CSMM 五级逐个拆：每一级审什么、要什么证据

五级速览

这张表的读法：先看第四列，再看第二列。第二列写"能力长什么样"，容易让人对号入座觉得"我们也差不多"；第四列写"评估时会来要什么"，那才是能不能站住的那一关。表里不给数字门槛——组织规模、评估范围、覆盖项目数不同，差异很大，一律以当期评估规则为准。

一、1 级：过程靠人，能交付但复制不了

审什么

1 级描述的不是"没做项目"，而是项目能做出来，但做出来的方式每次都不一样。同一个团队接两个同类项目，计划怎么排、估算怎么来、评审怎么开、版本怎么管，全看这次是谁在做、客户催得紧不紧。活能干完，但干法留不下来；出了事能救回来，救回来的办法也没人记，下个项目再救一遍。

所以这一级看的不是"有没有文件"，而是有没有稳定的管理动作：项目有没有一份执行中真被拿来对照的计划；估算有没有依据，还是先有交期再倒推工作量；进度与工作量有没有被定期看，偏差到什么程度会触发动作；需求变了有没有人评估影响、留下决定；工作产品有没有基线，改了什么能不能查；评审有没有真的提出问题并关闭。这些动作在 1 级组织里不是完全没有，而是有时有、看人、看项目——"初始"的含义就在这里。

谁适合

刚起步、项目少、先把活干完的团队，处在 1 级是正常的，不必为了"看起来规范"凑一套自己都不用的文件。业务以一次性定制为主、过程基本由客户定义、形不成同类项目复用的企业，也常停在这个状态。还有一类是自评下来发现"我们其实是 1 级"的企业：这时的正确动作是先把 2 级的管理动作做出来，而不是直接按 2 级申报、指望把材料补齐。

证据怎么组织

• 过程资产：可能只有零散模板，版本还不统一。如实说明哪些是公司要求、哪些是项目自己攒的，比临时编一套"公司标准"更经得起追问。
• 项目证据：计划与实际脱节、记录只有开工和结项两头，是这一级的常见形态。这些缺口本身就是现状，藏起来反而会在访谈里暴露。
• 人员：关键动作集中在少数骨干身上，岗位职责多为口头约定。访谈时问一句"换个人来做会怎样"，答案往往就是级别判断。
• 工具：工具按人使用、数据不汇总。能导出什么就提供什么，不必为了"像个 2 级"临时采购平台——买了不用，反而是新的破绽。

常见退回原因

1 级本身很少被"退回"，被退回的是1 级的状态按 2 级申报。常见的有四种：

• 计划是评估前补的。文件日期集中在一小段时间里，与项目实际节奏对不上，一眼能看出来。
• 估算没有依据。只有结果数字，没有规模、工作量、假设条件与历史参照，问一句"怎么算出来的"就空。
• 评审签字齐全但没有问题记录。所有评审都"一次通过"，恰恰说明评审没起作用。
• 配置管理只有文件夹。没有配置项识别、没有基线、没有变更记录，版本靠人名和日期区分。

二、2 级：把单个项目管住

审什么

2 级的关键词是"项目级"。它不要求全公司统一过程，但要求每一个被抽到的项目自己管得住。管得住的标志是四件事：有承诺、有计划、有跟踪、有纠正。顺着这条回路问下去，就是这一级的全部内容：需求进来有没有人确认范围与验收标准；计划怎么来，估算有没有依据、依赖有没有识别；执行中进度与工作量有没有被定期看，偏差到什么程度要动作；需求变了有没有影响分析、谁批的、计划与测试有没有跟着改；工作产品有没有基线，版本对不对得上；外购或分包部分有没有协议与跟踪。

和 3 级的分界也在这里：2 级证明"这个项目能管"，3 级证明"这个组织能复制"。所以 2 级允许十个项目十种写法，只要每种写法各自闭环；3 级才要求这些写法同源、可比、可裁剪。很多企业在这一步着急，2 级的回路还没跑顺就去做 3 级的文件，结果项目记录空心，一抽样就断。

谁适合

项目数量不多、项目类型差异较大、当下主要矛盾是交付不稳定的企业，2 级是对症的：先把估算、计划、跟踪、变更、配置这几件事在项目里做实。招标文件明确写 2 级的，按原文准备即可，不必自己加码。准备往 3 级走的，也建议把 2 级当管理底盘——3 级的组织级标准过程，本质上是把 2 级已经跑通的项目做法提炼上去。

可以往后放的：每个项目都是全新领域、没有同类复用；团队规模很小、一人兼完所有角色，此时先把基本管理动作补上，比申报更实际。

证据怎么组织

• 过程资产：项目级模板、方针与检查单即可，不要求组织级标准过程集。但模板要有版本、有人在用，不能只存在于共享盘里。
• 项目证据：项目计划与估算依据、进度与工作量跟踪记录、例会与周报、评审单与问题关闭记录、变更申请与影响分析、配置项清单与基线、问题与风险台账、结项材料。每个项目至少有一条从需求到结项的完整链。
• 人员：项目经理、需求、开发、测试、配置管理的角色要落实到人，签字人与实际做事的人一致。角色表上写了、记录里找不到同名同岗，是常见的对不上。
• 工具：项目管理、缺陷跟踪、配置管理工具要在产生真实数据，历史能导出。评估前一周集中录入的记录，时间戳会说话。

常见退回原因

• 计划与实际两张皮。计划是立项时写的，之后没更新；实际进度在另一张表里，两张表对不上。
• 估算是倒推的。先定交期，再倒推工作量，没有规模、假设与历史参照，也没有人复核。
• 评审只有签字。没有问题清单、没有责任人、没有关闭日期。签了字但没发生评审，等于没评审。
• 变更靠口头。需求改了，计划、测试用例、验收标准都没跟着改，配置库里的版本还是旧的。

三、3 级：组织级过程资产，项目按裁剪执行

审什么

3 级的核心是一条链能不能走通：这个项目的计划模板来自哪里；裁剪掉了哪些活动，依据裁剪指南哪一条、谁批的；执行中产生的评审、测试、变更、基线记录，能不能对上组织级流程的节点；这些记录里的数据，汇总到组织层面做了什么用。链走通了，这一级成立；任何一环答不上来，就是"组织级"和"项目级"断链。

再往里看三层。组织层：标准过程、模板、检查单、裁剪指南、角色职责、度量定义，有没有版本、生效日期、维护人。项目层：项目已定义过程是不是真的按裁剪指南生成，执行记录是不是按它跑。证据层：记录的时间跨度、密度、可追溯性，以及访谈时人能不能讲出"我当时为什么这么做"。这一级真正考的是一致性，也是它比 2 级难的地方——文件可以短时间内写出来，记录只能跑出来。

谁适合

多项目并行、同类项目反复交付、需要向客户证明"换一个项目组也能这么干"的企业，3 级是对症的。动因通常有四类：政府或国企供应商准入、大型企业供应商体系、投标资质需要、内部交付失控（延期、返工、人一走就断档）。第四类往往做得扎实，因为它是真问题驱动，不是为了拿一张证书。

可以往后放的：每单都是全新类型、没有可复用项目类型；团队规模很小，组织级过程资产的维护成本大于收益。这类企业先做 2 级更划算。

证据怎么组织

• 过程资产：组织级标准过程（方针、流程、模板、检查单）、裁剪指南、角色职责与任命、度量定义与收集方式、培训记录、过程符合性检查记录。每份文件都要有版本、生效日期、维护人，并且能在项目记录里被引用到。
• 项目证据：项目已定义过程与裁剪说明及审批、按裁剪后过程编制的计划与估算、需求与变更、各类评审、测试记录、配置与基线、问题与风险台账、度量数据、结项材料。建议覆盖不同类型的项目——新建、迭代升级、维护各一类，"标准过程能适配不同项目"才讲得通。
• 人员：过程改进、过程检查、项目经理、配置管理、度量这些角色要分开，且与在册人员一致。访谈对象得是真正做事的人，顾问代答在这里反而扣分。
• 工具：项目管理、配置管理、缺陷、度量工具要与流程节点对应，数据能按统一口径汇总。工具里跑出来的历史，比任何说明文档都有说服力。

常见退回原因

• 组织级与项目级断链。项目用的是部门自己那套模板，跟组织级标准过程没关系，也拿不出裁剪说明。这一级查的恰恰是这条链。
• 裁剪写成"全不裁"或"随便裁"。全不裁，说明裁剪指南形同虚设；随便裁，说明过程没有约束力。正确做法是每处裁剪都有理由、有审批、有记录。
• 日期倒挂。流程文件生效日晚于项目记录产生日，或者记录里出现"未来版本"的模板。这类硬伤一查一个准，也很难解释。
• 证据只有两头。项目计划与结项报告齐全，中间的评审、变更、测试、基线全空。抽样抽到中段就断。

四、4 级：量化管理，结果要能被预测

审什么

4 级的前提是 3 级真的稳：同类项目的过程已经统一，数据口径已经一致。在这个前提上，审的是数据能不能支撑判断。项目有没有量化目标，目标是不是从组织目标分解下来；估算与承诺是不是用基线做的，而不是拍；执行中过程数据有没有持续看，出现偏离时能不能判断是正常波动还是有特殊原因；判断之后有没有动作，动作之后有没有验证效果。

一句话对照：3 级能回答"我们按标准过程做"，4 级要能回答"按这个做法，结果大概会落在哪、为什么、这次偏差是不是可解释"。只有报表没有基线，只有基线没有模型，都还停在 3 级半——报表说明"发生了什么"，基线与模型才说明"接下来会怎样"。

还有一个容易走偏的地方：这一级不是"指标越多越好"。选三五个真正与交付结果相关、且能稳定采集的指标，把口径定死、数据攒厚，比铺二十个指标、每个只有一两个数据点要强得多。基线是跑出来的，不是开会定出来的。

谁适合

过程已稳定运行、有连续历史数据、交付结果需要可预测的企业：承诺的交期要能兑现、质量目标要能守住、成本要能算清。客户明确要求"用数据说明能力"的，也属于这一类。规模较大、多项目并行、同类项目足够多，才容易形成有意义的基线。

可以往后放的：3 级还没跑顺；项目类型差异过大，形不成同类基线；数据口径还没统一（同名指标在不同项目里算法不同）；组织里没有人能解释数据怎么来、怎么用。硬上这一级的结果，通常是一堆漂亮报表加一次访谈就露底。

证据怎么组织

• 过程资产：度量体系与指标定义（口径、采集点、采集频率、责任人）、基线构建与维护规则、模型说明与验证记录、量化分析的作业指导。定义要细到"这个数从哪个系统的哪个字段来"。
• 项目证据：项目量化目标及其与组织目标的对应、用基线做的估算与预测、过程绩效的连续数据、异常判断与原因分析、措施与效果验证。一条完整的链是"目标—预测—实际—偏差—分析—动作—复算"。
• 人员：度量分析角色与项目负责人要能解释"数据怎么来、异常怎么判断、动作依据什么"。问倒了，说明数据是给别人看的，不是给自己用的。
• 工具：度量平台或报表能回溯到原始记录；同一指标在不同项目、不同时期的算法一致。换了算法不说明，等于把基线作废。

常见退回原因

• 有报表没基线。只有单点数字，没有历史区间。没有区间，就无法判断"这个值算好还是算坏"。
• 基线是凑的。样本太少、口径不一，或把不同类型项目混在一条基线里，看起来有数，实际不能用。
• 模型没有验证。只有公式和相关系数，没说明适用范围与预测误差，也没拿实际结果回算过。
• 异常只写"已关注"。指标掉下去了，没有原因分析、没有措施、没有效果验证，量化管理就停在"看见"这一层。

五、5 级：持续优化成为常态

审什么

这一级不是"改得多"，而是改进成了机制：机会从数据与根因里来，不是从口号里来；改进有目标、有试点、有验证、有推广；改完之后过程资产更新、经验入库、别的项目能用。审的时候会顺一条完整的链问：这个改进项怎么被识别出来的（数据异常、根因分析、客户反馈、技术变化）？为什么选它，预期效果是什么？在哪个项目试点，试点与原做法怎么对比？推广到什么范围，推广后过程资产改了吗？效果有没有持续跟踪，还是改完就结束？

这里有一条界线要划清：修缺陷、补人手、换设备，属于执行层动作，不是过程优化。这一级看的是"做法变了、能力抬了"，不是"这次问题解决了"。同理，把"上了个系统"当成改进项也很常见——系统只是手段，没有目标、没有对比、没有效果数据，就证明不了优化。

谁适合

过程与数据都成熟、交付能力本身构成竞争力、需要持续提升质量与效率的组织。这类企业通常已经有稳定的过程改进角色，改进不是临时项目组的事，而是日常机制的一部分。也有企业是因为客户要求或行业地位需要往 5 级走，这种情况要先把 4 级的基线跑稳，否则 5 级没有可对比的"改进前"。

可以往后放的：4 级数据还不稳；把 5 级当"级别好看"；没有改进负责人，改进靠临时抽调。级别不是越高越好，这一级要的是持续投入，不是一次冲刺。

证据怎么组织

• 过程资产：改进流程与根因分析方法、试点与推广规则、经验库与复用机制、改进后的过程资产版本与变更记录。改进要改到文件上，否则下个项目还是老做法。
• 项目证据：改进项从识别到验证的完整链、试点项目与实际做法的对照数据、推广范围与执行记录、改进效果的持续跟踪。一个改进项一份档案，比一份汇总报告更有说服力。
• 人员：改进负责人、试点项目组、推广责任人，三类角色要能对应到具体改进项。谁提的、谁试的、谁推的，都要有人。
• 工具：数据分析与经验库要支持改进前后对比；工具本身的变更也要作为改进项验证，而不是当成成果展示。

常见退回原因

• 把"上系统、买工具"当改进。没有目标、没有对照、没有效果数据，只是换了个手段。
• 只有改进清单没有验证。改了什么、改成没有、谁验证、什么时候关闭，答不上来。
• 前后口径不同。改进前一套算法、改进后另一套，数字好看了，但不可比，等于没证明。
• 试点成立、推广不了。只在配合度高的项目组有效，换个项目就回到老做法，说明改进没有进入过程资产。

六、和 CMMI 的关系：同方向、两条路

这是被问得很多、也容易在客户面前说错的一组。两个体系都在看软件开发与交付的过程能力，评估逻辑也相近——都要看过程定义、都要看项目证据、都要由评估人员判断。但它们是两个独立体系，归属不同、实施主体不同，证书互不替代。

能共用的部分：大量底层工作是同一批东西——过程定义、项目计划与评审记录、测试与缺陷数据、度量口径、复盘机制。这些本来就是同一套研发运行数据，做第二个体系时不必从零再来。所以实务里常见的顺序是"先跑通过程，再按需申报"：过程先规范化，证据自然就有；反过来先定证书、再补过程，通常更慢。

不能混的部分：两个体系的条款结构、证据要求、评估组织方式各自独立，材料要按各自规则准备，不能把一套材料改个封面就交上去。更不要对客户说"我们有 CMMI，等于有 CSMM"——这句话在评标现场站不住，也会让甲方怀疑你对资质的理解。两套体系的等级不能按序号硬对应：各自分级、各自判定，别在标书里做"换算"。CMMI 那一侧的分级逻辑可以对照 CMMI 五级拆解 看，差异会更直观。

七、升级路径与常见规划顺序

升级不是"再交一次材料"，而是上一级要求的证据已经连续存在。这句话决定了规划顺序：先把低一级的动作跑成习惯，让记录长出来，再谈高一级。下表说的是每上一层，真正多出来的能力与要先备好的证据。

规划顺序上，常见的做法是这条线：

1. 定范围。先说清组织单元是谁、覆盖哪些项目与人员。范围定不下来，后面所有证据都没有归属。
2. 盘现状。盘项目类型、现有流程、现有记录、工具在产生什么数据，对照目标等级找差距。差距要落到"哪个动作没有、哪份记录缺失"，不是"文档不够多"。
3. 定目标等级。以客户或招标文件原文为准，不要按行业惯例猜，也不要"听说同行都在做"就跟着上。
4. 建或补过程资产。先建标准过程与裁剪指南，再谈项目执行；顺序倒过来，就是先写记录再补制度。
5. 选项目真跑。挑愿意让人翻个底朝天的真实项目，按新过程跑出成串记录。刚启动、还没产生过程记录的项目，不适合当样本。
6. 做组织级汇总与检查。度量按统一口径汇总，过程检查核执行与标准的一致性，不符合项要闭环。
7. 就绪检查后再排评估。文档与证据预检、列缺口、补证，然后才是现场。

关于"能不能跳级"，有四句判断值得记住：

• 成熟度等级是累加的。高等级以低等级动作的制度化为前提。跳级申报在证据上的表现，就是低等级的动作缺失——抽样一抽就露。能否受理、如何判定，以评估机构当期评估规则为准。
• 直接以 3 级为目标可以，但要有底盘。已有管理体系的骨架、项目管理与配置管理工具在真实运行、项目类型集中的企业，可以把 3 级当目标。但要清楚：ISO 的体系文件不能直接当 CSMM 的过程资产，项目过程记录也不能共用——一个查控制措施怎么落，一个查项目怎么跑。两者的关系可以对照 ISO 27001、ISO 20000 两页看。
• 级别不是越高越好。4 级、5 级要的是量化管理与过程优化数据，对度量体系的要求是另一个量级。没有连续数据积累硬上，投入产出不划算，反复补材料也很消耗团队。
• 拿到结论不是终点。评估结果有有效期，到期需按规定再评估；期内过程停摆、记录断档、核心人员流失，下一次基本等于重来。有效期与再评估要求以当期规定为准。

八、行动清单：按级对号，再决定报哪一级

看完五级，落到动作上其实是一条线。顺序别颠倒——先定范围，再盘现状，再定级别，然后才谈文件和评估。

• ⬜用一句话写下你主要交付哪类项目（自研产品、定制开发、系统集成、行业解决方案），以及这类项目的典型过程
• ⬜列出候选项目，只保留本企业真实承接、且能拿出完整过程记录的项目，标出每个项目的起止时间与参与人
• ⬜对照 2 级问四个问题：有估算依据吗、有计划与跟踪吗、变更有人批吗、配置有基线吗——四个都答"有"，再往上看 3 级
• ⬜对照 3 级问三个问题：组织有标准过程吗、项目有裁剪说明与审批吗、度量能按统一口径汇总吗
• ⬜对照 4 级问两个问题：同类项目有历史区间吗、指标掉了能判断原因并采取动作吗
• ⬜对照 5 级问一个问题：过去一段时间的改进，有没有试点、对照、推广、资产更新四样都齐的案例
• ⬜核对签约主体、执行主体、人员劳动关系是否同一主体，跨主体的部分先处理掉
• ⬜建立项目主数据表（名称、起止时间、参与人、规模与工作量、交付物），全篇以此为准，杜绝两个版本
• ⬜检查时间顺序：过程资产生效日是否早于项目记录产生日，模板版本号有没有出现"未来版本"
• ⬜确认目标等级来自客户或招标文件原文，并安排能讲清过程的人在访谈时到场，而不是全交给外部顾问

五级拆到这一步，其实是同一句话的五种说法：你做项目的方式，到了哪一层可被复制的程度。1 级靠人，2 级靠项目管理，3 级靠组织定义，4 级靠数据说话，5 级靠机制演进。级别选对了，材料是整理；级别选高了，材料是重做——而整理与重做之间的差别，往往就在你有没有在动手之前，把"这一级到底审什么"想清楚。

▍不确定自己现在处在哪一级、或者该不该往上一级走？留言备注"CSMM 分级自测"，我发你一份按五级归档的证据对照表。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律或评估结论；等级划分、评估方法与判定要求以评估机构当期评估规则为准