ISO 9001與CMM異同分析

美國(guó)軟件工程研究所（SEI）開(kāi)發(fā)的軟件過(guò)程能力成熟度模型（CMM）和國(guó)際標(biāo)準(zhǔn)化組織（ISO）開(kāi)發(fā)的ISO 9000標(biāo)準(zhǔn)系列都著眼于質(zhì)量和過(guò)程管理，兩者都為了解決同樣的問(wèn)題，直觀上是相關(guān)的。但是它們的基礎(chǔ)卻各不相同：ISO 9001（ISO 9000標(biāo)準(zhǔn)系列中關(guān)于軟件開(kāi)發(fā)和維護(hù)的部分）確定一個(gè)質(zhì)量體系的最少需求，而CMM則強(qiáng)調(diào)持續(xù)的過(guò)程改進(jìn)。當(dāng)然，這種陳述有點(diǎn)主觀性，一些國(guó)際標(biāo)準(zhǔn)團(tuán)體堅(jiān)持認(rèn)為，如果深入地理解ISO 9001而不是只停留在表面，ISO 9001也可以解決持續(xù)過(guò)程改進(jìn)的問(wèn)題，例如，矯正行為可以被解釋成持續(xù)的改進(jìn)。本文要討論的問(wèn)題是：
◆ 取得ISO 9000認(rèn)證的組織大約相當(dāng)于CMM的哪個(gè)等級(jí)？
◆ 取得CMM第2級(jí)(或第3級(jí))的組織是否可以認(rèn)為滿足ISO 9001要求?
◆ 取得ISO 9001證書(shū)與取得CMM相應(yīng)等級(jí)證書(shū)的企業(yè)，誰(shuí)的質(zhì)量管理、質(zhì)量保證水平或能力更高？

生產(chǎn)過(guò)程:制造業(yè)vs.軟件業(yè)

一般來(lái)說(shuō)，質(zhì)量保證系統(tǒng)中提到的產(chǎn)品通常包括硬件、軟件、流程性材料和服務(wù)。類似地，ISO 9000系列標(biāo)準(zhǔn)不少部分也表現(xiàn)了制造業(yè)在原材料采購(gòu)、生產(chǎn)加工工藝、使用的量具以及產(chǎn)品的運(yùn)輸、儲(chǔ)存、包裝和交付等不同側(cè)面的質(zhì)量要求。因此，軟件企業(yè)在建立質(zhì)量體系的過(guò)程中必須認(rèn)真分析自身與制造業(yè)生產(chǎn)活動(dòng)的差別。由于軟件開(kāi)發(fā)與一般產(chǎn)品制造有顯著的差別，因此必須注意軟件過(guò)程的特點(diǎn)。為了表明制造業(yè)和軟件業(yè)的差別，附圖給出了兩種產(chǎn)業(yè)活動(dòng)的形象對(duì)比。從圖中可以看出，在制造業(yè)中，生產(chǎn)活動(dòng)占有不可忽視的地位，它所需要的成本投入、人員、場(chǎng)地等都是設(shè)計(jì)工作無(wú)法比擬的，而軟件業(yè)恰恰相反。軟件工程項(xiàng)目主要是軟件開(kāi)發(fā)，相當(dāng)于制造業(yè)的產(chǎn)品設(shè)計(jì);而軟件業(yè)的生產(chǎn)是指軟件開(kāi)發(fā)完成以后將代碼往各種介質(zhì)上拷貝，這部分工作無(wú)論是技術(shù)含量還是投入的人力、物力都極為有限,特別是在批量生產(chǎn)的條件下，這種差別更為明顯，主要表現(xiàn)在以下方面:
◆ 傳統(tǒng)的制造業(yè)在得到產(chǎn)品后，必須在運(yùn)輸和倉(cāng)儲(chǔ)方面做出相應(yīng)的安排，付出必要的代價(jià)。而對(duì)軟件業(yè)來(lái)說(shuō)，這些需求是微乎其微的，甚至可以忽略不計(jì)。
◆ 軟件產(chǎn)品的功能度和復(fù)雜性要比制造業(yè)產(chǎn)品高得多，它在投入使用后，所能發(fā)揮的功效也是其他任何硬件產(chǎn)品無(wú)法比擬的。
由此可以看出，制造業(yè)或硬件的質(zhì)量問(wèn)題主要反映在生產(chǎn)和儲(chǔ)運(yùn)過(guò)程中，而軟件產(chǎn)品的質(zhì)量問(wèn)題主要來(lái)自開(kāi)發(fā)過(guò)程。

映射：從ISO 9001到CMM

表1是ISO 9001條款到CMM模型關(guān)鍵過(guò)程區(qū)域和關(guān)鍵實(shí)踐映射的概述?！皬?qiáng)相關(guān)性”列表示相關(guān)性較直接的關(guān)鍵過(guò)程區(qū)域和共同特征;“判斷相關(guān)性”列表示在確定合理相關(guān)性時(shí)需要一定程度主觀性理解的關(guān)鍵過(guò)程區(qū)域和共同特征。
雖然ISO 9001中的一些問(wèn)題沒(méi)有被CMM模型覆蓋，二者之間的詳細(xì)程度也有很大的差異，但二者之間的相關(guān)性還是很明顯的。CMM與ISO 9001之間最大的不同體現(xiàn)在兩方面：其一，CMM模型明確強(qiáng)調(diào)持續(xù)的過(guò)程改進(jìn)，而ISO 9001只要求質(zhì)量體系的最小保證;其二，CMM模型只關(guān)注軟件，而ISO 9001適用于更大的范圍。
表1 ISO 9001與CMM模型映射

ISO9001條款 強(qiáng)相關(guān)性 判斷相關(guān)性
管理職責(zé) 履行的承諾
軟件項(xiàng)目規(guī)劃
軟件項(xiàng)目追蹤和監(jiān)督
軟件質(zhì)量標(biāo)準(zhǔn) 履行的能力
實(shí)現(xiàn)矯正
軟件質(zhì)量管理
質(zhì)量體系 實(shí)現(xiàn)矯正
軟件項(xiàng)目規(guī)劃
軟件質(zhì)量標(biāo)準(zhǔn)
軟件產(chǎn)品工程 組織工程定義
合同評(píng)估 需求管理
軟件項(xiàng)目規(guī)劃 軟件子合同管理
設(shè)計(jì)控制 軟件項(xiàng)目規(guī)劃
軟件項(xiàng)目追蹤和監(jiān)督
軟件配置管理
軟件產(chǎn)品工程 軟件質(zhì)量管理
文檔和數(shù)據(jù)控制 軟件配置管理
軟件產(chǎn)品工程
采購(gòu) 軟件子合同管理
客戶－供貨產(chǎn)品的控制 軟件子合同管理
產(chǎn)品確認(rèn)和追蹤 軟件配置管理
軟件產(chǎn)品工程
工程控制 軟件項(xiàng)目規(guī)劃
軟件質(zhì)量幫助
軟件產(chǎn)品工程 定量工程管理
技術(shù)改變管理
檢查和測(cè)試 軟件產(chǎn)品工程
伙伴審查
檢查控制、度量和測(cè)試設(shè)備 軟件產(chǎn)品工程
檢查和測(cè)試狀態(tài) 軟件配置管理
軟件產(chǎn)品工程
不合格產(chǎn)品的控制 軟件配置管理
軟件產(chǎn)品工程
矯正和預(yù)防措施 軟件質(zhì)量保證
軟件配置管理 缺陷預(yù)防
處理、儲(chǔ)藏、包裝、保存和分發(fā) 軟件配置管理
軟件產(chǎn)品工程
質(zhì)量數(shù)據(jù)控制 軟件配置管理
軟件產(chǎn)品工程、伙伴審查
內(nèi)部質(zhì)量審計(jì) 實(shí)現(xiàn)檢查、軟件質(zhì)量保證
培訓(xùn) 履行的能力、培訓(xùn)計(jì)劃
服務(wù) 　
統(tǒng)計(jì)技術(shù) 度量和分析 機(jī)構(gòu)過(guò)程定義
定量過(guò)程管理
軟件質(zhì)量管理
　
兩個(gè)文檔之間的最大相似之處是它們的底線:“說(shuō)你想做的,做你想說(shuō)的。” ISO 9001的基本假設(shè)是:機(jī)構(gòu)應(yīng)該通過(guò)質(zhì)量控制活動(dòng)歸檔每個(gè)重要過(guò)程并檢查每個(gè)重要過(guò)程。CMM模型也強(qiáng)調(diào)文檔化的過(guò)程和文檔化的設(shè)計(jì)?！鞍次臋n化的程序”和遵循“書(shū)面形式的機(jī)構(gòu)政策”是CMM模型關(guān)鍵過(guò)程區(qū)域的特征。在更詳細(xì)的層次上，ISO 9001的一些條款可以很容易地映射到與其相當(dāng)?shù)腃MM實(shí)踐。不過(guò)因?yàn)閮蓚€(gè)文檔的結(jié)構(gòu)不同，所以大多數(shù)相關(guān)性映射是多對(duì)多的方式。例如，ISO 9001的培訓(xùn)條款將同時(shí)映射到CMM模型中培訓(xùn)計(jì)劃關(guān)鍵過(guò)程區(qū)域和所有關(guān)鍵過(guò)程區(qū)域中的培訓(xùn)熟悉實(shí)踐。
結(jié)論

通過(guò)以上分析，我們可以得到以下結(jié)論：
1. ISO 9001和CMM既有區(qū)別又相互聯(lián)系
盡管ISO 9001標(biāo)準(zhǔn)的一些要求在CMM中不存在，而CMM的一些要求在ISO 9001標(biāo)準(zhǔn)中也不存在，但不可否認(rèn)的是，兩者之間的關(guān)系非常密切。當(dāng)然，兩者之間的差別也很明顯，例如， ISO 9001標(biāo)準(zhǔn)的要素4.7和4.15在CMM中沒(méi)有細(xì)述，而4.19則是分散在CMM的各部分中。ISO 9001的一些要素可以在CMM中找到完全對(duì)應(yīng)的部分，另外一些要素則是比較分散的對(duì)應(yīng)。
兩者的最大相似之處在于兩者都強(qiáng)調(diào):“該說(shuō)的要說(shuō)到，說(shuō)到的要做到”。對(duì)每一個(gè)重要的過(guò)程應(yīng)形成文件，包括指導(dǎo)書(shū)和說(shuō)明，并檢查交貨質(zhì)量水平。CMM強(qiáng)調(diào)持續(xù)改進(jìn)，ISO 9001的1994版標(biāo)準(zhǔn)主要說(shuō)明的是“合格質(zhì)量體系的最低可接受水平”（ISO 9001 的2000版標(biāo)準(zhǔn)也增加了持續(xù)改進(jìn)的內(nèi)容）。
另外，1999年底，由美國(guó)質(zhì)量協(xié)會(huì)（ASQ）和Motorola、Nokia、Bell South等100多家企業(yè)、機(jī)構(gòu)共同制定的電信行業(yè)（包括電信軟件開(kāi)發(fā)企業(yè)）質(zhì)量體系標(biāo)準(zhǔn)TL 9000正式發(fā)布，在處理已經(jīng)取得CMM和ISO 9001認(rèn)證的軟件開(kāi)發(fā)企業(yè)如何升級(jí)到TL 9000時(shí)，補(bǔ)充審核的要求有很大差異，這從一個(gè)側(cè)面說(shuō)明了它們之間的差別。但很明顯，取得ISO 9001認(rèn)證對(duì)于通過(guò)CMM評(píng)估是有益的，反之，通過(guò)CMM評(píng)估對(duì)于獲得ISO 9001認(rèn)證也是有幫助的。
2．取得ISO 9001認(rèn)證并不意味著完全滿足CMM某個(gè)等級(jí)的要求
表面上看，獲得ISO 9001認(rèn)證的企業(yè)應(yīng)該具有CMM第3至第4級(jí)的水平，但事實(shí)上，有些獲得CMM第1級(jí)的企業(yè)也獲得了ISO 9001證書(shū)，原因是ISO 9001強(qiáng)調(diào)以顧客的要求為出發(fā)點(diǎn)，不同顧客要求的質(zhì)量水平也不同，而且各個(gè)審核員的水平/解釋也有差異。由此可以看出，取得ISO 9001認(rèn)證所代表的質(zhì)量管理和質(zhì)量保證能力的高低與審核員對(duì)標(biāo)準(zhǔn)的理解及自身水平的高低有很大的關(guān)系，而這并不是ISO 9001標(biāo)準(zhǔn)本身所決定的。
ISO 9001標(biāo)準(zhǔn)只是質(zhì)量管理體系的最低可接受準(zhǔn)則，不能說(shuō)已滿足CMM的大部分要求，但有一點(diǎn)可以肯定：ISO 9001認(rèn)證合格的企業(yè)至少能滿足CMM第2級(jí)的大部分要求以及第3級(jí)的一部分要求。
3．通過(guò)CMM第2級(jí)(或第3級(jí))評(píng)估并不代表滿足ISO 9001的要求
CMM第2級(jí)的所有關(guān)鍵過(guò)程都涉及ISO 9001的要求，但都低于ISO 9001的要求。另外，一些CMM第1級(jí)的組織在滿足了第2級(jí)和第3級(jí)的一些關(guān)鍵過(guò)程的要求后，也可以獲得ISO 9001認(rèn)證證書(shū)。一些CMM第2級(jí)或第3級(jí)的企業(yè)可能被認(rèn)為符合ISO 9001的要求，但是，甚至一些通過(guò)了CMM第3級(jí)評(píng)估的企業(yè)也需另外滿足ISO 9001的要素，才能符合ISO 9001的要求。
CMM是專門(mén)針對(duì)軟件開(kāi)發(fā)企業(yè)設(shè)計(jì)的，因此在針對(duì)性上比ISO 9001要好,但需要注意的是，CMM強(qiáng)調(diào)的是軟件開(kāi)發(fā)過(guò)程的管理，對(duì)于國(guó)內(nèi)軟件企業(yè)涉及較多的“系統(tǒng)集成”并沒(méi)有考慮，如果單純按照CMM的要求建立質(zhì)量體系，則應(yīng)該注意補(bǔ)充“系統(tǒng)集成”方面的內(nèi)容。
本文未明確肯定CMM與ISO 9001相比哪個(gè)更好，因?yàn)橐粋€(gè)體系的好壞是由很多方面決定的。對(duì)于一個(gè)軟件開(kāi)發(fā)企業(yè)來(lái)說(shuō)，獲得什么樣的認(rèn)證只是表面的，重要的是如何著眼于持續(xù)改進(jìn)以更好地保證軟件開(kāi)發(fā)的質(zhì)量、滿足顧客的要求，從而獲得競(jìng)爭(zhēng)優(yōu)勢(shì)。