手順自体は、一般的なISOよりもむしろ簡単だ。端的に言えば、管理システムを構築し、PDCAを回していくということなのである。手順を簡単にまとめた下図を参照しつつ、読み進めてもらいたい。

SAMSの手順

　まず第1に目標を定め、規程や体制を構築する。目標とは、管理目的をどのレベルで達成するか？　ということである。もちろん、ライセンスが「足りない」という状態は論外である。「ライセンスに不足がない」ということは前提として、たとえば、過剰ライセンスは何％以内に抑えるとか、非稼働PC は何％以内にするというような目標となる値を定めるのである。

　次に現状を把握する。最初に目標を定めたことで、どういう管理手法・管理体制にすれば良いかが明確になり、規程の詳細、たとえば、現状把握の回数とその方法とか、管理台帳の更新頻度、部門管理か全体管理か、といったことを決めていくことができる。

　次に、現状と目標との差分を明確にする。その差分が目標の範囲内に収まっていない場合には、再度目標設定に戻り、管理規程や体制の見直しを行う。というのも、最初に現状把握をすると、調査項目が足りないとか、収集情報の正否が判断できないといった事象が起こるからだ。再調査となると手間もコストもかかるので、この手順で実施する。

　そして最後にSAMSの運用を開始し、規程に従って運用状況を定期的にチェック、有効性を確認する。その結果を踏まえ、SAMSをアップデートしていく。


　SAMSは基本的には前述した手順で進めていくのだが、その際に注意すべき点をいくつか補足説明しておきたい。

・管理体制と管理規程

　目標を定める際に、部門管理とするのか、全体管理とするのかを明確にしたほうがよいだろう。ただし、部門管理の場合にも部門管理者とは別に、全体を統制する全体管理責任者を任命することをおすすめする。全体の把握がされていなければ、対外的なSAM の証明は不可能に近いからだ。

　次に規程だが、これは第三者による管理基準や評価規準を参考にするとよい。ソフトウェア資産管理コンソーシアムのサイトを参考にしてもらいたい。なお、ISO/IEC19770-1 の中には、「SAM プロセス」として、管理プロセスが記載されている。対訳版が日本規格協会から出ているので、これも参考にするとよいだろう。

・現状把握

　「何」を対象に含めるのか、また「誰」が現状把握を実施するのかが重要である。PCやサーバーだけでなく、たとえば周辺機器をどうするかという問題（ 使用許諾権を証明するための物件として何が必要かということ）によって、調査項目も変わる。

　次にその調査は誰が行うのか、ということも考えておく必要がある。一般ユーザー、監査部門、管理責任部門、外部委託業者など、ソフトウェア資産管理を行えそうな人々は意外と多い。とはいえ、筆者のこれまでの経験では、一般ユーザーに調査をさせている企業で、正確に現状を把握できているところはほとんどない。一般ユーザーがSAM の知識を持って調査することは不可能だからである。

　では、監査部門はどうだろうか？　これも、SAMの知識が十分にあるとは言えず、難しい。そうすると、あとは、管理責任部門か外部委託業者ということになる。筆者がもともとIT資産管理サービスを提供していたからというわけではないが、このような人手を必要とする業務は、外部委託業者を使うことが望ましいと考える。自社で行うよりも早く、確実に調査を完了できるからだ。調査期間も重要だ。長くても1か月以内に全調査を完了させた方が良い。これは、対象物の異動を最小限に抑え、調査データの陳腐化を防ぐためである。

・インベントリーツール（資産管理ソフトウェア）

　SAMSを回すためには、ツールの導入は必須だ。ただし、ツールの導入＝SAMSの構築となるわけではない。多くの企業がツールを導入しているが、実際には十分に利用できていないところがたくさんある。自社の状況と目標に見合ったものかどうかが重要なのである。そこで、ツールを導入する際のポイントをここでは3つ述べたい。
1.導入の目的を明確にする
　インベントリー収集のほかに必要な機能を絞る。ログ収集・デバイス制御・アプリケーションメータリングなど、どの機能が必須なのか？
2.「できない」ことを確認する
　どこの販売会社もできることしか説明しない。必要な情報は、「できる」ことではなく、「できない」ことだ。仮に「できない」ことがなさそうだとしても、「できる」ようにするための条件や準備が必要な場合がある。デモの状態を作るために、どんな事前準備が必要かを具体的に確認すべきだろう。
3.社内でテスト利用をすること
　必ず社内にテスト環境を作り、動作確認をした方がよい。「情報システムでテストをしたら大丈夫だったのに、全社に配ったら動かなくなった」ということがある。たとえ時間はかかるとしても、その後のトラブル回避のために、導入テストは必ずしておこう。