目录
Content

- 起源/历史

- 质量奖的诞生

- TQM的应用范围

- 方案/方法

- 与IT管理的关联

- 相互参照/联系

- 起源/历史

- EFQM的应用范围

- 描述和核心示意图

- RADAR逻辑

- 如何进行自我评估

- 与IT管理的关联

- 潜在的局限性

- 链接及参考文献

- 起源/历史

- 描述及核心示意图

- 方案/方法

- 优势和劣势

- 链接及参考文献

- 起源/历史

- 方案/方法

- 相互参照/联系

- 起源/历史

- 方案/方法

- ISMS的规划

- 资产识别

- 执行阶段

- 优势和劣势

- 起源/历史

- 优点

- 方案/方法

- 相互参照/联系

- 起源/历史

- 描述和核心示意图

- CMMI中使用的模型部件/编排约定

- SCAMPI评价方案

- 优势和劣势

起源/历史

1.1.1 质量管理的悠久历史

质量管理有着悠久的历史。最早的质量控制的印记可以追溯到金字塔的建造。荷兰历史上较近的一个质量控制和检查的例子是荷兰同业公会。伦勃朗的名画“De Staalmeesters”(“Staalmeesters”在英语中的意思大致是“公会师傅”)实际上是几个质量检查员的肖像画，之所以把Staalmeesters叫做质量检查员，是因为他们会用一把铁钳把一小块铅固定在通过了检验的织物上。

1.1.2 检验

18世纪末19世纪初的工业发展使得工业品的数量不断增长，这催生了对质量控制的新方法和新技巧的需求。诸如设计合理的导板、夹具和测量系统这样的工具保证了一定程度的标准化。这种标准化主要是由19世纪初美国的军备产业所引发的。质量检验员的职能此时已经出现。这一专家角色强化了人们这样一个观念，即产品的检验由一个人完成更有效率。今天，产品的评价不再用肉眼来完成，而要用到更为可靠的测量系统。

1.1.3 统计质量控制

在生产流程变得更为复杂、批量生产日益重要的时候，对统一性和标准化的需求也随之增加，这给了发展统计质量控制最初的推动力。

1924年，贝尔电话实验室研究了怎样制造产品可以用最少量的检验信息获得最大量的质量信息。

这就是今天人们有关统计质量控制知识的基础，特别是在流程控制和取样方面更是如此。

用来控制产品质量的技巧基本上是静态的，主要围绕着追踪制造过程中的问题来进行。20世纪50年代末出现了一个新发展：质量保证。

1.1.4 质量保证

跟踪问题以及检查并且控制制造过程已经不足以保证产品的质量了，其他学科和管理必须发挥作用。虽然质量保证主要同ISO 9000质量标准有关，一些其他的要素也值得我们注意。

质量成本：质量成本的主要倡导者是约瑟夫·M.朱兰。1951年，朱兰认为人们应该在可以避免的质量成本和不可避免的质量成本之间做出区分。有史以来第一次，经理们意识到在制造过程初期做出的决定对可能在制造过程后期或者在服务过程中才出现的质量成本的水平具有深远的影响。这些思想导致了全面质量控制这一概念的出现。

全面质量控制：费根鲍姆提出了这一概念，他声称需要满足高质量要求的产品不应该在孤立的制造环境下生产。质量开始于设计，结束于对客户的服务。密切的合作对防止未来的错误是必不可少的。费根鲍姆、戴明1以及朱兰都相信管理层要对系统的正常运作负责。

可靠性工程：航天技术和电子学的出现使美国国防部拟订了一个可靠性计划，该计划主要关注的是产品性能随时间的变化。

质量奖的诞生

1.1.5 质量奖的诞生

1945年，在第二次世界大战结束的时候，日本的工业被摧毁殆尽。仍旧在生产的产品都是便宜的劣等货。因此，日本人决定要尽可能多地吸收同盟国成功的制造工艺和管理方法。麦克阿瑟鼓励他们在这方面做出的努力，还邀请像戴明这样的专家到日本访问指导。戴明作为取样技术的顾问在1947年和1950年访问了日本，他在统计质量控制方面对日本经理进行了培训。尽管戴明关于质量的思想在他的祖国受欢迎的程度相当有限，但日本公司却很快接受了戴明的思想并对它们进行了改造，以便适应日本人的工作方式。

为了鼓励组织在统计质量控制的理论和控制方面做出卓越的研究，日本科学家和工程师协会(JUSE)在1951年设立了戴明奖。该奖以戴明的名字命名，目的是表彰戴明为在日本引进和发展统计控制所做的贡献。他为质量改进循环的一幅既有的简单示意图引入了一个新概念(见图1.1)。

今天，这一循环被称为计划-执行-检查-行动循环(Plan-Do-Check-Act cycle，简称为P-D-C-A循环)，也被称为戴明循环，戴明本人则一直把该循环叫做舒哈特循环，舒哈特是戴明在贝尔实验室的一位前同事，他是P-D-C-A循环的发明人。P-D-C-A循环指的是对产品的生产做出周详的计划(计划)、生产本身(执行)、检查产品的生产是否仍然按照计划进行(检查)以及在需要调整产品时采取行动(行动)，调整产品的需要发生在检查显示生产没有照计划进行或者要对产品做出改进的时候。这一持续改进的过程现在仍然应用在制造公司里，它也适用于非营利机构，这时，它被用于改进项目的结果。

TQM的应用范围

在20世纪70年代和80年代，为了要赶上日本的竞争对手，欧洲和美国的工业界开始应用TQM，如今，全面质量管理已经成为了举世公认的基于质量管理的组织变革愿景，它被大大小小的营利机构和非营利机构所采用。

TQM并不作为单一的工具来使用。它是一套有着相应的方法论和技巧的有关组织变革的观念和思路，它将为组织的管理方式带来深刻的变化。

在公司范围应用一组TQM的方法论和技巧是可行的，在一个部门应用单一的技巧也是可能的(例如，在制造部门应用统计流程控制)。

1.3 描述

自泰勒1以来，TQM是对企业管理影响最大的管理理论之一。该理论在20世纪70和80年代还被当成是有关产品质量的一种新观点，但它很快就变成了一种旨在获得对竞争对手战略领先优势以及组织变革的管理工具。从那时起，人们发明了很多支持管理的方法论和技巧。

概括地说，管理要努力寻求在高生产率、低成本和最大利润间的一种平衡。TQM就建立在这一基本的原理之上。为了达到这点，TQM主要关注：

统计流程控制。

流程管理。

持续改进。

零缺陷。

教育与培训。

管理的任务。

协同工作。

持续的改进过程、顾客和员工满意、沟通、部署和文化变革对实现卓越经营必不可少。

今天，质量已经不再是中心质量部门经理一个人要考虑的问题了，各级业务管理人员更要考虑这一问题。质量已经无法被他人代理。关系到一个公司运营的所有重要方面，从使命、愿景、战略、员工参与、企业家精神、流程管理、顾客导向、同供应商协同工作、持续学习直到经营业绩，都成为了TQM的组成部分。这些要素是EFQM和MBNQA2管理模型的基本要素。

同时，TQM为管理层提供了一套支持组织变革过程的工具和技巧。

最高管理层被认为是变革过程背后的推动力量，他们要处理以下一类问题：

我们的管理团队是否对这种新的工作/思维方式做好了准备？

组织是否对这一(文化)变革做好了准备？

是竞争推动我们做出变革(求生存的情况)还是我们管理团队就持有变革的信念？

我们有没有对未来的愿景？有没有一个清晰的战略？

我们如何应对阻力？

我们怎样搭建起一个实施网络？

我们有没有用于教育和培训的资金？

我们如何对员工所做出的努力进行嘉奖？

当一份基于TQM的清晰的商务计划已经拟订完毕并且准备在组织内实施时，有许多方法论和技巧可以支持这一实施过程。

这些技巧可以归为以下几类：

领导变革技巧，诸如：

－政策部署。

－标杆法。

－顾客满意度调查。

－员工动机调查。

－管理审计与自我测评(EFQM/MBNQA)。

流程管理技巧，特别是以下方面：

－开发，例如，田口(Taguchi)法和夏宁(Shainin)法。

－制造，如统计流程控制、流程能力、六西格玛。

－物流和供应管理，例如，即时管理、看板管理。

群体动力学，诸如：

－头脑风暴法。

－力场分析法。

问题解决：

－帕累托图。

－原因效果图。

方案/方法

如果组织还没有做好实施EFQM或者MBNQA的准备(见1.7相互参照一节)，从较小规模的试点开始也是可以的。不论组织从什么样的改进计划开始，为了要实现组织变革，它永远都需要变革它的使命、愿景、战略、流程、内部和外部的顾客导向以及协同工作。可以采用下面提出的5步骤法(如图1.2所示)。这种方法的依据是，在变革的过程中，各种人物是先后登场参与变革的。

图1.2 变革5步法

第一步：一开始，并不是所有的事情都一清二楚。问题还不仅仅在于最高经理人是否具备了充当变革领袖的相关技能，而且还在于经理人的思想是否能促成预期的变革。让同行检验最高经理人的思想大有助益。这一步完全是在精神上做好准备，弄清楚必须要做哪些事以及如何去做。

第二步：最高管理人与那些他充分信任的人讨论他那些这时仍然显得有些粗糙的思想。有关新思想应当如何表达的反馈意见被收集起来，赞成和反对新思想的理由都得到了讨论。愿景和实施途径都变得更加清楚。将框架拿给管理团队的时机已经成熟。

第三步：为了使管理团队参与到预想的变革之中，最高经理人必须要进行解释、论证，让他/她的同事信服并为他们打气。诚实、开诚布公和耐心都是很重要的品质。强行灌输自己的思想不仅徒劳无益，而且还会导致阻力的出现。这一步的目标是为变革勾画出一个清晰的图景，同时使最高经理人与管理团队一起拿出实施方案的一个最初框架来。

第四步：一旦管理团队接受了变革，在自己的部门成为变革的支持者并将愿景转化为与所在部门密切相关的东西就成了每个人的任务。在这一步的最后，每个人都应该参与到变革过程当中。

第五步：这一步的中心任务是让变革过程继续进行下去，在鼓励那些真正推动变革的人提出新的行动计划的同时，追踪那些落在后面的人，对变革的速度做出调整。要对成功广为宣传并进行庆祝。

注意：步骤第一步——第五步不是一个线性过程，中间可能会有意想不到的转折发生。

与IT管理的关联

软件工程师们在20世纪80年代就已经采用了基于技术工程原理的具体的TQM方法和技巧。软件、软件开发以及信息技术在工业中快速增长的重要性催生了对专门应用于软件和信息技术的模型、方法和工具的需求。软件开发流程的效率和有效性尤其需要提高，这是因为对于越来越多的产品而言，产品的研制周期取决于相关软件开发的研制周期(例如，消费电子产品)。TQM循序渐进以及持续改进的原理被诸如CMM一类的框架所采用。

IT政策从来不是一个孤立的政策，而是整个组织政策的一部分。组织政策为IT政策确定了背景，但信息技术的新进展也会改变组织政策的方向，它们相互影响。当两者都发挥最佳效力时，它们就能通过提高过程的效率、有效性和质量来为组织创造价值：基本的TQM原理。

当决策以及后续行动所依赖的信息不够准确和完整时，改进一个组织的流程就绝无可能。质量要得到保证的头一个产品就是管理信息：它服务于所有其他产品和流程。这就是TQM之所以对IT重要的原因：它要保证信息的可靠与安全。

1.6 优势和劣势

EFQM和MBNQA的管理模型为管理层提供了一个清晰的架构、支持材料和最佳实践，但人们对TQM仍有争议。只要TQM还存在，它就会有支持者，也会有怀疑者。

1.6.1 优势

不论一个人持什么观点，TQM都把对质量问题的讨论带上了管理委员会的议事日程，它有时候甚至还被看成是一种竞争优势。不过，我们还可以看到更多的积极因素。

如今，人们已经普遍接受：深刻的变革需要时日，而且组织中的每个人都会发挥重要作用。

基于(业务)流程和跨部门团队的思维方式已经被普遍接受。

以客户为中心与取得经营业绩之间的联系非常密切。

员工拥有关于所有流程的大量知识，是非常宝贵的资产。他们对流程的改进能发挥关键作用。

P-D-C-A是一个流传广泛并且好用的模型(见图1.1)。

持续学习是一种生存的手段。

相互参照/联系

依照在一个具体的组织中TQM被定义的范围大小，可以为该主题找到大量的参照物。

如果管理层关心的是企业范围内一般的改进过程，那他们就很可能会从ISO 9000:2000这样的计划着手，这类计划会提供基本的知识。

TQM像ISO 9000一样致力于整体的业务改进。ISO 9000被视作是保证组织有能力满足客户需要的基础。

在如何管理变革、定义和测量流程的产出以及如何在组织中把顾客的需求和满意放在优先位置等方面积累经验将会逐步转向EFQM或者马尔科姆·波多里奇模型。

欧洲质量管理基金会的卓越模型(欧洲)以及马尔科姆·波多里奇国家质量奖模型(美国，MBNQA)为管理团队实现卓越经营提供了结构化的途径。这两个模型都是基于TQM的概念和原理的。

EFQM卓越模型(也称为企业卓越模型)是欧洲质量管理基金会为TQM提出的模型。它是作为评价和改进组织的一个框架被提出的。

鉴于信息技术在当代企业中的重要性，一个卓越的组织显然需要健壮的IT(管理)系统。在TQM的伞概念下，诸如TickIT、ITS-CMM、CMMI、ITIL以及ASL这样的IT模型对组织应对变化的能力很有用处。

CMM的目标是测评和优化一个软件开发组织。CMM所用的方法和技巧是建立在TQM的质量原理之上的。

TQM和ITIL都以客户和组织中的流程为中心。区别在于ITIL主要关心的是一个组织的IT流程。

表1.1给出了TQM相关模型的一个概览。

表1.1 同TQM相关的模型

基 础

高 级

通用

ISO 9000:2000

EFQM

马尔科姆·波多里奇国家质量奖

六西格玛

IT专用

TickIT

ISO 27001

ISO 20000

ISPL

ITS-CMM

CMMI

CobiT

ITIL

ASL

1.8 链接及参考文献

1.8.1 有关质量的书籍

Bent， B. J. van der (1999). “Organiztieleren: een zoektocht naar de geheugendragers en de rol van organiztiegeheugen in veranderingsprocessen.”Rotterdam: Erasmus University.

Conti， T. (1993)，“Building Total Quality. A guide for management”. Chapman and Hall.

Crosby， P. B.，“Quality is Free”. McGraw-Hill.，New York，1979.

Deming， W. E. (1986). Out of the Crisis. Cambridge， MA: MIT Center for Advanced Engineering Study.

Deming， W. E. (1994， 2nd edition). The New Economics for Industry， Government， Education. Cambridge， MA: MIT Center for Advanced Engineering Study.

Garvin， D. (1988). Managing Quality. The Strategic and Competitive Edge. New York: The Free Press.

Hardjono， T， S. ten Have， & W. ten Have (1997). The European Way to Excellence. Brussels: Directorate-Generale III Industry， European Commission.

Imai， M. (1986). Kaizen. The key to Japan’s competitive success. New York: Random House Business Division.

Juran， J. (1988). Juran on Planning for Quality. New York: The Free Press.

March， A. (1996). A Note on Quality: The Views of Deming， Juran， and Crosby. IEEE Engineering Management Review， Vol. 24， No. 1， 6-14.

Martin， P.， & Tate， K. (1997). Project Management Memory jogger. Salem， NH: GOAL/QPC.

Nuland， Y. van， G. Broux， L. Crets， W. De Cleyn， J. Legrand， G. Majoor， & G. Vleminckx (1999). Excellent: A guide for the implementation of the EFQM-Excellence model. Leuven: Comatech.

Peach， R. W.， Peach， B.， & Ritter， D. S. (2000). Memory jogger 9000/2000 (implementing ISO 9001). Salem， NH: GOAL/QPC.

Ritter， D.， & Brassard， M. (1998). The creative tools memory jogger (creative thinking). Salem， NH: GOAL/QPC.

Wentink， T. (1999). Kwaliteitsmanagement en organisatieontwikkeling. Den Haag: Lemma.

起源/历史

2.1.1 EFQM简史

在日本和美国掀起的质量热潮导致了EFQM于1989年9月15日在布鲁塞尔的正式成立。它是14家欧洲公司对日本的戴明质量奖和美国波多里奇国家质量奖1做出的快速反应。

Bosch， BT， Bull， Ciba-Geigy， Dassault， Electrolux， Fiat， KLM， Nestlé， Olivetti， Philips， Renault， Sulzer 和Volkswagen的主席参加了这次重要的会议，因此成为了EFQM的创始人。

1989年10月19日，他们的使命、愿景和目标被正式发布。14家创始公司和53家联合创始公司的主席签署了一份政策文件。EFQM的使命有两方面：

支持欧洲公司的管理。

激发并在必要时帮助欧洲社会的所有部门。

2.1.2 EFQM模型和EFQM卓越奖

从1988年到1991年，新成立的EFQM把主要精力放在了EFQM模型的开发上。这是人们评判今天被称为EFQM卓越奖(见图2.1中的相关标志)的欧洲质量奖的申请人所使用的框架。这导致了EFQM卓越模型在1991年的问世。

这一工作凝聚了一个小的核心小组，该小组主要由EFQM的创始人和早期的重要公司成员组成，并由来自全欧洲大约300名专家提供支持。在早期阶段，EFQM以及模型的开发都倾向于把大型企业以及它们的分公司这样的商业机构当作重点。

在首次颁奖之后，模型同样适用于公共部门和中小企业(SMEs)的事实已经显而易见。在欧洲质量组织(EOQ)和欧洲委员会的支持下，EFQM为EFQM卓越奖设立了这两个新的类别。

图 2.1 EFQM卓越奖标志

在10年时间里，EFQM模型已经成为了最成功的管理框架之一。EFQM卓越模型目前归EFQM所有并由其管理，EFQM提供了同实施该模型相关的一整套服务。

作为一个基金会，EFQM扩大了它的范围，它已经拥有了700多家大小不等的来自公共或者私营部门的成员组织。在成员当中有一些世界上最负盛名和最成功的组织。皇家飞利浦电器公司(Royal Philips Electronics)更是一贯积极地倡导这一模型。

以EFQM卓越模型的成功为基础，EFQM现在正在开发一些专门管理领域中的框架，这些领域包括风险管理、知识管理、创新管理以及企业社会责任等。

EFQM的应用范围

EFQM卓越模型和EFQM基金会的活动是在市场和业务上追求卓越的欧洲组织的主要参考。EFQM如今是来自公共或者私营部门的各种不同规模行业中的胸怀世界的杰出组织的中枢。

2.2.1 模型和网络

如今，EFQM的网络包含了成千上万个决定采纳EFQM模型作为主要管理技巧的来自世界各地的组织，以及主要来自欧洲很多个不同行业的700多个规模不等的成员组织。由于许多已经实施了EFQM模型的组织现在都在全球范围内运营，对EFQM卓越模型的认识和参与在世界各地正迅速蔓延。

在欧洲，基金会在支持和资助EFQM模型应用和实施的活动中，得到了一个由27个国家级或者地区级的伙伴组织组成的网络的支持。有18个以上的不同国家的卓越奖是以EFQM卓越模型为基础的。

EFQM模型是在欧洲应用最广泛的管理框架之一。如今，在欧洲最大的25家公司中，有60%使用该模型来改进其业务，而且有大约3万家组织将该模型作为管理他们业务的主要参考。

2.2.2 认证方案

EFQM的认证方案被称为EFQM卓越等级体系。这一方案的主要目的是帮助组织通过追求卓越来提升其竞争力。杰出的组织通过参与该方案获得认证。其他组织也能找到可以学习的榜样。

认证方案在褒扬成绩的同时也鼓励组织在将来做出更大的努力。认证方案是鼓励组织为追求卓越而进行系统的改进的非常有效的方法。它们在组织内部的员工、供应商和顾客面前展现了进步，成为发展的里程碑。

EFQM的认证由三个等级组成(见图2.2、2.3和2.4)：

承诺卓越——帮助组织唤起内部利益相关者的热忱和承诺，以得到必要的动力。

因卓越获得认可——为组织提供了一个记录他们在通过追求卓越增进竞争力方面所取得的进展方法。新的3星、4星或者5星方案为组织提供了更多的可能。要达到这一等级需要组织的分数在300到500之间。

EFQM卓越奖水平——为那些立志达到欧洲最佳或者世界水平的组织提供一个将自己与最好的组织比较的机会。只有组织的分数超过了500，才可以达到这一等级。

图2.2 EFQM承诺卓越等级的标志

图2.3 EFQM因卓越获得认可等级的标志

图2.4 EFQM卓越奖获得者的标志

获得EFQM认证需要通过RADAR逻辑(参见2.3.4节)对一个组织进行评价并为其评定一个分数。

1000分的总分被分到不同的方面，500分按照促成条件标准评定，500分按照结果标准评定(参见2.3.3节)，具体项目如下：领导 10%，人员 9%，政策和战略 8%，伙伴和资源 9%， 过程 14%，人员结果 9%，顾客结果 20%， 社会结果 6%，主要业绩结果 15%。

认证直接由EFQM发出，承诺卓越等级和因卓越获得认可等级的认证也可以由27个伙伴组织的网络发出。不过，在后一种情况，EFQM要确保在欧洲以至世界范围的认证坚持一致的标准。

描述和核心示意图

不论处在哪个行业，也不论规模、结构或者成熟度如何，一个组织要想获得成功，就需要建立一个适合的管理框架。

2.3.1 卓越的基本概念

EFQM卓越模型是在1992年初作为评选EFQM卓越奖时评价组织的框架推出的，如今，该模型已是欧洲应用最广泛的组织框架。EFQM确定了很多个基本概念以支撑它成功的管理框架(这些被表示在图2.5中)。

立志要全面达到卓越的组织都需要考虑这些概念并以一种适合自己的方式来贯彻它们。这些概念的识别经过了大量的研究，在20世纪90年代初被首次发布之后，这些概念经受了时间的考验。

图2.5 卓越模型的8个基本概念

结果导向就是平衡所有利益相关者的期望，取得让他们高兴的结果。

要实现以顾客为中心，就要毫不含糊地把现有顾客和潜在顾客的需求作为中心，创造持续的顾客价值。

领导以及目的的恒久性指的是领导人在公司内部，以及在公司及其人员能实现卓越的环境中，在设定明确而恒久的目的方面表现如何。

通过过程和事实来管理，显示当公司使用可靠信息理解了所有活动的关系并对它们进行了系统的管理后，在更有效地执行方面表现如何。

人员开发和参与是公司在通过共享的价值以及一种信任和参与的文化充分实现人员的潜力方面表现如何的一个尺度。

持续学习、改进与创新是指通过创建一种鼓励学习的文化来质疑现状并引发变革，以创造创新和改进的机会。

伙伴关系发展取决于一个组织在建立并维持互惠而且能增添价值的伙伴关系方面的表现。

企业社会责任表示一个组织如何超越公司所处环境的最低规则框架并努力理解他们在社会上的利益相关者的期望并对其作出反应。

2.3.2 模型的目标

EFQM卓越模型是一种能够以很多种不同方式来使用的实用工具。

作为自我评估的一种工具。

作为定点超越其他组织的一种方法。

作为识别可改进领域的一个指南。

作为业务计划和检查的一种基本输入。

作为通用词汇的基础和一种思维方式。

作为组织管理体系的一种结构。

2.3.3 标准和准据部分

EFQM卓越模型意识到要在绩效的所有方面做到可持续的卓越有很多种途径。EFQM卓越模型以下列前提为基础。

图2.6展示了EFQM模型。图中的箭头强调了模型的动态性质。它们表示创新和学习怎样改善了促成条件，改善的促成条件又进而带来了业绩的改进。

RADAR逻辑

被称为RADAR(雷达)的逻辑是整个模型的一个中心，它包括4个要素

结果(Results) 确定“结果”是组织政策和战略制定过程的一部分。这些结果包括了组织在财务和运作方面的绩效，也包括组织利益相关者的印象。

途径(Approach) 为在现在和将来取得所需的结果规划并制定一整套可靠的实现途径。

部署(Deployment) 用一种系统的方式来部署实现途径以确保全面落实。

评价和检查(Assessment and Review) 根据对所取得的结果以及持续学习活动的监测和分析，评价和检查后面的途径。最后，根据需要识别、排定、计划并实施改进。

通过增添更为全面的特定细节，结果、途径、部署、评价和检查这几个RADAR要素效仿并完善了戴明循环中的计划、执行、检查、采取行动这几个基本要素。

当在一个组织内应用该模型时，RADAR逻辑的途径、部署、评价和检查这几个要素应该应用到每条促成条件标准中，而结果这一要素则应该被应用到每条“结果”标准中，如图2.7所示。

图2.7 RADAR逻辑

2.3.5 对财务的利益

这些年来，人们对采纳一种类似于EFQM卓越模型这样的整体模型以及组织业绩改善之间的关联做了大量的研究。大部分研究显示出了正向的关联。

2005年，为了确定获得认证的组织是否确实从该模型的实施中受益，一项课题专门研究了组织卓越战略的有效实施对主要绩效结果的影响。该分析的一个要点是识别出全欧洲已经有效地实施了EFQM卓越模型的组织。一个由莱斯特大学质量卓越研究中心的路易斯·伯特勒博士(Louise Boulter)和托尼·本戴尔(Tony Bendell)教授、佐治亚理工学院(美国)的Vinod Singhal教授以及林克平大学(瑞典)的Jens Dahlgaard教授组成的国际研究团队发布的研究结果为以下判断提供了独立而客观的证据，EFQM卓越模型原理的有效实施对企业经营的财务结果有积极的影响。

也许最经常被问到的有关采纳该模型的问题是：“你怎么知道它有效果？”对这一问题的最令人信服的一个答案来自于佐治亚理工学院的Vinod Singhal博士和威廉和玛丽学院的Kevin Hendricks博士在2000年做出的研究。

这一对600多个质量奖获得者所做的为期5年的研究显示，整体而言，他们在普通股的价值、营业收入、销售、销售利润、员工和资产增长方面都有了显著的改进。这项研究结果表明有效地采用各种质量奖标准中包含的业绩卓越原理从经济角度看很有意义。

2.4 方案/方法

EFQM相信自我评估的过程是推动业务改进的一种催化剂。EFQM对自我评估的定义如下：

自我评估是组织按照EFQM模型对它的活动与结果所做的全面、系统的定期检查。自我评估的过程使得组织能够清楚地辨别它的强项与可以改进的领域，进而形成进展，并得到监测的有计划的改进行动。

通过使用EFQM卓越模型进行自我评估，组织可以得到很多种利益，包括：

为组织识别并评价它的强项与可以改进的领域以及周期性地测量它的进步，提供了一个高度结构化的、以事实为依据的技巧。

改进公司战略和企业计划的制定。

为管理和改进组织的方法创建一种通用语言和概念框架。

在卓越的基本概念以及这些概念同每个人职责的关联方面对组织成员进行教育。

将改进的誓愿融汇到日常运作中。

在开始着手进行自我评估时，一定要清楚想要的结果以便管理预期，从而减少失败的风险。

如何进行自我评估

对“哪种技巧适合我们组织？”的问题没有确定的答案，在执行自我评估方面不存在唯一“正确”的方法。组织的文化和结构以及想要得到的利益应该有助于确定在某个特定情形下应该采取哪种技巧。

问卷

这一技巧可能是对资源需求最少的技巧之一，而且能够很快完成。它是在组织内部收集人们感知信息的一种绝佳方法。一些组织使用简单的是与否问卷，另外一些组织则使用稍微复杂一点的带有量表的问卷版本。

问卷还可以作为一种收集广泛分布的数据的方法用来支持一种更精致的自我评估技巧。

评价工作会

评价工作会是一个通常持续半天到两天的一个事件，在评价工作会上，一个小组的成员通过讨论和决策的过程对所展示的数据证据做出评价并在强项和需要改进的领域方面达成一致。

随后将开始新一轮的讨论和决策过程，以对可能的改进行动的优先等级做出评定，指定所有人关系并通过完成改进的时间表。

预备文件

这一技巧提供了一种对资源要求高的评奖模拟法以及问卷法的替代方法。这一过程包含了为完成预备文件而收集数据和证据、对预备文件做出个人的和集体的评价、达成一致并形成一个最终的报告呈送到管理团队。

评奖模拟

这一技巧是参评EFQM卓越奖的一个有效替代。它包括了撰写完整的申报文件以展现组织在一系列同EFQM卓越模型中每一个子标准相关的领域上所取得的成就。

2.4.2 结构化自我评估的8个步骤

不论进行自我评估所用的具体技巧是什么，EFQM结构化的自我评估过程有8个具体而确定的步骤，正确地执行这些步骤对该过程的结果非常关键。

图2.8表示了自我评估的8个步骤。

与IT管理的关联

一个经常会被问到的关键问题是CMMI模型(能力成熟度模型集成)和EFQM卓越模型是否无法兼容或者互补？欧洲软件学会(ESI)——一个由欧洲委员会在1993年组建的非营利的基金会——提出了同样的问题并且决定接触EFQM以便建立两个模型的关联并且开始合作。

EFQM和ESI联合向欧洲委员会提交了一个项目建议，该项目的目标是以EFQM卓越模型为基础创建一个专门面向基于软件的组织的新框架，欧洲委员会决定为这一项目提供资助。

框架的第一稿已经出台，而且7个试点项目公司正在试实施这一框架。EFQM-ESI小组选择了7个中小企业，有几个企业先前有过实施CMMI和卓越模型的经验，另几个则没有早先的经验。

这一趋势说明需要把软件质量看成是与EFQM模型及其未来发展相关的一个问题。

许多组织不能充分利用质量管理方案，原因是他们不能将这些模型运用到他们特定的环境中。传统的软件过程改进模型中的软件过程改进没有充分考虑通往卓越的企业目标。

该项目如何帮助软件环境

为了帮助克服以上问题，协会将为软件密集型公司开发专门的EFQM模型。它的目标是提供从培训课程到在线学习平台的各种支持，使得大大小小的组织都能够在不需要大量的资金或资源投入的情况下实施这个新模型。这个新模型将完全符合EFQM卓越模型，而且还把SPI(软件过程改进)纳入到了卓越经营的更广阔的背景之中。

2.6 优势和劣势

2.6.1 潜在利益

在它的很多个长处当中，实施该模型的以下几个优点尤其值得强调：

它提供了一个系统处理组织全系列质量问题的整体框架，还通过“结果”标准考虑到了所产生的影响。

它为组织活动提供了一个明确的诊断，由于该诊断将组织所从事的活动与该组织所取得的结果联系了起来，凸显了取得结果的方法，所以该诊断对计划很有用处。

它努力灌输一种持续改进的文化。

它适应面很宽，可以一次一小步地采纳，可以用来处理特定的问题——例如，用不到一天的时间对组织的环境政策做一个分析，也可以为用几个月的时间对组织所有的活动来一次全面检查提供一个框架。

该框架不要求外部确认，所以它能用作内部驱动的自我检查工具，该工具可以使组织在测评它的绩效时尽可能地诚实与开放。

按照RADAR逻辑依据组织实施EFQM模型的水平对组织打分的技巧可以为组织下一次的自我检查提供一个内部的标杆。它还可以用作外部的标杆来支持组织之间的比较。

潜在的局限性

虽然EFQM模型作为一种能带来附加价值的管理技巧受到了高度评价，人们通常不认为它是一个容易实施的工具。EFQM卓越模型产生利益需要一段时间，为了实现这些利益，组织需要在追求卓越方面实施一个全面的组织战略。设计EFQM模型的目的不是要为解决问题提供一个灵验的方法，根据实施的情况，EFQM可能无法立即产生利益。

在潜在的局限性当中值得一提的是使用和实施该模型需要持续的反复。另外，存在一种在组织中更深入地贯彻该模型的重大机会，即通过包容主要的供应商和商业伙伴来扩展模型的范围。

当企业的领导层认识到该模型是一种很有价值的工具时，实施该模型才会获得最大利益。一些组织在贯彻模型的原理时遭受了失败，原因是高级管理层对模型的概念并不当真。

该模型没有正规的标志或者第三方认证，所以，对顾客、服务用户、出资人和其他的利益相关者来说，该模型不够引人注目，也没有受到更多的认可。

该模型需要和其他业务方案整合起来使用。它不是一个孤立的过程。

虽然已经有大量的大中型志愿组织成功地应用了该模型，但由于该模型最初是为商业部门开发的，所以该模型的一些语言无法简单地移植到社会企业1或者志愿组织。但是有一些社会企业的应用范例可以供大众使用。

当该模型被表述在文件中时，人们会感到该模型有点过于复杂。

2.7 相互参照/联系

在EFQM模型和其他方案间可以找到很多关联。它同马尔科姆·波多里奇方案更是有着很紧密的联系。作为一种从TQM哲学和方案中派生出来的技巧，ISO 9000可以被视作企业卓越模型的最重要的基础。

EFQM模型与平衡记分卡(BSC)的关系值得我们做较深入的分析。

平衡记分卡(BSC)和EFQM卓越模型都通过测量一个组织的绩效来推动组织改进——一般是通过向管理团队凸显绩效方面现有弱点的方式。两种方案在近几年都得到了广泛采用，它们针对同样的问题，而且都得益于现有用户、咨询顾问和软件供应商中大牌拥护者的支持。在设计和管理过程方面的差别使得两种工具各有特点。

BSC的创建过程旨在创建出能简单明了地反映组织所选定的具体目标的BSC设计。有效的BSC设计也描述了管理层有关“因果性”的假设，即，一组活动为什么以及如何导致战略性结果的实现。“促成条件”和“结果”的类似考虑是EFQM卓越模型的一个特征(见图2.6)。

EFQM卓越模型的创建过程假定有一套标准的战略目标适用于所有的组织。这一简化使模型的设计过程更为容易，而且使得组织之间可以进行标准化的“标杆分析”，即便这些组织处在不同的市场或者行业里。因此，两种创建过程的关键区别在于它们在多大程度上能声称反映了特定的战略目标。

企业卓越模型(例如EFQM模型)忽略了具体的战略目标，而是通过一个更简单的设计过程，将重点放在了它的标杆分析特性上。

因为必须要描述和反映一个组织的特定战略目标，BSC方案必定要更加复杂。

链接及参考文献

有几个实践团体正在为持续地改进EFQM模型的实施而协同工作。EFQM实践团体(CoPs)是一些自我管理的网络，它们由一群对特定问题有着同样兴趣的人组成。

每个CoP都给实务工作者提供了一个与同行进行社会交往、就感兴趣的问题展开讨论与学习的国际论坛。

加入一个CoP可以给个人和他们的组织带来以下利益：

有机会得到其他人的经验。

从不同行业和不同国家获得新思想。

有机会通过代表影响EFQM的战略。

有一个特定的舞台可以共享欧洲的标杆分析、最佳实践以及知识。

目前，按照不同的环境和需求，下面一些实践团体正在为持续地改进和调整EFQM模型的实施而协同工作：

基于过程的组织项目。

供应链项目。

全球规模的评价。

学术研究和学习。

汽车工业部门。

教育部门。

卫生部门。

地方和中央政府。

铁路工业部门。

船运部门。

电信部门。

2.8.1 有关EFQM的文章

Boulter， L.， Bendell， T.， Abas， H.， Dahlgaard， J.， Singhal， V.， (2005). Report on EFQM and BQF funded study into the impact of the effective implementation of organisational excellence strategies on key performance results. Leicester: University of Leicester. Consulted December 7 2006 via http://www.mirs.gov.si/fileadmin/um.gov.si/pageuploads/Dokpdf/PRSPO/EFQMFinalReport.pdf.

Goldenson， D. R.， & D. L. Gibson (2004). CMMI vs. EFQM: a new framework? Brussels:EFQM.For members only via http://excellenceone.efqm.org.

Hendricks， K. B.， & Singhal， V. (2000). The impact of total quality management on financial performance: evidence from quality award winners. London， Ontario (Canada): The University of Western Ontario. Consulted November 7 2006 via http://www.efqm.org/uploads/excellence/ vinod%20full%20report.pdf.

Sheleg， Y. (2005). EFQM Self-Assessment as a Management strategy to promote Business Excellence. Brussels: EFQM. Consulted October 31 2006 via http://excellenceone.efqm.org/Portals/1/PDF/selfassessment.pdf.

Tanner， S. J. (2005). Is Business excellence of any value? Leeds: Oakland Consulting. Consulted October 31 2006 via www.excellencenorthwest. co.uk/Resources/busex-value.pdf.

The British Quality Foundation (2003). The impact of Business Excellence on Financial performances. London: British Quality Foundation. Consulted October 31 2006 via www.quality-foundation. co.uk/pdf/ whitepapercomplete.pdf.

Unwin， S. (2006). Understanding Business Excellence. Brussels: EFQM. For members only via http://excellenceone.efqm.org.

Zairi， M.， & Y. Jarrar (2004). Balanced Scorecard vs. EFQM Excellence Model. Brussels: EFQM. For members only via http://excellenceone. efqm.org.

2.8.2 有关 EFQM的书籍

Van Nuland， Y.， G. Broux， L. Crets， W. De Cleyn， J. Legrand， G. Majoor， & G. Vleminckx (1999). Excellent: A guide for the implementation of the EFQM-Excellence Model. Leuven: Comatech.

Oakland， J. S. (1999). Total Organizational Excellence. Oxford: Butterworth-Heinemann Ltd.

Porter， L. J.， & Tanner， S. J. (2003). Assessing Business Excellence. Oxford: Butterworth-Heinemann Ltd.

The Model in Practice 2: Using the EFQM Excellence Model to Deliver Continuous Improvement. (2002). British Quality Foundation. London: British Quality Foundation.

The Model in Practice. (2000). British Quality Foundation. London: British Quality Foundation.

2.8.3 有关EFQM的网站

www.efqm.org 欧洲质量管理基金会

www.esi.es 欧洲软件学会

www.quality.nist.gov 美国国家标准与技术学会

起源/历史

ISO 9000由ISO维护，而由国际鉴定和认证机构提供管理。该标准被广泛地应用于服务部门和制造业。但是与采纳该标准相关的高昂成本以及实施上的困难已经让很多公司转而使用替代标准(例如IC 9700、IC9200或者一种内部标准)。该标准已经经历过数次修订，对此我们在下面有详细描述。

ISO 9000是由英国标准化学会的BS 5750发展而来，后者的目的是提供一份显示工业生产得到了控制的共同和约文件。BS 5750一经出台，主要的行业组织就采纳了该标准相对他们自己标准的优先地位。ISO 9000在1987年的头一个版本沿用了与BS 5750相同的结构。尽管这份文件的结构与英国标准相似，但它大量引用了很多国际文件。虽然该标准在1987年后又经过了两次修订，但它仍然保持了原有的核心，以预防为导向，有质量保证要求。

1994年的版本强调了通过预防措施实现质量保证，并且仍旧要求与记录在案的程序相符合的证据。不幸的是，这在公司中是通过创建程序手册来实施的，公司受到了ISO官僚作风的拖累。在这种环境下，调整以及改进过程可能非常困难。

2000年的版本，ISO 9000:2000试图通过在标准中强调过程管理来改变原有的思维方式。起草了第三版标准的ISO技术委员会在他们编写的文件中声明他们并没有发现标准的基本目标有什么变化，标准一直都主张“一个记录在案的系统”，而不是“由在案记录组成的系统”。它的目标一直是通过过程绩效的测量尺度达成管理体系的有效性。第三版更加凸显了这点，而且，如果有明确的证据表明过程运作良好，也不再强调要拥有记录在案的程序。

2000年修订版明确了对持续过程改进的预期以及对顾客满意度的追踪。不幸的是，继续编制不必要的文件并按照ISO 9001的段落结构来编写质量体系的企业还是太多，他们没有对他们的业务流程做出分析并围绕组织的流程来构建体系。

3.2 ISO 9000的应用范围

国际标准化组织(ISO)是一个为企业、政府和社会识别和制定国际标准的国际网络。范围广泛的利益相关者群体参与了国际标准化组织，这有助于达成国际上的广泛认同。ISO 9000族标准是ISO应用最广泛的标准之一。通过这一标准，ISO试图在企业到企业活动领域成为质量管理要求的参考基准点。虽然ISO标准是自愿遵守的，但这些标准在公共部门和私人部门都得到了广泛的接受和尊重。在世界范围内，有154个国家的760 900家组织实施了ISO 9000标准，服务部门占到了9001:2000证书发放数量的31%。

ISO 9000由3个部分组成：

ISO 9000:2000——质量管理体系-基础和术语。

ISO 9001:2000——质量管理体系-要求。

ISO 9004:2000——质量管理体系-业绩改进指南。

ISO 9000:2000是一个单一的质量管理要求标准，它适用于所有的组织、产品和服务。它并不局限于某个特定的管理层次，还清楚地定义了每个业务部门在质量管理方面的职责。表3.1和3.2(按照标准里的定义)给出了高级管理层和企业中其他人员在质量管理方面的职责。

描述及核心示意图

描述及ISO 9000:2000证明一个组织执行了正确的过程。但是，它并不为最终产品的质量提供担保。对持续改进需要的反复强调贯穿了整个标准。

图3.1 ISO的标志(来源：国际标准化组织)

ISO 9000:2000涵盖了4个主要的通用业务过程：

资源管理。

产品质量。

质量记录维护。

持续改进要求。

ISO 9000:2000的目标是帮助用户建立一个灵活、以顾客为导向的结构化的质量管理体系。ISO是能够被用于认证一个质量管理体系的唯一标准，任何组织都可以用该标准的一般要求来：

解决顾客满意问题。

满足顾客要求以及适用的规制要求。

帮助内部和外部的有关方面(包括认证机构)评价组织满足顾客要求与规制要求的能力。

ISO 9001:2000和ISO 9004:2000是作为一对协调一致的质量管理体系标准被设计的，它们都基于8条质量管理原理，有着同样的面向过程的结构，而且使用协调一致的术语。它们被设计成可以一起使用也可以独立使用的文件。这8条原理对任何组织都具有头等的重要性，因为它们会影响组织对质量问题的整体思路。这些原理：

是最佳实践的反映。

被设计成能够推进业务及其效率的持续改进。

能够对顾客需求和预期做出回应。

图3.2显示了这8条质量管理原理。

图3.2 质量管理的8条原理

ISO 9000:2000兼容于其他国际公认的管理体系标准，例如，那些有关环境管理、职业健康和安全的标准。ISO 9000:2000并不包含任何那些其他管理体系特有的要求。但是它确实允许一个组织将他们的质量管理体系与其他管理体系的要求相联结或者相整合。因此，一个组织可以对他们现有的健康和安全或者环境管理体系做出调整，以便建立一个符合ISO 9000:2000的质量管理体系。

人们期望，通过使用这一标准，组织可以节约时间、精力和金钱，方法是：

弄清审核方案的目标。

执行联合的环境/质量审核。

确保审核报告遵循了最佳格式并且包含了所有相关的信息。

根据适当的标准对审核小组成员的能力做出评价。

按照ISO标准，短语质量体系和质量管理体系乃是指同一个东西。不过，质量体系既不是一本手册(例如一份文件)，也不是一个计算机程序；它是包含了用于规范、控制和改善产品和(或)服务质量的一切事物的体系。它是由相互关联的过程构成的一个网络，而每个过程又是由把输入转化为输出所要求的人、活动、记录和资源组成。核心示意图

方案/方法

该标准的结构如下。

第一部分：范围。

第二部分：引用标准。

第三部分：术语和定义。

第四部分：质量管理体系。

第五部分：管理职责。

第六部分：资源管理。

第七部分：产品实现。

第八部分：测量、分析和改进。

为了认证目的，一个组织必须拥有一个记录在案的管理体系，该体系能接受输入并将其转化为预期的输出。该体系(以一种有效的方式)：

对要做的事情做出表述。

做那些根据表述应该做到的事情。

对任何做过的事情做一个记录(尤其在当事情出错的时候)。

实现这些预期输出的基本过程将包括：

顾客要求。

管理层和员工的输入。

对任何生产成品所需活动的有记录的控制。

交付满足顾客原始要求的产品或者服务。

认识到不可能取得ISO 9000的认证是很重要的。虽然认证经常被称为是ISO 9000:2000认证，一个组织的质量管理能够获得认证的实际标准其实是ISO 9001:2000。一个组织要想获得该标准的注册，需要经过一家外部认证机构和内部员工的审核。这样做的目的是要显示出一个持续的审议和评价的过程已经完成，体系能够像预期的那样运转，识别出了要改进的地方并且改正了所有问题。获得认证与获得注册之间并无差别。在有些国家，组织声称自己获得了认证，而在另一些国家，组织则声称他们获得了注册。一个ISO证书必须要在认证机构所建议的固定时间段(一般是3年)后进行重新审验。

一个组织要想获得ISO 9000认证或注册，必须由一个独立的注册机构去审核组织的质量管理体系，认定它满足了ISO 9001:2000的要求，并以书面材料保证组织满足了ISO的质量管理体系标准并且已经被注册为获得认证。另一方面，对于一个要想符合ISO 9000的组织而言，虽然它必须满足ISO的质量体系要求，但它没必要经过一个独立注册机构的正式认证(就是说，它可以自己认证符合了标准)。尽管许多组织，特别是较小的组织，认为符合标准完全可以接受，但一个由独立注册机构签发的正式证书在市场上的价值却有攀升之势。

ISO自己并不为组织提供认证。在很多国家，诸如UKAS(英国鉴定服务署)这样的鉴定机构对审核员进行审核并认定某些注册机构具有在特定企业门类颁发证书的能力和权力。各国鉴定机构之间签有协议，以保证他们中任何一家机构签发的证书都能在世界范围内被接受。鉴定机构和认证机构都要对他们的服务收取费用。

在2000版的标准下，ISO期望审核员不仅要对“符合”做出审核，而且还要重点审核风险、状态和重要性。他们要判断哪些是有效的，而并不会去关注哪些已经被正式规定了下来。这就要回答下面的问题：“这个过程能否帮助你实现你所声明的目标？它是否是一个好的过程，是否还存在更好的过程/能不能把事情做得更好？”

3.5 与IT管理的关联

ISO 9000:2000与所有的组织、产品和服务都有关系。因此，它并非同IT管理有特殊的关联。但是，如果系统的质量有问题，那么就常常会需要返工。这会导致生产率的损失以及资源的浪费。引入一个质量管理体系可以减少这种情况。以客户服务以及持续改进为中心可以确保组织不会被视为怠慢顾客或者在夸大宣传自己的产品。通过提供支持和培训以及纠正系统内部的错误，客户服务也能得到提升。

ISO有一套帮助软件部门实施ISO 9001:2000的指导方针(ISO/IEC 90003:2004软件工程，将ISO 9001:2000用于计算机软件的指导方针)。这套指导方针为在计算机软件和相关支持服务的采购、供应、开发、运营以及维护方面应用ISO 9001:2000的组织提供支持。ISO/IEC 90003:2004并未改变ISO 9001:2000的要求，它的指导方针也并非是要作为注册/认证的评价标准来使用。

ISO/IEC 90003:2004适用于下列情形下的软件：

作为与另一个组织签订的商业合同的组成部分。

作为用于一个特定市场分支的产品。

作为用于支持一个组织的流程的一个产品。

作为配套于一种硬件产品或者与软件服务相关的一个产品。

有些组织可能会参与以上所有活动，另外一些则可能专门从事某一种活动。不论是哪种情况，组织的质量管理体系都应该涵盖业务的所有方面(与软件相关的以及与软件无关的)。不论组织采用什么样的技术、生命周期模型、开发过程、活动顺序以及组织结构，ISO/IEC 90003:2004都能识别出应该要解决的问题。

优势和劣势

ISO 9001:2000最大的优势在于它提供了一个适用于一切组织、产品和服务的单一的质量管理“要求”标准。它是能够被用来认证一个质量管理体系的唯一标准，任何组织都能用该标准的一般要求来：

解决顾客满意问题。

满足顾客要求以及适用的规制要求。

帮助内部和外部的有关方面(包括认证机构)评价组织满足顾客要求与规制要求的能力。

许多公司发现向符合ISO 9000标准过渡很困难。这引发了很多批评，主要的缺点有：

整个过程花费昂贵。

有很多行政管理层次。

获得鉴定很费时间。

遵守ISO 9000使过程更为稳定，但是这也导致过程的改进和调整更加困难。

将类似于ISO 9000的过程应用到一个需要创造性的领域，如软件工程领域，可能是不合适的。

由于审核可以变成改进的阻力而不是机会，ISO 9000有可能会强化不好的管理行为。

很多公司寻求ISO 9000认证仅仅是因为市场迫使他们这样做——不论该标准是否适合他们的业务。

ISO 9001:2000并没有给出很多实际的建议，而是侧重于一般的原理。

但是，ISO 9000作为一个参考的基准点还是有用的，在企业对企业活动的场合尤其如此。Adobe公司的主席和首席运营官纳拉延(Shantanu Narayen)在2006年3月号的《ISO焦点》杂志上的一篇采访中断言：“标准是使我们行业能以低风险以及有成本效率的方式开发出软件的工具。”

3.7 相互参照/联系

ISO 9000:2000兼容于ISO 14000系列的标准(环境管理)以及国家/国际健康和安全管理标准，它构成了实现质量、环境、健康和安全集成管理的基础。ISO 9000族标准主要关心的是质量管理，而ISO 14000族标准是一个环境管理体系(EMS)，它的目标是通过更有效和更负责任地使用原材料以及使能源的使用和浪费最小化持续地降低污染。

ISO/IEC 90003:2004(《软件工程——将ISO 9001:2000用于计算机软件的指导方针》)为在计算机软件和相关支持服务的采购、供应、开发、运营以及维护方面应用ISO 9001:2000的组织提供了指导。

与本书中其他部分的相互参照：

TQM ISO 9000:2000旨在改进一个组织的总体质量绩效并为实现全面质量管理准备了阶梯。

TickIT 程序同在ISO 9000:2000中规定的要求有直接的关系，而且同ISO标准类似，认证也是由一个独立的第三方认证机构来执行的，使用的专家审核员要在英国计算机协会的支持下由国际注册审核员协会(IRCA)提供培训。

ISO 27001 (ISO 17799/BS7799)-设计信息安全标准ISO/IEC 27001:2005的目的是确保选择了足够而又恰当的安全控制来保护信息资产，为相关方面提供信心保障。

ISO/IEC 20000 提倡采用一种集成的过程方案来有效地交付受管服务1，以满足企业和客户的要求。ISO/IEC 20000-2是一本实践守则，它描述了服务管理方面的最佳实践。这些都能同ISO 9000:2000中的客户服务守则关联起来。

六西格玛 质量管理的六西格玛模型是一套以过程为核心的方法论，设计该模型的目的是通过改善战略性业务流程的特定领域来改进企业绩效。

ITIL 如果组织希望通过ISO 9000认证，ITIL过程能够使达到所要求的强制性的质量级别的过程提速。

ASL 当一个应用管理组织在内部实施了ASL过程(成熟度水平在2和3之间)的时候，该组织距离取得ISO 9000认证就应该不远了。

PRINCE2 有一部分涉及到了质量。尽管没有特别提到ISO 9000:2000，它认为项目管理体系必须特别注重质量，而行业标准ISO 9000:2000可以作为保证质量的方法。

PMBoK 将现代质量管理的过程哲学应用到了项目导向的公司。

IPMA 能力基准以EFQM模型为基础，它将现代质量管理的过程哲学更好地应用到了项目导向的公司。

链接及参考文献

有关ISO 9000:2000的更具体的信息以及它的行业特别指南文件可以从各国的ISO会员组织那里获得。同软件生命周期相关联的ISO标准目录里的其他标准可以从ISO的在线目录中找到，分类号是ICS 35.080软件(例如ISO/IEC 14598-软件产品评价)。

3.8.1 有关ISO 9000的书籍和文章

Tricker， R. (2002). ISO 9001: 2000 Audit Procedures. Oxford: Butterworth- Heinemann Ltd.

Tricker， R. (2006). ISO 9001:2000 - The Quality Management Process. Zaltbommel: Van Haren Publishing.

Tricker， R.， & B. Sherring-Lucas (2001). ISO 9001:2000 in Brief. Oxford: Butterworth-Heinemann Ltd.

3.8.2 有关ISO 9000的网站

www.iso.org 国际标准化组织

emea.bsi-global.com 英国标准协会认证机构

起源/历史

TickIT计划在1991年启动，之前，英国工贸部发布了一份检查工业部门软件质量和开发状况的报告。

该报告的结果显示软件生产商很不情愿采用ISO 9000，因为他们感觉该标准过于宽泛。他们发现有很多内容对软件行业很难解释，而且指南性质的标注也含糊不清。

作为这份报告的一个成果，英国政府指定英国计算机学会来领导TickIT计划。该计划的主要目标是为软件部门的认证体系确定出组织、规则和程序。认证方案将包括对一个组织的软件质量管理体系是否符合ISO 9001的评价和认证。

认证体系的利益相关者通过TickIT行业联合指导委员会来掌管这个体系。指导委员会包括了来自英国计算机学会(BCS)、Intellect(IT行业的一个贸易组织)、英国标准协会(BSI)和认证机构的代表。TickIT行业委员会全权负责认证体系的规则和程序(委员会的职权范围请参见http://ecommittees.bsi-global. com/bsi/controller?livelinkDataID=985990)。其他一些委员会支持TickIT行业委员会开展工作，例如，SWETIC委员会帮助协调瑞典的事务。

很多组织已经采用了TickIT模型，其中包括了一些主要的软件服务公司，完整的列表请参见www.tickit.org。

4.2 TickIT的应用范围

TickIT是在IT行业的参与下为IT行业编制的，它涵盖了软件的开发、维护与服务。TickIT的核心是一个第三方认证体系，该体系实质上是ISO 9001认证在软件部门的实施。TickIT还发行了一本指南小册子，它刊载了认证体系的规则、为软件购买方和供应商所做的提示以及为TickIT审核员提供的审核指南。

在全球范围内，特别是在英国，对专门的软件管理质量保障都有很好的市场需求。这是因为软件开发是一个复杂的设计过程，该过程需要可靠而持续的控制。有很多不同的组织已经获得了ISO 9001/TickIT证书，证书的颁发并未受到组织大小、位置的限制。截至2005年第四季度，大约1090家公司获得了认证，其中大约有四分之三位于英国。TickIT的市场目前已基本稳定，可以认为已经成熟，但是为了保持体系同行业的关联度，该体系的治理委员会现在还在积极地寻求体系的升级和发展。

4.3 描述及核心示意图

TickIT体系的认证部分是在《TickIT统一安排》下运作的，该安排的基础是地位稳固的国家鉴定程序。《TickIT指南》定义了这些安排，而且还包括了整个体系的整体管理。该体系实质上是久负盛名的国家鉴定安排下的ISO 9001认证。如今，英国的鉴定机构(UKAS)和瑞典的鉴定机构(SWEDAC)可以为希望提供TickIT服务的认证机构提供授权。作为这些统一安排的一部分，TickIT审核员必须经过国际认证审核员注册委员会注册，注册通过简历、培训和考试实现，并且每3年必须重新审验一次。在www.irca.org可以找到全部细节内容。

图4.1显示了TickIT图案的一个例子，证书和营销材料上都使用这一图案。

方案/方法

寻求认证的组织按照《TickIT指导》采纳并实施ISO 9001质量管理体系模型。然后，该管理体系被提交给一个经TickIT注册的认证机构进行第三方审核，该机构对管理体系进行检查和评价，最后签发一个正式的合格证书。按照管理体系认证的惯例，该组织在获得初次认证后可能还要接受监督审核，以确保组织能持续地符合标准。

TickIT认证适用于开发软件的组织，也适用于在提交的产品或服务中嵌入了软件的组织。TickIT的网站描述了TickIT的范围。TickIT使用范围的一些例子有：

软件产品的开发，不论是应用软件、系统软件还是嵌入式软件。

系统或产品的交付，软件只是所提交产品的一部分。

为组织的行政系统所做的内部软件开发。

设备管理和/或计算机运营服务，而软件开发是合同的一部分。

软件复制服务。

获得认证会发生直接成本，因为组织需要委托一个第三方认证机构，还要购买组织可能需要的各种培训或者咨询服务。但是，实施一个ISO 9001过程模型还会发生间接成本，这通常是由一个内部实施项目引起的。由于TickIT是一个组织过程模型，该项目还必须把所有会受影响的员工都包括进来。这可能需要组织内部付出巨大的努力，但它能增强为更加有效而且有效率的过程而工作的意识和奉献精神。

4.5 与IT管理的关联

TickIT直接应对了软件中存在的质量差和质量管理薄弱的问题。

ISO 9001标准对监测和测量过程以及顾客满意度有具体的要求。一旦组织满足了这些要求，它就能足够准确地评价软件质量低劣所带来的成本。这又使得在软件质量低劣所引发的成本随着时间推移被压低的时候对收益的量化更加容易。

成功地建立了一个现代软件质量管理体系意味着组织已经定义、实施并且在管理着一系列特别适合组织目标的过程。IT管理由此使得软件开发过程更加可见，对过程的管理和控制得到改善，过程和相关的质量控制间的可跟踪性也得到了改善。

4.6 优势和劣势

软件质量管理体系的主要优点同通用的质量体系的优点类似。组织需要展示他们对顾客要求的清楚了解，也需要展示他们的产品和服务持续地满足了这些要求。

从有效地应用现代质量体系得到的持续改进的机会能够达成：

改善了的更为一致的软件产品质量。

更有效率的过程。

由缺陷和/或成本和时间超出计划所导致的失误成本的降低。

员工满意度的增加。

质量体系认证为组织带来了营销上的优势，减少了客户(第二方)审核的数量，使组织满足标准要求的动机得到强化，并给实施改进提供了一个更为客观的基础。

TickIT体系还有一些独有的优点：

把针对软件的指导应用到了ISO 9001模型。

使用了在软件行业拥有专门经验和能力的经过正式注册的审核员。

认证过程旨在指引组织达到标准，但是，如果组织内部对ISO 9001过程模型的作用和目标理解不够，问题也可能会出现。组织需要一个既符合标准又适合组织目的的管理体系。但人们经常把关注的焦点放在了单纯满足标准上，这使得实施被复杂的规定程序弄得很“笨重”。这样，受到影响的员工便会认为这些过程过于教条，并没有真正提高软件的质量。一个“笨重”的系统维护起来也会更加昂贵，它需要频繁而仔细的更新，以便应对变化并确保所有的内部影响都得到了考虑。

因为发布于2001年的指南已经有些陈旧，而且TickIT体系仍旧被视为以英国为中心的体系，这一体系已经在酝酿着一次改进。改进的目标是保持体系同诸如快速应用开发模型(RAD)、灵捷编程等现代软件开发模式的相关性，同时对其他业已确立地位的过程模型——如CMM-I——做出说明。

相互参照/联系

ISO 9000:TickIT认证就是软件部门的ISO 9001认证，所以它与ISO 9000标准的质量模型和认证方式高度匹配。虽然使用TickIT并不是强制性的要求，但TickIT为ISO 9001提供了一个软件部门专用的指导。

ISO/IEC 27001：同样，TickIT和ISO 27001的认证方案可以被集成起来获取认证。

ISO/IEC 20000:TickIT和ISO 20000的认证方案都是包含了基于同样思路的第三方评估的管理体系认证。所以，它们很容易被集成在一起获取对软件开发过程和IT服务管理过程的认证。

CMMI:TickIT指南中强调了SW-CMM是满足9001标准中过程改进要求的好方法，而SW-CMM就是CMMI的一个较早的版本。这是因为这些能力成熟度模型的分级特点为软件开发组织提供了清楚的路线图。不过，在本文写作的时候，TickIT和CMMI的评估体系之间不存在正式的关系。

4.8 链接及参考文献

4.8.1 有关TickIT的图书和文章

Certification as a TickIT 2000 Auditor. (May 2005). London: International Register Of Certificated Auditors.

EN 45012:1998 ‘General requirements for bodies operating assessment and certification/registration of quality systems’. (1998). Brussels: European Committee For Standardisation.

ISO 19011:2002 ‘Guidelines for quality and/or environmental management systems auditing’. (2002). Geneva: International Organization for Standardization.

ISO/IEC 12207:1995， AM1:2002， AM2:2004 ‘Information Technology – Software lifecycle processes’. (1995). Geneva: International Organization for Standardization.

ISO/IEC 90003:2004 ’Software engineering. Guidelines for the application of ISO 9001:2000 to computer software." (2004). Geneva: International Organization for Standardization.

TickIT Scheme Procedures and Guidance. (2003， May， Issue 5.) London: British Standards Institution.

The TickIT Guide: ‘Using ISO 9001:2000 for software quality management system construction， certification and continual improvement’. (2001， January， Issue 5.0.) London: British Standards Institution.

4.8.2 有关TickIT的网站

www.tickit.org TickIT体系的网站

www.irca.org 管理TickIT审核员注册的组织的网站

起源/历史

ISO 27001系列标准的起源是BS799，一个从UK DTI CCSC(英国工贸部商业计算机安全中心)的“用户行为守则”(首次发布于1989年)发展起来的英国标准。BS7799，在1995年被发布为BS7799:1995，在经过重要修订后，又被重新发布为BS7799：1999。在经过了小的修订后，该文件被接受为信息安全管理的国际标准ISO/IEC 17799:2000，又经过了一些修订，被重新发布为ISO/IEC 17799:2005(可能会变成ISO/IEC 27002)。

标准的第二部分BS7799-2发布于1998年，增添这部分的目的是为信息安全管理体系的创建及其要求提供指导。为了与其他的管理体系标准(ISO/IEC 9001:2000和ISO/IEC 14001:1996)相一致，修订的BS7799-2包括了计划-执行-检查-采取行动(PDCA)循环，从而把它的范围扩展到了一个组织的信息安全管理体系的建立、实施、运营、监测、检查、维护和改进。这次发布的版本叫BS7799-2:2002，又经过了一些修订，被接受为一个完整的国际标准ISO/IEC 27001:2005。

这个标准的两个部分之间有着一种奇怪的相互作用：虽然标准的第二部分是作为原始行为守则的支持性文件推出的，但这部分很快变成了两个文件中更为重要的一个，由它为创建和维护一个组织的ISMS提供指导。因此，原来的第二部分现在成了ISO/IEC 27001，而原来的第一部分则将成为ISO/IEC 27002。

5.2 ISO 27001的应用范围

一个组织的信息安全管理体系(ISMS)是使一个组织所有信息资产的价值得到持续保护的工具。

当今的组织环境为组织拥有的信息资产赋予了很高价值。有一些商业训诫说共享这些信息资产可以使它们创造出最大的价值。由于规制、法律以及保护竞争优势等方面的原因，也存在着要求保护信息资产的反向力量。

5.3 描述及核心示意图

ISO 27001系列标准认识到信息安全管理的多面性应该通过ISMS的实施和运营得到反映。技术的、人的、系统的、组织的和社会的因素交织在一起，每一个因素都增加了问题的复杂程度，要构建一个合乎目的的体系必须采取一种精致的整体方案。

ISO 27001有两个部分：

ISO 27001:2005，信息技术-安全技巧-信息安全管理体系-要求

ISO 17799:2005，信息技术-安全技巧-信息安全管理行为守则

ISO 27001:2005为一个合乎目的的信息安全管理体系的综合体提供了一个管理方案，是否合乎目的要根据信息安全要求以及相关方面的期望来测量。

ISO 17799:2005是一个行为守则，分为11个领域和39个安全控制目标，其中每个都针对组织面临的某个特定领域的信息安全顾虑而设计。对每个领域，行为守则都描述了高级别的信息安全目标以及对处理这些目标范围内的风险所做的控制。该部分还包含实施指导。

ISO 27001:2005在它的附录A中包含了一个ISO 17799:2005的摘要。

方案/方法

ISO 27001标准下的信息安全管理要通过系统地评价一个组织的信息资产所面临的风险来实现，通过控制用于存储信息的系统、技术和媒体中所存在的弱点来实施。

ISO 27001的基础是计划-执行-检查-采取行动(PDCA)循环，该循环为ISMS周而复始的创建、发展、运营和维护提供了一个结构。PDCA循环包括了4个周而复始的阶段，如图5.1所示。该图还显示了对PDCA循环的输入参量，该参量是相关方面对信息安全的要求和预期。PDCA循环的每次完成都会填补这些要求和预期与所运营的ISMS的绩效间的差距。

图5.1 PDCA循环 (来源: BS ISO/IEC 27001:2005 BS 7799-2:2005， BSI)

按照世界经济合作与发展组织(OECD)的《信息系统和网络安全指南》1，组织应该对安全管理采取一种综合的方案，将其视为包括了预防、事件检测和响应、持续的维护、对系统的检查和审核在内的一个过程，该过程适用于从事信息系统和网络安全治理的所有政策和操作层次。通过PDCA循环，ISO 27001：2005为实施下面的OECD原理提供了一个信息安全管理体系框架：

安全意识。

责任。

响应。

风险评估。

安全设计和实施。

安全管理。

重新评估。

ISMS的规划

SO 27001将信息安全管理体系的规划分为4个部分。

在组织层次上，要准备ISMS文件，文件中要有对ISMS的背景、范围以及它的运营政策方面的记录。该文件是ISMS与组织高层管理人员之间的一个界面。文件的制订要在理事会的全力支持下进行，它反映了理事会对信息安全管理的态度。

ISMS文件定义了：

组织的信息安全政策，这一政策通过确定组织信息安全的总体方向启动了编制文件的过程。

适用性声明，该声明通过细化组织对它所定义的ISMS的实施宣告编制文件过程的结束。

在这两者之间是建立ISMS的艰苦工作。我们首先叙述信息安全政策的要求，然后再叙述适用性声明。

信息安全政策

信息安全政策应该包括管理层对信息安全的承诺及意图的清楚表述，该表述要与组织的企业目标以及所有的法律法规相符合。它要简要地解释在建立ISMS时在有关安全政策、原则(包括OECD的指导原则)、标准、合规要求、组织的安全学习、职责和动机、业务连续性和事件报告等方面所做出的选择。它要给出评价信息资产面临的安全风险的标准。它支持ISMS并对过程的可追踪性和可重复性很有帮助。

信息安全政策记载了信息安全对于组织的意义，包含了信息安全的界限、背景、范围和安全目标。它应该定义出组织对风险评估——对违反某一资产安全要求的可能性与影响做出评价的过程——系统思维的框架，还应该定义哪些属于可接受风险以及应该如何降低不可接受的风险。

信息安全政策应该以容易理解的方式写成，并引起所有那些行为受到ISMS辖制的人的注意，或者，更普遍一些，引起所有会受到ISMS影响的人的注意。

一个外部的评估人也会希望从信息安全政策中理解信息安全对组织所具有的意义，这一意义反映在安全政策、原则、标准、合规要求等会影响组织信息安全思维的那些方面。一个外部的评估人希望了解：

设计ISMS的目的是要应对哪些法律、法规和合同方面的要求。

ISMS将如何在组织中传播。

有关个人的职责以及对信息安全事件的报告结构。

违反信息安全政策的后果。

信息安全政策检查

信息安全政策将定义对ISMS——包括信息安全政策本身——进行管理检查的安排，以确保组织环境、业务情况、法律条件或者技术环境方面的变化不会降低ISMS的适用性、充分性以及/或者有效性。

资产识别、风险评估和风险处理

为了标准起见，一个组织的特征被归为它所处的业务或服务领域、它的位置、它的资产以及它的技术。这些变量决定了组织所面临的信息安全威胁。ISMS的背景也就是受保护的部分与组织中的其他部分以及企业环境所具有的关系。在ISMS的背景下，ISMS的范围决定了需要被ISMS保护的信息资产。

在定义了信息安全政策之后，有三项任务可以开始启动，这三项任务要在所有在ISMS背景和范围内的组织部门中依次开展：

资产识别。

风险评估。

风险处理。

图5.2显示了不同阶段的任务构成。

资产识别

阶段T.1：识别处于风险中的资产。对于ISMS背景和范围中的每项资产，资产的安全要求——表现为对保持它的私密性、完整性和可用性的需要——都要被分析。每项资产都要被指定一个主人，该项资产的信息安全属于这名主人的职责。组织应该建立并维护一个资产清单或者登记簿，其中记载有资产的主人、价值、信息安全要求(表现为私密性、完整性和可用性)和位置，应该对保护该项资产的全部过程做出定义，其中包括该项资产的哪些使用可以被接受。

风险评估

风险评估的目标是，按照在信息安全政策中记载的组织对风险的思维依据所识别资产的实际情况，对风险进行识别、量化并确定其优先级别。

阶段T.2：风险分析。确定信息资产所面临的潜在威胁应该有一种系统的做法。一个威胁是破坏信息资产的信息安全要求的机会，它未必会实现，但的确存在。

阶段T.3：弱点分析。弱点为威胁转变成对资产的一次成功攻击充当了媒介。弱点是在资产的防卫方面存在的薄弱环节，它应当通过控制的手段得到修补。

阶段T.4：评估其影响。如果资产的信息安全要求被一次成功的攻击所破坏，资产就会受到损害。对每一项资产的信息安全要求，破坏造成的影响都应当被确定。

阶段T.5：风险评估。如果资产的信息安全要求被一次成功的攻击所破坏，资产就会受到损害。这可以从两个方面描述：

影响：破坏让组织付出的代价，以前一阶段中确定的破坏对资产的影响为依据。

可能性：攻击取得成功的机率。

对组织的风险等于可能性与影响的乘积。

阶段T.6：识别并评价处理风险的选项。从信息安全政策中记载的对风险明确的态度，可以确定出哪些可接受的对信息资产的风险。同时，对那些无法接受的风险，处理风险的选项就要被评估。这些选项是：

避免或者转移风险：例如，通过处置面临风险的资产或者对资产投保，显然，处置资产并非总是可能的。

控制风险：就是通过采取措施减少资产的弱点来降低资产的风险。在这种情况下，要为风险赋予一个处理的优先级别。

风险评估任务形成的文件应该提供所有真实风险都经过了评估的证据，同时，也要对每项资产的评估结果——接受、避免、转移或者控制——的合理性做出说明。

风险处理

阶段T.7：选择控制目标与控制对策。在风险处理中，对于每一种经过优先级别评估需要降低的风险，要为其选择一个控制目标，该控制目标对如何修补同风险有关的弱点做出了说明。

每项控制目标都要通过选择一种控制(对策)来实现。在ISO 27001:2005中有39项控制目标和超过150种控制可以选择。控制可以从ISO 27001:2005的控制集中选取，也可以从其他地方选取。风险应该按照优先级别来处理。

作为控制选择的一部分，应该确定一个检查和维护的计划和评价控制效果的标准。管理层应该正式同意资产识别、风险评估和风险处理阶段的结果，还必须特别注意对残余风险的评估。组织应该争取管理层对实施和运营ISMS的授权。

适用性声明

适用性声明正式地记载：

就选择什么控制目标和控制对策所做的决定，以及为什么这样选择的说明。

目前，哪些控制已经被实施，并且在发挥作用。

标准中的哪些控制没有被实施，每个决定的理由是什么。

对每种控制，适用性声明的措辞都应该是一种对控制要求的描述，该标准必须足够详细以至于能够使第三方审核员理解组织决定做什么以及为什么这样做。有时候，将论证材料和/或背景材料包括进来也是合理的，包含了论证或者背景的支持文件也应该被提及。

执行阶段

此时，就可以进入PDCA循环的执行阶段了。离开这一阶段时，组织将拥有一个已获实施的ISMS在降低关键信息资产的风险了。在适用性声明中详细论述的理论在这里得到了实践。

为了做到这点，组织要拟订并实施一个风险处理计划，该计划将识别恰当的管理信息安全风险的管理行动、资源、职责和优先级别，并通过实施服务导向架构(SOA)中选择的控制来达到控制目标。

组织将需要定义如何监测风险处理的有效性。这会为PDCA循环的检查阶段提供输入。组织还将需要在所有控制实施会影响到的领域，实施培训和宣传计划。组织将实施能够支持对安全事件进行即时检测并对其做出反应的程序和其他控制(见5.4.3)。

5.4.3 检查阶段

在检查阶段结束时，一份关于所运营的ISMS(由执行阶段得到)的绩效结果和对目的的适用性的报告将会被提交给管理层以便对体系的有效性做出评价。体系过程的绩效将根据ISMS政策、目标得到评价和测量，并且在经过PDCA循环后，也根据对体系运转情况的实际经验来评价和测量。

5.4.4 采取行动阶段

在管理层检查之后，根据对ISMS内部审核和管理层检查的结果以及其他相关信息，组织将会采取纠正和预防措施来实现ISMS的持续改进(改编自ISO 27001，第vi页)。

5.5 与IT管理的关联

ISO 27001系列标准对任何组织的IT管理都是一个关键因素。通过这一标准，一个组织使用的信息的价值就会被认知。对组织有价值的很多信息资产被存放在IT设备上，而这些设备是很多会威胁到信息资产价值的弱点存在的原因。的确，很多被选来管理风险的控制都会影响到IT管理。

但是，信息安全管理不仅仅是IT管理的问题，那样理解会是一个错误，因为组织面临的很多信息安全上的弱点并非源自IT基础设施，而是源自组织的社会-技术体系的社会方面。因此，资产识别和风险评价阶段应该在整个组织中进行。

在风险的控制方面，标准中的很多控制会影响到IT管理，控制的检查和维护——ISMS的一个必要组成——也很自然地来自这个职能部门。

优势和劣势

ISO 27001:2005为合乎目的的一个信息安全管理体系的综合体提供了详细的指导，是否合乎目的要根据组织的风险情况来测量。体系通过多次重复PDCA循环来建立，每一次循环都会提高体系的有效性。为ISMS提出的行为守则中包含着很有深度的指导，所实施的体系广度也很好。

考虑到当代计算机系统的复杂性，该标准将私密性、完整性和可用性作为核心似乎很有局限性。实际上，私密性、完整性和可用性恰恰是开始资产的信息安全需求分析的适度水平，在范围方面，它考虑到了这样一种需要，即，让该资产在ISMS的范围内得到充分利用，同时在ISMS范围之外保持稀缺。诸如身份认证这样的议题实际上是保护资产信息安全要求的弱点控制内容。

实施ISMS的一个主要问题是组织拥有的资产数量太多。数以千计的资产数量并不希奇，标准说明所有这些资产的信息安全要求都要依照每个可能的威胁来进行评估。资产/威胁组合的巨大数量为PDCA循环的头一次执行提出了巨大挑战。

现代的组织需要超出他们的物理边界同伙伴组织共享信息。考虑到两个或者更多的组织可能要受同一ISMS的影响，ISMS范围和背景的定义会变得困难。按照标准对所有伙伴组织进行外部评价可以缓解这一问题，在相对较少的细节——如信息安全级别——上达成协议会有很大帮助。

5.7 相互参照/联系

ISO 27001(在文件结构和意图方面)同ISO 9001:2000(ISO 9001:2000，质量管理体系-要求)以及ISO 14001:2004(环境管理体系-要求和使用指导)都有密切的联系。其目的是支持同这些管理标准的一致而又集成的实施和运营，使得同一个组织管理体系能同时满足所有这三个标准。

5.8 链接及参考文献

5.8.1 有关ISO 27000的图书和文章

Calder， A. (2006). Information Security based on ISO 27001/ISO 17799 - A Management Guide. Zaltbommel: Van Haren Publishing.

ISO 17799:2005， Information technology – Security techniques – Code of practice for information security management. (2005). Geneva: International Organization for Standardization.

ISO 27001:2005， Information technology – Security techniques – Information Security management Systems – Requirements. (2005). Geneva: International Organization for Standardization.

5.8.2 有关ISO 27000的网站

www.bsi-global.com 有关ISO/IEC 27000系列标准的更多信息可以通过很多国家标准组织得到，例如，英国的www.bsi-global.com。

www.iso.org 有关ISO标准的更多普通信息。

起源/历史

ITSM标准最早由英国标准协会的一个委员会所开发，并于2000年作为BS15000发布。这一委员会由IT服务管理的专家组成，这些专家一部分来自供应商、用户组织和ITSMF，另一部分来自相关的英国公共部门，例如CCTA(如今是英国商务部的一部分)和国家审计办公室。该委员会还与一批属于“早期采用者”的服务提供商们一起合作，正是这些服务提供商们有效地测试了ITSM标准的第一版。有了这次经验，该委员会继续于2002年开发并完成了ITSM标准的第二版。

在三年之内，ISO/IEC 20000将由ISO中负责该标准的软件和系统工程技术委员会(SC7)修订，但在此之前，该标准很可能不会有实质性的修改。

6.2 ISO/IEC 20000的应用范围

ISO/IEC 20000适用于IT服务提供商组织。它适用于所有产业部门，同时也适用于各种规模的组织(最微型的组织除外，范围更广的ISO 9000认证在此可能更加适合)。

虽然一项正式标准的传统用途是为了获得正式认证，但是作为实施最佳实践流程的标杆和指南，标准也是非常有用的。一项标准的内在属性——明确表述出来的要求——使得意义重大的逐期比较成为可能，这种比较可以测量服务提供商过程上的改进。

ISO/IEC 20000的正式认证发展迅速，自BS15000问世以来，在认证方案运行的头18个月中，已有70多个组织获得该项认证。虽然该标准的第一版开发于英国，但对该标准的采用是国际性的，在最先获得ITSM标准认证的组织中，仅有大约30％设在英国。

6.3 描述及核心示意图

ISO 20000是一项管理标准，它涉及到流程的建立与维护，还涉及到确保这些流程的适用性及其改进的机制。

ITSM标准的核心内容由国际标准组织拥有及维护，但是各国的标准机构在出版这些核心内容时，直接添加上了同本国相关的其他内容，如参考文献和书目。例如，在英国，该标准就被出版为BS ISO/IEC 20000。

ITSM标准由以下两部分组成：

第一部分-规范。此部分详细说明了组织为获得ITSM标准的正式认证所必须符合的各项要求。

第二部分-守则。此部分是对第一部分中的要求的解释与扩充。

以上两部分有着同样的结构：

范围。

术语和定义。

对管理体系的要求。

服务管理的计划与实施。

新的和变更了的服务的计划与实施。

服务交付流程。

关系流程。

解决流程。

控制流程。

发布流程。

图6.1表示了这些关键流程之间的关系，下面的章节还要进一步解释这些关键流程。

优点

服务提供商组织的主要目的是证明他们符合ITSM标准所列的要求。这可能出于一种或多种原因，比如说：

以内部成就为中心—服务提供商内部恰当的流程和方法的具体例证

显示合规以便向现有顾客和潜在顾客展示自身的可信度

客户提出的正式要求—要求他们的服务提供商遵守被正式接受的最佳实践

公司政策是组织作为一个整体要遵守所有适用的国际标准。

除作为正式的合规证明外，许多组织在其内部用ISO/IEC 20000来确立他们的绩效目标，以便对自身进行衡量。在这种情况下，即使没有达到ITSM标准所列的所有要求，但是合规过程中的改进还是可以衡量的，无论这衡量是在内部完成还是通过聘用外部的顾问完成，并且，逐期实现的改进也可以显示出来。

英国标准协会出版的几份文件支持ISO/IEC 20000的主要部分(ITSM的第一和第二部分)，这些文件包括：

BIP0015——自我评估手册。该书能够指导组织对履行ITSM标准进行自我评估，并且以问题的形式有效地列出了ISO/IEC20000的构成要素。

Manager’s guide to service management—— 一本旨在使得管理者明白IT服务管理的重要性与构成要素的介绍性书籍。

Achieving ISO/IEC20000—— 一套丛书，它们给出了执行和维护与ITSM标准相一致的流程所需的具体指导。

6.3.2 认证程序

对于那些希望证明自己符合了ISO/IEC 20000要求的组织，有一种正式的认证方案存在。该方案目前归ITSMF管理和所有。

服务提供商如果想取得ISO/IEC 20000认证，那么它必须完全符合ITSM标准的第一部分所提出的所有要求。但是，ITSM标准的应用领域可以受任何其他因素的限制，从而使实体在某些方面获得有限认证，例如：

地理—限于由，或者限于向一个特定办公室或者一组办公室、城市等提供的服务。

用户/逻辑—限于向一个或者多个用户群或者组织中的单个部门提供的服务。

语言或其他限制因素。

6.3.3 个人资格和现有的培训

想要从事正式的ISO/IEC 20000审核的经验丰富的ISO 9000审计员或者ITSMF方案中的注册认证团体(RCB)，都必须参加一个经过ITSMF认可的培训课程。

那些想要为组织提供咨询的人(作为内部或者外部的顾问，或者直接在旨在为组织获得ISO/IEC 20000认证的项目中工作)可以参加一个经过ITSMF认可的培训课程，该课程可以让他们参加一个能够获得正式资格的考试。学习这些课程，包括考试在内，通常仅需三天时间。这个行业中的许多人已经获得了这一资格，并且许多IT服务管理培训机构都可以提供该项培训。现行方案的详细介绍可以在网站上找到(见下文)。

方案/方法

任何想要证明自己在IT服务管理中遵守了最佳实践的服务提供商都可以采用ISO/IEC 20000。应用的程度和规模在形式、费用和可见性等方面都有很大差别：

内部比较，将现行的实践与ISO/IEC 20000的要求做一次非正式比较，采纳了标准中的部分实践，利用了在ITSM标准的第二部分(守则)和支持文件中提出的指导和其他思想。

内部标杆——利用ITSM标准、支持文件，特别是评估手册，来确定与标准的吻合度。然后通过改进行动，在重新评估时可以得到更高程度的吻合度，从而显示出改进。

正式认证——通过正式的方案—证明遵守了最佳实践。

虽然ISO/IEC 20000包含了—些指导，特别是在守则部分和支持文件之中，但ISO/IEC 20000主要是对组织所达到的过程合规度的一种衡量，而不是要为实现那种过程合规度提供一种方法。 寻求ISO/IEC 2000正式认证的组织，至少需要一份服务改进方案，以针对薄弱环节来改进流程，使其符合ITSM标准的要求。

为达到标准，组织承担的费用包括：

人员培训——典型的是增进员工对IT服务管理的认识(在实践中经常是ITIL常识、ITIL基础或者经理级别的培训)。

改进费用——例如，雇佣员工代替那些识别与执行改进的员工，雇用外部顾问。

评估费用——聘请注册认证机构按照ITSM的标准进行正式审计。

6.5 与IT管理的关联

因为ITSM标准主要针对服务管理，所以处于IT管理的中心位置。无论服务提供商采取了何种方法、指南或者技术来开发和维护流程，评估都是根据现有的流程进行的，而并不依赖于任何特定的方法。

6.6 优势和劣势

该标准诞生的时间不长，但是对它的采用已非常可观并且仍在增长。随着在世界范围内的广泛采用，ISO/IEC 20000为行业提供了广为接受和认可的最佳实践的精华。

为了实现广泛而全面的阐述，ITSM标准不得不仅仅致力于服务管理流程普遍有效的核心部分，因此，ITSM标准并不能穷尽每一个服务提供商为了交付有效、有效率并且以顾客为中心的服务所需要的全套流程。

相互参照/联系

如上所述，ISO/IEC 20000主要对已实施了的流程进行鉴定，而不鉴定实现这些流程的方法，因此，ISO/IEC 20000同其他任何机制完全兼容。

但是，由于历史原因，BS15000与ITIL指南有着很强的协同效果。BS15000的第一版与ITIL的第二版的开发是同时进行的，两个产品的作者也有重叠。业界主流的观点断言：将于2007年初出版的第三版ITIL，其所建议的结构、方法和内容，将会与ISO/IEC 20000的要求保持一致。

图6.3阐明了ISO/IEC 2000和ITIL之间的关系。该图显示，ITIL指南阐释了支撑ITSM标准的细节。

图6.3 ISO/IEC 20000与ITIL的关系

6.8 链接及参考文献

6.8.1 有关ISO 20000的图书和文章

ISO/IEC 20000 - A Pocket Guide. (2006). J. van Bon (chief editor) et al. Zaltbommel: Van Haren Publishing.

6.8.2 有关ISO 20000 的网站

www.bsi-global.com 在这里可以找到有关BSI的支持文件的相关信息，当然，像获得ITSM标准一样，也可以从许多ITSMF书店获得这些信息。

www.isoiec20000certification.com 在这里可以获得认证方案的细节。

www.iso.org 有关ISO标准的更多一般信息。

起源/历史

作为一个理解和改进软件开发实践的框架，第一个软件能力成熟度模型(CMM-SW)最先由SEI在1987年发布，美国国防部资助了这一计划。CMM框架是基于这样一个假设，改进的过程能力将为软件开发项目带来更好的结果。它的主要目的是要成为供应商评价的一个工具：帮助采购软件的组织识别那些有着可靠过程和充分资质的组织。

此后，很多个相关的成熟度模型被开发出来并得到了一定认可，每个都有着不同的标准和框架。为了相互联结并提供一种描述成熟度的通用方法，这些模型被集成到了1.1版的CMMI 。在现在的1.2版中，CMMI包含了不同的学科：软件(SW)、系统(SE)、集成产品和过程开发(IPPD)以及供应商开发(SS)。通过把这些学科集成起来，该模型在内容中反映了所有4个学科。图7.1 对CMMI框架发展历史上的里程碑做出了概括。

图7.1 CMMI的历史

CMM都以过程的改进为中心，这些过程改进涉及到组织中的产品(软件和系统)计划、研发、质量控制和实施。这些CMM都包含了一个或者多个学科中有效过程的基本要素，还描绘了从不系统、不成熟的过程发展到很有章法的成熟过程的渐进的改进路径，在成熟的过程下，质量和有效性都会得到改进。

虽然已经证实这些模型对不同行业中的很多组织都是行之有效的，但使用多个模型却也碰到了问题。许多组织希望他们的改进努力能延伸到他们组织的不同部门。但是，每个部门使用的专门领域模型间的区别，包括它们的结构、内容和方案上的区别，限制了这些组织成功地推广改进的能力。并且，在一个组织中广泛地使用没有经过整合的多个模型在培训、评价和改进活动方面都代价高昂。

CMMI项目的目标是通过把多个不同的模型集成到一个框架来改进软件工程和其他领域成熟度模型的可用性。

CMMI产品小组的第一个任务是合并以下三个源模型：

软件能力成熟度模型(SW-CMM) v2.0 草案C [SEI 1997b]。

系统工程能力模型 (SECMM) [EIA 1998]。

集成产品开发能力成熟度模型(IPD-CMM) v0.98 [SEI 1997a]。

将这三个模型合并成一个改进框架是为了供在全企业范围内寻求过程改进的组织使用。

最近，人们改进了CMMI模型的结构以支持多个领域以及在多个领域和它们的模型间实现最佳实践共享。在两个新领域的工作已经开始：一个在服务领域(服务CMMI)，另一个在采购领域(采购CMMI)。

这个任务的创建是为了执行联邦政府同卡耐基梅隆大学为运营软件工程研究所 (SEI)的编号为FA8721-05-C-0003的合同，软件工程研究所是一个由联邦提供资金的研发中心。美国政府有一个无须支付版税的政府专用许可证来使用这项工作的成果(或者它的一部分)1。SEI是一个美国国防部资助的由联邦提供资金的研发中心。

7.2 CMMI的应用范围

软件工程研究所的CMMI&reg; 从1987年开始投入使用。目前，在46个国家都有它的用户，用户中既有只有十来个软件工程师的组织也有拥有成千上万雇员的大公司。从一系列评价收集到的证据表明CMMI在帮助软件界改进过程成熟度和降低项目失败风险方面是很成功的。

很多行业，包括航天、银行、计算机硬件、软件、国防、汽车制造以及电信，在开发中都使用CMMI(图7.2)。

图7.2 SEI过程成熟度简图 (2006年3月; SEI)

随着业务职能越来越多地依赖于软件密集型的系统，提高IT项目成功率的动力前所未有地高涨。使用这些系统工作的大多数人发现掌握起码的有关CMMI的目标、结构、用途和利益的知识是很有价值的。

CMMI中的开发模型包含了项目管理、过程管理、工程(包含系统、硬件和软件)以及开发中的辅助过程方面的最佳实践。面向开发的CMMI也包含了在开发和维护活动中运用经过整合的团队。

描述和核心示意图

7.3.1 背景

一个模型是对组织的过程和内部标准的简化表示。能力成熟度模型(CMMs)包含了一个或者多个知识领域中有效过程的基本要素。这些要素是建立在克罗斯比、戴明、朱兰和胡佛利等人提出的概念的基础之上(Crosby 79， Juran 88， Deming 86， Humphrey 89)。

像其他能力成熟度模型一样，能力成熟度模型集成(CMMI)为过程开发提供了指导。CMMI模型不是过程，也不是对过程的描述。在一个组织中使用的实际过程取决于很多因素，包括应用领域以及组织结构和规模。具体来说，CMMI模型的过程域通常无法与某个具体组织中使用的过程一一对应起来。

一个过程是一个组织持续改进的着力点。CMMI的目的是为改进组织的过程以及它管理开发、采购和维护产品或服务的能力提供指导。CMMI把业已证明是行之有效的方案纳入一个结构，帮助组织评价它的组织成熟度或者过程域能力、确定改进的优先级别并且实施这些改进。

一个组织可以使用CMMI模型来帮助确定过程改进的目标和优先级别、改进过程以及为确保过程的稳定、有效和成熟提供指南。一个经过选择的CMMI模型可以充当组织过程改进的指南。

7.3.2 CMMI的表示法

每一个CMMI模型都有的基本模块叫做“过程域”。一个过程域并不对如何执行一个有效的过程(例如进入标准和离开标准、参加者任务、资源)做出描述，而是要对那些使用了有效过程的人做了什么(实践)以及他们为什么做这些事(目标)做出描述。

在一个能力成熟度模型中，过程域可以被组织到两种表示法中的一个里，两种表示法是连续式表示法和阶段式表示法。

表7.1对连续式表示法和阶段式表示法之间的区别做出了概括。

不论是用于过程改进还是评价，两种表示法被设计成能够提供实质上等价的结果。

表7.1 对连续式表示法和阶段式表示法的比较(来源: SEI)

连续式表示法

阶段式表示法

组织按照它的过程改进目标选定过程域和能力级别

组织按照成熟度级别选定过程域

改进用能力级别量度。能力级别：

在组织范围内量度某个特定过程的成熟度

级别跨度从0到5

改进用成熟度级别量度。成熟度级别：

在组织范围内量度一组过程的成熟度。

级别跨度从1到5

(续表)

连续式表示法

阶段式表示法

用能力级别概要清单来设定和跟踪过程改进绩效

用成熟度级别来设定和跟踪过程改进绩效

等价阶段划分允许一个对过程改进采用了连续式方案的组织在评价中得到一个成熟度级别

没有必要用一种等价机制返回到连续式方案

表7.2比较了6种能力级别 (连续式表示法) 和5种成熟度级别 (阶段式表示法)。

表7.2 能力级别与成熟度级别的比较 (来源: SEI)

级 别

连续式表示法

能力级别

阶段式表示法

成熟度级别

级别 0

不完整级

没有该级别

级别 1

已执行级

初始级

级别 2

已管理级

已管理级

级别 3

已定义级

已定义级

级别 4

量化管理级

量化管理级

级别 5

持续优化级

持续优化级

唯一的区别是在起点上。阶段式表示法没有成熟度级别 0，所以它从级别1开始，即初始级成熟度级别，对应的能力级别是已执行级。从级别2开始，所有的能力级别和成熟度级别都有了同样的名称。

这是因为连续式表示法考虑的不仅是要选定有待改进的特定过程域，而且还要为那个过程域选定所需的能力级别。在这种情况下，一个过程是否已经完成就非常重要。所以，连续式表示法的起点就被赋予了“不完整”这一名称。

因为阶段式表示法关心的是组织整体上的成熟度，个别的过程是已经执行还是尚未完成就不是关注的焦点。所以，阶段式表示法的起点被赋予了“初始”这个名称。

表示法：连续式还是阶段式？

选择一种或者另一种表示法都有很多合理的理由。一个组织通常会选择它最熟悉的表示法。下面的清单给出了选择每种表示法可能会有的优点和缺点。

图7.4 CMMI概览

连续式表示法

如果组织选择了连续式表示法，模型会做到以下方面：

让组织选择出最适合组织企业目标的改进顺序从而降低组织的风险。

使组织内部或者组织间的比较有可能以一个过程域一个过程域地展开，或者通过等价阶段划分来比较结果。

可以方便地将过程改进同国际标准化组织与国际电工委员会的ISO/IEC 15504比较，因为在过程域的组织上它和ISO/IEC 15504类似。

?阶段式表示法

如果组织选择了阶段式表示法，模型会做到以下方面：

提供了一个经过检验的改进顺序，从基本的管理实践开始，然后按照各个级别经预先定义并经过检验的路径前进，每个级别都为下一个级别奠定了基础。

允许通过使用成熟度级别进行组织内部或者组织间的比较。

提供了一个能概括评价结果并允许在组织间比较的单一评定级别

CMMI中使用的模型部件/编排约定

能力级别

能力级别包含一个共性目标及其相关的共性实践，它们与一个过程域相关联，能够改进组织同那个过程域相关联的过程。

能力级别 0: 过程不完整 – 一个过程或者没有得到执行或者只是得到部分执行。过程域的一个或者多个特定目标没有被实现，而且该级别不存在共性目标，因为没有理由将一个仅仅是部分完成的过程制度化。

能力级别 1:已执行的过程 – 实现了过程域的特定目标。它支持产生输出成果所需的工作。

能力级别 2: 已管理的过程 – 一个能够支持该过程的基础设施已经到位的已执行(能力级别 1)的过程。它的计划和执行按照政策来进行；雇佣了拥有充足资源以生成受控的输出的有熟练技能的人；相关的利益相关者参与了进来；它受到了监控和检查；还要接受有没有遵守过程描述的评价。能力级别2所表现出的工艺有助于确保现有的实践在困难时期仍能够保持。

能力级别 3: 已定义过程 – 按照组织的裁减指南从组织的标准过程中裁减出来的一个已管理(能力级别 2)过程，它向组织的过程资产提供工作成果、量度和其他的过程改进信息。

能力级别 4: 量化管理过程 – 使用统计和其他定量技巧控制的一个已定义(能力级别 3)过程。质量和过程绩效的量化目标得以设立并被当作管理过程的标准。质量和过程绩效在统计意义上得到理解，并在过程的生命周期中受到管理。

能力级别 5: 持续优化过程 – 经过改进的一个量化管理过程，这种改进的基础是对过程内在的共性变异原因的理解。持续优化过程的中心在于通过渐进式的和创新式的改进持续地改进过程绩效的范围。

成熟度级别

成熟度级别是一个经过定义的渐进的过程改进集合。每个成熟度级别都巩固了组织在计划、执行以及成功地完成项目方面的一些重要能力。

CMMI的阶段式表示模型定义了5个成熟度级别，在持续的过程改进上，每一级别都是构成下一阶段基础的一个层次，这些级别用从1到5的数字表示。

成熟度级别 1: 初始 –过程是混乱的，应付式的。组织没有提供一个稳定的环境来支持过程。成功由组织中个人的能力和拼搏精神决定，而不是建立在经过检验的过程之上。尽管过程是这样的混乱，在成熟度级别1中的组织仍可能生产出可用的产品和服务；但是，他们经常会超出预算并且无法按期完成。

成熟度级别 2: 已管理 - 组织的项目已能确保过程按照预定方针得到计划和执行；项目雇佣了掌握着足够资源来产生受控输出的技能熟练的员工；相关的利益相关者参与了进来；受到了监控和检查；而且还被评价是否符合它们的过程描述。

成熟度级别 3: 已定义 – 过程得到了很好地描述和理解，并应用标准、规程、工具及方法来表现。作为成熟度级别3基础的组织标准过程集已经被建立并且不断被改进。这些标准过程被用来在组织范围内建立一致性。项目通过按照剪裁指南剪裁组织的标准过程集来建立他们的已定义过程。

成熟度级别 4: 量化管理 - 组织和项目为质量和过程绩效建立了量化目标并将其用作管理过程的标准。量化目标以顾客、最终用户、组织和过程实施者的需要为基础。质量和过程绩效在统计意义上得到理解，并在过程的生命周期中受到管理。

成熟度级别 5: 持续优化 – 重点关注通过渐进性和革新性过程改进和技术改进来持续地改进过程的绩效。组织的量化过程改进目标已获建立，并被不断地修订以反映企业目标的改变，该目标还被用作管理过程改进的标准。人们按照量化过程改进目标量度和评价已部署的过程改进的效果。已定义过程和组织的标准过程集都是可量度的改进活动的对象。

SCAMPI评价方案

SCAMPI方法被用于对采用CMMI的组织做出评价，评价的结果之一是获得一个等级。如果评价使用了连续式表示法，等级会是一个能力级别概要清单。如果评价使用了阶段式表示法，等级会是一个成熟度级别(例如，成熟度级别 3)等级评价。

等价阶段划分是用来将从连续式表示法得到的结果与从阶段式表示法得到的结果加以比较的方法。

一个能力级别概要清单是一份过程域以及在每个过程域达到的相应能力级别的清单。这份清单可以让组织按照过程域来追踪它的能力级别。

7.4 方案/方法

7.4.1 CMMI实施预算

将向CMMI的过渡同组织中现有的其他项目同等看待有助于确保它的成功完成。例如，CMMI过渡的主人和主要利益相关者应该制定一个支持过渡活动的预算。

虽然各个预算都有不同，但以下指导原则可能会有帮助：

准备为设置一个有经验的全职变革领袖提供资金。经验表明成功的变革领袖只能有唯一一个任务安排，在这里，就是帮助组织完成到CMMI的过渡。

一次集中处理一个组织，并为过程行动小组(PAT)成员至少一半的工作时间提供资金支持。为了经济，可以控制过程行动小组成员的人数和存续时间。

跟踪PAT的开支和结果。做好在出现问题时调整资金支持和活动范围的准备。

为变革领袖和PAT配置适当的CMMI培训。为CMMI入门课程和中级课程各预算至少一周培训。一旦完成培训，PAT可以向组织以及其他组织提供交叉培训。为派遣至少一名PAT成员参加CMMI过渡工作会提供资金也是很有好处的。

7.4.2 CMMI实施安排

管理CMMI过渡项目的一个关键部分是制订时间安排。活动安排会随着组织过程改进过程的起点不同而有变化。尽管起点会有不同，可以考虑以下指导原则：

向CMMI过渡类似于在一个组织中实施其他文化变革，过程起点越远，过程花费的时间就越长。

根据SEI对软件CMM实施的测量，现有基础设施缺乏或者对过程改进项目缺乏经验的组织要达到成熟度级别2通常需要18到24个月，达到成熟度级别3通常需要再加12个月。

在软件和系统工程方面达到较高成熟度或者能力级别的组织可能会需要1年，这取决于已有的量度方案以及需要开发和推出的新过程的数量。一般情况下，组织至少需要6个月来推出新过程。

7.5 与IT管理的关联

对于那些将IT作为一种竞争性资产的组织而言，随着系统复杂性的不断增加，开发过程需要高级别的成熟度，CMMI会非常有用。概括地说，CMMI对IT组织非常有用的原因是：

对复杂的软件系统的需求上升。

市场需要效率。

组织面临复杂的开发过程。

如今，IT专业人士需要比技术能力更多的东西，项目管理、测试、过程和方法论技能变得日益重要。IT专业人士要能快速地发展新的技能，使用更高成熟度级别的过程，并且把最佳实践融入他们的日常工作。

优势和劣势

7.6.1 优势

该模型提供了大量的以行业最佳实践为基础的背景信息和指导信息，如果使用得当，这些信息可能会很有价值。

过程域的层次划分便于以渐进方式进行改进，这会更为有效和持久。

过程域的划分使过程改进活动中心更为突出，也更容易管理。

有限的范围可以提供更精深的细节，并为与项目有关的过程提供指导。

CMMI目标和共性实践的描述方式使其可以适用于很多类组织和项目。

CMMI提供了成熟度级别(阶段式表示法)和能力级别(连续式表示法)作为确定和评价在过程改进上所取得的进步的方法。

CMMI对量度特别重视，这有助于确定过程改进活动的投资回报。

7.6.2 劣势

对于所有的CMM模型，都存在这样的一个风险，就是人们仅仅把它们当作一个一览表来使用，得到结果，但并不去使用它们。

模型的规模可能导致读者的信息过载，或者引发“麻痹”，或者引发“盲目实施实践”。

独立过程域的数目之多使人们难以清楚地识别和理解它们的关系。

在某些时候，组织可能会开发出反映了这些过程域而没有反映业务运作的过程结构。

模型的精细程度可能会被理解成鼓励在一些简单过程就已经足够的情况下开发复杂而详细的过程。

对与项目无关的企业职能的支持非常有限。

特定实践和解释性指导倾向于以适用于大规模开发的方式措辞，对“微小改进”和“非开发”项目的解释上只提供非常有限的指导。

目标的意义并非总能得到理解，这会导致CMMI本身变成一个目标而不再是推动改进的手段。

实现CMMI目标的时间安排可能与短期业务循环无法保持一致。

7.7 相互参照/联系

近些年来，越来越多的已发表论文论及组织成功地实现了CMMI与其他方法(如六西格玛)的集成。这些组织发现改进过程和质量的最有效率的方式是协同，就是使用一个主要框架(CMMI)和领域专门方法(例如PMBOK)来克服以为这些方案是水火不容的竞争对手的观念。下面的表格以及参考文献中给出了可以同CMMI协同使用的方法的一个不完整清单。

表7.3 CMMI的相互参照

基 础

高 级

通用

ISO

管理

PMBoK

PRINCE2

OPM3

PMMM

质量

六西格玛

PSM

工程

RUP

SWEBOK

T-CMM

SSE-CMM

灵捷

SCRUM

XP

IT

ITIL

制造

改善(KAIZEN)

精益生产(LEAN)

7.8 链接及参考文献

7.8.1 有关CMMI的书籍

Ahern， D. M.， A. Clouse， & R. Turner (2003， 2nd edition). CMMI&reg; Distilled: A Practical Introduction to Integrated Process Improvement. London: Addison Wesley.

Ahern， D. M.， J. Armstrong， A. Clouse， J. R. Ferguson， W. Hayes， & K. E. Nidiffer (2005). CMMI&reg; SCAMPI Distilled Appraisals for Process Improvement. London: Addison Wesley Professional.

Bush， M.， & D.Dunaway (2005). CMMI&reg; Assessments: Motivating Positive Change. London: Addison Wesley Professional.

Crosby， P. B. (1979). Quality is Free. New York: McGraw-Hill.

Deming， W. E. (1986). Out of the Crisis. Cambridge， MA: MIT Center for Advanced Engineering Study.

Humphrey， W.S. (1989). Managing the Software Process. London: Addison Wesley.

Juran， J. (1988). Juran on Planning for Quality. New York: The Free Press.

Kulpa， M. K.， &K. A. Johnson (2003). Interpreting the CMMI: A Process Improvement Approach. London: Auerbach Publications.

West， M. (2004). Real Process Improvement Using the CMMI. London: Auerbach Publications.

7.8.2 有关CMMI的链接

www.sei.cmu.edu/cmmi 能力成熟度模型集成(CMMI)。

www.sei.cmu.edu/cmmi/appraisals CMMI评价。

www.sei.cmu.edu/cmmi/results.html CMMI绩效结果。

https://bscw.sei.cmu.edu/pub/bscw.cgi/d426144/ITIL%20Comparison MMI和 ITIL的比较。

www.clei.cl/cleiej/papers/v9i1p7.pdf 使用灵捷方法的组合实施CMMI。

www.sei.cmu.edu/pub/documents/05.reports/pdf/05tn005.pdf CMMI和六西格玛之间的关系。

www.dtic.mil/ndia/2002cmmi/solomon2b1.pdf 运用CMMI来改进挣值管理。

www.sei.cmu.edu/activities/cmmi/results/pdfs/04-303d.pdf IT开发和IT服务运作的质量。

http://en.wikipedia.org/wiki/CMMI CMMI的维基百科全书条目。