拯救CMM 【作者： 姜涛(计算机产品与流通》)】

油条哥哥

急功近利和弄虚作假不仅“玷污”了CMM，还使国内软件行业面临信任危机。  
卡内基梅隆大学软件工程研究所（SEI）的研究员们或许至今也没想到，他们所提出的CMM（软件能力成熟度模型）会在遥远的中国“兴风作浪”。更令其始料未及的是，一个纯粹技术性的软件评估标准竟然会和欺骗、作弊甚至贿赂扯上关系。

企业对CMM的概念有着太多误解，政府发觉自己“好心办了坏事”，市场则被良莠不齐的评估机构和眼花缭乱的弄虚作假搞得一团糟。更严峻的现实摆在眼前—中国软件企业的信誉受到了质疑。

“每次参加国际软件会议的时候，我们都无颜见同行。”北京力友和信息技术有限公司总经理李韵琴无奈地说。

隶属于中国电子技术标准化研究所的力友和公司是国内最早推动CMM的中介服务机构之一，并且是国际软件标准化组织的国家代表。在国际交流会上，SEI的同行常常提出对一些评估数据的查询要求，并透露在他们的数据库里根本就没有国内某些企业的名字。李感到，这种情形已经给中国软件业蒙上了一层阴影。CMM作假“赚的是评估师，亏的是国家的钱和软件行业的名声。”

其实，早在3年前联想软件做CMM2的时候，就有业内人士指出：“CMM到中国后很可能变质。”帮助东软通过CMM的咨询机构Soft Tech公司副总裁李颖也曾表示过类似的担忧：“18号文件出台后，CMM一下子炙手可热，热得已经露出了失控的苗头。CMM 确实很重要，但像现在这样大肆炒作，似乎已经偏离了它应有的轨道。炒作围绕着企业是否获得了CMM证书，而非企业在实施后真正发生了哪些变化，越来越集中在CMM认证的广告效应上。”

政府：好心办坏事
在1999年7月北京鼎新信息系统开发公司通过CMM2级评估之前，CMM对国内大多数企业来说还是个新名词。它真正火爆起来是缘于2000年6月国务院颁发的《鼓励软件产业和集成电路产业发展的若干政策》（业内人士称之为“18号文件”）。该文件第五章第十七条明确提出：“鼓励软件出口型企业通过GB/T19000－ISO9000系列质量保证体系认证和CMM认证。其认证费用通过中央外贸发展基金适当予以支持。”

为贯彻18号文件，各地政府均制订了优厚的扶持政策。据悉，通过CMM认证的北京软件企业可以从商务局中小企业国际市场开拓基金领取合同额一半的补贴，上海市对通过CMM3、4 、5级认证的软件企业则分别给予40万、60万和80万元的现金奖励。

可是，现在回过头来看，18号文不可避免地产生了一定的误导作用。率先通过CMM认证的几家企业不仅获得了可观的奖金，还一下子名声大噪。国内软件企业纷纷把CMM视为“扬名立万”的好机会，蜂拥而上，搞起了“突击”；有时候，其评估成本竟然还不到政府的奖金金额，做CMM更成为“名利双收”之举。

在这样的风气下，CMM想不变味都难。

“国家只是单纯地想要推进CMM，但却指偏了方向。很多企业至今还不知道，CMM 到底是什么。”李韵琴说。

CMM不是通行证
实际上，CMM不是“文凭”，不是严格意义上的认证，更不是无往不利的通行证。

浙大网新中研软件有限公司总工程师董建武认为，CMM是专业评估机构为软件企业拍的一张“快照”，它只代表企业“当时”满足了CMM的要求，并不是永久证书。打个不太恰当的比喻，“一个学生曾经达到大学本科的水平，并不见得上过大学，更不代表他始终具有这种水平。”

在国外，做CMM是为了检验和提升自身能力，其有效期通常在一年半以内，时间久了客户是不会相信的。美国的很多软件企业（包括Microsoft）都没有通过CMM认证。这并不是说，这些企业不重视过程管理，事实上，这些企业多年来已经形成了一套自己的管理方式，而且这套方式同CMM在本质上是一致的。换言之，CMM是一套科学的知识体系，国外公司看重的是这套体系对自己的真正价值。

而在中国，正如Soft Tech公司副总裁李颖所说，企业关心的已经不是CMM认证的结果，而是其广告效应，是一纸文书。在他们眼中，CMM证书=名声+客户，是一张“金字招牌”。这与大学生考四、六级倒是颇有共通之处。既然学生可以作假，企业又为什么不能作假呢？

更何况，作假又不用费多大劲。由于SEI只是本着研究的初衷，对CMM评估并没有严格的打假措施。只要得到SEI授权评估师的认可，企业就不愁拿不到证书。于是乎，本土的CMM咨询认证机构风起云涌，世界各地的主任评估师登陆中国，这当中自然包括不少异国的“淘金者”。他们有的还做些表面文章，有的连做秀也省了，以至出现了“电话评估”这样的咄咄怪事。

“中国软件企业的真实水平遭到怀疑。你可以看看通过CMM认证的中国企业有多少家，全世界有多少家；我们用了多长时间，别人用了多长时间。”李韵琴说。

据了解，通过一个CMM2的认证至少需要近1年，级别越高，相应的时间就越长。对于越级认证，SEI也是严令禁止的。可在中国，半年过CMM3的大有人在，有些“激进组织”甚至跳过CMM2、3、4，直接到达5级水平，简直令人匪夷所思。

正视CMM
对CMM，我们更应保持理性的眼光。

首先，CMM对软件企业的确有好处，不能因为它被“滥用”而否定其价值。

网新中研是浙大网新旗下从事行业软件定制的公司，该公司在成立之前就开始关注CMM，并从2002年10月起实施CMM2，至今已有近两年的时间。据其总工程师董建武介绍，CMM对提高公司的软件管理水平的确有很大益处。比如需求跟踪，它能够根据客户的需求变化随时调整开发流程，并对这一流程改变所需要的成本和时间进行有效评估。在项目进程中，客户经常要求修改，结果软件改了又改，耗时又费力。实行需求跟踪后，企业就可以很好地控制进度，规范开发流程。CMM的另一大优点是计划性强。它所提供的模型可以帮助开发人员更科学地计算项目工作量，作出成本评估和控制。“就某个项目而言，以前我们和客户都不清楚要用多少时间，花多少钱，催来催去，感觉乱得很。实施CMM后，我们的预算偏差已经从50%下降到了10%，.Net平台的开发成本更是减少了一半。”

正在冲击CMM3的北京用友软件工程有限公司和东方通科技有限公司的也对CMM认证持肯定态度。东方通科技常务副总经理牛合庆认为，无论对于定制型软件开发商还是通用型软件厂商，CMM都具有积极意义，是一种“管理方法的革新”。用友工程高级销售经理周涛则表示，CMM确实很有帮助，只是不能完全照搬，“一定要有自己的想法”。有些环节不必要，或者本身存在缺陷，就可以根据需要适当缩减。比如CMM中有一个对“关键计算机资源”的考核，于中国企业现实意义不大，理应简化。

其次，必须端正对CMM的态度。

正如前文所述，CMM不是包治百病的灵丹妙药，而是一种知识体系和管理方法，并且只是客户选择项目伙伴时的参考标准之一。仔细推究，在CMM认证作假的原因很复杂。从主观角度，对CMM的曲解促使企业舍本逐末，误把强身健体的“内功心法”看成了号令天下的“屠龙宝刀”；另一方面，中国人重名气、好面子的传统思维也起了推波助澜的作用。不仅企业把CMM认证视为炫耀的资本，就连某些地方政府也将之看作软件水平高的标志，相互攀比，盲目引导。在客观上，其不菲的认证成本也是国内企业“另辟蹊径”的原因。CMM的费用主要包括四个方面：培训、监督、预评估和正式评估。目前国内大部分咨询公司都聘请国外评估师，这部分费用较高（每个评估师一天的费用约1800-2000美金）。据估计，通过一个级别CMM评估的费用是通过ISO9001认证的十多倍。

更重要的是，企业的情况千差万别，绝不能一概而论。

金山公司总裁雷军曾在一次软件研讨会上透露，金山原先一直在做CMM认证，现在已经叫停(金山目前为CMM2认证）。他表示，对金山这样的通用型软件开发商来说，CMM没有多大意义。该观点正确与否姑且不论，但他提出了这样一个问题：CMM是必修课吗？它是否满足所有软件企业的需要？

目前，国际上在挑选软件工程的外包伙伴时一般都要看CMM认证。印度之所以有那么多的企业通过CMM认证，就是因为它们是以软件外包为主。据透露，在东软给日本一家汽车公司做的音响导航系统项目中，从用户开始验收到最终提交，整个过程大约出现了2000多个bug。日方因此提出规范组织软件过程的要求，这也是东软决心过CMM的最关键原因。外包公司在同欧美客户的接触中发现，只有通过CMM认证才有可能在欧美市场接到订单。因此，这类企业是最需要做CMM认证的。

那么，只开发自主产品、不做外包的软件公司有必要通过CMM认证吗？

北京航空航天大学的周伯生说，CMM认证并不适合所有企业，“大型软件企业以及有志于出口的软件企业比较适宜”。

业内人士认为，CMM所体现的软件组织思想是所有软件企业都需要培养和积累的。比如它提出的过程监控和文档先行，让企业在软件生产的每个步骤都留下翔实的文档，实现了软件生产的标准化控制，有助于软件产业整体水准的提高。至于究竟要不要通过CMM，则应根据自身的规模和实力，量力而行。“企业在决定做CMM之前必须要想清楚，它是否有足够的能力来承担这笔费用，会不会因此将自己拖垮”。对于不少资金少、规模小、没有通过把握的企业来说，不妨先听一些项目管理、软件工程、测试方面的课程，在头脑中建立起CMM的概念，找到自己存在的问题。等有改变的欲望和能力的时候，再去通过CMM认证。

Soft Tech公司副总裁李颖作了如下总结：

第一，CMM是帮助企业正规化的一种非常好的方式，真正想做软件，不论是在国内还是国外，都应该达到这个水平；

第二，认证的过程是纠正企业偏差的过程，而这是企业花钱都买不到的；

第三，一定不能把CMM认证当作一种考试，而要看成一项有利于企业今后发展的投资，借此来改变中国软件业长久以来形成的积弊。

结语
好在CMM认证中的作假现象已经引起了SEI和政府的警觉。记者获悉，SEI正委托调查机构对通过认证企业的客户进行间接调研，发现不实情况将可能吊销其主任评估师的资格。

上海市政府也于今年年初暂停了对认证企业的现金奖励政策。

更值得庆幸的是，国内还有不少企业没有被这股热潮冲昏头脑，他们冲破了笼罩在CMM之上的阴影，踏实前行。

“类似的错误已经不是第一次了，我们希望中国的软件产业不要重蹈ISO9000的覆辙。”

从1999年开始启动CMM，北京市科委拿出了700万奖金，目标是到2002年有20家企业通过CMM2级以上的评估（包括评估过的企业），以望在2年内形成一个规模群体。2000年到2002年，3年时间专款专用，支持企业做CMM认证。主要包括培训，对企业通过CMM后的补贴、奖励，每个通过CMM的企业都奖励30万元。

SEI于2001年12月推出CMM的改进模型CMMI，其范围更广，除CMM涉及的项目外，还包括硬件、集成甚至财务方面的内容。SEI在“日落计划”中宣布，它将停止发布CMM的新版本，2005年将全力转向CMMI。

千里

用理性的观点评价了CMM