SAP 的用量审计不打招呼。RISE 合同写明每年至少审计一次用量，这点此前单独记过。摸底不用先买工具，系统自带的 SUIM（User Information System，用户信息系统）就能覆盖大半。下面按五查走一遍，报表名都出自 SAP 官方文档。
休眠与失败登录账号
RSUSR200 按登录日期与密码变更查用户。账号多久没登录、密码多久没换，一次拉成清单。审计点名率最高的一类：人走了，账号还挂着角色。
RSUSR006 查失败登录，不用输条件，进去直接执行。结果分几档：连错密码但没被锁的、因连续失败被锁的、管理员手动锁定的。CUA 环境下再分全局锁和本地全局双锁。每条记录带最后登录的日期和时间。
清休眠账号同时也是清许可账。FUE 按用户的许可分类计量，人走了分类不回收，账就一直挂着，迁移前做 FUE 分析的案例里这一点救过不少预算。
用户与角色对账
RSUSR002 用一组复杂条件筛用户，官方文档说变体报表会把条件收窄到用户名、角色、授权值这类单一类别。审计前拉两个方向：给定角色，落给了哪些人；给定用户，挂着哪些角色。两张清单各自导出，跟在册名单对一遍。
一个容易踩的坑：授权值里真有字面星号时，搜索框里输 #* 才查得到。直接输星号会被当成通配符，等于什么都匹配。
关键授权检查
RSUSR008_009_NEW 的官方定位，是查出持有危险授权或危险授权组合的用户。
给客户做权限元数据盘点时，我们的一条经验是：清单里除了业务授权，还得放进「管理权限的权限」。SAP 文档对这一族对象有明确分工。S_USER_GRP 管用户主数据维护里的用户组维度，文档明说可以拿它把用户管理切给多个管理员分摊。S_USER_AGR 保护角色本身，谁能改角色走它。S_USER_PRO 保护授权档案。还有更细的 S_USER_SAS，Customizing 表 PRGN_CUST 里把开关 CHECK_S_USER_SAS 置为 YES 后，前面几个对象上「分配」动作的检查全部改走它。改得了「谁能干什么」的账号，比多开了几张单据的账号危险得多，这一族对象在关键授权名单里值得排前面。
权限变更检查
变更文档一节挂着现成的报表：RSUSR100N 查用户变更，RSSCD100_PFCG 查角色和角色指派，RSUSR101 查授权档案，RSUSR102 查授权值。审计师要的时间线——谁、什么时候、把什么权限给了谁——都能从这里拉出来。
两个细节。角色初始数据与空值，结果列表里用 unknown 标注区分。结果列表是 ALV，常用的列布局存成变体，复查时直接调用。
多系统权限检查
RSUSR050 比对用户、授权、角色和档案，单系统内能跑，跨系统也能跑。CUA 环境另有 Cross-System Information，总览用户在整套景观里被分配的系统、角色、档案和许可数据。
常见的现形现场：开发、测试、生产三套系统各养各的账号，生产该回收的权限，在测试环境还活着。跨系统一比，差额自己跳出来。本文首发于 sapzx.com，版权归 河·南 赛•锐 信_息·科‧技_有·限·公 司 所有，未经授权请勿转载。
审计前自查建议
以上五类自查要赶在争议发生前跑，审计当天才导清单，口径和分类都说不清，临场补不回来。权限底账和计量对账是一个道理，PCE 计量月账对不上怎么一步步排查，此前写过五步。AI 代理开始替人读写单据，权限跟人走的旧假设在松动，问答助手一文里拆过。账要趁代理还没成规模先理。
随着 SAP 产品从 ECC → S/4HANA → RISE with SAP（S/4HANA Cloud Private Edition, PCE）的持续演进，SAP 许可模式已从传统的永久授权、模块化计费，全面转向以 FUE（Full Use Equivalent）为核心的订阅化、精细化授权体系。这一变化深刻影响了企业的用户角色设计、权限治理、合规审计以及长期 IT 成本结构。在 PCE 模式下，FUE 许可的计量方式更加依赖实际使用行为，对企业在账号分配、权限控制、并发使用与审计合规方面提出了更高要求。
赛锐信息深耕 SAP License 审计与合规治理领域，长期服务于 SAP ECC、S/4HANA 及 RISE with SAP 客户，在 SAP 官方审计流程、FUE 许可优化策略及账号资产精细化管理方面积累了丰富的咨询与实施经验。依托自主研发的 SAP License / FUE 资产优化软件产品（AMS-V），我们帮助企业在满足 SAP 合规要求的前提下，提升 FUE 许可利用率、降低订阅成本、控制审计风险。欢迎随时联系我们，获取 SAP FUE 许可优化咨询服务，并申请产品试用与方案演示。让 SAP 投入真正服务于业务增长，而非成为成本负担。
