软件公司核心代码常只掌握在一两人手里。本文讲解源代码共管的四层防御体系（Git共管、分权、第三方托管、离职交接）与失控的四大法律后果，帮投资人把代码变成“公司的代码”。
绝大多数创业公司核心代码只掌握在一两个人手里。CTO离职、联合创始人闹掰、创始人“摆烂”——任一发生，投资人的钱可能打水漂。本文回答：如何让代码真正成为“公司的代码”而非“个人的代码”。
一、案例：一夜之间公司失去所有代码
2023年底，一家获5000万B轮融资的SaaS公司CTO（联合创始人）与CEO分歧后，删除个人私有Git仓库并带走本地全部代码。更糟的是核心架构、部署脚本、数据库Schema均托管在其个人GitHub私有仓库，公司无人有管理员权限。公司耗资数百万、三个月才勉强恢复基本运行。
二、法条解读：合同义务与源代码交付
《民法典》第五百零九条：当事人应按约定全面履行义务，包括通知、协助、保密。承诺交付源代码的，应交付完整开发环境、技术文档、部署说明，使公司能独立使用维护。
《民法典》第五百六十三条：技术创始人拒绝或拖延交付致公司无法运营，构成根本违约，可触发合同解除、股权回购等救济。但无清晰交付标准与时限，维权漫长艰难。
三、实务要点：源代码四层防御体系
- 第一层 Git仓库共管：用公司域名Organization账户；至少2名管理员（CTO+非技术核心）；权限分级；强制2FA；开启审计日志；主分支保护需2人Review。
- 第二层 分权限管理：读写分离、部署与开发分离、密钥分级管理（Vault等）、第三方服务账号归公司。
- 第三层 第三方托管（Escrow）：存托方（创始人）定期存源代码，受益方（公司/投资人）在创始人死亡、被除名、破产、连续不维护等条件下获取；国内多由律所/公证处变通保管。
- 第四层 离职交接：劳动合同约定代码著作权归公司、离职前完成交接；通知期内列模块清单、安排Walkthrough；离职当天停用所有权限并签《代码交接确认书》；保留审计日志12个月。
四、风险提示：源代码失控四大法律后果
- 公司丧失核心资产控制权，尽调中被视为重大治理缺陷；
- 知识产权侵权风险激增，离职员工携码至竞争对手举证困难；
- 触发重大违约导致融资失败（交割前置条件常含代码管理机制）；
- 创始人个人承担赔偿责任（违约金、股权回转、损害赔偿）。
五、行动建议
技术创始人：注册即用公司域名代码托管；主动提议共管体现专业性；区分个人与公司项目；积极参与Escrow谈判。
投资人：将代码共管列为交割前置；股东协议写专门“源代码条款”（交付清单、时限、验收、权属、Escrow、违约）；聘技术人员参与尽调；设“红灯条款”触发加速回购；投后半年度审计代码管控。
林军律师 · 公司法与股权法律服务
林军律师专注公司法、股东权益、股权架构设计、企业合规与知识产权出资等实务领域，擅长为科技与软件行业创业者、投资人提供从股东协议起草、融资条款审查到股权争议解决的全流程法律服务。
- 股东协议与公司章程设计：优先购买权、一票否决权、拖售/随售权、回购与退出机制等条款的定制；
- 股权融资条款审查：对赌、反稀释、ESOP、关键人条款等融资文件的逐条把关；
- 股东与股权争议解决：异议股东回购、股权代持、控制权争夺等诉讼与非诉；
- 企业合规与知识产权：技术出资合规、源代码共管、数据合规体系建设。
如您正在起草或审查股东协议、融资文件，或面临股权争议，欢迎联系林军律师团队，获取专业、可落地的法律方案。
常见问题（FAQ）
- 为什么投资人要求源代码共管？
- 软件公司核心代码常只掌握在一两人手里，一旦CTO离职或创始人失控，投资人投入的资金面临“源代码单点失控”风险。共管让代码成为公司可独立掌控的资产，是投资交割的常见前置条件。
- 什么是源代码第三方托管（Escrow）？
- Source Code Escrow是由独立第三方（国内多由律所或公证处变通）保管源代码，在创始人死亡、被除名、公司破产或连续不履行维护义务等约定条件触发时，释放给公司或投资人的风险缓释机制。
- 创始人拒绝交付源代码要承担什么责任？
- 若股东/出资协议约定了源代码交付义务，拒绝或拖延交付致公司无法运营构成根本违约，可触发合同解除、股权回购及损害赔偿；新《公司法》强化出资义务下，技术出资交付更可能被认定为法定义务。
- 软件公司代码管理最易忽视的环节是什么？
- 离职交接。应在劳动合同约定代码著作权归公司、列明负责模块、安排Code Walkthrough、离职当天停用所有仓库与云权限并签署《代码交接确认书》，保留审计日志至少12个月。
关联法条
《中华人民共和国民法典》第五百零九条（全面履行）、第五百六十三条（法定解除）。
相关阅读：林军律师 · 公司法实务 · 专业领域 · 林教头答疑