CMMI 3 级评估：准备什么、要多久

先说结论：CMMI 3 级不是"写一套文档交上去"，而是用证据证明组织真的按标准过程在跑项目——同一类项目，不同项目组做出来的流程应当同源、可比、可裁剪，并且能在项目记录里查得到。所以准备的重心不在"文件写得多漂亮"，而在两件事：一套组织级的过程资产，加上2-3 个真实项目的完整证据链。

评估由经授权的主任评估师（Lead Appraiser）主持，按 SCAMPI 类方法进行，现场做的是文档查验 + 人员访谈 + 项目抽样取证。也就是说，文件能伪造，访谈和项目记录很难。这一条决定了整个准备节奏：过程要真的跑起来，记录要真的长出来，工期省不掉。

这篇按"是什么 → 3 级要什么 → 谁适合 → 准备清单 → 评估怎么进行 → 周期与投入 → 和 ISO/ITSS 的关系 → 常见坑"的顺序讲。费用、周期、人数一律给区间，不给死数字——具体以评估机构与主任评估师的安排为准。

一、CMMI 是什么：它评的是"过程"，不是"产品"

CMMI 是能力成熟度模型集成（Capability Maturity Model Integration），面向软件与系统工程的能力成熟度，现由 ISACA / CMMI Institute 体系维护。它不看你的产品做得好不好，也不看你的代码质量指标，看的是你这个组织做项目的过程有多成熟、有多稳定、有多可复制。

成熟度分 1 到 5 级。业界通常这样概括：1 级是初始状态，靠人靠英雄；2 级是项目级已管理，单个项目能按计划跑；3 级是已定义级，过程从"项目"上升为"组织"；4 级进入量化管理；5 级是持续优化。各级名称与具体要求，以 CMMI Institute 发布的当期模型文件为准，本文只讲骨架。

二、3 级"已定义级"到底要求什么

一句话：组织先有一套标准过程，项目再按需裁剪后执行。这半句话里有两个动作，缺一个都不成立：

所以 3 级和 2 级的差别，不是"多做几个流程"，而是从"这个项目组干得不错"升级为"这家公司换个项目组也能这么干"。评审时常见的追问是："这个模板是你们部门自己写的，还是公司标准里的？裁剪掉的那部分，依据是什么、谁批的？"——答不上来，就说明组织级和项目级之间断链了。

三、哪些企业适合做 3 级，哪些可以往后放

判断标准还是那条：你有没有在按项目交付软件/系统，并且有 2-3 个能拿出来讲清全过程的自有项目。符合这条的，需求通常来自三类动因：

可以往后放的两种情况：一是主要做定制外包、每个项目都是一次性交付、没有可复用的项目类型；二是团队规模很小、一个项目组不超过几个人，组织级过程资产建起来的维护成本会大于收益——这类企业先做 2 级或者先补 ISO 9001 的骨架，往往更划算。

另外提醒一句：级别不是越高越好。3 级是招标文件里出现频率较高的一档；4 级、5 级要的是量化管理和过程优化数据，对度量体系的要求是另一个量级，没有几年数据积累硬上，投入产出不划算。

四、准备清单：过程资产 + 项目证据链

准备工作按"先资产、后项目、再补记录"的顺序推，别倒过来。倒过来做（先写文件、再找项目凑记录）是返工的头号原因。

项目怎么选，值得单独说：选 2-3 个"你愿意让人翻个底朝天"的真实项目，覆盖不同类型更好（比如一个新建、一个迭代升级、一个维护类），这样"组织级标准过程能适配不同项目"这件事才讲得通。刚启动、还没产生过程记录的项目，或者纯人力外包、过程基本由客户定义的项目，都不适合拿来当评估样本。

五、评估怎么进行：主任评估师与 SCAMPI 类方法

评估由经授权的主任评估师（Lead Appraiser）主持，按 SCAMPI 类方法组织，过程大致是这样：

现场取证这一段，是很多企业准备方向的转折点。评估不是"审文件"，是通过访谈和抽样，验证文件写的事有没有真的发生。所以访谈对象不是"口才好的那个"，而是"真正在项目里干这件事的人"。项目经理讲不清估算怎么来的、QA 讲不清检查了什么、配置管理员拿不出基线记录，这几种情况在准备不足的企业里出现频率很高。

关于咨询与评估的关系：咨询和评估是两个独立角色——咨询帮你建过程、补证据、做访谈演练，评估方来独立取证并给出结论。行业规则要求两者独立，同一个角色不能既当教练又当裁判。所以任何"我们自己做评估、包你拿到等级"的说法，都值得你先问一句：出评估结论的人是谁、他的授权资质在哪查。

六、周期与投入：区间在哪，钱花在哪

时间不是花在"写文件"上，而是花在让过程真的跑起来并留下记录上。四个阶段拼起来：

• 差距分析与方案（数周）——盘现有项目类型、现有流程、现有记录，定组织单元范围与目标等级
• 过程资产建设（数周至两三个月）——补流程、模板、裁剪指南、度量定义，同步做培训
• 试点与记录积累（这一段弹性比较大）——选 2-3 个项目按新过程跑，跑到能拿出成串的记录；已有成熟流程和工具的企业可以短一些，从零起步的要长一些
• 评估排期与现场（按评估方档期）——就绪检查、文档评审、现场取证、结果提交

周期区间：多数企业从启动准备到拿到结果，落在数月到半年左右这个区间，跨度可能从三个月上下延伸到九个月以上。拉长的主要因素是：现有过程基础（有没有在用项目管理与配置管理工具）、需要补的记录时长、组织单元与参评项目的数量、以及评估方的排期。精确到周的排期以评估机构与主任评估师的安排为准。

费用区间：总投入通常由两块构成——评估相关费用（由评估机构按其规则收取，与组织规模、参评项目数量相关）+ 咨询辅导费用（过程资产建设、试点辅导、访谈演练、现场陪同）。整体一般处在数万元级的区间，规模大、参评项目多、缺口大的往上走；工具采购（项目管理、配置管理、度量平台）另计。具体金额以评估机构与服务机构的报价为准。

容易被低估的是内部人力。这类项目不是"交给顾问就行"：通常需要 1-2 名骨干（项目经理 + QA/过程改进角色）在半职到全职的状态下投入数月，加上各项目组配合出记录、参加访谈。内部人力投入的多少，往往比选哪家机构更影响进度。

结果与有效期：评估结果有有效期，通常为 3 年，到期需要重新评估。有效期内如果过程停摆、记录断档、核心人员流失，下一次评估基本等于重来一遍。有效期年限与再评估的具体要求以 ISACA / CMMI Institute 及评估机构当期规定为准。

七、和 ISO 27001、ISO 20000、ITSS 是什么关系

这四张证经常出现在同一份投标文件里，但查的是四件不同的事，不互相替代。

实操上有三条经验：

• 软件企业常见组合是 ISO 27001 + CMMI。一个证明"你的信息安全管得住"，一个证明"你的研发过程稳得住"，投标评分表里常常并列出现。ISO 27001 的体系骨架（方针、文件控制、内审、管理评审、纠正措施）可以给 CMMI 的过程资产建设复用一部分，但项目过程记录不能共用——CMMI 看的是项目怎么跑，ISO 27001 看的是控制措施怎么落。
• 运维侧的组合是 ISO 20000 + ITSS。这两个都在"服务"维度上，与 CMMI 的"研发"维度不重叠。ITSS 的等级与材料另有一篇讲透；ISO 20000 与 ISO 27001 一起做怎么省力，见双体系合并实施。
• 一套体系、多个出口。同一批项目记录可以支撑 CMMI 的项目证据，也可以支撑 ISO 20000 的服务交付证据，但统计口径和汇总方式要分别做。省的是"重复劳动"，不是"重复取证"。

至于某一单招标到底要哪几张、要哪一级，以招标文件原文为准，不要按行业惯例猜。想先看各体系的定位差异，可以从体系认证总览、ISO 27001、ISO 20000、CCRC 几页对照着看，也可以用认证速查按业务类型快速定位。

八、常见坑：七个真实返工点

• 把 3 级做成"文档工程"。文件写得像教科书，项目记录一条对不上。评估现场一访谈就露底——这是返工里代价较大的一种。
• 组织级与项目级断链。项目用的是部门自己那套模板，跟组织级标准过程没关系，也拿不出裁剪说明。3 级查的恰恰是这条链。
• 裁剪写成"全不裁"或"随便裁"。全不裁，说明裁剪指南形同虚设；随便裁，说明过程没有约束力。正确做法是每一处裁剪都有理由、有审批、有记录。
• 日期倒挂。流程文件生效日晚于项目记录产生日，或者模板版本号在记录里出现"未来版本"。这类硬伤一查一个准，且很难解释。
• 证据只有两头。项目计划 + 结项报告齐全，中间的评审、变更、测试、基线全空。评估抽样抽到中段就断。
• 访谈全靠顾问。顾问讲得比员工还熟，员工答不上"我们这个度量数据是怎么收集的"。访谈对象必须是真的做事的人。
• 拿证就停。结果有有效期，期内不按过程跑、记录断档，到期再评估等于从头再来，前一次投入白花。

行动清单

启动前按顺序过一遍，每条都能给出具体答案再往下走：

• ⬜ 我能说清公司主要交付哪类项目（自研产品、定制开发、系统集成、行业解决方案），以及这类项目的典型周期
• ⬜ 我手里有2-3 个完整跑过全程的真实项目，从立项到结项的材料都还在
• ⬜ 我们有组织级的过程文件，或者愿意在数周内把它建起来（含模板、裁剪指南、度量定义）
• ⬜ 我们能安排出1-2 名骨干在数月内稳定投入，而不是全权外包给顾问
• ⬜ 我们有可用的项目管理 / 配置管理 / 缺陷跟踪工具，且已在产生真实数据
• ⬜ 我确认过目标等级是客户或招标文件明确要求的，不是"听说同行都在做"
• ⬜ 我知道 CMMI 与 ISO 27001、ISO 20000 在我这里的先后顺序，以及哪些材料可以共用
• ⬜ 我清楚结果有有效期，并且愿意在期内维持过程与记录

八条里能打勾的不到五条，说明现在还不是约评估的时候——先把过程资产和项目证据补上，比先约现场再补证快得多。盘不清的地方，也可以直接联系我们逐条过一遍。

结语：先让项目跑起来，再谈等级

CMMI 3 级的难点从来不在"模型条文"，而在把已经在做的项目，变成一条能查证的证据链：组织级标准过程说明"应该怎么做"，项目已定义过程说明"这个项目怎么做"，记录说明"真的这么做了"，访谈说明"做的人知道为什么这么做"。四样串起来，等级自然成立；少一样，就得回到项目现场去补。

所以顺序永远是：先盘项目类型和现有过程 → 再补组织级过程资产 → 然后让 2-3 个项目按新过程真跑一段 → 才谈评估排期。反过来做，文件写得再完整，也顶不住现场访谈那一关。

▍不确定自己该不该做 3 级、或者想知道 CMMI 和 ISO 27001 怎么排顺序？留言或私信我，备注"CMMI 自测"，我发你一份逐条对照清单。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律或评估结论；模型版本、评估方法、机构受理范围、费用与周期以 ISACA / CMMI Institute 及相关评估机构、主任评估师的当期要求为准