DCMM 五级逐个拆：每一级审什么、要什么证据

五级速览

先看全局。这张表的用法不是"挑一级去申报"，而是对照自己手里的制度和记录，看哪一行的状态描述和你现在的样子重合。重合的那一行，就是你真实的起点；比它高一行，才是你下一个目标。

1 级初始级：能证明的只有"问题来了有人处理"

审什么

初始级的典型状态是被动响应：业务提需求、系统出故障、监管要报表，才有人动手；没有成文的数据管理制度，没有固定的数据责任人，跨部门的事靠临时协调。评估在这一级看的不是制度文本，而是可重复性——数据相关的事由谁在什么情况下处理、处理方式是否稳定。答案通常是"每次不一样"，这就是初始级的准确画像。

再往里一层，看的是边界是否清楚：企业知不知道自己有哪些数据、放在哪些系统里、哪些环节完全没人管。这个阶段的材料价值不在"证明能力"，而在"把现状说清楚"。说得清楚，后面的差距分析才有起点；说不清楚，往上走的每一步都会踩空。

谁适合

数据量不大、没有外部采信场景、刚开始盘家底的企业；集团要求先做基线摸底、暂不追求等级的下属单位；以及准备分阶段推进、先把现状与缺口写明白再立项的组织。以 1 级作为申报目标的实务需求并不多，因为它在投标与考核里能说明的事情有限——不是级别低，而是它证明的东西太少：谁碰上谁处理，换个部门就未必成立。

证据怎么组织

• 制度：这个阶段多数企业没有独立的数据管理制度，能找到的是信息安全制度、IT 运维制度里零散提到数据的条款。不必硬凑，按"已有的、缺的、边界在哪"三列整理成一张对照表，比凑一份制度有用。
• 流程记录：工单、故障处理单、临时协调的邮件与会议纪要。价值在于能看出问题类型与处理方式，不在于齐全；一条讲清"谁发现、谁处理、结果如何"的记录，胜过一堆勾选表。
• 平台工具：数据库、报表工具、备份工具这类基础工具。登记用途、责任人与使用范围即可，不必包装成"数据管理平台"——名不副实的描述在现场一问就破。
• 数据资产：系统清单与主要业务表清单。这个阶段通常没有分级分类，也没有认责到岗，如实标注比勉强补一栏更有说服力。

常见退回原因

• 把"上了系统"当成"做了数据管理"。材料全是系统清单与功能介绍，找不到一个具体的管理动作，无法支撑任何判断。
• 所有事情都写"由信息部门负责"。没有岗位、没有名字、没有分工，核查时问一句"这件事谁做的"，链条就断了。
• 问题处理不留痕。只能靠回忆叙述，材料讲得再生动，也无法被追溯与核对。
• 把 2 级甚至 3 级的制度整套搬来套在 1 级上。这一级尤其忌讳"拔高"：制度写着例会每季度开一次，却拿不出任何一期纪要，反而把真实的起步状态也弄丢了。

2 级受管理级：从"谁碰上谁处理"到"有人负责、有章可循"

审什么

2 级审的是局部范围内的受控状态：关键数据活动有人管——数据录入有规范、报表有归口、权限开通有人批、质量问题有人跟。评估会看三件事：规定是否成文、责任人是否明确、动作是否在固定范围内稳定重复。三者都成立，这一级就站住了。

同时会看跨部门的部分：同一份数据在两个部门之间流转时，口径、责任、争议处理有没有约定。多数 2 级企业在这里断掉——不是没人管，而是各管一段，接缝处没人管。这也解释了为什么 2 级的材料常常是"每份都合格、合起来对不上"。

谁适合

已有部门级数据管理规定、设了数据管理员或数据归口岗的企业；业务系统较成熟、数据量开始影响日常运营的组织；把 2 级当过渡、计划在一段时间内往 3 级走的单位；以及集团下属单位只需证明本单位局部管理成立的情形。需要提醒的是：如果外部场景要的是组织级能力证明，2 级往往不够用，与其在 2 级反复打磨材料，不如把力气放在跨部门机制上。

证据怎么组织

• 制度：部门级管理办法、岗位职责说明、操作规范。它们通常只在本部门内被引用，缺少与组织级制度的衔接，整理时要标出适用边界——写清"本办法适用于某部门"，比含糊地写成全公司规定更经得起问。
• 流程记录：部门内的审批单、检查表、问题清单、月度报表。覆盖范围有限、时间跨度往往不长，这正是与 3 级差距明显的部分；补齐时先拉长周期，再谈扩范围。
• 平台工具：部门自建的报表、单点工具或某个系统里的模块。能出数据，但缺少跨系统的统一视图，登记时要写清它覆盖哪些数据、不覆盖哪些。
• 数据资产：部门级台账、系统内数据字典、局部的主数据清单。认责一般到部门，未落到岗位——这一栏的粗细，往往直接决定能不能往 3 级走。

常见退回原因

• 部门级制度在申报表里被写成"组织级制度"。现场一问其他部门是否执行，答不上来，整份材料的可信度随之下降。
• 认责停在部门一层。清单写着"财务部负责财务数据"，问具体谁负责、谁签过字，找不到人；被认责的人也不知道自己被认责。
• 记录覆盖期短、集中在评估前一段时间。看不出机制在持续运行，只像是为这次评估集中补的。
• 同一指标在不同部门报表里算法不同，材料里回避不提。访谈时两份报表一对照就暴露，而这类问题本来应该在准备阶段就处理掉。

3 级稳健级：从"有人管"到"有制度、有流程、有执行记录"

审什么

3 级审的是组织级机制是否在运行：统一的数据管理制度体系是否建立并被执行；八个能力域是否都有交代（可以写得轻，不能整段空白）；数据认责是否落到岗位和人；跨部门的数据争议是否有明确的裁决路径；数据工作是否进入部门考核；运行记录是否有跨月跨季的连续性。

现场通常用三种手段交叉验证：文档审查看材料齐不齐、彼此对不对得上；人员访谈问真正在做这件事的人；系统抽样现场点开看。三者指向同一件事——文件上写的流程，和业务人员嘴里的流程，是不是同一个流程。是，能力就成立；不是，材料越厚越像另一家公司的东西。

谁适合

政府与央企数据类项目投标、准备数据资产入表、集团数字化考核、内部数据治理长期推不动的企业。多数企业把 3 级作为现实目标，原因很实际：它既对应常见的采信门槛，又不需要多年量化积累。也要说清一点：如果内部连跨部门例会都开不起来、认责清单签不下去，那说明差距在执行层，先把机制跑起来比先约评估省力得多。

证据怎么组织

• 制度：总纲、分域办法、操作细则三层，彼此引用得上；有版本、有生效日期、有发布与宣贯记录。判断标准不是页数，而是层次与衔接——八份彼此不提对方的文件，等于八份孤岛。
• 流程记录：治理例会的议题与决议跟踪、认责清单签字、质量问题的发现与闭环台账、权限申请审批与定期复核、标准贯标检查。记录看的是连续与闭环，不是数量；跨月的、已关闭的条目才有分量。
• 平台工具：元数据、主数据、质量、权限与审计类工具，要能现场查出运行记录与操作日志。只有采购合同和界面截图的，只能证明"买过"，不能证明"在用"。
• 数据资产：数据资产目录与系统能逐一核对，分级分类落到表与字段，认责到岗位，共享与开放有清单和调用记录。这一项是被抽得较多的，目录"编"得再整齐也过不了现场那一次点开。

常见退回原因

• 只做治理、安全、质量三个域，其余五个域空白。缺的不是深度，是覆盖面：材料里整段找不到架构、应用、标准、生存周期的交代，整体判断就上不去。
• 制度是借来的模板，且日期倒挂。部门名称、系统名称、审批层级与本企业对不上；或者制度发布日晚于执行记录的产生日、记录里出现尚未生效的版本号。这类硬伤很难解释。
• 数据资产目录是拼的。目录里的表在系统里查不到，字段名与库表对不上，被认责的人不知道自己被认责——三处只要有一处对不上，这一项就归零。
• 记录集中在近一两个月，访谈对象答不上"为什么"。能背出制度条款，但说不清上次例会讨论了什么、某个指标口径为什么这么定，机制的真实性就存疑。

4 级量化管理级：从"机制在跑"到"跑得怎么样能被测量"

审什么

4 级审的是量化管理能力：是否建立了覆盖数据管理过程与效果的指标体系；指标是否有明确定义、取数口径、基线值与目标值；是否有周期性的度量与评审；出现偏差时是否有原因分析与纠正动作，纠正之后是否复测；量化结果是否真的被用于资源分配、优先级排序与考核。

还要看量化的覆盖面。只在一两个域有指标、其余域仍靠定性描述的，通常撑不住这一级——因为这一级考的是"用数据管数据"，而不是"某个域做了统计"。判断落点可以简化成一句：换一个人接手，能不能靠这套指标判断现在哪里出了问题、该先动哪里。能，量化就成立；不能，指标只是报表。

谁适合

已经稳定运行一段时间、手里有连续记录与指标沉淀的企业；集团考核明确要求量化证明的单位；数据资产入表需要说明质量水平与管理过程的组织；以及数据已经进入经营决策、需要讲清投入产出的企业。以 4 级作为首个评估目标，实务中很少见，也不建议——指标要有历史才有趋势，趋势要有机制才有意义，这个顺序颠倒不过来。

证据怎么组织

• 制度：指标管理办法、度量与评审机制、阈值设定与偏差纠正规则、数据管理工作的考核办法。要能看出指标由谁定、多久评一次、偏离了怎么办——这三问就是制度是否可执行的检验。
• 流程记录：指标台账、周期性度量报告、偏差分析与纠正记录、改进项跟踪与复测结论。单期报告说明不了量化能力，趋势与前后对比才有意义。
• 平台工具：指标平台、监控看板、质量规则引擎等，能导出历史趋势与告警记录。工具里有数据、有阈值、有触发痕迹，才算支撑；只有一张漂亮的驾驶舱截图，不算。
• 数据资产：指标库与业务口径的映射、质量度量的历史结果、按域拆分的量化结果，且与对外报表口径一致。同一指标在制度、平台、报表三处必须是同一个数。

常见退回原因

• 只有结果指标，没有过程指标。数字好看，但说不清是靠什么机制得到的，也就无法证明"可调控"。
• 有数字没有判断标准。没有基线、没有目标值、没有阈值，量化退化成"报数"；目标值频繁调整又无变更说明的，更经不起追问。
• 数据只有一期或两期，画不出趋势。度量是否持续无法证明，量化管理的"管理"二字就落空了。
• 指标口径三处不一致，或量化只覆盖少数域。同一个指标在制度、平台、报表里三个数；其余域仍是定性描述，整体上不成立。

5 级优化级：从"能控制"到"能自我改进并向外输出"

审什么

5 级审的是持续优化机制是否成熟：是否有组织级的改进路径（立项、试点、评估、推广）；是否有知识管理与方法资产化的安排；数据能力是否与业务创新形成循环——业务提出新场景，数据能力支撑，产出的结果反过来推动能力升级；是否有对外输出的可核查痕迹，比如方法发布、对外培训、标准与规范工作的参与。

还要看改进是否被复用。做完就停在项目里、换个团队又要重来一遍的，是项目成果，不是组织能力。这一级的判断可以落在一句话上：去年做过的一次改进，今年有没有变成别人可以直接拿来用的东西。有，循环就成立；没有，优化还停留在点的层面。

谁适合

数据能力已经成为业务竞争力、并且对外提供数据产品或数据服务的企业；承担行业方法沉淀、参与标准与规范工作的组织；集团内部承担方法论输出与赋能角色的总部单位。多数企业不宜把 5 级作为目标，它的准备投入与 4 级不在一个量级，且驱动力通常不是投标——如果外部场景只要求 3 级，把 4 至 5 级的投入放在业务侧，产出更直接。

证据怎么组织

• 制度：持续优化机制、创新与改进项目的立项与验收办法、知识管理与方法资产化规定、对外输出（培训、方法发布、标准工作参与）的管理要求。要能看出改进有入口、有评审、有退出标准。
• 流程记录：改进项目组合与复盘、试点到推广的记录、知识库更新记录、对外培训与方法发布的凭证、被外部采用或引用的说明。判断标准是机制产出，不是偶发的亮点。
• 平台工具：支撑实验、模型与算法治理、能力复用的平台，能看出同一项能力被多个业务调用与迭代；工具的价值在于让复用成为默认选项。
• 数据资产：方法资产库、可复用的组件与模板、跨业务的数据产品目录，以及它们被使用与迭代的记录。这一栏是 4 级与 5 级在证据形态上差别明显的地方。

常见退回原因

• 把"用了新技术"当成"实现了优化"。材料是技术清单与架构图，没有改进机制、没有效果验证、没有推广，优化无从成立。
• 改进是零散项目。做完就结束，没有立项标准、没有复盘、没有复用，换个团队又重来一遍。
• 方法沉淀在人身上。知识库是空的或长期未更新，核心方法只存在少数人的经验里，人一动就断。
• 对外输出只有宣传稿，且量化基础不牢。拿不出培训记录、发布物、被采用的说明；或者 4 级的指标与历史数据都没站稳就报 5 级，"持续改进"缺少可比较的起点。

跨等级共用的证据：一份底座，逐级加厚

八个能力域摊开看，有一批材料是每一级都要用的。差别不在"有没有"，而在厚到什么程度、能追到多深。把这批材料做成一套底座、逐级加厚，比每级重新组织一遍省力得多，也更容易保持一致。

底座之所以能复用，是因为它回答的是同一组问题，只是深度不同。可以把加厚的过程理解成四层：

共用不等于照搬。有三条纪律，违反任何一条都会在核对时暴露出来：

1. 同一数据只有一个版本。组织名称、系统名称、岗位名称、数据项名称、时间节点，在制度、目录、台账、报表里必须完全一致。差一个字，就要花时间去解释；差一个日期，可能直接变成硬伤。
2. 同一份制度，要指到这一级关心的深度。同一份《数据质量管理办法》，2 级引它证明"有规定"，3 级引它证明"规则成库、问题闭环"，4 级引它证明"度量与阈值可执行"。条款是同一条，要证明的事情不同。
3. 升级时不要把上一级的叙述整段搬上去。3 级的材料讲"我们开了多少次会"，4 级的材料要讲"这些会改变了哪些指标"。同一批记录可以用，但引用的角度必须换——角度不换，看的人会认为你没有往上走。

升级路径：别跳级

五个等级是一条连续的坡，不是五个可以随便挑的标签。跳级申报在实务里很难成立，原因不复杂：高一级的要求，通常以低一级已经落地为前提。4 级的指标要有 3 级的机制在跑才有意义，5 级的改进要有 4 级的度量才有比较的起点。没有下面的层，上面的层就悬着。

跳级失败的断点，其实就四个，位置很固定：

所以路径建议是这样走的，顺序别颠倒：

• 先补覆盖面，再补深度。八个能力域都要有交代，可以写得轻，不能整段空白。五个域空白、三个域写得很厚，缺的是覆盖，不是深度。
• 先让机制跑够周期，再谈排期。记录要跨月甚至跨季，才说明机制在持续，而不是为评估集中补的。这一步省不掉，也急不来。
• 先有指标基线，再谈量化。指标定义、取数口径、基线值三样齐了，度量才有意义；否则只是把报表换个说法。
• 先有改进机制，再谈优化。改进要有入口、有评审、有推广、有复用；零星做成几个项目，不等于具备优化能力。

还有四句判断值得记住：

• 级别看的是能力状态，不是成立年限。公司开了十年但机制单薄，不会因为"老"就够 3 级；反过来，成立不久但机制跑得扎实的企业，也可能走得比预期快。
• 升级不是换赛道。某个域做不顺，换一个域解决不了证据问题；等级之间是深度差别，不是方向差别，材料要接着做，不是重做。
• 不要为升级重做一套材料。底座是同一套，逐级加厚；每级都推倒重来，耗掉的是内部人力，而内部人力往往比选哪家机构更影响进度。
• 拿到结果之后要维持。结论有适用范围与时效，机制停了、记录断了，下次复评等于重来一遍，前一次的投入就白花了。复评与维持的具体要求以发证机构当期规定为准。

行动清单：先定位，再补层

看完五级，落到动作上是一条线。顺序别颠倒——先定位自己真实在哪一级，再找缺口，再补机制，然后才谈材料。

• ⬜用一句话写下现在的真实状态（是"谁碰上谁处理"、"部门有人管"、"组织级在跑"，还是"有指标在度量"），别按希望写，按能拿出证据的写
• ⬜把目标等级的来源找出来：招标文件、集团考核办法还是内部要求，原文写的是几级，什么时间要
• ⬜八个能力域逐个标状态：空白 / 有制度无记录 / 有记录无指标 / 有指标无趋势，四档比"基本符合"有用得多
• ⬜确认每个域有一名对接人，不是一个人扛八个；访谈那一关，顾问替不了
• ⬜检查记录的连续性：抽一个域，看台账与纪要能不能覆盖跨月甚至跨季，全挤在近两个月的先补运行
• ⬜检查认责的深度：清单是到部门还是到岗位到人，被认责的人是否签过字、是否知道自己被认责
• ⬜把数据资产目录与系统对一遍：随机点三张表，看能不能查到字段含义、来源系统与责任人
• ⬜如果要往 4 级走，先写出指标清单与口径，再看有没有基线；没有基线的指标，先跑两个周期再谈
• ⬜如果要往 5 级走，先翻知识库与改进台账：去年的改进有几项被别的团队用起来了
• ⬜提交前做一次横向核对：人名、系统名、岗位名、日期在八份材料里是否一致，有没有日期倒挂

五级拆到这一步，其实是同一句话的五种深度：你在数据管理上真的做到了哪一步，材料就要能把它讲到别人可以核查。级别不是选出来的，是长出来的——制度长出流程，流程长出记录，记录长出指标，指标长出改进。想跳过的那些层，现场都会回来找你。

DCMM 与 DSMM、ISO 27001 怎么排顺序、材料哪些可以共用，评估全流程那篇讲得更细；数据安全专项看 DSMM 实务；信息安全管理体系见 ISO 27001、ISO 20000 与 CCRC 信息安全服务资质；体系类认证的整体地图在 体系认证总览，服务范围见 认证服务，同类项目的过程记录可参考 客户案例，自查工具在 认证速查。

▍不确定自己现在真实处在哪一级？留言备注"DCMM 五级"，我发你一份按等级拆开的证据对照表，先自己盘一遍再决定往哪走。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律或评估结论；等级划分、能力域要求、评估程序、机构受理范围与判定尺度以主管机构当期文件及承担评估的机构要求为准