CMMI/CSMM/ITSS/DCMM 怎么选：一张表对号入座

先说结论： CMMI、CSMM、ITSS、DCMM、DSMM 这五张证，经常被摆在同一张"要不要做"的清单上，但它们其实是三个互不相同的方向——开发过程（CMMI、CSMM）、IT 服务（ITSS）、数据（DCMM、DSMM）。方向错了，等级做得再高也对不上标书；方向对了，再看是哪个方向里的哪一张。所以选型的起点不是比含金量，而是把招标文件翻开，看它要的是"你的软件怎么开发"、"你的服务怎么交付"，还是"你的数据怎么管、怎么守"。这三句话，对应的就是三个方向，彼此不互相替代。

第二个要提前说清的判断：同一个方向里往往有两条路，不必都走。CMMI 与 CSMM 关注点相近，ITSS 与 ISO 20000 是互补关系，DCMM 与 DSMM 是"管得好"与"守得住"的两面。企业常见的浪费，不是证书做少了，而是在同一个方向上重复投入，却在另一个方向上缺一张，投标时被一个评分项卡住。

先把框架摆平。下表只讲定位，不讲金额、不讲周期——那些取决于企业规模、评估范围与机构核定，任何一张表都给不出通用答案。

这张表的用法很简单：从上往下找你的标书里出现的那一行，而不是从下往上挑一个听起来高级的。表格里"常见招标场景"一列只是经验归类，写的是"常见"，不是"必然"——每一次投标，都以招标文件原文为准。

一、先分清三个方向，再选具体那张

为什么一定要先分方向？因为这三件事回答的是三个不同的问题，评价的对象根本不是同一个东西。

• 开发过程能力问的是：给你一个需求和一段工期，你能不能稳定地把它做出来、做出来的东西质量是否可预期。看的是立项、计划、需求、设计、评审、测试、配置、度量这一条链。
• IT 服务能力问的是：系统上线之后，你能不能按承诺的水平把它运维好。看的是服务目录、响应与恢复、事件与问题、变更与发布、服务级别与持续改进。
• 数据管理与数据安全问的是：你的数据有没有人管、管到什么程度，敏感数据会不会流到不该去的地方。看的是数据标准、质量、架构、应用、安全这些能力域的实际运转。

这三条链在企业里由不同的人负责，出问题时也由不同的人背责任。所以它们在评估上不可能互相顶替——一个能把项目按时交付的团队，未必能把运维 SLA 做稳；一个数据治理做得很细的企业，未必有可度量的开发过程。这不是评价体系的问题，是能力本身就不在同一个面上。

判断标书要哪个方向，有个很土但有效的办法：看它要求你提交什么材料。要求交项目过程文档、组织级过程资产、项目度量数据的，是开发过程方向；要求交服务目录、服务水平记录、运维工单与应急演练记录的，是 IT 服务方向；要求交数据目录、数据质量报告、数据分级分类与安全策略的，是数据方向。材料清单比证书名字更难伪装。

二、CMMI 与 CSMM：同一个方向的两条路

CMMI 是国际体系，评的是软件与系统工程的开发与交付过程，分 1–5 级，由授权主任评估师实施评估。它的强项是把"过程"变成可检查的对象：不是看你交付了什么，而是看你有没有一套稳定的做法，让不同项目、不同人来做，结果不会大起大落。

CSMM 是国内软件能力成熟度评估，关注点与 CMMI 相近，近年政府类项目采用增多。这句话里有两个关键词要拎出来："相近"不等于"等同"，"采用增多"不等于"普遍强制"。

所以这个方向的选择，只按三条来定：

• 标书写哪个就做哪个。 招标文件点名 CMMI，你拿 CSMM 去投，评审认不认由评标委员会按文件判定；反过来也一样。以招标文件原文为准，这是没有余地的。
• 看客户结构。 客户以国际厂商、外资企业、出口型系统集成为主，CMMI 的通用性更好；客户以国内政府类项目、国资信息化为主，CSMM 的适配度更高。反过来做，证书在手也用不上。
• 已有其中一个，先别急着补另一个。 两者关注点相近，意味着你为其中一个建立的组织级过程资产、项目文档体系、度量机制，大部分可以复用到另一个。真正需要补的是评估规则与证据组织方式的差异，不是从零再建一套过程。

三、ITSS 与 ISO 20000：互补，不是替代

这是被问得很多的一组。两者都指向 IT 服务，但落点不同：ITSS 是国内 IT 服务能力评估，分等级，尤其针对运维；ISO 20000 是 IT 服务管理体系认证，看的是你这套服务体系有没有按体系的方式在运转。

打个比方：ISO 20000 更像在问"你有没有一套能自我运转的服务管理体系"——方针、目标、职责、流程、度量、内审、管理评审、持续改进是否闭环；ITSS 更像在问"你的服务能力到了哪一档"——人员、过程、技术、资源这些能力要素组合起来，能支撑什么水平的服务。

正因为看的角度不同，业内通常把它们当作互补关系：体系解决"长期稳定运转"，能力等级解决"对外可比较的水平标识"。

• 如果标书要求的是服务能力等级，看 ITSS；
• 如果标书要求的是服务管理体系认证，看 ISO 20000；
• 如果两类要求都出现，两张都要，但建设路径可以合并——服务目录、服务级别、事件与问题流程、持续改进机制是共用的底盘，一套做完，两边都能取证。

反过来说，一个常见的错误判断是：以为 ISO 20000 拿到手，ITSS 的等级要求就自然满足了。 这两件事评价的对象不同，一个是体系，一个是能力等级，谁也顶不了谁。真要确认，只有一条路——把招标文件拿来逐条对。

四、DCMM 与 DSMM：一个管"管得好"，一个管"守得住"

数据这个方向里，两张证的边界其实很清楚。DCMM 是数据管理能力成熟度，5 级、8 个能力域，评的是数据管理能力的整体——数据作为资产，有没有战略、有没有治理机制、标准和质量抓不抓、架构和应用跟不跟得上。DSMM 是数据安全能力成熟度，专攻数据安全能力——数据在采集、传输、存储、处理、交换、销毁这些环节里，安全措施到不到位。

一句话区分：DCMM 关心"数据有没有被管好、用得起来"，DSMM 关心"数据有没有被守住、流得规范"。

两者可以组合，而且组合是常见做法，原因在于它们共享同一批基础工作：数据资产盘点、数据分级分类、数据责任人与管理组织、数据流转的梳理。这些做完，DCMM 和 DSMM 各自的专业部分才有地方落。区别在于后续发力点：DCMM 往数据标准、数据质量、数据架构、数据应用上走；DSMM 往安全策略、权限与脱敏、审计与监测、安全事件处置上走。

顺序上两种都行，看起点：治理底子薄、连数据目录都拿不出来的，先做 DCMM 方向的建设更顺；已经按监管要求做过数据分级分类和安全评估的，从 DSMM 切入更省力。 具体先做哪张，仍要看客户与标书——如果标书明确要其中一张，就没有排序问题，先做那张。

五、常见组合方案：按业务形态选，不按"证书数量"选

组合的逻辑不是"多拿几张更稳"，而是让证书覆盖你真实的业务链条。下面四种形态，覆盖了多数企业的实际情况。

1. 软件研发与项目交付为主

核心组合是开发过程方向的一张（CMMI 或 CSMM，按标书与客户结构定）。如果还承接数据平台、数据治理类项目，再按需补 DCMM；如果交付物本身涉及客户敏感数据，DSMM 才是那个补短板的选择。ITSS 在这类企业里通常不是优先项——除非你同时承担运维。

2. IT 运维、外包服务、系统集成

核心是ITSS + ISO 20000。一个给能力等级，一个给体系背书，两者共用服务目录与流程底盘，是投入产出比较顺的一组。若同时替客户保管数据或承担安全责任，再叠加 ISO 27001 或 CCRC 相关资质，属于安全方向的补强，不与 IT 服务方向冲突。

3. 数据服务、数据平台、政务数据运营

核心是DCMM + DSMM。前者证明你有能力把数据管起来、用起来；后者证明你守得住。这个组合在数据类项目里出现频率高，也是很多企业从"系统集成商"转向"数据服务商"时需要的身份证明。

4. 政企综合供应商

三个方向各一张，是这类企业的常态：开发过程一张、IT 服务一张、数据一张。这里要提醒的是顺序——不要三个方向同时开工。同时推进的结果通常是三套文件都写了一半、三套记录都不足，审核时全部卡住。按标书的时间点排优先级，一张一张拿，是更稳的做法。

六、按企业类型对号入座

如果上面的逻辑还是抽象，就用这张表直接对。左列找自己，右三列看优先级。

表里没有"规模"这一列，是故意的。这五张证的选择几乎不取决于公司有多少人，而取决于你卖什么、客户是谁、标书要什么。 二十人的专注型软件公司和两百人的集成商，答案可能完全反过来。

七、四个常见误判

• 误判一：以为 CMMI 能顶 ITSS。 开发过程能力强，不代表运维服务能力有等级。这两件事在标书里通常分属两个评分项，一个评审专家也不会拿另一个来替代。反过来，ITSS 也顶不了 CMMI。
• 误判二：以为 DCMM 能顶 DSMM。 数据管得好不等于数据守得住。数据治理体系健全、数据质量很高，但权限、脱敏、审计、流转监测没做的企业并不少见。反过来，只做安全不做治理，数据依然用不起来。
• 误判三：以为拿了证就能满足所有标书。 同一张证在不同标书里的写法差别很大：有的只写证书名称，有的写等级要求，有的写评估范围必须覆盖某个业务，有的要求证书在有效期内且附监督审核记录。名字对上只是入场，范围、等级、有效期、附件，逐条对，全部以招标文件原文为准。
• 误判四：以为等级越高越保险，先冲高等级再说。 等级是要用实际运行证据撑住的。过程没有真正跑起来、项目数据拿不出来，硬冲的结果是评估准备期无限拉长，或者评估后体系立刻回落，下一次监督或复评时原形毕露。等级应当与业务实际水平和标书门槛匹配，不是越高越好。

还有一个不那么像误判、但代价很高的习惯：把选型当成一次性的采购决策。 证书是有有效期的，到期要复评，中间要接受监督；标书要求也会逐年变化。选型应该每年对着在手订单一起来一遍，而不是几年前定一次、之后照着做。

八、怎么排期更省：省在共用底盘，不在压缩评估

排期的核心原则只有一句：方向不同，证据同源。 三个方向看着远，落到企业内部，共用的是同一批底层材料——组织架构与职责文件、人员能力与培训记录、项目与服务的台账、工具里的运行数据、供应商与外包管理档案、内审与管理评审的机制。这些东西做一遍，多张证都能引用；分开做，就是重复劳动。

具体做法上，建议按这个顺序推进：

1. 先定方向和张数，再谈排期。 拿着未来一段时间的标书与客户要求，把"必须要"和"可能要"分开。必须要的排在前面，可能要的留出接口，不要提前开工。
2. 做一次统一的能力盘点。 一次盘点同时输出三样东西：开发过程的问题清单、服务流程的问题清单、数据与数据安全的问题清单。这一份盘点报告，可以同时作为几个方向的差距分析输入，避免各做一遍。
3. 建共用底盘。 文件与记录控制、岗位职责与能力矩阵、培训机制、内审与管理评审机制、供应商管理档案——这些是管理体系的通用件，一次建好，各方向共用。
4. 专业内容分头做，不要混着写。 开发过程的过程资产与项目文档，服务方向的服务目录与级别管理，数据方向的数据目录与分级分类，各有各的专业内核，混在一起写出来的是四不像，评估时两头都不认。
5. 评估与审核错峰安排。 同一季度同时迎两场评估，团队会被抽干，记录也来不及整理。把几个方向的现场安排错开，中间留出整改与补记录的窗口，比并行推进更省人力。
6. 拿到之后立刻转入常态维护。 记录是按月产生的，不是评估前补出来的。把数据收集嵌进日常的项目结项、工单关闭、数据变更流程里，后续监督和复评才不需要停摆。

需要说清楚的是：排期能省的是重复准备与重复整改，不是评估本身。 每个方向的评估规则、评估主体、证据要求都是独立的，该走的程序一步也少不了。任何声称可以"一次评估拿多张证"的说法，都值得先打个问号——真伪只能由各评估体系的现行规则来回答。

落地时容易漏掉的三件事

其一，咨询与评估是两件事。 咨询帮你把过程和证据建起来，评估由具备资质的评估主体按规则实施。行业规则要求两者独立，这条边界在 CMMI、ITSS、DCMM 这些方向上同样适用，不要指望一家全包。

其二，证书范围要和投标范围对得上。 评估时申报的业务范围写窄了，投标时覆盖不到项目内容；写宽了，证据撑不住。申报范围建议按"现在真在做、未来一年确定要做"的业务来定，不要为了好看而扩张。

其三，把证据当成日常产物，而不是项目产物。 过程数据、工单记录、数据质量报告、安全审计日志，这些东西的价值不在评估那一刻，而在你下一次投标、下一次客户审厂、下一次出问题时能不能拿出来。体系建得对不对，看的是这个。

行动清单：五步定下今年做哪几张

建议由体系负责人拉着研发、运维、数据、销售坐一次会，逐条打勾：

• ☐ 收集标书。 把未来一段时间内已知的招标文件、客户准入表、框架协议翻出来，逐份标出要求的是哪个方向的哪张证，以及是否写明等级、范围、有效期。
• ☐ 标注方向。 把要求归到三类：开发过程、IT 服务、数据（管理与安全）。归类不进去的，单独列出来问客户或招标代理。
• ☐ 盘现有证书与底子。 哪些已有、哪些到期、哪些范围不覆盖；对应的过程、流程、数据台账是否真在运行，还是只有文件。
• ☐ 定优先级。 按"卡住订单的排前面、只加分不卡门的排后面"排序，明确今年做哪一张、明年做哪一张，其余暂不启动。
• ☐ 定人与接口。 每个方向一个负责人，明确谁出过程数据、谁出服务记录、谁出数据台账；共用底盘由谁统一维护。

五条里"收集标书"和"标注方向"做不实，后面全是猜。这两条扎实了，选型其实是个机械动作——文件要什么，就做什么。

回到开头那句话：这五张证不是五个可以互相替补的选项，而是三个方向上的五张门票。先认方向，再认门票；先看标书，再看预算。 顺序反过来，钱花了，标还是投不进去。

▍不确定该做哪个方向、哪一张？把主营业务、主要客户类型和在手标书的要求发给我们，我们帮你把三个方向逐条对一遍，出一份"今年做哪张、明年做哪张"的选型建议。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律意见；等级设置、评估范围与适用场景均以各体系现行规则及招标文件原文为准

相关阅读：CMMI 等级怎么准备 · ITSS 认证怎么准备 · DCMM 认证怎么准备 · ISO 20000 IT服务管理体系 · ISO 27001 信息安全管理体系 · DCMM 百科 · ITSS 百科 · 全部体系认证 · 认证速查 · 联系我们