Metodologia audytu

     Głównym problemem w tym temacie jest to, że w Polsce nie zostały wydane do tej pory tego rodzaju opracowania. Wszystkie firmy zajmujące się audytem legalności oprogramowania w Polsce przyjęły własne sposoby realizacji jego celów. Trudno tu opisywać poszczególne firmy niemniej jednak można przedstawić ogólny zarys metodologiczny, jaki powinien obowiązywać. Na początek zaznaczyć należy, iż powinny pojawić się tutaj główne etapy typu; przygotowanie, inwentaryzacja, skanowanie, raportowanie i certyfikacja.

Procedura każdego etapu powinna wyglądać następująco:

Przygotowanie do audytu

• pozyskanie informacji odnośnie systemu informatycznego oraz działalności  przedsiębiorstwa.
• ustalenie wstępnego terminu działań
• omówienie zakresu współpracy audytorów z osobami odpowiedzialnymi w firmie za dział IT.

Inwentaryzacja licencji i dokumentów

• odszukanie i zestawienie wszelkich znajdujących się w firmie licencji, nośników i dowodów zakupów.
• odszukanie wszelkich kopii na płytach nagrywalnych oraz wyeliminowanie wszystkich zawierających nielegalne kopie oprogramowania

Skanowanie komputerów

• Skanowanie komputerów przeprowadza się generalnie przy użyciu narzędzi audytowych

Raportowanie
Powstający w wyniku wcześniejszych działań raport powinien zawierać:

• pełen wykaz licencji na programy, które firma już posiada,
• listę komputerów audytowanych oraz ich umiejscowienie,
• listę wszelkich aplikacji komercyjnych i użytkowych w odniesieniu do poszczególnych komputerów,
• wykaz oprogramowania nielegalnego, które należy usunąć lub zalegalizować.
• zalecenia szczegółowe
• specyfikację sprzętową jednostek audytowanych

Legalizacja firmy i Certyfikacja

     Audyt i powstający w jego wyniku raport są jedynie weryfikatorami stanu legalności firmy, nie oznaczają natomiast jej pełnej legalności. Po otrzymaniu raportu firma audytowana otrzymuje określony czas na uporządkowanie wszelkich nieścisłości. Po upłynięciu tego czasu następuje kolejna weryfikacja audytowa, obejmująca losowo wybrane jednostki, której celem jest wyłącznie stwierdzenie, czy firma zastosowała się do zaleceń raportowych. Dopiero ten element staje się momentem wyjściowym do udzielenia firmie certyfikatu legalności oprogramowania