每經記者 潘婷 每經編輯 陳星

近年來，開源技術被廣泛應用于各種場景，也是企業構建信息系統的重要選擇，開源軟件的使用覆蓋了金融、工業互聯網等行業，為軟件研發與創新提供了源源不斷的動力，隨著開源技術的快速發展，“開源治理”也逐漸進入企業的視野，成為開源領域的一大熱點話題。

在金融行業，想擁抱開源并不是一個純技術層面的挑戰，對開源的有效管理，也是評價一個金融機構開源能力的重要指標，作為積極擁抱開源的重要參與者，互聯網銀行在開源治理領域有著多年的實踐與創新，過程中，也在積極探索以增強開源治理能力促進更可控的開源技術創新。

對于目前的金融行業而言，開源治理的痛點和難點在哪些方面？對比過去，開源治理的側重點是否發生了改變？互聯網銀行的開源治理和傳統商業銀行、金融科技公司的差異體現在哪？從戰略層面看，微眾銀行對待開源的愿景是什么樣的？對自身有什么樣的定位？帶著一系列問題，《每日經濟新聞》（以下簡稱“NBD”）記者面訪了微眾銀行開源治理辦公室負責人鐘燕清。

由于技術更多樣性，互聯網銀行開源治理的挑戰更大

NBD：目前金融科技核心技術的開源治理發展路徑有哪些？和過去5-10年相比，目前開源治理的趨勢和側重點有何不同？

鐘燕清：從企業應用或擁抱開源的路徑上來講，階段還是非常清楚的，基本是經歷使用、參與、貢獻、領導這幾個階段和身份，很難跨越不同階段。在每個階段開源治理所關注的內容和重點其實也是有所不同的，比如說，企業作為開源技術的使用者，針對如何更好使用開源技術就是這個階段開源治理的核心工作。

第一個趨勢，最近幾年，幾乎所有的公司，特別是金融公司都非常注重開源治理能力，這也是我們最基礎的能力。整個行業來說，大家越來越開放，或者說越來越依賴開源技術，這是當前社會技術發展的特征。整個金融行業其實都在利用開源技術去構建很多系統，比如銀行的分布式核心系統。這是第一個“使用”的階段。到第二階段，如果企業再去參與開源、貢獻社區，去主導項目，那就會涉及社區的治理體系。

另外一個趨勢，隨著大家對開源的認知越來越清楚，除了安全之外，合規也是一個問題。這個問題目前還沒有那么突出，但是隨著各種相關糾紛、案件的出現，大家對合規的重視程度也越來越高。因為有可能企業引入了不合適的許可證軟件，帶來聲譽、知識產權、商標等一系列問題。

NBD：互聯網銀行的開源治理和傳統商業銀行、金融科技公司的差異體現在哪？

鐘燕清：對比傳統銀行，互聯網銀行的技術多樣性會更強一點。作為互聯網銀行，我們對技術的選擇是比較開放的，傳統銀行用開源技術相對會比較謹慎。傳統銀行對開源技術應用的廣度跟互聯網銀行不太一樣，因為互聯網銀行要保持獨特的創新性和敏捷性。

對比金融科技公司，按照以前的標準來說，金融科技公司開源應用會更粗放一些，在開源治理方面可能不會那么重視。而互聯網銀行對安全性、合規性的要求會比他們更高，金融科技公司未來慢慢也會重視加強監管，會越來越靠近互聯網銀行的要求。

NBD：從戰略層面看，微眾銀行對待開源的愿景是什么樣的？對自身有什么樣的定位？

鐘燕清：從大環境來看，開源已經成為一種趨勢。微眾銀行希望能夠成為金融科技領域開源生態建設的倡導者。

定位上，一方面微眾銀行是開源的受益者；微眾銀行很早以前就已經深刻地體會到開源的價值。比如我們通過采用開源技術建立起自主可控的分布式銀行核心系統，這與國內的大部分金融機構有很大的區別。

另一方面微眾銀行也希望能成為行業貢獻者。微眾銀行從開源的使用到整個社區的參與，到社區的貢獻，再到社區有比較多的知名項目，最后變成開源社區的引領者，這是我們自身想在開源方面的發展路徑。舉個現實的例子，去年，微眾銀行開源的大數據計算中間件項目Linkis和事件網格項目Eventmesh，成為Apache軟件基金會孵化項目，在Apache 軟件基金會2021 年新增的5個孵化項目中獨占2個，一定程度說明了世界主流的開源社區對我們開源項目的認可。

開源治理最重要的部分是使用的治理

NBD：能詳細介紹下微眾銀行的開源治理體系嗎？

鐘燕清：開源治理體系是站在企業角度怎么去擁抱開源。微眾銀行建立了完備的開源治理體系，在確保安全合規的同時，通過不斷優化內部體系建設，從組織、制度、流程、工具等多方面保障使用開源及開源輸出風險可控。在組織保障方面，微眾銀行建立了公司級別的開源治理組織架構體系，包含合規、安全、知識產權、宣傳等，明確各方職責，確保高效協同。在制度保障方面，微眾銀行發布了一系列與開源相關的管理規范，包括開源軟件使用辦法、軟件開源管理辦法、開源激勵體系等。在流程與工具保障方面，微眾銀行引入了第三方管理工具，確保引入及對外的開源組件和代碼安全合規以及與DevOps深度集成，建立DevSecOps體系。

NBD：在開源治理過程中，引入了第三方管理工具，具體有什么作用？會不會帶來新的風險？

鐘燕清：對于絕大部分企業而言，開源治理最重要的部分其實是使用的治理。

開源技術如何在公司內部很好的使用，有幾個非常關鍵的點。第一，安全上的控制。因為開源軟件迭代更新很快，客觀來說只要是軟件都會有漏洞，或者說有信息安全風險；第二，合規上的風險。所有開源軟件都是基于開源許可證的，相當于一個協議，每個協議都有自身的規范，有的協議產生了沖突，就會對合規產生影響。

我們所說的管理工具，能夠更好識別這些開源技術，把開源治理的漏洞、合規問題等非常結構化的記錄起來，能夠讓我們快速看清楚我們使用開源的狀況。同時，因為第三方管理工具有大量的知識庫，擁有風險判斷能力，在業界是專業的工具。

NBD：在開源治理過程中，如何發現、識別問題？

鐘燕清：首先，要有基本的開源治理核心平臺，這個平臺能夠判斷企業用了哪些開源軟件、開源技術，以及相應的名稱、版本、社區的基本發展等信息。

其次，這些信息是動態變化、隨時更新的，企業要有一定的手段去控制這些信息，這需要和企業自身的開發流程去做比較緊密的配合才可以實現。不然很可能變成僅僅是管理上的規范或要求，就是讓人去跟蹤登記，靠人反饋等，時效和準確性都沒有保障。

擴展開源理念，倡導更“開放”銀行

NBD：目前來看，開源治理的痛點和難點在哪些方面？

鐘燕清：第一，微觀層面看，開源治理的難點本質是技術的影響力、創新能力，還有對技術的掌握深度其實也是有門檻的，開源并不是隨便哪個技術社區就能認的。第二，從意愿上來講，如果沒有足夠的技術能力，沒有一定的意愿，很有可能永遠是使用者，這個是定位問題，也是一個選擇性的問題。

NBD：作為開源技術的受益者，微眾銀行也倡導“開放銀行”，您覺得開源技術和開放銀行之間是一種怎樣的關系？

鐘燕清：區別于傳統意義上的開放銀行，微眾對開放銀行有一套自己的理論，在傳統的開放銀行上，我們做了很多擴展。微眾銀行提出“3O”理論，也即“三個開放”。

第一個就是開放平臺，傳統意義上的開放銀行；

第二個叫開放創新，這里面更多是技術驅動，核心就是開源。這也是我們為什么要去不斷加大開放，因為我們在技術能力上已經有一定的積累，希望通過開源的方式把我們的部分積累普惠到合作伙伴或者是社區，大家也可以用到同樣的技術，然后共同建立一個開源技術、開源社區。

第三個就是開放協作，我們提出了分布式商業體系，不希望把銀行變成一個核心，而是把銀行置于中間位置，提供金融服務的節點。

NBD：業內如何看待《關于規范金融業開源技術應用與發展的意見》？在開源方面，微眾銀行是怎么應對的？

鐘燕清：微眾銀行結合自身情況做了一些判斷，我們過去幾年的發展路徑和上述意見非常契合，我們幾乎所有的活動都是按照意見的指導進行的。

提出金融行業和開源的關系，大家怎么從行業角度去定位自己和開源，四個原則分別是堅持安全可控、堅持合規使用、堅持問題導向、堅持開放創新。以上都是對企業內部開源治理提出的各種要求，首先是安全問題，業內一直以來都比較重視安全問題，但是并不是從開源治理的角度出發，更多是從信息安全角度去推動。

第二，合規也提到相當的高度。在這一塊微眾銀行提出要建立實現準、快、狠的管理平臺，企業要足夠快、非常精準的知道自身開源使用的資產狀況，這樣才能更好面對各種問題或風險。

搜索

復制

封面圖片來源：攝圖網-500642519