Допустим клиента заказывает у хостера VPS с Linux, хостер не запрещает устанавливать ОС из собственных ISO, клиент ставит Windows, клиент и хостер довольны.

А зачем ему запрещать произвольные образы ISO с операционными системами?
Это же снижение качества услуг.

А нелицензионного ПО можно на миллионы и внутрь установить, запрещение только не ставить левые ОС никак не поможет.

У нормального хостера в договоре (оферте) так и написано - мол вся ответственность на клиенте.

Ну и разумеется когда приходят с проверкой - хостер максимально сотрудничает со следствием.
То есть отдает все что у него есть.
Файлы образа виртуальной машины, бэкапы, логи откуда кто когда подключался к серверу через интерфейс администрирования и пр.
В общем все что есть.

Предприятие не такое уж и крупное, чтобы бояться вирусной атаки, но всё же.

Ну ну.
Представьте себе что у вас там вирус-шифровальщик порезвился.
Есть прецеденты - некоторые предприятия раззоряются после такого.

нужен ли платный антивирус производству где-то на 15-20 компов

Нужен не антивирус, а политика (антивирус может являться частью его).
Под политикой подразумевается единообразные требования - нет админовским правам для простых юзеров, нет флешкам и т.п.