科普篇银企直连那些事儿
11号技师-小辉 [ 建广技师 ](javascript:void\(0\);)
** Part1银企直连全景视图 **
什么是银企直连？
** 众多企业实施部署“银企直连”，银企直连究竟是什么？ **
银企直连是指企业数字化管理系统或者是专业财资管理系统通过网络（公网或专线）直接与银行开放的数据接口和商业银行业务系统、电子银行系统或者现金管理平台等实现无缝连接。通过银企直连，企业不仅可以实现跨银行的全局账户视通和足不出户的企业直连支付，还能实现跨银行的资金自动归集，企业可实现其银行账户包括分(子)公司银行账户余额、明细实时查询、实时转账以及电子回单获取，同时一些银行也开放了电子票据、票据池接口，为企业财资管理带来了很多的便利。
银企直连的 多方位解读
从技术层面来说，银企直连涵盖的内容非常广，以下从网络接入方式、通讯方式、安全认证方式、证书形式以及前置程序等多个维度来进行全面的详细介绍如下图。
¤网络接入方式
目前，各银行主流的接入方式主要有公网接入和专线接入两种。其中，公网接入是指银企直连系统通过互联网的方式来连接银行端系统和企业端系统，这种接入方式成本较低，但网速容易受外部网络环境影响。专线接入是指银企直连系统采用专门的线路来连接银行端系统和企业端系统，这种接入方式需要企业按需求（月、年等）租用线路，成本比较高，但网速稳定，不易受外部网络环境影响。一般来说，银行均支持这两种接入方式，具体以哪种方式接入，最终以银行和企业达成的合作方案的要求为准。
¤通讯方式
在通讯方式上，银企直连一般可以分为三类：一是采用Socket、Http/Https、Webservice等方式实现信息传输；二是采用报文传输方式，其中以Xml格式居多，也有Json或者约定格式的文本（定长或者用分隔符分开）；三是采用文件传输方式，一般是报文中会指定文件路径，有前置机本地目录、ftp/sftp、wtp等传输方式，这种文件传输方式主要针对数据量大的内容传输，应用于账户明细数据、代收付明细数据、交易对账单、回单文件等常见场景。
¤安全认证方式
银企直连的安全认证方式主要分五种：一是企业端与银行端的交互，一般采用https或者类ssl的通讯协议；二是给每个企业发证书，采用证书进行通讯内容的签名验签；三是来源企业ip白名单方式；四是给企业分配唯一的客户号方式；五是部分银行有会话管理，如果有前置程序，会话登录一般由前置程序完成。
¤证书形式
银企直连的证书形式可以分为三种：一是硬证书，即采用U盾形式，包括普通U盾和高速U盾；二是软证书，即以文件形式；三是加密机，也就是证书存储在加密机中，前置程序也安装在加密机中。各类证书形式的介质安全性、加密解密速度、稳定性、所需费用以及维护难易度各不相同，具体如下表。
对比项 | 硬证书 | 软证书 | 加密机
---|---|---|---
证书介质安全性 | 高，私钥不出 key ，即外部程序无法获取到私钥 | 低，有一层密钥保护，可以被复制 | 高，私钥不出加密机，即外部程序无法获取到私钥
加解密/签名验签速度 | 低，加解密／签名验签由 U 盾的芯片完成，速度很慢 | 高，加解密／签名验签由服务器 CPU 完成，速度最快 | 较高，由加密机中的芯片完成
稳定性 | 低，U盾寿命一两年 | 高 | 高
费用 | 中，一般需搭配一台前置机 | 低 | 高，需配套专门加密机
易维护 | 中，换 key，重新写入证书 | 简单 | 复杂，需操作加密机
¤前置机程序选择
目前，大部分银行都提供前置程序，企业对接该前置程序启动的服务，前置程序再与银行服务通讯，一般前置程序会负责签名验签以及与银行服务建立安全通讯通道，企业端通过银行提供的jar包或dll（嵌入式）进行调用。还有部分银行提供无前置方式，企业端直接与银行服务进行通讯，无前置方式根据银行是否公开通讯安全算法分为两类：一类是银行不公开安全算法，银行提供给企业jar包或dll，由企业的系统引入，企业只能通过银行提供的jar包或dll来调用银行的银企直连服务；另一类是银行公开安全算法，一般也会提供调用的Demo，Demo中会有可直接引用的jar包或者dll，企业端的系统可按照银行提供的说明自行实现或者参考demo实现调用银行的直连服务。
银企直连的常见接入模式
根据企业接入直连是否需要前置机、使用何种证书形式等方面来区分，目前国内银企直连的接入方式可以组合出常用模式、高端模式和无前置模式三种不同的接入模式如下图。
▲ 常用模式
前置程序+U盾（硬证书），这是很多银行提供的接入方案。其优点是企业的系统与银行前置程序交互，银行前置程序将直联服务封装得比较友好，一般是明文通讯，与银行端复杂的通讯逻辑由前置程序负责，前置程序调用U盾进行签名验签；缺点是这种方式的并发性能低，一般通过扩展前置机来提升性能，即申请多个U盾，部署多个前置程序进行负载均衡，另外就是U盾使用寿命短，一般1-2年就要进行更换。这种常见模式一般适用的企业对于直联证书保存安全性要求高，可以承担银企直连的一定建设及维护成本。
▲ 高端模式
高端模式为常用模式的升级版，采用加密机替代前置程序和U盾，即同时实现了前置程序和U盾的功能，性能提升10倍以上，加解密/签名验签速度能达到几十个U盾的速度，劣势是加密机成本比较高。高端模式适用的企业一般具有高端直联结算或者查询需求（例如超大型集团与互联网企业），且能承担较高的银企直连建设成本。
▲ 无前置模式
无前置程序+软证书，这种方式性能高，省去了前置程序和前置机，可以降低企业和银行双方的部署运维成本，且对云平台的接入比较友好。这种模式适用于对银企直连建设成本承受能力较低、对性能要求高、对证书保存的安全性要求不高的企业。其实目前一些银行也开始推出开放银行的服务，理论上来说这是无前置模式的进一步延伸，API开放平台旨在将银行服务以API的方式向外界开放，打造一个开放共享、快速交付、面向服务封装的应用开发平台，将银行内零散、线下、不统一的对外开放服务，汇聚为轻量化对接、标准化展示、集约化的服务。
银企直联的上云模式差异对比
当前，越来越多的中小企业开始对银企直连提出使用需求，但这些企业对系统实现成本又相对比较敏感，因此云模式对这部分客户来说是一个不错的选择。对于银企直连上云，目前市场上不同技术厂商实现的方式也各有不同，常见的有以下三种解决方案（图3）。
完全托管模式
完全托管模式又可以细分为两个分支：
第一个分支是证书托管，这种分支模式下企业与银行间的银企直连协议仍需要照常签署，企业端不需要部署前置机，前置程序部署在云端（无前置模式除外），软证书或者前置机U盾也完全托管给云平台供应商。这种模式下，虽然云平台一般会在关键操作时需用户通过输入密码等方式进行鉴权，但理论上云平台提供者具有企业开通的该证书下的所有直联服务权限。举一个类比的例子，股票和期货交易资金全部是受银行监管的特殊账户内由用户自行操作交易完成，但证券公司和期货公司都不曾获得客户的账户全部权限，因此企业直接转移集团名下全部账户权限（载体为软证书或者U盾等物理介质）交给第三方在合规性上会有较大的争议。
第二个分支是账户托管，所谓的账户托管就是由云服务商代表企业统一与银行签署并开通银企直连，企业则将本公司账户做直联子账户授权给云服务商名下母账户，即实现所谓“一点接入，无需直联”的方案。这种方案从合规性角度来说，更加具有争议，大部分的银行一般也不允许企业以这种方式来接入，因此账户托管模式只有理论上的可行性，并不具备多少实操的意义。
半托管模式
半托管模式下，企业与银行正常签署直联协议，前置程序部署在云端，仅证书在企业端，通过网络来远程调用证书相关的操作。这种模式的优势是结合了其他模式的一些优势，既考虑了企业尽可能避开自行管理前置机的技术短板，但又保留了证书的所有权。然而，这种模式在实现上技术难度较高，且若是使用硬证书的话，会需要使用一些USB管理专业设备，设备的投入成本与本地部署前置机的费用相差不大，但是安装部署以及后续维护相较于本地部署前置机还是会更为简单。这种模式目前来说并不常见，适用于企业自身IT运维力量不太充足，但是又比较关注安全性，且在一定程度上愿意接受使用新技术以及愿意进行一定程度的成本投入的企业。
非托管模式
非托管模式下，企业与银行正常签署银企直连协议，前置机（前置程序、key）部署在企业端，并在企业端部署一个代理服务与云端通讯。与全托管相比，非托管模式尽可能地考虑了安全性的问题，前置机及证书都保留在企业端，云平台向银行发送直联请求时，都需要企业端的前置机及证书的配合，但是企业需要适当投入前置机的配置及维护成本。适用这种模式的企业一般希望在尽可能保护企业银行账户安全性的前提下，愿意投入少量资金进行银企直连的建设。
综合以上三种云模式的解决方案来看：
非托管模式的技术更为成熟，是当前绝大部分企业的首选，自银企直连诞生之日起，该模式一直被市场验证为安全可靠的，对企业来说是一种较为合理的选择。
半托管模式作为一种云化更深入的模式，虽然目前技术成熟度稍微弱一些，但是对于那些乐于尝试新技术，对于SAAS服务接受度更高的企业来说，半托管模式也是一个不错的选择。
全托管模式笔者建议企业从安全性及合规性角度出发，慎重选择。
银企直连的接入流程
基于对银企直连全方位的了解之后，下一步便是企业根据自身情况考虑如何接入的问题。以常用接入模式为例，银企直连的接入流程一般会经历以下六大步骤：
银企直连的五大功能
▲ 签约银行管理
对与财务公司进行银企直连接口处理的银行信息进行登记和管理。
▲ 成员单位账户管理
维护财务公司所管理的成员单位在银行开立的账户信息。
▲ 资金归集
即由财务公司通过银企直连接口向签约银行发起、指示签约银行按指令中指示的账号和金额归集资金。
▲ 头寸调拨
通过该业务实现财务公司在各家银行之间，同一银行内的多个头寸账户之间的头寸调拨，即当财务公司在某一银行的头寸账户余额不足时，可通过该业务将财务公司在同行或其他银行的头寸账户资金调拨至该银行。
▲ 进账审批台
对于财务公司从银行获取的交易明细或从其他渠道导入的进账明细，应先由进账审批台操作人员通过审批台操作，选择指定的进账处理方式进行进账账务处理或提交其他系统进行进账处理。
银企直连的 四大优点
** Part2银企直连-SAP基础配置 **
一、激活银企直连业务功能（事务码：SFW5）
1\. 勾选： FIN_LOC_CI_16、FIN_LOC_EPIC_2、
FIN_LOC_EPIC_3、 FIN_LOC_EPIC_4、
FIN_LOC_EPIC_4_2、FIN_LOC_EPIC_5、
FIN_LOC_EPIC_6、FIN_LOC_EPIC_7
2\. 激活
3.“定义应用程序”、“填入下图所示条目”、“激活付款发布清单”、“激活应用程序”
二、配置支付方法（事务码：FBZP）
三、配置银行代码（事务码：FI01）
四、配置总账科目（事务码：FS00）
五、配置银行账户（事务码：FBZP）
六、配置供应商支付交易（事务码：FK02）
七、配置RFC连接（事务码：SM59）
八、配置银行接口（事务码：SPRO）
路径：点击“SAP参考IMG”按钮SAP定制实施指南财务会计（新）应收账款与应付账款业务交易国家相关设置中国电子支付中心
九、配置审批流程（事务码：SPRO）
路径：点击“SAP参考IMG”按钮SAP参考IMG找到对应的BADI
激活实施，2个样例实施：
CL_EPIC_APPR_CTRL_EXAMPLE_01和CL_EPIC_APPR_CTRL_EXAMPLE_02
事务码SE19，创建或修改BADI
事务码：EPIC_PROC
以审批人用户，在“款项审批”页中，“批准”或“拒绝”提交组和提交项目，最后“确认”。
十、配置银行查询（事务码：FBZP）
十一、配置银行回单（事务码：SPRO）
事务码：EPIC_PROC“处理银行回单”标签页
** 十二、配置安全用户（事务码：EPIC_PROC） **
...
