DCMM 评估全流程：准备什么、卡在哪

先说结论：DCMM 评估的难点不在写材料，而在"你说的和你做的是不是一回事"。评估看的是证据——制度文件、流程记录、平台与工具、数据资产目录、实际运行数据。材料可以把话说得圆，证据链会把它戳破：制度里写的审批节点，系统里有没有对应环节？目录里列的那张数据表，库里查不查得到？报表上的指标口径，和制度里的定义对不对得上？这三问答不上来，材料写得再厚也只是一摞文档。

DCMM（数据管理能力成熟度评估）把企业的数据管理能力分成 5 个等级（1 初始级、2 受管理级、3 稳健级、4 量化管理级、5 优化级），覆盖 8 个能力域：数据战略、数据治理、数据架构、数据应用、数据安全、数据质量、数据标准、数据生存周期。评估由具备资质的评估机构实施，通常先做自评或差距分析，再进入正式评估。

这篇按"先定级 → 八个域怎么落到部门 → 自评怎么做 → 正式评估看什么 → 材料清单 → 周期与投入 → 返工点 → 与 DSMM / ISO 27001 怎么组合"的顺序讲。费用、周期、审核人日一律不给数字，以评估机构评估为准。

一、先定级：为什么多数企业瞄准 3 级

级别这件事，先看要求从哪来：招标文件、集团考核办法、或者数据资产入表的内部要求。要求写了几级就往几级准备；没写明的，按 3 级准备通常是务实的选择。

3 级之所以是分水岭，在于它证明的东西不一样：1-2 级证明"有人在管"，3 级证明"组织在管"——有统一的制度体系、有落到岗位的数据认责、有跨部门跑得通的流程、有能查得到时间跨度的运行记录。1-2 级在投标中加分有限，原因不是级别低，而是它说明的事情太少：某个部门有制度，换个部门就未必成立。

两点提醒。其一，级别不是越高越好。4 级、5 级要的是量化指标与持续优化的证据，没有几年的数据积累硬上，投入产出不成比例。其二，任何机构都不应提前承诺你能达到几级——能否达级由评估机构按评估规则独立判定，本文也不对结果作任何承诺。

二、八个能力域怎么对应到部门

这一节是落地时被问得很多的：8 个域听起来像 8 个部门的事，实际往往只有一两个人在推。先做一张对照表，把域落到部门和证据上，责任才分得下去。

表格的用法要说明白："主责部门"是责任落点，不是组织架构建议。多数企业的实际格局是——数据治理与数据标准由数据管理或数字化条线牵头，数据架构、数据安全、生存周期压在 IT，数据应用在业务侧，数据质量两边共管，数据战略由分管领导拍。怎么分以本企业现行职责分工为准，但每个域要有一名明确的对接人，哪怕是兼职。

还要提醒一句：8 个域都要有交代。可以写得轻，不能空白。只做数据治理和数据安全、其余六域一字不提，评估时会被问到"另外几个域怎么考虑的"——答"我们还没做"也是一种答案，但要能说明边界和计划，而不是被发现漏了。

三、自评/差距分析怎么做

自评不是给自己打分发奖，是找缺口。做法上分三步：

1. 定范围。哪些业务、哪些系统、哪些组织单元纳入本次评估。范围定得大，要补的证据就多；范围定得太小，又支撑不起"组织级"的判断。
2. 逐域对照。8 个域逐条问三句话：我们现在有没有成文的规定？有没有在跑？跑的过程留下什么记录？三句都答"有"，再加一句：证据在哪、谁拿得出来。
3. 出差距清单。差距按性质分类，因为不同类的补法、见效节奏完全不同——这才是自评真正的产出。

自评报告里有一个常见的失衡：8 个域全写"基本符合"，一条真差距都没有。这种自评到了正式评估现场，一抽样就掉——不是因为水平不够，而是因为自评没起到"提前发现问题"的作用。反过来，自评找出二三十条真差距，每条配上补法、责任人和目标时间，这份自评才是有用的东西。

另外，差距分析的口径要与评估机构对齐。同一条要求，不同评估人员看的角度可能有差异；自评阶段就把判断口径、抽样范围、证据形式问清楚，比现场解释省力得多。具体要求以承担评估的机构当期评估规则为准。

四、正式评估看什么证据

正式评估通常分两段：先做文件评审，看材料齐不齐、彼此对不对得上；再进现场做访谈、抽样和系统查验。看的东西集中在五类。

现场这一段值得单独说：评估会问人，而且问的是真正在做这件事的人。数据治理的会谁主持、多久开一次、上次议了什么；质量检查发现的问题怎么整改、谁验的收；某个指标的口径为什么这么定——这类问题靠背材料是过不了关的。

关于独立性：咨询和评估是两个角色，帮你建体系的人，不应同时是出评估结论的人。遇到"我们自己评、结果心里有数"这类说法，先问一句：出结论的是哪家机构、它的评估资质在哪查。评估机构的名单与资质范围以主管机构公布的当期信息为准，本文不列名单。

五、材料清单：按"能被三处引用"来准备

材料不是越多越好，判断标准只有一条：一份材料能不能同时被制度条款、系统记录、运行台账三处引用。能闭环的才算数，孤零零的一摞文件堆在一起并不加分。

准备顺序建议倒着来：先盘现有记录，再补制度，后补平台。先看数据实际怎么跑、留下了什么，再回头把制度写成"我们已经在做的事"，材料才不会两张皮。反过来先写制度、再找记录凑，是返工常见的起点。

六、周期与投入构成

整个流程大致是这么走的，前四步在企业内部，后四步是评估方介入的部分：

周期这里不报月数，原因很实在：它取决于四件事——纳入评估的业务与系统范围有多大、现有制度与记录的基础如何、需要积累多长时间的运行记录、以及评估方的排期。基础好的企业差距小、补的东西少，节奏自然快；从零起步的企业，光"让制度真的跑起来并留下记录"这一步就省不掉。具体排期以评估机构的评估安排为准。

投入通常由四块构成：评估相关费用（由评估机构按其规则收取，与评估范围、企业规模相关）、咨询辅导费用（自评、制度梳理、材料准备、访谈演练）、内部人力投入、以及必要时的工具采购。各项金额以评估机构与服务机构的报价为准，任何提前给出的固定数字都值得先核实一下口径。

容易被低估的是内部人力。这类工作通常需要一名牵头负责人（数据管理或数字化条线）、8 个域各一名对接人、以及 IT 侧的配合人，在准备期内持续投入，而不是全权外包给顾问。内部人力到位的程度，往往比选哪家机构更影响进度——因为访谈那一关，顾问替不了。

七、常见返工点

• 制度是"借来的"。模板痕迹重，部门名称、系统名称、审批层级与本企业不符。评估方一看就知道这套东西没在本企业落过地。
• 制度与执行两张皮。制度写了三级审批，系统里只有一级；制度要求质量检查每月一次，工作台上翻不到检查记录。这是被问得较多的一类。
• 数据资产目录是"编"的。目录里的表在系统里查不到，字段名和库里对不上，认责人不知道自己被认责了。目录是要被抽查核对的东西，不是装饰。
• 日期倒挂。制度发布日晚于执行记录的产生日，或者记录里出现了尚未生效的版本号。这类硬伤很难解释。
• 只做了三个域。数据治理、数据安全、数据质量写得厚，其余五个域空白。缺的不是深度，是覆盖面。
• 把自评当结论。自评全项达标，正式评估一抽样就掉。自评的价值在于提前发现，不在于好看。
• 全交给外部做。顾问比员工还熟，员工答不上"这条数据质量规则是谁定的、多久跑一次"。访谈对象得是真的做事的人。
• 拿证就停。评估结论有适用范围和时效，之后机制停摆、记录断档，下次复评等于重来一遍，前一次投入就白花了。复评与维持的具体要求以发证机构当期规定为准。

八、和 DSMM、ISO 27001 怎么组合

这三个经常出现在同一份数据类项目的投标文件里，但查的是三件不同的事，互不替代。

实操上有三条经验：

• DCMM 与 DSMM 可以组合，交叉点在"数据安全"这个域。两套评估对数据分级分类、权限控制、审计留痕的要求有重叠，制度可以共用一份底稿；但评估口径要分别做——DCMM 看的是数据安全在数据管理体系里的位置，DSMM 看的是安全能力本身的成熟度。同一批记录支撑两个结论，省的是重复劳动，不是重复取证。
• ISO 27001 是另一个维度，别当成 DCMM 的替代。ISO 27001 管的是信息资产的风险与控制措施，能覆盖数据安全的一部分证据，但它不涉及数据标准、数据质量、数据架构、数据生存周期的管理成熟度。反过来说，做过 ISO 27001 的企业，数据安全域的分级分类、权限矩阵、审计日志可以直接复用，起步会轻一些。
• 顺序按招标时间倒排，不按"体系完善度"排。如果标书里 DCMM 是准入项、ISO 27001 是加分项，就先保 DCMM；如果两者都是准入项，通常先做 ISO 27001 打体系骨架（方针、文件控制、内审、纠正措施），再往 DCMM 的能力深度上补，复用度更高。

至于某一单招标到底要哪几张、要哪一级，以招标文件原文为准，不要按行业惯例猜。ITSS、CMMI、DCMM、CSMM 几者的定位差异，这一篇有对照；数据管理的概念与等级说明，可以看DCMM 百科页；体系类认证的整体地图在体系认证总览，信息安全侧见 ISO 27001 与 ISO 20000。

行动清单

启动前按顺序过一遍，每条都能给出具体答案再往下走：

• ⬜ 我能说清 目标等级来自哪里——招标文件、集团考核办法还是内部要求，原文写了什么
• ⬜ 我知道本次评估纳入哪些业务、系统、组织单元，范围画得出来
• ⬜ 8 个能力域每个都有一名对接人，而不是全压在一个人身上
• ⬜ 我们做过一轮自评或差距分析，能拿出二三十条具体差距，而不是全项达标
• ⬜ 我们有一套覆盖 8 个域的制度文件，有版本、有生效日期、与本企业架构对得上
• ⬜ 我们有数据资产目录，且目录里的表和字段能在系统里核对到
• ⬜ 我们有平台或工具在产生真实数据（元数据、质量、权限、审计），不只是采购过
• ⬜ 我们准备了能被访谈的人：治理牵头人、各域对接人、以及能讲清投入的高层
• ⬜ 我清楚 DCMM 与 DSMM、ISO 27001 的先后顺序，以及哪些材料可以共用
• ⬜ 我知道结论有适用范围与时效，并且愿意在之后维持机制与记录

十条里能打勾的不到五条，说明现在还不是约评估的时候——先把制度、目录和运行记录补起来，比先约现场再补证快得多。盘不清的地方，也可以直接联系我们逐条过一遍。

结语：先把证据跑出来，再谈等级

DCMM 评估真正考的是一致性：制度说明"应该怎么做"，系统说明"实际怎么流转"，记录说明"真的这么做了"，访谈说明"做的人知道为什么这么做"。四样串起来，能力就成立；少一样，就得回到业务现场去补。

所以顺序是：先定级和范围 → 再自评找差距 → 补制度与数据资产 → 让机制真的跑一段、把记录长出来 → 才谈评估排期。反过来做，材料写得再完整，也顶不住现场那一轮访谈和抽样。

▍不确定该不该做、或者想知道 DCMM 和 DSMM、ISO 27001 怎么排顺序？留言或私信我，备注"DCMM 自评"，我发你一份逐域对照清单。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律或评估结论；等级划分、评估程序、机构受理范围、费用与周期以主管机构当期文件及承担评估的机构要求为准