軟件企業(yè)ISO9000質量體系與CMM的比較分析

軟件企業(yè)ISO9000質量體系與CMM的比較分析
一、簡介

　　美國軟件工程研究所(SEI)開發(fā)的軟件成熟度模型和國際標準化組織(ISO)開發(fā)的ISO9000標準系列，都共同著眼于質量和過程管理.兩者都為了解決同樣的問題，直觀上是相關的。但是它們的基礎是不同的：ISO9001(ISO9000標準系列中關于軟件開發(fā)和維護的部分)確定一個質量體系的最少需求，而CMM模型強調持續(xù)過程改進。當然，這種陳述有點主觀性，一些國際標準團體堅持，如果深入地讀ISO9001，而不停留在表面，ISO9001的確解決持續(xù)過程改進的問題。例如，矯正行為可以被解釋成持續(xù)的改進。然而，CMM模型比ISO9001更明確地致力于持續(xù)過程改進的問題。

　　通過將ISO9001的條款映射到CMM模型的關鍵實踐，下面將說明兩者如何相關。這種映射基于ISO9001，ISO9000-3，Ticklt(一種使用ISO9001和ISO9000-3的英國指導讀本)和Ticklt培訓材料。ISO9000-3是ISO9001的詳細闡述，而Ticklt培訓材料幫助解釋ISO9000-3和ISO9001。

　　本文討論下列經常問到的問題，包括：

　　·遵循ISO9001的機構將處于CMM模型的哪一個等級?

　　·第2(或第3)等級的機構可以被認為遵循了ISO9001標準了嗎?

　　·軟件質量管理和過程改進能力應該基于ISO9001標準還是CMM模型嗎?

　　我們將ISO9001的20個條款映射到CMM模型關鍵實踐的子實踐層次。誠然，這種分析是主觀性的——其他人可能對ISO 9001和CMM模型有不同的解釋(事實上，對于基于CMM模型評估和ISO9001認證，可靠的、一致的解釋和評估都是一個挑戰(zhàn))——但是幸運的是這里有足夠的客觀性，使得這種分析對于理解ISO9001認證怎樣適用于持續(xù)質量改進策略有些幫助。

　　二、ISO9000標準概述

　　最初的軟件質量保證系統(tǒng)是在70年代由歐洲首先采用的，其后在美國和世界其他地區(qū)也迅速地發(fā)展起來。目前，歐洲聯(lián)合會積極促進軟件質量的制度化，提出了如下ISO9000軟件標準系列：ISO9001、ISO9000-3、ISO9004-2、ISO9004-4、ISO9002。這一系列現(xiàn)已成為全球的軟件質量標準。除了ISO9000標準系列外，許多工業(yè)部門、國家和國際團體也頒布了特定環(huán)境中軟件運行和維護的質量標準，如：IEEE標準729-1983、730-1984、Euro Norm EN45012等。

　　由于軟件開發(fā)與一般產品制造有顯著的差別，因此必須注意軟件過程的特點，為了表明制造業(yè)和軟件業(yè)的差別，通過下圖給出了兩種產業(yè)活動的形象對比。

　　制造業(yè)：

　　由此可以看出制造業(yè)或硬件的質量問題主要反映在生產和儲運過程中，而軟件的質量問題主要來自開發(fā)過程。所以，ISO9000國際標準在軟件中的應用主要體現(xiàn)在以下內容：

　　(1)ISO9001質量體系是在軟件設計、開發(fā)、生產、安裝和維護時的質量保證的參考文件。此標準應用于所有軟件產品和滿足各種技術需求的軟件維護活動中。它是評價軟件質量的首要標準。

　　(2)ISO9000-3是對ISO90001進行改造后，將其應用到軟件工業(yè)中對軟件開發(fā)、供應和維護活動的知道文件。

　　(3)ISO9004-2是指導軟件維護和服務的質量系統(tǒng)標準。它指導和支持軟件產品的維護。

　　(4)ISO9004-4是近年公布的很有用的附加標準，是用做改善軟件質量的質量管理系統(tǒng)文件。

　　另外還有兩個作為評價軟件的標準：(1)ISO9002 適用于評價設計需求。此標準可以代替ISO9001，作為面向軟件維護而不涉及設計的，為某些咨詢公司、計算機培訓及服務公司使用的基本標準。(2)ISO9003適用于匯編及測試運行情況的標準。目前已經不再使用。

　　三、ISO9001標準條款到CMM模型的映射

　　表1是ISO9001條款到CMM模型關鍵過程區(qū)域和關鍵實踐映射的概述。標出強相關性的列表示相關性較直接的關鍵過程區(qū)域和共同特征。標著判斷相關性的列，包括在確定合理相關性時，需要一定程度主觀性理解的關鍵過程區(qū)域和共同特征。

　　表1 ISO9001與 CMM模型映射

　　ISO9001條款 強相關性 判斷相關性

　　1、管理職責 履行的承諾 軟件項目規(guī)劃 軟件項目追蹤和監(jiān)督軟件質量標準 履行的能力 實現(xiàn)矯正 軟件質量管理

　　2、質量體系 實現(xiàn)矯正 軟件項目規(guī)劃 軟件質量標準 軟件產品工程 組織工程定義

　　3、合同評估 需求管理 軟件項目規(guī)劃 軟件子合同管理

　　4、設計控制 軟件項目規(guī)劃 軟件項目追蹤和監(jiān)督軟件配置管理 軟件產品工程 軟件質量管理

　　5、文檔和數(shù)據(jù)控制 軟件配置管理 軟件產品工程

　　6、采購 軟件子合同管理

　　7、客戶-供貨產品的控制 軟件子合同管理

　　8、產品確認和追蹤 軟件配置管理 軟件產品工程

　　9、工程控制 軟件項目規(guī)劃 軟件質量幫助 軟件產品工程 定量工程管理 技術改變管理

　　10、檢查和測試 軟件產品工程 伙伴審查

　　11、檢查控制、度量和測 試設備 軟件產品工程

　　12、檢查和測試狀態(tài) 軟件配置管理 軟件產品工程

　　13、不合格產品的控制 軟件配置管理 軟件產品工程

　　14、矯正和預防措施 軟件質量保證 軟件配置管理 缺陷預防

　　15、處理、儲藏、包裝、保存和分發(fā) 軟件配置管理 軟件產品工程

　　16、質量數(shù)據(jù)控制 軟件配置管理 軟件產品工程、伙伴審查

　　17、內部質量審計 實現(xiàn)檢驗、軟件質量保證

　　18、培訓 履行的能力、培訓計劃

　　19、服務

　　20、統(tǒng)計技術 度量和分析 機構過程定義 定量過程管理 軟件質量管理

　　雖然ISO9001中的一些問題沒有被CMM模型履蓋，反過來也一樣;詳細程度也有很大的不同：ISO9001的第4部分有五頁;ISO9000-3的第5、第6和第7部分有11頁，而CMM模型超過500頁，但是，ISO9001和 CMM模型之間的相關性還是很明顯的。

　　如表1所示，ISO 9001條款在CMM模型的關鍵過程區(qū)域中沒有強相關性，沒有在CMM模型中解決的是客戶-供貨產品的控制(7)和處理、儲藏、包裝、保存和分發(fā)15)。ISO 9001條款，CMM模型所完全沒有解決的是服務(19)。ISO9001條款與CMM模型的判斷相關性具有相當主觀性的是矯正和預防活動。

　　兩個文檔的最大不同是CMM模型明確強調持續(xù)的過程改進。ISO9001只解決質量體系的最小的保證。另一個不同是CMM模型只關注軟件，而ISO9001有更大的范圍包括硬件、軟件和服務。

　　兩個文檔的最大相似是它們的底線：“說你想做的;做你想說的?！?ISO9001的基本假設是機構應該通過質量控制活動，歸檔每個重要過程和檢查每個重要過程。CMM模型也強調文檔化的過程和文檔化的設計?！鞍次臋n化的程序”和遵循“書面形式的機構政策”是CMM模型關鍵過程區(qū)域的特征。在一個更詳細的層次上，ISO9001的一些條款可以很容易地映射到與它們相當?shù)腃MM實踐。因為兩個文擋的結構是不同，所以其他的相關性映射是多對多的方式.例如，ISO9001培訓條款(18)同時映射到培訓計劃關鍵過程區(qū)域和所有關鍵過程區(qū)域中的培訓熟悉實踐。

　　四、遵循ISO9001與CMM模型的關系

　　乍看，獲得ISO9001認證的機構將處于CMM模型的第3或第4等級。事實上，一些第1等級的機構也以獲得了ISO9001認證。這種差異的一個原因是ISO9001的高度抽象性，導致審計員以不同的方式解釋。如果審計一個經過TickIt培訓的機構處于第3等級，ISO9001的設計評估將直接映射到CMM模型的對等評估。不過并不是所有的審計員都對軟件開發(fā)很熟悉。TickIt的優(yōu)點在于它培訓審計員理解怎樣在軟件行業(yè)應用ISO9001。

　　我們可以注意到：

　　(1)第2等級的大多數(shù)關鍵過程區(qū)域都與ISO9001強烈相關。

　　(2)每個關鍵過程區(qū)域在某些解釋下至少與ISO9001弱相關。

　　在這個基礎上，一個被評估為第1等級的機構可以被認證為遵循了ISO9001。然而，那個機構必須具有第2等級的重要過程實力和一定的第3等級過程實力。如果一個機構遵循ISO9001的精神，它將接近或超過第2等級。然而，機構在基于CMM模型的評估時可能發(fā)現(xiàn)存在嚴重的問題，而在ISO9001審計是卻沒有發(fā)現(xiàn)。

　　雖然SW-CMM模型并不足夠地解決某些特殊問題，一般說來，它包含了ISO9001的關注點。反過來，卻不正確。ISO9001僅僅描述了質量管理體系的最小準則，而不是解決整個過程改進，雖然ISO9001的未來修訂版可能會關注這個問題。這些區(qū)別已經足夠使一個嚴格的映射變得不切實際，但是它們的相似性反映了二者是高度重疊的。

　　五、結論

　　下面是本文開始所列的三個問題的回答：

　　(1)嚴格遵循ISO9001的機構并不滿足CMM模型第2等級的所有關鍵過程區(qū)域，但它滿足第2等級的大部分目標和許多第3等級的目標。更進一步，因為ISO9001并不關注所有的CMM模型實踐，一個第1等級的機構可能獲得 ISO9001認證。

　　(2)一個第2等級(或第3)等級的機構將能被認為遵循ISO9001，但是即使是第3等級的機構也需要保證它恰當?shù)亟鉀Q了ISO9001關于分發(fā)和安裝的4.15條款，它還將考慮到ISO90003中關于所使用軟件產品的6.8條款。如果考慮到這些，處于第2或更高等級的機構，將相對很容易地獲得認證。

　　(3)對于軟件過程改進應該基于CMM模型還是ISO9001。簡短的回答是一個機構應該同時考慮兩者，雖然兩者有很大程度的重疊。市場運作需要獲得ISO9001認證;解決CMM模型所關注的問題，將幫助機構準備ISO9001審計。相反，處于第1等級的機構如果解決ISO9001所關注的問題，也可能獲得ISO9001認證，個人認為，雖然兩者都可以單獨使用來設計一個過程改進計劃CMM模型給出更詳細的指導，這將是一個更好的選擇。

　　在任何情況下，軟件機構應該關注于過程改進，建立競爭優(yōu)勢，而不是獲得分數(shù)——不管是成熟度等級還是ISO9001認證。

企業(yè)取得ISO認證的必要性

　● 隨著我國改革開放的不斷深入，面對激烈的市場競爭，越來越多的企業(yè)均會遇到客戶對制造供應商進行綜合評估的問題。評估內容中，考察供應商是否通過ISO9000質量體系標準的認證是一個極為重要的標志。取得ISO認證已逐漸就在了客戶的要求，很多客戶將其看作是一種給予他們信心的質量標準。ISO認證已變成了產品進入市場的通行證和出口業(yè)務的產品護照。

● ISO9000質量系列標準的建立給企業(yè)提出了進步的目標，它能改善和促進公司內各部部門之間的接觸和合作，如何堅持原則按標準去做，逐步摒棄“我們以前就是那么做的”、“客戶以前都接受的”、“零件還能工作”之類的借口和觀念。因為在ISO9000質量系列標準中，這些回答都是不能接受的。ISO9000所推行的是一個標準，建立的是一個系統(tǒng)，爭取達到的是一個目標。ISO9000質量系列標準的認證價值在于提高公司在全球的競爭力，是企業(yè)的自身需要。

如何取得ISO認證？

● 需申請認證的組織根據(jù)ISO的標準，建立完善的程序文件，按照文件規(guī)定運行2-3個月，由已取得資格的內審員進行內部審核，確認整套體系正常運行以后，申請外部審核，審核通過后，獲得證書。

內審員簡介

隨著質量認證事業(yè)的發(fā)展，各企業(yè)單位紛紛建立了自己的質量管理體系，并謀求獲得第三方認證注冊的資格。同時各企業(yè)在內部都制訂了內部質量審核的程序,經常開展質量審核工作，不斷自我完善質量管理體系，改進產品質量。從事該類工作的人就稱為內部質量體系審核員（簡稱內審員）。

內審員所從事的主要工作是對本單位的質量體系進行審核，即所謂第一方審核，內審員也常常擔任對分承包方的質量體系進行第二方審核。因此內審工作很大程度上取決于內審員的素質?？梢妰葘弳T的培訓是一項重要的工作。應在組織內與質量管理有關的部門中選擇一批熟悉組織的業(yè)務、了解質量管理的基本知識、有定的學歷和工作經驗、有交流表達能力和正直的人員進行培訓，使之成為質量體系內部審核員。內審員要有一定的數(shù)量，足以應付例行的特殊的內部質量體系審核的業(yè)務，還要考慮派往本組織的供方去作第二方審核。人員的分布也要適當分散，不可全部集中在質量管理部門。因為當審核到質管部門時，這些質管部門中的內審員均不得參與，因此必須從其他部門派遣內審員。一般情況下最好在采購、銷售、技術、檢驗和生產部門中均能培養(yǎng)若干名兼職內審員供工作需要之用。所有內審員需經一定的培訓，由權威機構評估、審核合格后，由組織領導正式任命，授予進行審核的權力。

?