ISO和CMM，我們該選擇誰(shuí)
【摘要】 本文拋開(kāi)以往比較 CMM 和 ISO 兩種質(zhì)量管理體系時(shí)僅從體系本身的特點(diǎn)上入手的套路，嘗試從兩種體系在組織實(shí)施過(guò)程中在 “ 管理水平適用性、組織機構復雜度和研發(fā)過(guò)程復雜度的適用性、量化管理的適用性 ” 上入手，比較并闡明組織如何恰當的選用本組織本階段優(yōu)選的質(zhì)量管理體系。
【摘要】 本文拋開(kāi)以往比較 CMM 和 ISO 兩種質(zhì)量管理體系時(shí)僅從體系本身的特點(diǎn)上入手的套路，嘗試從兩種體系在組織實(shí)施過(guò)程中在 “ 管理水平適用性、組織機構復雜度和研發(fā)過(guò)程復雜度的適用性、量化管理的適用性 ” 上入手，比較并闡明組織如何恰當的選用本組織本階段優(yōu)選的質(zhì)量管理體系。
【關(guān)鍵詞】 軟件成熟度模型、 ISO 質(zhì)量管理體系、組織機構復雜度、研發(fā)過(guò)程復雜度
網(wǎng)上評價(jià) ISO 和 CMM 差異和共同點(diǎn)的文章比較多，但大多是從標準條文本身進(jìn)行比對的。下面我將從適用性方面對比一下 ISO 和 CMM （ I ）兩套質(zhì)量管理體系框架。
• 管理水平的適用性
ISO 系列標準雖是就質(zhì)量管理而言，然而也可以看作一個(gè)濃縮的管理學(xué)框架，尤其是作為認證審核依據的 ISO 9004 ： 2000 。它是一個(gè)大而全的系統，幾乎覆蓋了公司管理的各個(gè)方面。它對一個(gè)尚無(wú)完整質(zhì)量管理體系、依靠自身發(fā)展過(guò)程中自發(fā)、被動(dòng)或應急性的制定一些組織管理和研發(fā)管理過(guò)程和規范的公司來(lái)說(shuō)，是一個(gè)很好的快速建立公司系統化管理框架的參照體系。通過(guò)這個(gè)體系的建立，把公司的各組織機構的業(yè)務(wù)流程、接口關(guān)系、人員崗位及部門(mén)職能界定、各種公司管理制度有機的整合起來(lái)。如果在這個(gè)過(guò)程中能夠配合 BPR 進(jìn)行，徹底梳理原先大家都意識到、但卻無(wú)從下手的管理沉疴，效果會(huì )更好。
CMM 是對軟件開(kāi)發(fā)實(shí)踐所涉及的整個(gè)工程流程的規定和分析，它的體系既包括軟件工程過(guò)程本身，也包括對這一過(guò)程的管理。它更多的是提示我們所處各個(gè)管理成熟度等級的階段目標，以及為了達到這些特定的階段目標而分解的大量具體實(shí)踐。它沒(méi)有告訴我們怎么達到這個(gè)目標，因此它是基于組織（公司）能意識到自身差距并能針對性的采取改進(jìn)措施。它更多的是站在各個(gè)具體的點(diǎn)上去思考問(wèn)題?？v觀(guān) CMM2 的各個(gè) KPA ，如果公司連保證這些 KPA 實(shí)施的管理基礎都不具備，從二級 KPA 的一個(gè)個(gè)點(diǎn)上去突破，很難達到以點(diǎn)帶面的效果。
這是一種比較可取的方式是先來(lái)一場(chǎng)組織管理上的革命，去創(chuàng )造這種質(zhì)量管理水平提高的管理基礎。對于一個(gè)具有一定管理基礎的組織，引入 CMM （ I ），從這些具體的點(diǎn)上去采取措施，對于組織過(guò)程能力的持續提高、組織過(guò)程質(zhì)量的持續改進(jìn)將起到極大的推動(dòng)作用。而組織管理革命的一個(gè)利器正是 ISO9000 質(zhì)量管理體系。
當然，我們在組織建立 ISO9000 質(zhì)量管理體系的過(guò)程中，也可以借鑒 CMM 的思想，抓階段的關(guān)鍵問(wèn)題，分步實(shí)施，逐步推進(jìn)。 因為面對 ISO9000 這一標準，對大多數組織來(lái)說(shuō)，要一下子全面執行是有很大難度的，并且其有效性也難于體現出來(lái)。這就需要組織根據自身的實(shí)際情況，分析組織的現狀、資源、文化、人員素質(zhì)和面臨的社會(huì )環(huán)境，找出同 ISO 9004 標準的差距，制訂一個(gè)中長(cháng)期的目標計劃，從選擇一、二個(gè) ISO 9004 的條款要求的試點(diǎn)做起，成熟一項鞏固一項，逐個(gè)地推廣應用，并制訂出具體的實(shí)施進(jìn)度計劃，在一定的期限內完成 ISO 9004 標準全面貫徹執行工作。
由此，我更傾向于一個(gè)公司先基于 ISO9000 質(zhì)量管理體系建立起質(zhì)量管理體系框架，培養組織的質(zhì)量意識。然后在此基礎上，選擇若干過(guò)程域進(jìn)行重點(diǎn)監控，以逐步達到 CMM 某個(gè)成熟度等級的要求。
• 復雜度的適用性
這里所講的復雜度包含兩個(gè)方面的意思：一是指研發(fā)過(guò)程本身的復雜度；另一是指組織機構的復雜度。
基于我對 ISO 和 CMM 以下理解： ISO 是一個(gè)達標性的體系，大而全，比較偏向于宏觀(guān)把握； CMM 則著(zhù)眼于具體實(shí)踐，對各個(gè)關(guān)鍵過(guò)程域進(jìn)行分解細化，偏向于微觀(guān)控制。
個(gè)人傾向于在一個(gè)研發(fā)過(guò)程本身復雜度不是很高，但組織復雜度由于組織本身的發(fā)展變得龐雜的組織中推行基于 ISO 的質(zhì)量管理體系；在一個(gè)組織機構相對完善，由于項目規模本身的擴大而迫切需要引入適當的過(guò)程監控的組織實(shí)施基于 CMM 的質(zhì)量管理體系。
下面闡述一下兩個(gè)概念：
何謂研發(fā)過(guò)程復雜度？
本文定義的研發(fā)過(guò)程復雜度是指針對組織正在實(shí)施的單個(gè)項目（或產(chǎn)品，以下統稱(chēng)項目）研發(fā)活動(dòng)而言的。主要考慮項目規模（項目范圍和工作產(chǎn)品規模）、項目團隊規模、項目周期等因素。本文考慮最核心的指標為項目團隊規模。
何謂組織機構復雜度？
本文定義的組織機構復雜度是指組織的人員規模、組織的機構設置層次結構及接口關(guān)系上。
一個(gè)組織結構復雜度高的公司，并不意味著(zhù)它的研發(fā)過(guò)程復雜度高。但一個(gè)研發(fā)過(guò)程復雜度較高的組織，往往可以推斷其組織結構復雜度較高。如：一個(gè) 1000 多人的從事超市、酒店行業(yè) ERP 的軟件公司、其人員分布于各 30 人月以?xún)龋?6 人 5 月左右）的各小項目的實(shí)施，公司按照地域和業(yè)務(wù)領(lǐng)域劃分 4 個(gè)事業(yè)部，分四級進(jìn)行管理（總裁 —> 事業(yè)部總經(jīng)理 —> 部門(mén)經(jīng)理 —> 員工）。按照本文定義的復雜度含義可以斷言，該公司的組織結構復雜度較高（四層管理、 1000 人以上規模），但其研發(fā)過(guò)程復雜度較低（單個(gè)項目投入人數在 10 人內）。
為了更好的對比分析請看下面的統計數據：
到 1999 年止，全球范圍內共進(jìn)行了 1330 次 CMM 評測，總計評測項目有 5452 項，參加評測的機構逐年攀升，其中有 7.2% 是海外項目，參加國別有 34 個(gè)，參加機構類(lèi)型，商業(yè)機構占 56.1% ，美國國防部供應商占 29.8% ，軍方和政府機構占 10.5% 。其中，初始級機構占總評估數的 43.2% ，可重復級占 34.2% ，定義級占 17.3% ，管理級占 4% ，優(yōu)化級占 1.4% 。第二級（可重復級）比例最高的為 25 人到 100 人的機構，第三級（定義級）所占比例最高的為 1000 到 2000 人的企業(yè)，第五級（優(yōu)化級）所占比例最高的為 2000 人以上的企業(yè)。
于是乎國內各咨詢(xún)機構和各有意使企業(yè)通過(guò)認證的管理者得出結論，國內的企業(yè)可以以上述統計數據為參照，選擇適合自己的認證目標。各位看官請試想一下：一個(gè)由眾多獨立核算的事業(yè)部或子公司粘合而成的一個(gè) 1000 多人的公司，分各個(gè)業(yè)務(wù)方向從事著(zhù)眾多 30 人月（ 3 － 5 個(gè)人， 6 － 10 個(gè)月）上下規模的項目，其研發(fā)過(guò)程復雜度顯然是不高的，其研發(fā)過(guò)程的可視性相對來(lái)說(shuō)比較容易達到。此時(shí)組織的主要焦點(diǎn)在于如何降低其組織的管理復雜度，提高管理過(guò)程的可視性。如果此時(shí)嚴格照搬適合大團隊研發(fā)過(guò)程管理的過(guò)程管理體系，到頭來(lái)肯定是過(guò)程監控與研發(fā)實(shí)施活動(dòng)成為脫節的兩張皮，為了達到體系的要求去補大量的記錄，為了真正不受羈絆的去更好的實(shí)施項目跨過(guò)很多死板過(guò)程的羈絆。個(gè)人傾向類(lèi)似情況的組織（公司）真正從整理業(yè)務(wù)流程入手，建立一套著(zhù)眼點(diǎn)在提高組織管理過(guò)程可視性的管理體系，不妨老老實(shí)實(shí)的按照 ISO 體系的要求，建立自己的質(zhì)量管理體系。
對應的例子是一個(gè) 100 多人的公司，其 100 多人的開(kāi)發(fā)團隊投入其核心產(chǎn)品的開(kāi)發(fā)，所有組織活動(dòng)都是圍繞這個(gè)產(chǎn)品開(kāi)發(fā)過(guò)程展開(kāi)的。此時(shí)組織的質(zhì)量瓶頸在于如何提高研發(fā)過(guò)程的可視性。此類(lèi)組織我傾向于采用 CMM 建立逐步完善的研發(fā)過(guò)程質(zhì)量監控體系。
綜上所述，從復雜度與質(zhì)量管理體系選擇上，可以得到下表的對應關(guān)系：
組織機構復雜度研發(fā)過(guò)程復雜度 關(guān)鍵問(wèn)題選擇體系
高高管理過(guò)程可視性 ISO
高低研發(fā)過(guò)程可視性 CMM
低高管理過(guò)程可視性 ISO
低低研發(fā)過(guò)程可視性 CMM
• 量化管理的適用性上
CMM 和 ISO 9000 都強調過(guò)程改進(jìn)。如果組織還沒(méi)有一個(gè)文檔化的研發(fā)過(guò)程，則首要任務(wù)是對當前的研發(fā)過(guò)程進(jìn)行抽象、分析、整理并文檔化，從而制定出一個(gè)符合本組織研發(fā)實(shí)際的研發(fā)過(guò)程規范，并從制度上確保研發(fā)過(guò)程規范的執行。
如果已經(jīng)具備了相對陳述的研發(fā)過(guò)程規范，組織需要做的是對這個(gè)研發(fā)過(guò)程規范在實(shí)際研發(fā)活動(dòng)中的表現進(jìn)行持續的評估，找出問(wèn)題，然后對過(guò)程規范本身進(jìn)行補充修訂，然后找項目試點(diǎn)，最終推廣應用。這也就是我們通常所說(shuō)的持續改進(jìn)。
在闡述量化管理的適用性前，先來(lái)探討一下為什么要進(jìn)行量化管理？
• 隨著(zhù)組織的質(zhì)量管理水平和質(zhì)量意識的提高，越來(lái)越多的過(guò)程質(zhì)量問(wèn)題的不是可以通過(guò)直接的外在表現可以觀(guān)察出來(lái)的。
• 隨著(zhù)組織的質(zhì)量管理水平和質(zhì)量意識的提高，越來(lái)越多的過(guò)程質(zhì)量問(wèn)題的定位越來(lái)越難以通過(guò)其直接的外在表現進(jìn)行判斷。
如何發(fā)現過(guò)程質(zhì)量問(wèn)題？如何定位過(guò)程質(zhì)量問(wèn)題的根源所在？ CMM L4 的 “ 定量過(guò)程管理 ” 、 CMMI L3 的 “ 決策分析和決定 ” 和 CMMI L2 的 “ 測量和分析 ”KPA 很好的回答了這個(gè)問(wèn)題：我們通過(guò)收集、整理和分析過(guò)程數據，并運用系統的決策方法從中得出分析結論，尋求問(wèn)題的解決方法。
請看下例：
某組織最高管理者 2004 年以來(lái)，接到客戶(hù)持續不斷的抱怨，說(shuō)系統穩定性差？當最高管理者在向產(chǎn)品線(xiàn)反饋該問(wèn)題時(shí)，產(chǎn)品線(xiàn)說(shuō)，我們的產(chǎn)品越來(lái)越穩定，去年的外部故障是 15 個(gè)，今年的外部故障只有 13 個(gè)。一切都那么的 OK ，為啥客戶(hù)的抱怨卻與日俱增呢？問(wèn)題到底出現在哪里？該如何去糾正？
產(chǎn)品線(xiàn)成立了專(zhuān)門(mén)小組尋找問(wèn)題所在及解決之道。在收集數據的過(guò)程中，他們關(guān)注到這樣一個(gè)現象， 2003 年產(chǎn)品售出 256 套（ 25 個(gè)客戶(hù)）， 2004 年度產(chǎn)品一下子售出 6000 套（ 300 個(gè)客戶(hù)）。雖然報出的外部故障只有 13 個(gè)，比去年的 15 個(gè)有了減少，但其波及的范圍（客戶(hù)數）卻成 10 倍的增加。
問(wèn)題癥結終于找到了，我們產(chǎn)品質(zhì)量的提高沒(méi)有跟上我們市場(chǎng)擴張的速度。我們需要解決的最關(guān)鍵的問(wèn)題是徹底解決現有故障，并作充分的測試，提高我們發(fā)布產(chǎn)品的穩定性。
過(guò)程管理的核心是使過(guò)程狀態(tài)可見(jiàn)并使過(guò)程可控；量化管理的目標是如何使前者更加精準。 ISO9000 雖然也強調以事實(shí)為依據的科學(xué)決策和 SPC ，并要求組織有這方面文檔化的指南與要求，但它沒(méi)有進(jìn)一步說(shuō)明從哪些關(guān)鍵點(diǎn)上去入手，而且它的 SPC 更多的是針對制造業(yè)的不良品而考慮的。
CMM/CMMI-SW 是專(zhuān)門(mén)為軟件研發(fā)過(guò)程管理設計的，它在各相關(guān) KPA/PA 中蘊涵的量化管理的關(guān)鍵實(shí)踐更具針對性、更細致、也更全面。 CMMI L4 更是明確要求： “ 對各個(gè)過(guò)程運用統計技術(shù)和其他定量技術(shù)對各個(gè)過(guò)程實(shí)施控制，建立了關(guān)于產(chǎn)品質(zhì)量、服務(wù)質(zhì)量以及過(guò)程性能的定量目標，并且把這些定量目標作為管理過(guò)程的準則。在過(guò)程的整個(gè)生存周期中，對產(chǎn)品質(zhì)量、服務(wù)質(zhì)量和過(guò)程性能都進(jìn)行統計管理。 ” 在第 4 級上，對過(guò)程的性能是以統計技術(shù)或其他定量技術(shù)進(jìn)行控制。并且從統計意義上說(shuō)是可預見(jiàn)的。
可見(jiàn)，在具有一定質(zhì)量管理基礎的組織內，可以參照 CMM/SMMI-SW 相關(guān) KPA/PA 的要求，建立自己的研發(fā)過(guò)程度量體系，逐步推進(jìn)量化管理。
結論：
組織在建立質(zhì)量管理體系時(shí)，可結合本組織的管理水平、組織機構復雜度、研發(fā)過(guò)程復雜度的現狀綜合考慮，選擇適合本組織的模型和體系。并可以在過(guò)程中參照 CMM/CMM-SW/SE 的要求，提高組織的量化管理水平。
參考文獻：
1 、《能力成熟度模型（ CMM ）：軟件過(guò)程改進(jìn)指南》 電子工業(yè)出版社 劉孟仁 等譯 [ 美 ] 卡耐基梅隆大學(xué) 2001年
