s staan geïnstalleerd en/of draaien, met inbegrip van test-, ontwikkelings- en acceptatie-omgevingen. Onvolledig en/of onjuist inzicht in de geïnstalleerde en/of gebruikte componenten en/of functies en/of modules (bijvoorbeeld Database Options en/of Database Enterprise Managers, Human Resources, Financials etc.) Het verkeerd tellen van het aantal gebruikers door het ontbreken van de-duplicatie van gebruikersnamen, met inbegrip van systeem gebruikers en/of inactieve gebruikersnamen die binnen de software aanwezig zijn.

14 20. WANNEER HEB JE EEN ORACLE-SOFTWARELICENTIE ECHT NODIG; ALS JE DE SOFTWARE INSTALLEERT OF ALS JE DE SOFTWARE GEBRUIKT? In alle licentie metric definities van Oracle staat dat de Oracle-software gelicenseerd dient te worden, zodra deze geïnstalleerd is en/of draait (Installed and/or running). Dit betekent dus dat de software te allen tijde gelicenseerd dient te worden zodra het geïnstalleerd is, ongeacht het feit of de software nu daadwerkelijk actief gebruikt wordt. (Failover-omgevingen uitgezonderd). Zijn er dan geen uitzonderingen? Ja, er is een uitzonderingsregel gerelateerd aan de installatie en het gebruik van Database Enterprise Edition Options en/of Database Enterprise Managers. Waarom? Oracle Database Enterprise Edition wordt geleverd met verschillende Database Options en Database Packs (of de Database Options en Packs worden tegelijkertijd met het Database Enterprise Edition-programma gedownload als u de Database Enterprise Edition downloadt). Eindgebruikers hebben geen keus dan deze Database Enterprise Edition Options en Packs automatisch mee te installeren. Als deze Database Enterprise Edition Options en Packs tijdens een licentie-audit worden aangetroffen als zijnde geïnstalleerd maar niet in gebruikt, krijgen eindgebruikers meestal de mogelijkheid om een Certification of Non Use brief te ondertekenen. Met zo n brief (die normaal gesproken door Oracle dient te worden aangeboden) garandeert de eindgebruiker dat hij geen actief gebruik heeft gemaakt van de Database Options en/of Database Packs en dat hij ook geen actief gebruik gaat maken van de Database Options en/of Database Management Packs, tenzij hij de vereiste licenties voor zulk gebruik aanschaft worden.

15 OVER INSIGHT Insight Moves Your Technology Goals Forward Insight is de Trusted IT advisor van organisaties wereldwijd. Met een team van ruim vijfduizend gedreven medewerkers biedt Insight haar klanten een unieke combinatie van technische expertise, een veelheid aan hardware, software en geavanceerde IT-diensten. Insight levert totaaloplossingen op het gebied van licentie management, Unified Communications & Collaboration, mobility, netwerk en security, virtualisatie en cloud. Daarbij is het volledige traject van initiële planning tot daadwerkelijke implementatie volledig afgedekt. Insight helpt zo haar klanten in te spelen op de kansen die IT biedt. Insight is genoteerd in de Fortune 500 en boekte in 2013 een omzet van ruim vijf miljard dollar. Bedrijfsprofiel Wereldwijde aanbieder van informatietechnologie (IT); hardware, software en diensten aan bedrijven en overheidsorganisaties. Opgericht in 1988, het hoofdkantoor staat in Tempe, Arizona. Netto omzet in 2012: 5,3 miljard dollar. Ongeveer medewerkers wereldwijd. Actief in 22 landen, het bedrijf bedient klanten in 180 landen over de hele wereld. Zakelijke transacties in vijftien talen en veertien valuta. Breed aanbod van hardware- en softwareproducten, met toegang tot een virtuele voorraad van meer dan drie miljard dollar, efficiënte supply chain-uitvoering en schaalbare e-commerce-mogelijkheden. Meer dan product- en sectorcertificeringen. Partnerschappen met producenten en uitgevers en meer dan klanten in commerciële en publieke sectoren wereldwijd. Wereldwijde software-reseller met uitgebreide licentiebeheerdiensten. Lifecyclesupport voor software voor tachtig procent van de wereldwijde Fortune 500-bedrijven. Nummer 470 op de Fortune 500-lijst van 2013.

16 OVER DE AUTEURS JOOST BAKKER Joost trad in augustus 2008 in dienst bij Trusted Advisor Insight als Global Account Manager. Na drie jaar keerde hij terug naar zijn roots; Oracle-licenties. Hij werkte namelijk zes jaar lang voor Oracle, voor hij de overstap naar Insight maakte. Joost zet zijn kennis van Oracle License Management Services (LMS) in om klanten bewust te maken, ze voor te bereiden en ze in staat te stellen de uitdaging aan te gaan met betrekking tot goed software licentiebeheer waaronder de optimalisatie van de Oracle software. Joost begon in november 2002 als Oracle Licensing Consultant, waarna hij voor een periode van 2,5 jaar Beneluxmanager werd. Daarna was Joost betrokken bij het Strategic Accounts-team voor LMS in EMEA, waar hij de belangrijke internationale accounts voor Oracle in EMEA beheerde. Joost is afgestudeerd als bedrijfskundig ingenieur met specialisatie Informatica aan de Hogeschool Enschede. RICHARD SPITHOVEN Richard stapte als partner over naar b.lay het licentiebeheerbedrijf op 1 september Richard zet zijn kennis in, die hij de laatste 8,5 jaar heeft verworven op het gebied van Oracle License Management Services (LMS), om klanten bewust te maken, toe te rusten en ze in staat te stellen de uitdagingen aan te gaan op het gebied van goed softwarelicentiebeheer. Richard begon in oktober 2005 als Oracle Licensing Consultant, waarna hij 4,5 jaar lang Regional LMS-directeur werd voor Zuid-Europa (België, Nederland, Luxemburg, Frankrijk, Spanje, Italië en Portugal). In deze functie had Richard een team van veertig licentieconsultants onder zich en was hij verantwoordelijk voor de strategische richting van de LMS-organisatie. Richard heeft een master in IT, behaald aan de Universiteit van Amsterdam.

17