CMMI 软件能力成熟度评估

CMMI 是什么？

CMMI 是一套衡量软件与系统工程过程能力的模型，评的是「你们做项目的过程有多稳」，不是产品质量好不好。

模型由美国 CMMI Institute 维护，现属 ISACA。现行版本是 CMMI V3.0，2023 年发布，把原来分散的开发、服务、采购等模型整合成一套。

评估由授权的主任评估师带组实施，过程包括文档审查与现场访谈。评估结论以等级形式给出，结果有效期 3 年。到期要重新评估，中间不做年度监督。

名称上要分清：CMMI 不是中国境内的认证，也不是行政许可。它是国际上通行的能力评价，采购方、尤其是外资客户和主机厂在供应商准入时会看。

分几个等级？

五级，从 1 级初始级到 5 级优化级。国内企业实际申报集中在 3 级和 5 级，4 级相对少。

3 级和 5 级的差别不在文件多少，而在有没有量化数据支撑。5 级要求过程性能基线与模型，企业得真的积累了两三年的度量数据，临时编不出来。

哪些企业需要办？

做软件开发、系统集成、军工配套、汽车电子与嵌入式开发的企业，客户体系里认 CMMI 等级时，就值得办。

• 投标政府或大型企业的软件项目，资格条款或评分表里写 CMMI 等级
• 给外资客户或主机厂做软件交付，对方供应商准入要求 CMMI 3 级及以上
• 承接军工软件配套，需要在装备承制单位资格之外再补过程能力证明
• 准备从项目制转向产品化，希望把过程沉淀下来

反过来，只做定制外包、客户完全不看这块的，办 CMMI 的投入产出比不高。评一次的费用不低，日常还要维持过程资产。

怎么定级、要准备什么？

先看客户或招标文件写的是几级，再看自己的项目数据能不能撑住，取两者的交集往下压一级最稳。

从 3 级起步的企业，重点是三件事：组织级过程资产库要真的有人在用，项目要有裁剪记录，评审与测试的缺陷数据要能追溯。这三样在访谈现场最容易被追问。

要冲 5 级，除了过程资产还要有度量体系：过程性能基线、过程性能模型、缺陷根因分析报告。这些都需要真实项目数据支撑，至少提前一到两年布局。

评估前通常要做一次就绪检查，按评估组的检查项自查一遍。自查发现的问题还有时间补，等到现场访谈才发现就来不及了。

和 ISO 9001、CS 是什么关系？

ISO 9001 管的是质量管理体系的通用要求，CMMI 管的是研发过程能力，CS 管的是信息系统建设与服务的综合能力。三条线各有各的用途。

实际投标里三条线经常同时出现，评分表里各占几分。材料上可以复用，但过程和证据不同，不存在「办了一个就等于另一个」的情况。

周期和费用怎么看？

从启动到拿到评估结果，3 级常规 4 到 8 个月，5 级通常要一年以上，主要取决于过程资产和度量数据的积累程度。

时间构成：差距分析与改进计划 2 到 4 周，过程建立与试点运行 2 到 4 个月，评估准备与预评估 1 到 2 个月，正式评估 1 到 2 周，结果发布 1 到 2 个月。

费用分三块：评估费按评估类型、覆盖范围与人数核定；辅导与培训费用；内部投入的时间成本通常比前两项加起来还高。具体以正式报价与双方确认的方案为准。

办理流程怎么走？

六步：差距分析、改进计划、过程建立、试点与数据积累、预评估、正式评估。

中间这一步「试点与数据积累」是最花时间也最容易被压缩的。压缩的代价是正式评估时数据不连续，评估组会要求补充说明，来回拉长周期。

评估结束后不是就完事了：结果有效期 3 年，期间如果组织架构、项目类型有大变动，下一轮重新评估的工作量会明显增加。过程资产要持续维护，不能停在评估当天。

常见问题