DCMM 数据管理能力成熟度指南
DCMM 不是"买张证"，而是把你的数据管理能力分成等级。五个等级、八个能力域，3 级是多数企业真正该盯的目标，1 至 2 级在实务里的分量有限。
先说结论
如果只记三句话，记这三句：
一、DCMM 是"能力分级"，不是"资料过关"。评估机构要看的是企业实际在跑的数据管理活动——制度有没有落地、责任有没有落到人、数据质量有没有闭环。临时补出来的文件堆，撑不过现场核验。
二、3 级是多数企业的现实目标。1 级是"基本没体系"，2 级是"开始有制度和岗位"。这两级在投标、考核、入表这些场景里的说服力有限，很多招标文件直接把门槛写在 3 级。4 级、5 级要靠量化指标和长期的数据积累，不是几个月能冲上去的。
三、DCMM 评的是"数据管理整体能力"，不是数据安全专项。要安全专项，看 DSMM；要国际通行的信息安全体系认证，看 ISO 27001。三者定位不同，可以组合，但不能互相替代。
认证概览
这张表先建立基本坐标：谁在推、评谁、分几级、结果怎么用。
| 项目 | 主管与推进体系 | 评估对象 | 等级 | 参考说明 |
|---|---|---|---|---|
| DCMM 数据管理能力成熟度评估 | 国内数据管理领域的评估体系，由具备资质的评估机构实施 | 企业（组织）整体的数据管理能力 | 1 级至 5 级，共五个等级 | 等级结果由评估机构出具；证书有有效期，以现行规则为准 |
| 评估覆盖内容 | 同一体系内展开 | 8 个能力域：数据战略、数据治理、数据架构、数据应用、数据安全、数据质量、数据标准、数据生存周期 | 逐域评级后形成整体等级 | 能力域的具体条款以现行标准版本为准 |
| 常见采信场景 | 招标方、集团总部、主管方 | 投标资格与评分、数据资产入表、集团数字化考核 | 通常要求 3 级及以上 | 采信口径以招标文件与主管方当期要求为准 |
| 与 DSMM 的关系 | 两个独立体系，可组合 | DCMM 评数据管理整体，DSMM 专攻数据安全能力 | 各自独立评级 | 不能互相替代 |
| 与 ISO 27001 的关系 | 国内评估体系 vs 国际标准认证 | DCMM 评数据管理能力，ISO 27001 评信息安全管理体系 | ISO 27001 为认证，不分成熟度等级 | 不能互相替代 |
DCMM 到底在评什么
做数据的人常有一种错觉：数据治理是"内部的事"，外面看不见。DCMM 的存在恰好反驳这一点——它把"数据管得怎么样"拆成一组可以对照、可以访谈、可以抽查的动作，再把这些动作归到不同成熟度上。
所以评估的落点不是"你有没有写过一份数据治理规划"，而是"这份规划有没有对应的组织、预算、例会、考核，以及在过去一段时间里真的推动过什么事"。评估机构通常会用文档审查、人员访谈、系统抽样的方式交叉验证：文件上写的流程，和业务人员嘴里的流程，是不是同一个流程。
这也解释了为什么有的企业材料做得很厚却被压级：文档是"写出来"的，不是"跑出来"的。数据管理的成熟度本质上是一种组织状态，文件只是这种状态的影子。影子可以先画，但现场一问就露。
换个角度看，DCMM 的用处也不只在证上。它提供了一套公共语言：业务部门说"数据不准"，IT 部门说"源头没治理"，管理层听到的是两句话。用能力域去对齐之后，这些争论会变成具体的待办项——哪个域缺制度、哪个域缺指标、哪个域缺责任人。
五个等级怎么分
五个等级是一条连续的坡，不是五个可以随便挑的标签。跳级申报在实际操作里很难成立，因为高一级的要求通常以低一级的落地为前提。
| 等级 | 名称 | 典型状态 | 实务含义 |
|---|---|---|---|
| 1 级 | 初始级 | 数据管理多为被动响应，缺制度、缺固定责任人，问题靠临时协调解决 | 起步标记，对外说服力有限 |
| 2 级 | 受管理级 | 开始建立制度与岗位，关键数据活动有人管，但跨部门协同不稳定 | 有基础，仍难满足多数招标门槛 |
| 3 级 | 稳健级 | 制度成体系并在运行，八个能力域有相对完整的机制，跨部门协同常态化 | 多数企业的现实目标，也是常见采信门槛 |
| 4 级 | 量化管理级 | 用可量化的指标衡量数据管理成效，能基于数据做过程控制 | 需要指标沉淀与历史数据支撑 |
| 5 级 | 优化级 | 持续优化机制成熟，数据能力与业务创新形成循环 | 少数组织能达到，不宜作为短期目标 |
八个能力域：一张自查清单
八个能力域不是八个部门，而是八个视角。同一家企业，从这八个角度看过去，会看到不同的问题。做差距分析时，按域逐条对照比笼统地说"我们数据管理不行"有用得多。
| 能力域 | 它关心的问题 | 落到企业里通常是什么 |
|---|---|---|
| 数据战略 | 数据要不要当资产来管，目标和路径清不清楚 | 数据定位与目标、实施路径、组织与资源保障 |
| 数据治理 | 谁负责、怎么决策、怎么考核 | 治理组织、制度体系、职责分工、考核与沟通机制 |
| 数据架构 | 数据放在哪、怎么流动、怎么共享 | 数据模型、数据分布、集成与共享方式 |
| 数据应用 | 数据拿来干什么，价值怎么体现 | 数据分析应用、对外数据服务、价值转化路径 |
| 数据安全 | 分级分类做了没有，权限和审计跟不跟得上 | 安全策略、分级分类、访问控制、审计与应急 |
| 数据质量 | 数据准不准、全不全，问题怎么闭环 | 质量规则、监控机制、问题发现与整改闭环 |
| 数据标准 | 口径统不统一，同一个指标是不是同一种算法 | 业务术语、主数据、指标与编码标准 |
| 数据生存周期 | 从产生到归档销毁，每个环节有没有人管 | 采集、存储、使用、共享、归档、销毁的环节管理 |
自查时有个小技巧：先看"有没有人"和"有没有记录"，再看"做得好不好"。很多企业卡在 3 级之前，不是因为方法不对，而是因为某些域长期处于"有人临时管、但没有固定记录"的状态。评估要的是可追溯的证据链，临时管出来的结果留不下痕迹。
谁能评、怎么评
DCMM 由具备资质的评估机构实施评估并出具等级结果。企业在选择时，重点看两件事：机构的资质范围是否覆盖你要申报的等级与行业，以及评估团队是否真的懂你的业务场景。具体机构名单我们不在此罗列，以当期公布的资质信息为准。
定级与范围
结合采信场景确定目标等级，划清评估覆盖的组织与业务范围
差距分析
按八个能力域逐条对照，找出缺制度、缺记录、缺指标的环节
补机制而非补文件
把缺的动作真正跑起来，形成会议、台账、检查与整改记录
材料归集
制度、流程、记录、系统截图与指标数据按域整理成证据链
现场评估
文档审查、人员访谈、系统抽样交叉核验，验证材料与运行是否一致
结果与改进
取得等级结果后按评估意见持续改进，为后续复评留出余量
哪些企业适合做
DCMM 不是所有企业都需要。判断标准很简单：有没有外部场景在问"你的数据管得怎么样"。如果没有，先把内部的数据问题解决掉，比拿一个等级更实际。
政府与央企数据类项目投标
招标文件把数据管理能力等级写成资格条件或评分项。这类需求明确、时间节点清楚，是最常见的启动动因。具体采信口径以招标文件为准。
准备数据资产入表
数据要作为资产确认，前提是权属、质量、管理过程说得清楚。DCMM 的八个能力域正好对应这套说明逻辑，能减少与审计、评估方的沟通成本。
集团数字化考核
集团把数据管理纳入下属单位考核，需要一把相对统一的尺子。DCMM 的分级结果便于横向比较，也便于总部识别短板单位。
数据治理推不动
内部推了几年，业务部门配合度始终不高。借外部评估建立共识与压力，往往比内部发文有效——这是不少企业的真实动机。
要建中台或主数据
先做评估再上系统，能避免"系统建好了、标准还没定"。评估产出的标准与责任划分，本身就是系统建设的前置输入。
暂不建议启动
数据量小、没有明确的数据应用场景、也没有外部采信需求的企业，先做基础治理更划算。为证而证，投入产出不成比例。
与 DSMM、ISO 27001 的关系
这三个名字经常被放在一起问，其实它们回答的是三个不同的问题。混着谈，容易做出错误预算。
| 体系 | 评什么 | 性质 | 典型适用场景 | 能否互相替代 |
|---|---|---|---|---|
| DCMM | 数据管理能力整体，覆盖八个能力域 | 国内数据管理领域的评估体系，分五个等级 | 数据类项目投标、数据资产入表、集团数字化考核 | 否 |
| DSMM | 数据安全能力，聚焦数据在各个环节的安全防护 | 国内的数据安全能力成熟度模型 | 数据安全专项建设、安全能力对外证明 | 否，替代不了 DCMM 的治理视角 |
| ISO 27001 | 信息安全管理体系，覆盖组织的信息安全风险管理 | 国际标准认证，结果是通过或不通过 | 对外证明信息安全管理水平、涉外合作与招投标 | 否，替代不了 DCMM 的数据管理视角 |
DCMM 与 DSMM：整体与专项
DCMM 评"数据管理能力整体"，DSMM 专攻"数据安全能力"。一个覆盖面宽，一个钻得深。两者可以组合：先用 DCMM 把治理架构、标准、质量这些地基铺好，再用 DSMM 把安全这条线做深。
反过来说，只做 DSMM 不做 DCMM，容易出现"安全管得很细、但数据口径依然混乱"的局面；只做 DCMM 不做 DSMM，安全域往往是评估里被压分的那一块。
DCMM 与 ISO 27001：国内评估与国际认证
ISO 27001 是信息安全管理体系认证，属于国际标准，结果是"通过认证"；DCMM 是数据管理能力评估，属于国内体系，结果是"达到某个等级"。两者的坐标系不同，一份文件满足不了另一份的要求。
企业如果两头都要，建议按顺序推进，不要同期启动——文档体系、访谈对象、责任部门高度重叠，同期做会让团队疲于应付。顺序选择看客户与招标方的要求，先满足硬门槛。
常见坑
| 坑 | 表现 | 怎么避开 |
|---|---|---|
| 当成"买证" | 只准备材料，不做机制，现场访谈答不上来 | 先补运行机制再谈材料，证据链要能追溯到时间与责任人 |
| 直接冲 4 级 | 没有量化指标和历史数据，目标定得过高 | 先稳住 3 级，把指标沉淀一到两年再谈升级 |
| 业务部门缺席 | 全是 IT 和信息部门在做，访谈时业务口径对不上 | 立项就把业务、财务、法务拉进来，明确各域责任人 |
| 材料与实际两张皮 | 制度写得很全，系统里查不到对应记录 | 以"系统能不能查、台账有没有更新"作为验收标准 |
| 混淆 DCMM 与 DSMM | 以为做了数据安全就等于做了数据管理 | 按八个能力域自查，安全只是其中一域 |
| 忽略证书有效期 | 拿证后机制停了，复评时体系已散 | 把评估要求嵌入年度考核，有效期以现行规则为准 |
| 指望一张证解决入表 | 以为有了等级就能确认数据资产 | 入表涉及权属、计量与审计，等级只是管理规范性的佐证之一 |
关键信息
| 体系名称 | DCMM（数据管理能力成熟度评估） |
| 体系性质 | 国内数据管理领域的评估体系，非国际认证 |
| 评估对象 | 企业（组织）整体的数据管理能力 |
| 等级划分 | 1 级初始级、2 级受管理级、3 级稳健级、4 级量化管理级、5 级优化级 |
| 能力域 | 数据战略、数据治理、数据架构、数据应用、数据安全、数据质量、数据标准、数据生存周期 |
| 实施主体 | 具备资质的评估机构，资质范围以当期公布信息为准 |
| 结果形式 | 由评估机构出具等级结果；证书有有效期，以现行规则为准 |
| 现实目标 | 多数企业以 3 级为目标，1 至 2 级对外采信度有限 |
| 常见动因 | 政府与央企数据类项目投标、数据资产入表、集团数字化考核 |
| 与相关体系 | DSMM 评数据安全专项，ISO 27001 为信息安全管理体系认证，三者可组合、不可互替 |
| 费用与周期 | 以评估机构评估为准，随目标等级、覆盖范围与现有基础变化 |
| 条款依据 | 能力域与等级的具体要求，以现行标准版本为准 |