Oracle-Audit abwehren: die ersten Schritte nach dem Brief

Erst einordnen: echtes Audit oder nur eine Anfrage

Zuerst gilt es zu klären, worum es sich überhaupt handelt. Ein förmliches Audit-Ankündigungsschreiben, das sich auf die vertragliche Auditklausel beruft (sogenanntes Hard-Audit), ist rechtlich etwas anderes als eine formlose Anfrage, etwa ein vertrieblich motivierter „Soft Audit“ ohne vertragliche Grundlage. Im ersten Fall greifen die Auditklausel und ihre Bedingungen. Im zweiten ist abzuwägen, ob und wie überhaupt reagiert werden muss. Hersteller-Policies auf Webseiten geben die Sicht des Anbieters wieder, werden aber nicht automatisch Vertragsbestandteil. Reflexartig zu antworten ist der falsche Weg.

Reihen schließen: das Team informieren

Der zweite Schritt ist interne Abstimmung. Das ganze Team muss früh informiert sein, damit keine Aussagen nach außen dringen, die später schwer zurückzuholen sind. Auditoren gehen gern direkt auf einzelne Administratoren und DBAs zu, vorbei am Lizenzmanager, um Auskünfte zu erhalten, die sich hinterher kaum widerrufen lassen. Eine beiläufige E-Mail über die tatsächliche Nutzung kann eine Verhandlung vorwegnehmen. Es braucht einen abgestimmten Ansprechpartner und keine Nebenkanäle.

Die eigene Position klären: Vertrag und Auditklausel

Der dritte Schritt ist der wichtigste. Wer die Aufforderung erhält, liest zuerst den eigenen Vertrag. Wo steht das Unternehmen rechtlich? Wozu hat es sich verpflichtet? Ist die Auditklausel überhaupt gültig, und was deckt sie ab? Manchmal ist eine weitere Beschäftigung mit dem Prozess gar nicht nötig. Ausschlaggebend ist, was rechtswirksam unterschrieben wurde, nicht was eine Policy behauptet.

„Bei einem Audit geht es im Kern immer um dieselbe Frage. Was wurde rechtswirksam unterschrieben? Erst wenn die vertragliche Grundlage und die Gültigkeit der Auditklausel geklärt sind, entscheidet sich, ob und in welchem Umfang ein Unternehmen überhaupt mitwirken muss“, sagt Sören Reimers, Rechtsanwalt und Geschäftsführer der ProLicense GmbH.

Musterschreiben aus der Lighthouse Alliance

Für die erste Antwort gibt es Vorlagen. Die Lighthouse Alliance, eine 2016 von ProLicense initiierte, herstellerunabhängige Kunden-Allianz gegen Software-Audits mit mehr als 40 Mitgliedsunternehmen, darunter DAX-Konzerne, bündelt die Audit-Erfahrung ihrer Mitglieder in Playbooks, Musterverträgen und Muster-Antwortschreiben. Für ein eingehendes Audit-Schreiben liegen Muster-Antwortschreiben je Strategie bereit, die ein Unternehmen auf seinen konkreten Fall anpasst. Sie bestätigen den Eingang, ohne etwas zuzugestehen, fragen die vertragliche Grundlage ab und bringen den Ablauf auf die Bedingungen des Kunden. Das schafft Zeit und hält die Kontrolle im Haus.

„Vom Erhalt des Audit-Letters bis zum Abschluss finden unsere Mitglieder fertige Muster-Antwortschreiben in der Datenbank. Niemand muss die erste Reaktion allein formulieren. Genau diese ersten Schreiben entscheiden oft, ob ein Audit eskaliert oder kontrolliert bleibt“, sagt Markus Oberg, Partner der ProLicense GmbH und Chairman der Lighthouse Alliance.

ProLicense begleitet Unternehmen vom ersten Audit-Brief an. Wer eine Aufforderung erhält, meldet sich am besten sofort und erhält eine erste Einschätzung, was Oracle tatsächlich will und wie belastbar die Forderung ist. Viele Unternehmen können so ihr Oracle-Audit abwehren, andere ein Audit auf ein deutlich niedrigeres Maß herunterhandeln. Ziel bleibt in jedem Fall dasselbe: minimale Kosten bei voller Compliance. Erreichbar ist das Team unter +49 (0) 40-228 6828-0.