本文重點
- IT 採購為什麼需要特別對待
- 一、硬體採購
- 二、軟體授權管理
§ 01IT 採購為什麼需要特別對待
IT 採購從表面上看是一般的間接採購，但實際上它的複雜性遠超過辦公用品或設備消耗品採購。主要原因有三：
第一，IT 採購的決策後果持久。一台伺服器的使用週期 5–7 年，一個 ERP 系統可能用 10 年，錯誤的採購決策會長期影響組織效率。
第二，IT 採購涉及無形資產的複雜產權。軟體授權不是買斷所有權，雲端服務是租用而非擁有，授權條款對組織使用方式有直接約束。不理解授權架構，往往在合規稽核時才發現問題。
第三，IT 採購需要跨部門協作。IT 部門評估技術可行性，採購部門談合約條件，財務部門管理成本，法務部門審查條款——如果這些角色的協作沒有制度化，採購結果往往是次優的。
本文分硬體、軟體授權、雲端服務三個子類別，分別說明採購要點。
§ 02一、硬體採購
全生命週期成本（TCO）思維
硬體採購最常見的錯誤是只看採購單價，忽略全生命週期成本（Total Cost of Ownership, TCO）。一台報價較低的伺服器，如果電力效率差、故障率高、原廠保固較短，5 年的總成本可能比報價較高的競品更貴。
TCO 的主要組成：
- 採購價格（含稅、含運）
- 保固與維護合約費用（1–3 年通常包含在採購價，之後需另購）
- 電力成本（伺服器、工作站）
- 耗材成本（印表機墨水/碳粉、磁碟更換）
- 報廢與處置成本（e-waste 處理）
- 內部管理成本（IT 人員的維護時間）
台灣中小製造業常見的 TCO 忽略點： 印表機的低採購價搭配高耗材成本，以及舊設備「能用就繼續用」的心態導致 IT 人員花大量時間維護老舊設備。
更新週期規劃
硬體有自然的技術老化週期，加上原廠支援期限（End of Life/EOS），超過 EOS 的設備廠商不再提供安全更新，是資安風險。
建議的硬體更新週期參考：
- 工作站、筆電：3–5 年
- 伺服器：5–7 年
- 網路設備（交換器、路由器）：5–8 年
- 印表機：5–8 年（視使用量）
採購部門應維護一份硬體資產清冊，記錄每台設備的購入日期、原廠保固到期日、預計更新年份，提前 12–18 個月規劃更新採購，避免因設備突發故障被迫緊急採購。
規格確認與相容性
硬體採購規格需由 IT 部門主導，採購部門的角色是在確認規格後，在市場中尋找符合規格的最佳價值選項，而不是讓廠商決定你需要什麼規格。
相容性檢查清單：
- 是否與現有基礎架構相容（電源規格、機架尺寸、網路介面）
- 是否支援現行作業系統版本
- 驅動程式與管理工具是否完備
- 擴充性是否滿足未來 3–5 年需求
§ 03二、軟體授權管理
授權模式的基本類型
軟體授權的複雜性主要來自授權模式的多樣性，不同授權模式對組織的成本結構和使用彈性有很大影響。
永久授權（Perpetual License） 一次性付費取得永久使用權，通常另外付費購買年度維護（Software Maintenance/Assurance），以取得版本升級和技術支援。Microsoft Office 2019 是一個典型例子。
優點：長期持有成本可能較低；確定性高，不需擔心訂閱中斷。
缺點：版本老化後功能落後；若停止付維護費，技術支援中斷；大版本升級時仍需支付升級費用。
訂閱授權（Subscription License） 按年或按月付費，停止付費即失去使用權。Microsoft 365、Adobe Creative Cloud 是代表例子。
優點：永遠使用最新版本；不需管理版本升級；IT 開銷可預測（OpEx 而非 CapEx）。
缺點：長期持有成本通常高於永久授權；若預算削減被迫停訂，資料存取可能受影響。
具名使用者授權（Named User License） 授權指定給特定人員，只有被授權的人可以使用，通常不能共享。
並行使用者授權（Concurrent/Floating License） 授權一定數量的同時使用席次，任何人都可以使用，但同時使用人數不得超過授權數量。適合不是每天都要用的專業軟體（如 CAD 工具、模擬軟體）。
裝置授權（Device License） 授權給特定裝置（電腦、伺服器），而非特定使用者。適合多人共用的工作站。
軟體稽核風險（BSA 稽核）
台灣企業面臨軟體稽核的風險是真實的。商業軟體聯盟（BSA）和其他版權組織定期對企業進行稽核，要求企業提供所有安裝軟體的合法授權證明。未經授權使用的軟體不只面臨民事求償，也可能涉及刑事責任。
台灣的稽核現實： 中大型製造業和服務業都是稽核目標，稽核通常由業界舉報或主動申報觸發。稽核過程需要提供完整的購買記錄（PO、發票、授權證書）。
軟體資產管理（SAM）
解決稽核風險的根本方法是建立軟體資產管理（Software Asset Management, SAM）機制：
- 建立軟體清冊： 記錄所有安裝的軟體、版本、授權數量、授權證書號碼、購買來源。
- 定期盤點： 每季或每半年核對清冊與實際安裝情況，識別未授權安裝（員工私自安裝）或閒置授權（已離職員工的授權未回收）。
- 採購控管： 軟體採購須集中管理，避免各部門自行購買造成授權分散、難以追蹤。
- 授權回收流程： 人員離職時，確保將授權從其帳號或裝置回收並重新分配。
True-up 義務： 企業授權協議（如 Microsoft EA）通常含有年度 true-up 條款，要求企業在協議年度末申報實際使用量，若超過原授權數量需補足費用。True-up 金額常讓企業措手不及，妥善管理授權數量可避免意外費用。
§ 04三、雲端服務採購
SaaS、IaaS、PaaS 的採購差異
雲端服務的三個主要形態在採購角度各有不同重點：
SaaS（Software as a Service）
如 Salesforce、Slack、Google Workspace。使用者直接使用供應商提供的應用程式，無需管理底層基礎設施。採購重點：功能符合度、資料安全性、整合彈性、退出條款。
IaaS（Infrastructure as a Service）
如 AWS EC2、Azure VM、GCP Compute Engine。租用運算、儲存、網路基礎設施，自行管理作業系統和應用程式。採購重點：計費模式複雜度、地區（Region）選擇、合規認證、長期合約折扣（Reserved Instances）。
PaaS（Platform as a Service）
如 AWS RDS、Azure SQL、Heroku。提供開發和部署應用程式的平台，介於 SaaS 和 IaaS 之間。採購重點：技術鎖定風險、移植成本、定價預測性。
雲端服務供應商評估要點
安全認證 ISO 27001、SOC 2 Type II 是評估雲端服務供應商資安合規性的基本門檻。涉及政府資料或醫療資料的採購，可能有更嚴格的認證要求（如 FedRAMP、HIPAA）。
資料存放地點 台灣個人資料保護法（個資法）對跨境傳輸個人資料有規定。若 SaaS 供應商將資料儲存在中國大陸或特定國家，可能有合規風險。應明確要求供應商說明資料儲存地點，並評估是否符合台灣及客戶所在地的法規要求。
服務水準協議（SLA） 99.9% 的可用性（Uptime）聽起來很高，但實際等於每年可以停機 8.7 小時。評估 SLA 時要關注：停機時間如何計算（計畫性維護是否計入）、補償機制（信用扣抵是否足夠）、通知時間要求。
退出條款與資料轉出 這是 SaaS 採購最常被忽略的條款。一旦選擇了某個 SaaS 供應商，若之後想要換平台：資料是否可以匯出？匯出格式是通用格式還是專有格式？供應商是否有協助資料遷移的義務或收費？退出的難易程度應在採購前評估，而非在想換供應商時才發現陷阱。
定價模式與成本預測
雲端服務的定價模式複雜，尤其是 IaaS，按使用量計費的特性使得預算管理困難。
常見成本失控情境：
- 開發測試環境忘記關閉，持續計費
- 資料傳輸費用（Egress Cost）超出預期
- 儲存量成長超出預算假設
- 功能增加導致使用更高計費等級
控制方法：
- 設定費用告警（Cost Alert）和每月預算上限
- 定期審查未使用的資源並關閉
- 評估 Reserved Instances 或 Committed Use 折扣（適合可預測的穩定工作負載）
多年合約 vs. 年度合約
多年合約通常有較大折扣（10–30%），但需要評估：
- 業務需求在合約期間是否可能大幅變化？
- 若提前終止，違約條款是否合理？
- 供應商的市場地位和財務穩定性如何？
對快速成長或轉型中的企業，保留彈性可能比折扣更有價值。
§ 05IT 採購的跨部門協作
IT 採購常常出現兩種失能模式：
模式一：IT 部門自行決定，採購部門只是開立 PO 結果是技術評估充分，但商業條件不佳（未談到折扣、合約條款不利）。
模式二：採購部門主導，忽視 IT 部門的技術意見 結果是合約條件好看，但採購的產品技術上不合適，或實施後出現問題。
正確的協作模式應是：
- 需求確認： IT 和業務部門共同確認功能需求和技術標準
- 市場調查： IT 主導技術評估，採購部門調查市場供應情況
- 供應商選定： IT 確認技術合格的選項，採購部門在合格選項中進行商業評估
- 合約談判： 採購部門主導，IT 和法務部門提供技術和法律支援
- 實施與驗收： IT 主導，採購部門確認交付符合合約
§ 06個資法（PDPA）合規與 SaaS 選型
台灣個人資料保護法要求企業對個人資料的蒐集、處理、利用採取適當保護措施。若使用 SaaS 工具處理客戶個資（如 CRM 系統存有客戶資料，HR 系統存有員工資料），SaaS 供應商在法律上扮演「委外處理者」的角色，企業有義務確保委外處理者的資安標準符合要求。
實務上，這意味著：
- 在 SaaS 採購評估中加入個資法合規問卷
- 要求 SaaS 供應商提供資料處理協議（DPA）
- 確認供應商發生資料外洩時的通報義務和時限
台灣中小企業普遍對這個義務認識不足，建議在 IT 採購流程中加入標準化的個資評估步驟。