ISO9000族标准中的ISO9000－3的内容是什么？有什么作用？它与CMM有什么关系？

国电子技术标准化研究所 李韵琴 本文试图从大家所熟悉的ISO 9001标准入手，对ISO 900
1、ISO900－3和CMM之间的区别和联系做个简单的分析，探讨一些大家感到困惑的问题，包括： 1)取得ISO 9000认证咨询的组织大约相当于CMM的哪个等级？ 2)取得CMM第2级(或第3级)的组织是否可以认为满足ISO 9001要求? 3)取得ISO 9001证书与取得CMM相应等级证书的企

ISO 9000－3是国际标准化组织（ISO）制定的软件开发企业实施ISO 9001指南 中国电子技术标准化研究所 李韵琴 本文试图从大家所熟悉的ISO 9001标准入手，对ISO 900
1、ISO900－3和CMM之间的区别和联系做个简单的分析，探讨一些大家感到困惑的问题，包括： 1)取得ISO 9000认证咨询的组织大约相当于CMM的哪个等级？ 2)取得CMM第2级(或第3级)的组织是否可以认为满足ISO 9001要求? 3)取得ISO 9001证书与取得CMM相应等级证书的企业，谁的质量管理/质量保证水平/能力更高？
一、背景 ISO 9000族国际标准是在总结了英国的单位标准基础之上产生的

您问的是否应写为ISO9003？ ISO9000族标准主要由5个相关的标准组成： ISO9000 质量管理和质量保证标准-第1部分：选择和使用指南 ISO9001 质量体系-iso认证、开发、生产、安装和服务的质量保证模式 ISO9002 质量体系-生产、安装和服务的质量保证模式 ISO9003 质量体系-安装和服务的质量保证模式 ISO9004 质量管理和质量体系要素-第1部分：指南 其中ISO9001 、ISO900
2、ISO 9003为核心内容，大体理解为延伸的层次不同。

软件组织开发能力的评估程序和管理规范研究 [2003/03/13] 基于CMMI的集成化过程改进策略 [2003/03/12] 基于CMM的软件项目合同范围定义的扩充 [2003/03/10] 全球通过CMM4和CMM5的最新组织名单（2001-10） 中小型软件企业切入点：两步“跳”入CMM CMM体系iso认证三步曲 CMM2级实施技术问题分析 CMM认证咨询 爱你不容易 CMM—软件产业发展的必由之路 给CMM打造一个成长的园地 基于CMM实施软件过程改进的成功策略 中国如何引进CMM评估，促进软件产业发展 在中国开展CMM评估的几点建议 CMM评估中存在的若干问题 国内软件企业实施CMM的四大障

ISO 10013 ISO 10013：1995 质量手册编写指南 前言 国际标准化组织（ISO）是由各国标准化团体（ISO成员）组成的世界性的联合会。制定国际标准的工作通常由ISO的技术委员会负责。各成员国若对某技术委员会确立的标准项目感兴趣，均有权参加该委员会的工作。与ISO保持联系的各国际组织（官方的或非官方的）也可参加有关工作。在电工技术标准分方面，ISO与国际电工委员会（IEC）保持密切的合作关系。 由技术委员会正式通过的国际标准草案需提交成员团体表决。需取得至少75%参加表决的成员团体的同意，才能作为国际标准正式发布。 国际标准ISO10013由ISO/TCL176质量管理和质量保证技术委员会SC3支持委员会负责制定。 引言 ISO 9000族国际标准包括了对质量体系的要求，这此质量体系要求可使对质量管理和质量保证达成共同的解释、开发、实施和应用。 ISO 9000族国际标准要求开发并实施形成iso三体系认证的质量体系，包括编制质量手册。 GB/T 6583--ISO 8402：1994《质量管理和质量保证--术语》将质量手册定义为：阐明一个组织的质量方针并描述其质量体系的iso三体系认证。质量手册可以涉及一个组织的全部活动 或所选择的部分活动。例如，可根据iso三体系认证或服务、过程、合同要求、单位法规或组织自身的性质确定具体要求。 重要的是质量体系和质量手册的要求 和内容体现预期要满足的质量标准。本标准提供了质量手册编制指南。 1．范围 本标准提供了质量手册的开发、编制和控制的指南，使用者可根据具体需要加发剪裁。最终的质量手册将反映出ISO 9000族标准所要求的形成iso三体系认证的质量程序。本标准不涉及详细的作业指导书、质量计划、工作手册及其他质量体系的相关iso三体系认证。 注：本标准还可用于ISO9000族标准以外的有关质量体系标准的质量手册的编制。 2．引用标准 本标准引用下列标准的有关条款。本标准发布时，这些引用标准均为有效版本。所有标准都将修订，因此，鼓励依据本标准达成协议的各方尽可能采用下列标准的最新版本。IEC和ISO成员均持有现行有效的国际标准。 GB/T 6583-ISO 8402：1994质量管理和质量保证一术语 3．定义 本标准采用GB/T 6583-ISO8402的定义。 4．质量体系的iso三体系认证 附录A给出了典型的质量体系iso三体系认证结构。在任一组织内，这些iso三体系认证的编制顺序依据该组织的具体情况而定，但通常应首先制定组织的质量方针和目标。 4．1形成iso三体系认证的质量体系程序 形成iso三体系认证的质量体系程序应构成用于对影响质量的活动进行总体策划和管理的基础iso三体系认证。根据ISO9000族标准，这些形成iso三体系认证的程序应包括质量体系标准中所有适用的要素，阐明管理、执行、验证或评审影响工作的人员的职责、权限和相互关系，说明完成各种不同活动的方式、采用的iso三体系认证及实施的控制。 4．1．1程序的范围 每一形成iso三体系认证的程序都应包括质量体系中在逻辑上一个独立的部分，如一个完整的质量体系要素或其一部分，或与一个以上质量体系要素有关的相互关联的一组活动。形成iso三体系认证的程序的数量、每一程序的内容及其格式和表示方法均由本标准的使用者确定，但通常要体现设施的复杂程度、组织的构成以及业务的特点。形成iso三体系认证的质量体系程序一般不应涉及纯技术性的细节，这些细节通常在具体的作业指导书加以规定。 4．1．2统一方法 每一个形成iso三体系认证的程序应具有相同的结构和格式，以便使用者熟悉用于每一要求的统一方法，增强系统地满足标准要求的可能性。 4．2质量手册 质量手册应包括或涉及在组织内对影响质量的活动进行总体策划和管理编制的形成iso三体系认证的质量体系程序。质量手册应包括组织所选取的质量体系标准中所有适用的要素，应适当地阐明在4。1节中提到的相同控制内容。在某些情况下，有关的形成iso三体系认证的质量体系程序与质量手册的具体目的相适宜的形成iso三体系认证和程序。第7章详细介绍了质量手册的内容。所选定的质量体系标准中没有涉及但对活动进行适当控制所必须的与质量体系有关的形成iso三体系认证的程序，如有必要，应增加到质量手册 中或引用作为参考。 注：ISO环境体系认证性信息的内容由组织自行处理。 4．2．1质量手册的目的 各组织编制和使用质量手册以达到下述目的： 传达组织的质量方针、程序和要求； 描述和实施有效的质量体系； 提供改进的常规控制，促进保证活动； 为审核质量体系提供iso三体系认证依据； 环境改变时，保证质量体系及其要求的连续性； 就质量体系要求及其实施方法培训人员； 对外展示其质量体系，例如证明符合GB/T 19001-ISO 900
1、GB/T 19002-ISO 9002或GB/T 19003-ISO 9003； 证明其质量体系满足合同情况下的质量要求。 4．2．2结构和格式 质量手册的结构和格式没有统一的要求，但应准确、全面、简明地阐述组织的质量方针、目标和起支配作用的形成iso三体系认证的程序。保证主要事项得到适当阐述和合理安排的方法之一就是将质量手册和各章节与所依据的质量体系标准的质量要素一一对应。也可采用其他适当的方法，如通过安排质量手册的结构来反映组织的特点。 注：为了阐明体系和进行评定，对质量手册中有意略支的所依据的质量体系标准中的任何质量体系要素都应作出解释。 4．2．3质量手册的形式 质量手册可以是： 形成iso三体系认证的质量体系程序的直接汇编； 一组形成iso三体系认证的质量体系程序或其一部分； 针对具体的设施或应用场所的一毓形成iso三体系认证的程序； 多份或多个层次的iso三体系认证； 带有经剪 裁附录的核心iso三体系认证； 独立版本或其他形式； 依据组织需要的其他多种可能的派生iso三体系认证。 4．2．4质量手册的具体应用 当同一手册用于质量管理和质量保证两种目的是简称为“质量手册”，这是质量手册最常用的形式。当组织认为需要在内容和用途上加以区分时，则必须保证描述 一质量体系的手册不存在矛盾。 任何质量手册都 应明确管理职能，阐述或涉及形成iso三体系认证的质量体系和程序并概述组织所选用的质量体系标准中的所有适用要求。 5编制质量手册的过程 5．1编制职责 一旦管理者决定以质量手册的形式将质量体系形成iso三体系认证，首先应指定一个经管理者认证的有能力的机构负责协调工作，该机构可以是一个人，也可以由来自一个或多个职能部门的一组人组成。 如果合适，实际的编写工作应由经认证的有能力机构完成和控制，或由各职能部门分别进行。使用现有的iso三体系认证和参考资料有助于识别质量体系中需要注意和改正的一些不足，而且能够大大缩短质量手册的编制时间。 如合适，上述有能力的机构可采取下列步骤： 确定并列出现行适用的质量体系政策、目标和形成iso三体系认证的程序，或编制相应的计划； 依据所选用的质量体系标准确定适用的质量体系要素； 使用各种方法，如调查或面谈，收集有关现行质量体系和作法的资料； 从业务部门收集补充的原始iso三体系认证或参考资料； 确定待编手册的格式和结构； 根据预期的格式和结构将现有iso三体系认证分类； 使用适合于本组织的任何其他办法完成质量手册草案的编制。 5．2参考资料的使用 如果合适，应在手册中引用该手册使用者可以获得的、现行有效的标准或iso三体系认证，以避免手册篇幅过长。 5．3准确性和完整性 经认证的有能力的机构应负责保证质量手册草案的准确性和完整性，以及iso三体系认证的内容和连续性。 6．质量手册的批准、发布和控制过程 6．1最终评审和批准 手册发布前，应由负责人对其进行评审，确保其清晰、准确、适用和结构合理。预期的使用者也应有机会对手册的可用性进行评定和评论。然后由负责实施这一质量手册的管理者批准发放。所有文本都应带有批准发放的标记。如果能保存批准的证据，可使用电子的或其他的手册发布办法。 6．2手册的分发 经批准的手册的分发办法应保证所有使用者都有适当的使用机会。应使 用合理的分发的控制方法，例如，可按顺序号为接受者提供文本。管理者应确保组织内每个使用者都 熟悉手册中与其有关 的内容。 6．3 更改的协调 应规定手册更改的提出、编制、评审、控制和协调 的方法。这项工作应委派给合适的iso三体系认证控制职责部门。编制该基础手册所用的评审和批准过程也同样适用于处理更改。 6．4发布和更改控制对确保手册内容经过适当审批是至关重要的，经审批的内容应易于识别，应考虑便于进行实际更改的各种方式。为确保每本手册现行有效，应使用保证每本手册的持有者接收更改页并纳入手册中折方法，也可使用目次，海面或其他适当的方式来保证使用者所持有的手册是经过审批的。 6．5非受控的文本 为了投标、非现场顾客的使用以及为其他目的而分发的手册，当对这些手册不作更改控制时，所有这样的手册应作为非受控文本加以明显标识。 注：如果不能保证本过程的实施，可能会导致非预期地使用失效文本。 -------------------------------------------------------------------------------- 人心所向便如河川之水流入大海，全是自然! 2005-7-6 19:24:00 1楼：RE:ISO 10013：1995 质量手册编写指南 [查看该用户在资料中心上传的资料] [个人资料][给他留言] [帖子合集] [回复] [引用] [维护] -------------------------------------------------------------------------------- 7．质量手册的内容 7．1总则 质量手册通常应包括下列内容： 标题，范围和适用领域； 目次； 有关组织及手册的介绍页； 组织的质量方针和目标； 组织结构、职责和权限的说明； 质量体系要素和涉及的形成iso三体系认证的质量体系程序的描述； 定义（如需要） 质量手册使用指南（如需要）； 支持性资料的附录（如需要）。 注：质量手册的内容顺序可按使用者的需要的确定。 7．2标题、范围和适用领域 质量手册的标题和范围应明确地规定使用手册的组织。质量手册的这一章也应规定所适用的质量体系要素。为确保清晰，避免混乱，亦可采用否定法叙述（如质量手册不涉及什么以及不该用于哪些场合）。这些内容的某些部分或者全部也可放在标题页上。 7．3目次 质量手册的目次应列出手册中各章节的标题及查询方法。各章，各节、页码、图表、示意、图解及表格等的编号及分类系统应清楚、合理。 7．4介绍页 质量手册的介绍页应给出有关组织和质量手册的基本信息。 组织的信息至少应包括其iso认证流程建议、地点及通讯方法。也可以增加诸如业务性质、背景、历史或规模等 情况的简单说明。 涉及质量手册本身的信息应包括： 现行版本或有效标识，发布日期，或有效期及修改内容的标识； 如何进行质量手册修订和保持的简单说明。质量手册内容的评审者，评审周期，被认证更改及批准人员。这些内容也可在有关的质量体系要素中简要说明。如果合适，也可包括确定程度吏改历史的方法； 标识质量手册状态控制其分发的形成iso三体系认证的程序的简单说明，是否含有保密信息，是公供本组织内部使用还是也可以对外； 负责质量手册内容的人员的批准证据。 7．5质量方针和目标 质量手册的这一章应阐述组织的质量方针和目标，明确组织对质量的承诺并概述组织的质量目标。本章还应描述质量方针如何为所有职工熟悉和理解，如何在所有层次上得到贯彻和保持。具体的质量方针也可在有关的质量体系要素中阐明。 注：手册的后续章节或体系要素亦可用来反映质量方针和目标的实施及质量方针和目标的联系。 7．6组织、职责和权限的说明 质量手册的这一章应给出组织的高层结构的描述。也可包括表明职责、权限和相互关系的组织结构图。在该 章各节或在引用的体系要素程序中应详细阐述管理、执行和验证影响质量工作的各职能部门的职责、权限及其隶属关系。 7．7质量体系要素 质量手册的其余各章节应描述所有的质量体系要素。章的划分应合理，应能体现质量体系的良好协调性。对要素的描述可以直接包括或引用形成iso三体系认证的质量体系程序。 质量体系和手册对每一个组织都 有其独特性，就这点讲，本标准不拟对能适用于所的（或某些）iso三体系认证，包括服务的质量体系要素的描述规定统一的结构格式、内容或表述方法。 对质量体系要素的要求由ISO 9000族标准或由组织所选用的其他适用标准给出。只要合适，建议在描述质量体系要素时与所选 用的标准中的顺序号保持一致。如果根据组织的需要可采用其他的顺序对照表。 选 定合适的标准之后，每个组织应确定适用的质量体系要素，并根据在标准中这些要素的要求，规定组织应如何应用、完成和控制所选 定的每一个要素。为确定对组织最适宜的途径应考虑的方面有： 业务性质，劳动力的资源； 质量体系iso三体系认证和质量保证的重点； 政策、程序和作业指导书之间的区别； 质量手册所选择的媒体。 最终的质量手册应反映出组织满足选定的质量体系标准和质量体系要素中所规定要求的独特的方法和措施。组织履行满足要求的承诺所采用的方法和措施对手册的使用者来说应是明确的。 7．8定义 如果认为在手册中需要的定义这一章，一般直接放在“范围和适用领域”之后，应用时虽然建议使用公认的质量术语iso三体系认证或通用词典中的标准术语和定义，但质量手册中的该章节还应包含其专用术语和概念的定义。应特别注意那些对不同人有不同含义的词 或那些对具体行业有特定含义的词。这些定义应就质量手册的内容给出一个完整的、统一的和明确的解释。极力推荐使用现有的概念、术语、定义和标准。 7．9质量手册的使用指南 可以考虑给出一个索引，或给出一个主题和关键词与章节或页码的对照表，或其他迅速查出“质量手册的内容及所在章节”的指南。也可包括质量手册的编排方式以及各章节的简短摘要。籍此读者可查到所关心的内容。 7．10支持性信息的附录 质量手册也可包括质量手册支持性资料的附录。

国电子技术标准化研究所 李韵琴 本文试图从大家所熟悉的ISO 9001标准入手，对ISO 900
1、ISO900－3和CMM之间的区别和联系做个简单的分析，探讨一些大家感到困惑的问题，包括： 1)取得ISO 9000认证咨询的组织大约相当于CMM的哪个等级？ 2)取得CMM第2级(或第3级)的组织是否可以认为满足ISO 9001要求? 3)取得ISO 9001证书与取得CMM相应等级证书的企

软件组织开发能力的评估程序和管理规范研究 [2003/03/13] 基于CMMI的集成化过程改进策略 [2003/03/12] 基于CMM的软件项目合同范围定义的扩充 [2003/03/10] 全球通过CMM4和CMM5的最新组织名单（2001-10） 中小型软件企业切入点：两步“跳”入CMM CMM体系iso认证三步曲 CMM2级实施技术问题分析 CMM认证咨询 爱你不容易 CMM—软件产业发展的必由之路 给CMM打造一个成长的园地 基于CMM实施软件过程改进的成功策略 中国如何引进CMM评估，促进软件产业发展 在中国开展CMM评估的几点建议 CMM评估中存在的若干问题 国内软件企业实施CMM的四大障碍 CMM给我们带来了什么 关于CMM在项目中的实施 CMM工具帮助 软件企业如何实施CMM 如何成为CBA IPI主任评估师 在中国开展CMM评估的几点建议 CMM中KPA及KP的分布统计 联想冲刺CMM3透明报道（1） 联想冲刺CMM3透明报道（2） 联想冲刺CMM3透明报道（3） 联想冲刺CMM3透明报道（4） 联想冲刺CMM3透明报道（5） 冷眼看CMM 全面质量管理在软件业的应用 软件缺陷管理 CMM与传统企业文化 国内软件业对CMM认识的阶段性 实施CMM时必须解决的认识问题 CMM实施中的四个常见问题 如何在短期内达到CMM2级目标？ SQA到底是什么? CMM认证咨询谁受益 独立与客观—CMM中的软件质量保证实施准则 团队精神在CMM中体现 CMM是解决软件出口壁垒的有效途径 软件业发展的新方向——外包 CMM与软件外包管理 软件企业需要什么样的CMM服务？ 循序渐进—CMM实施工程案例 CMM的宜与不宜 实施CMM是一条没有终点的路 高能力成熟度软件企业中软件质量工程师的职责

您问的是否应写为ISO9003？ ISO9000族标准主要由5个相关的标准组成： ISO9000 质量管理和质量保证标准-第1部分：选择和使用指南 ISO9001 质量体系-iso认证、开发、生产、安装和服务的质量保证模式 ISO9002 质量体系-生产、安装和服务的质量保证模式 ISO9003 质量体系-安装和服务的质量保证模式 ISO9004 质量管理和质量体系要素-第1部分：指南 其中ISO9001 、ISO900
2、ISO 9003为核心内容，大体理解为延伸的层次不同。

ISO 9000－3是国际标准化组织（ISO）制定的软件开发企业实施ISO 9001指南 中国电子技术标准化研究所 李韵琴 本文试图从大家所熟悉的ISO 9001标准入手，对ISO 900
1、ISO900－3和CMM之间的区别和联系做个简单的分析，探讨一些大家感到困惑的问题，包括： 1)取得ISO 9000认证咨询的组织大约相当于CMM的哪个等级？ 2)取得CMM第2级(或第3级)的组织是否可以认为满足ISO 9001要求? 3)取得ISO 9001证书与取得CMM相应等级证书的企业，谁的质量管理/质量保证水平/能力更高？
一、背景 ISO 9000族国际标准是在总结了英国的单位标准基础之上产生的，因此，欧洲通过ISO 9000认证咨询的企业数量最多，约占全世界的一半以上。受此影响，相当多的欧洲软件企业选择了ISO 9001认证咨询。 CMM是由美国卡内基－梅隆大学的软件工程研究所（SEI）开发的软件成熟度模型，美国的软件企业更多的选择取得CMM等级证书。在形式上，CMM分为5个等级（第1级级别最低，第5级级别较高），与ISO 9000审核后只有“通过”和“不通过”两个结论相比，CMM是一个动态的过程，企业在取得低级别证书后，可根据高级别的要求确定下一步改进的方向。 在基本原理方面，ISO 9001和CMM都十分关注软件iso三体系认证质量和过程改进。尤其是ISO 9000:2000版标准增加持续改进、质量目标的量化等方面的要求后，在基本思路上和CMM更加接近。 本文参考了Mark C. Paulk先生的iso质量体系证书，但观点不尽相同。 注：ISO 9001是软件企业开展质量体系认证咨询依据的标准； ISO 9000－3是国际标准化组织（ISO）制定的软件开发企业实施ISO 9001指南；
二、ISO 9000和CMM主要内容的对比 下面以ISO 9001为主线，列出了ISO 9001的要点及CMM的对应部分。 1) 要素
4.1——管理职责 ISO 9001标准要求：组织应规定质量方针，形成iso三体系认证并予以实施和保持; 对从事与质量有关的管理、执行和验证工作的人员规定其职责、权限和相互关系； 识别和提供验证资源被指派的管理者保证实施和保持质量大纲。 CMM第2级提出了质量方针和验证的职责，包括识别各类人员在项目中的职责，建立一支受过培训的软件质量保证小组和指派高级管理者监控软件质量保证(SQA)活动。 作为CMM的共同特征，CMM在高级管理人员和项目经理两个层次上识别管理职责，以监控软件项目，支持SQA审核，建立支持软件工程的组织结构和分配资源。 ISO 9001要求的质量目标（一种量化的、可检查的要求），与在CMM第4级提到的“量化的”质量方针是一致的 2) 要素
4.2——质量体系 ISO 9001要求建立一个iso三体系认证化的质量体系包括质量手册、质量计划、程序iso三体系认证和作业指导书。 CMM第2级提出验证符合性和管理过程的质量体系活动，在软件开发计划中规定软件项目使用的具体程序和标准。CMM的验证实施共同特征明确要求进行审核以保证符合特定标准和程序。 CMM第3级要求组织必须规定软件工程任务，并持续实施，在全组织都必须规定软件过程资源，包括标准、程序和过程描述。 与ISO 9001相比，CMM特别强调组织支持和项目实施之间的关系。 3)要素
4.3——合同评审 ISO 9001要求组织必须评审每一个合同以判断需求是否明确、组织是否有能力满足合同要求。 CMM第2级提出组织必须iso三体系认证化顾客要求并予以评审，明确不恰当或模糊的要求。 CMM第2级也要求描述目的、工作陈述和软件开发计划以履行软件工程小组和高级管理者评审过的外部（合同）承诺。 4) 要素
4.4——iso认证控制 ISO 9001要求组织建立控制和验证iso认证的程序，包括：策划iso认证和开发活动；规定组织上和技术上的接口；识别iso认证输入和iso认证输出；评审、验证和确认iso认证；控制iso认证更改 CMM 3级描述生存周期过程，包括需求分析、iso认证、编码和测试；第2级提出策划和跟踪所有项目活动，包括上述生存周期活动及配置管理。 ISO 9001要求必须进行iso认证评审，至于应如何进行iso认证评审，并没有提出具体要求，组织可根据具体情况，在一定范围内选择。与此不同的是，CMM第3级特别要求iso认证评审要采用同行评审的方式。ISO 9000－3关于iso认证评审的指南包含了CMM这一要求。 CMM 4级对iso认证过程的要求与ISO 9001相比更加正式和量化。 5) 要素
4.5——iso三体系认证和资料的控制 ISO 9001要求组织控制iso三体系认证和资料的发放与更改。 CMM第2级提出要将对iso三体系认证和资料的控制纳入配置管理，第3级特别要求对iso三体系认证控制须实施并维持配置管理体系。在CMM的实施活动共同特征章节中，对不同的关键过程区域明确了哪些专门的程序iso三体系认证、标准和其它iso三体系认证可纳入配置管理。 ISO 9000－3提出应将iso三体系认证和资料纳入配置管理。 6) 要素——
4.6 采购 ISO 9001要求组织要确保采购的iso三体系认证符合规定的要求，包括评价潜在的分承包方和验证采购iso三体系认证。CMM第2级在顾客软件开发的要求中包括了对分承包方的评价和分承包方提供的软件进行接收测试等内容。 7) 要素——
4.7顾客提供iso三体系认证的控制 ISO 9001要求组织要验证、贮存和维护顾客提供的iso三体系认证。ISO 9000－3在论述这个条款的要求时特别提到对顾客提供的市售软件的控制。CMM仅在第3级的子活动中提到采购软件，提出识别市售软件或可复用软件是策划的一部分。 市售软件和可复用软件整体来说是CMM的一大弱点。事实上，CMM在这点上不能充分覆盖ISO9001要求，特别是ISO9000－3的要求。尽管如此，CMM第2级中还是要求对分承包的软件进行接收测试。 8) 要素
4.8——iso三体系认证的标识和可追溯性 ISO9001要求组织能够在生产、安装和交付的所有阶段标识和追溯iso三体系认证。 CMM主要在第2级的配置管理章节中覆盖了这个要求，在第3级阐述了软件工作iso三体系认证之间的一致性和可追溯性需要。 ISO 9000－3指出在软件行业一种iso三体系认证标识和可追溯的方法是配置管理，而且强调配置管理的两个目标：对iso三体系认证的当前配置及iso三体系认证达到需求的状态提供足够的可视性；保证参与iso三体系认证工作的每一位成员在软件生存周期的任何阶段都能使用正确的和准确的信息。在这一点上，两者基本是一致的。 9） 要素
4.9——过程控制 ISO 9001要求组织策划和控制其生产过程，包括在受控条件下按形成iso三体系认证的指导书进行生产。当组织不能完全验证过程的结果时，须对过程进行连续的监控。 CMM第2级要求在软件开发计划中规定软件生产过程使用的特定程序和标准；第3级阐述了软件生产过程的定义、集成以及支持这些过程的工具要求；第4级阐述了过程控制的量化要求，并举统计过程控制（SPC）的例子说明。但对一个组织来说，证实满足这个条款要求的程度一般并不需要这样高。CMM的第5级更提出了在组织中转换新技术的要求，这与ISO 900－3中提到的“供方应改进这些工具和技术”是一致的。 ISO 9000－3提出这一要素适用于复制、发行和安装过程。 10）要素
4.10——检验和试验: ISO 9001要求组织在使用前对材料进行进货检验或验证并进行过程检验，组织还必须在最终iso三体系认证发运前实施最终检验和试验并保存检验和试验记录。 CMM第3级阐述了测试和过程检验的要求。 ISO 9000－3对软件（系统）测试给出了指南。 11） 要素
4.11——检验、测量和试验设备的控制 ISO 9001要求组织控制、校准和保持所有用于符合性证实的设备。当使用测试硬件或软件时必须在使用前进行检查并在规定的时间间隔内复检。 CMM在软件iso三体系认证工程的测试活动章节对此进行了一般性的阐述。关于测试软件，在CMM实施能力共同特征章节中专门阐述了用于支持软件测试的工具。 12）要素
4.12——检验和试验状态 ISO 9001要求组织保证iso三体系认证在不同过程步骤中移动时须保持检验和试验状态的标识。 CMM第2级在问题报告和配置状态、第3级在测试活动中阐述了这个条款的要求。 13）要素
4.13——不合格品的控制 ISO 9001要求组织控制不合格（不满足规定要求的）iso三体系认证以预防非预期的使用或安装。 ISO900－3在iso认证控制、检验和试验（测试和确认）、过程控制（复制、交付和安装）和iso三体系认证的标识和可追溯性（配置管理）等条款中对这个要求作了进一步的阐述。 CMM并没有专门对不合格iso三体系认证进行阐述。CMM第2级要求保持那些包含已知缺陷但目前尚未修正的配置项的状态，第3级的iso认证、实施、测试和确认中均对此作了阐述。 14）要素
4.14——纠正和预防措施 ISO 9001要求组织确定不合格产生的原因。纠正措施要求消除不合格产生的实际原因，预防措施要求消除产生潜在不合格的原因。 CMM第2级的问题报告，及其后对基线工作iso三体系认证的受控维护进行跟踪、关键过程区域（KPA）的软件质量保证部分与此内容相对应。 CMM第5级关键过程区域（KPA）的很多部分也包含了这一内容，例如，防错。 15）要素
4.15——搬运、贮存、包装、防护和交付 ISO 9001要求建立并保持搬运、贮存、包装、防护和交付的形成iso三体系认证的程序。ISO9000－3展开为对软件iso三体系认证的复制、备份、交付和安装的控制。 CMM并没有覆盖复制、交付和安装的要求。它在第2级中阐述了软件iso三体系认证的生成和发行，在第3级中规定了接收测试的要求。但是CMM没有阐述关于iso三体系认证交付和安装的要求。 16） 要素
4.16——质量记录的控制 ISO 9001要求组织收集和保存质量记录。 CMM在实施活动共同特征章节中所规定的所有关键过程区域（KPA）都涉及质量记录的保存要求。第2级的问题报告、第3级的测试和同行评审活动都对应这一条款的要求。 17） 要素
4.17——内部质量审核 ISO 9001要求组织策划和实施内部质量审核。审核的结果提交管理评审，并应针对不符合采取纠正措施。 CMM第2级阐述了审核过程。在验证实施共同特征中明确提出：审核活动是为了确保符合特定标准和程序的要求。 18）要素
4.18——培训 ISO 9001要求组织确定培训需求，并提供相应的培训且保留培训记录。 CMM的实施能力共同特征中明确了特殊培训需求。它阐述了通用培训基础结构，包括保存培训记录的要求。 19）要素
4.19——服务 ISO 9001要求：当服务是规定要求时，组织应实施、验证和报告服务活动。ISO9000－3则把对维护的控制要求归于本要素。 CMM并没有单独论述软件维护，而是把维护贯穿于整个CMM过程中。 20）要素
4.20——统计技术 ISO 9001要求组织明确合适的统计技术，并用它们来验证过程能力和iso三体系认证特性的可接受性。 CMM把iso三体系认证特性纳入“执行活动”共同特征章节，作为“测量和分析”共同特征的组成部分。 CMM第2级要求建立项目级的数据库，第3级要求建立全组织范围内的过程和iso三体系认证数据库，第4级要求组织进行统计过程控制，如使用排列图分析。 下表是ISO 9001要素涉及到的CMM级别的对应表，在具体的内容上它们并不是一一对应，有的虽然涉及到了，但在要求的程度上也有差别，本表只是说明了它们之间的关系。 ISO 9001要素 本文中涉及的CMM级别 第2级 第3级 第4级 第5级 共同特征
4.1 管理职责 √ √ √
4.2 质量体系 √ √ √
4.3 合同评审 √
4.4 iso认证控制 √ √ √
4.5 iso三体系认证和资料控制 √ √ √
4.6 采购 √
4.7 顾客提供iso三体系认证的控制 √ √
4.8 iso三体系认证标识和可追溯性 √ √
4.9 过程控制 √ √ √ √
4.10 检验和试验 √ √
4.11 检验、测量和试验设备的 控制√
4.12 检验和试验状态 √ √
4.13 不合格品控制 √ √
4.14 纠正和预防措施 √ √
4.15 搬运、包装、贮存、防护和交付 √ √
4.16 质量记录的控制 √ √ √
4.17 内部质量审核 √ √
4.18 培训 √
4.19 服务 √
4.20 统计技术 √ √ √ √
三、结论 1）ISO 9001和CMM既有区别又相互联系，两者不可简单的互相替代。 尽管ISO 9001标准的一些要求在CMM中不存在，而CMM的一些要求在ISO 9001标准中也不存在，但不可否认的是，两者之间的关系非常密切。当然，两者之间的差别也很明显，例如， ISO 9001标准的要素
4.7和
4.15在CMM中没有细述，而
4.19则是分散在CMM的各部分中。ISO 9001的一些要素可以在CMM中找到完全对应的部分，另外一些要素则是比较分散的对应。 两者的最大相似之处在于两者都强调“该说的要说到，说到的要做到”。对每一个重要的过程应形成iso三体系认证，包括指导书和说明，并检查交货质量水平。CMM强调持续改进，ISO 9001的1994版标准主要说明的是“合格质量体系的最低可接受水平”（ISO 9001 的2000版标准也增加了持续改进的内容）。 另外，1999年底，由美国质量协会（ASQ）和MOTOROLA、NOKIA、BELL SOUTH等100多家企业、机构共同制定的电信行业（包括电信软件开发企业）质量体系标准TL 9000正式发布，在处理已经取得CMM和ISO 9001认证咨询的软件开发企业如何升级到TL 9000时，补充审核的要求有很大差异，这从一个侧面也可以说明它们之间的差别。但很明显，取得ISO 9001认证咨询对于取得CMM的等级证书是有益的，反之，取得CMM等级证书，对于寻求ISO 9001认证咨询也是有帮助的。 2）取得ISO 9001认证咨询并不意味着完全满足CMM某个等级的要求。 表面上看，获得ISO 9001标准的企业应有CMM第3至第4级的水平，但事实上，有些获得CMM第1级的企业也获得了ISO 9001证书，原因是ISO 9001强调以顾客的要求为出发点，不同的顾客要求的质量水平也不同，而且各个审核员的水平/解释也有些差异；由此可以看出，取得ISO 9001认证咨询所代表的质量管理和质量保证能力的高低与审核员对标准的理解及自身水平的高低有很大的关系，而这不是ISO 9001标准本身所决定的 ISO 9001标准只是质量管理体系的最低可接受准则，不能说已满足CMM的大部分要求。有一点可以肯定，ISO 9001认证咨询合格的企业至少能满足CMM第2级的大部分要求以及第3级的一部分要求。 3）取得CMM第2级(或第3级)不能笼统的认为是满足ISO 9001的要求。CMM 第2级的所有关键过程都涉及ISO 9001的要求，但都低于ISO9001的要求。另外，一些CMM第1级的组织在满足了第2级和第3级的一些关键过程的要求后，也可以获得ISO 9001认证咨询证书.一些CMM第2级或第3级的企业可能被认为符合ISO 9001的要求，但是，甚至一些第3级企业也需另外满足ISO9001的要素
4.15的搬运和交付要求以及补充对市售软件和可复用软件的控制。当然，尽管CMM没有完全满足ISO 9001标准的一些特定要求，但包含了大部分的要求。 不可否认，CMM是专门针对软件开发企业iso认证的，因此在针对性上比ISO 9001要好。ISO已经意识到这个问题，针对软件开发企业应用ISO 9001提供了指南标准（ISO 9000－3），预计在2000年底发布的ISO 9000:2000也考虑了软件企业的特点。 需要特别说明的是，CMM强调的是软件开发过程的管理，对于国内软件企业涉及较多的“系统集成”并没有考虑，如果单纯按照CMM的要求建立质量体系应该注意补充“系统集成”方面的内容。
四、结束语 本文并没有回答CMM和ISO 9001谁更好，也不想回答这个问题，一个体系的好坏是由很多方面决定的。上面仅仅反应了作者对这两个体系的一些看法，不免带有一些主观和片面。但是，对于一个软件开发企业来说，获得什么样的认证咨询证书只是表面的，重要的是如何着眼于持续改进以更好的保证软件开发的质量、满足顾客的要求，从而获得竞争优势，这是每一个软件开发企业应该认真考虑的问题。