CMMI — что это, как устроены уровни зрелости и как проходит оценка

Зачем вам CMMI

CMMI — это модель зрелости: набор проверенных приёмов работы, по которому организация измеряет, насколько хорошо у неё устроена ключевая работа — разработка продуктов, оказание услугУслугаСпособ дать потребителю нужный результат, не перекладывая на него управление затратами и рисками.ITIL 4, книга ITIL Foundation, работа с поставщиками3. Итог измерения — уровень, который можно сравнить с уровнем других компаний отрасли. Зрелость здесь — то, насколько работа описана, управляется и даёт повторяемый результат10. Уровень бывает двух видов: у всей организации и у отдельного направления работы; разница объяснена ниже. Расшифровка — Capability Maturity Model Integration, «интегрированная модель зрелости и возможностей». Слово «интегрированная» осталось от начала 2000-х, когда несколько разных моделей зрелости свели в одну11.

Права на модель принадлежат ISACA — международной ассоциации аудиторов информационных систем. Развивает модель и проводит программу оценок CMMI Institute: Университет Карнеги — Меллона создал этот институт в 2012 году, а в 2016-м его купила ISACA1. Действующая редакция CMMI V3.0 вышла в 2023 году2.

Именно эта модель стоит за фразой «у нас третий уровень». Ей больше тридцати лет3, и её шкала уровней стала образцом для других моделей зрелости — от COBIT до IT Service CMM.

Два обстоятельства важны, когда вы решаете, нужна ли вам CMMI. Полный текст модели платный: чтобы его прочитать, нужна годовая подписка на CMMI Model Viewer — сервис на сайте института, где модель читают7. И уровень организации подтверждает не сертификат, а оценка — процедура с внешним оценщиком, сведения о которой ISACA публикует в открытом реестре69. Сертифицируют здесь людей, организацию — оценивают.

Нужна, если заказчик или тендер прямо требуют уровень зрелости по CMMI: заменить его другим документом не получится, оценка привязана к модели.

Нужна, если вы разрабатываете сложные продукты или системы и хотите сравнить свои процессы с отраслевым эталоном — для этого модель и задумывалась3.

Нужна, если требуется внешний взгляд с доказательствами: оценщик смотрит не на слова, а на свидетельства — документы, записи и интервью12, — а результат публикуется там, где его видят все9.

Не нужна, если цель — только внутренняя самооценка. Для неё есть бесплатные шкалы зрелости — например, уровни возможностей COBIT 2019, а как ими пользоваться, рассказывает страница «Уровни зрелости ИТ-процессов: как измерить». Если внешнее подтверждение никому не нужно, платить за подписку и оценщика ради собственного понимания — дорогой способ.

Пересказа модели здесь нет: её текст закрыт подпиской. Ниже — откуда CMMI взялась и как менялась, из чего состоит сегодня, чем уровень возможностей отличается от уровня зрелостиУровень зрелостиСтупень шкалы, показывающая, насколько процесс управляем: от отсутствующего до непрерывно улучшаемого.COBIT 2019, книга Governance and Management Objectives, как проходит оценка и сколько это стоит. Отдельно — какие ошибки допускают и как с CMMI обстоит дело в России.

Откуда взялось

История начинается с задачи заказчика. В ноябре 1986 года Институт программной инженерии Университета Карнеги — Меллона, SEI, вместе с корпорацией MITRE начал разрабатывать рамку зрелости процессов — по запросу федерального правительства США, которому нужен был способ оценивать возможности подрядчиков10. В 1987 году Министерство обороны заключило с университетом контракт на модель для оценки качества работы и возможностей подрядчиков — разработчиков программного обеспечения3, и в сентябре того же года SEI выпустил краткое описание рамки и опросник10. Первая версия модели — Capability Maturity Model for Software, сокращённо CMM, — вышла в 1991 году310.

Текст версии 1.1 от 1993 года лежит в открытом доступе, и по нему видно, из чего модель сделана10. В ней пять уровней зрелости, и их названия с тех пор повторяет почти каждая модель зрелости: начальный, повторяемый, определённый, управляемый, оптимизирующий. Каждый уровень, кроме первого, состоит из ключевых процессных областей — групп связанных действий вокруг одной задачи, например управления требованиями. Область описана через общие признаки и ключевые действия — key practices10. Организация поднимается на уровень, когда выполнила требования всех областей этого уровня.

Оттуда же — три понятия, на которых модель держится до сих пор10. Возможности процесса — диапазон результатов, которых можно ожидать, если процессу следовать. Результативность процесса — результаты, которых процесс достиг на деле. Зрелость процесса — насколько он явно описан, управляется, измеряется, контролируется и даёт результат. Главный приём отсюда: оценивать не разовый результат, а способность его повторить.

В начале 2000-х SEI объединил несколько выросших из CMM моделей — для программного обеспечения, системной инженерии и интегрированной разработки продуктов — в одну общую основу, и в названии появилось слово Integration11. У объединённой модели было два представления — два способа собрать одну и ту же модель. Ступенчатое, как у прежней CMM, даёт один уровень зрелости всей организации. Непрерывное определяет уровень возможностей для каждой процессной области отдельно12.

В 2010 году вышла версия 1.3 — на общей основе три модели: для разработки (CMMI-DEV), для услуг (CMMI-SVC) и для закупок (CMMI-ACQ). У CMMI-DEV 22 процессные области; 16 из них — общие для всех трёх моделей11. На втором уровне зрелости, например, стояли семь областей: управление требованиями, планирование проекта, мониторинг и контроль проекта, управление соглашениями с поставщиками, измерение и анализ, обеспечение качества процессов и продуктов, управление конфигурацией11. Так модель была устроена до второй редакции; в третьей она собрана иначе — вокруг восьми доменов, о них ниже.

Дальше модель меняла владельца. В 2012 году университет создал CMMI Institute, чтобы распространить модель за пределы разработки ПО на любую отрасль1. В 2016 году институт купила ISACA1. В 2018-м вышла версия 2.0. ISACA перечисляет, что в ней изменилось: усилен упор на результативность, учтены гибкие подходы (agile) и Scrum, появилось содержание по безопасности и охране труда. Изменился и формат оценок, а доступ к тексту стал проще1. В 2023 году вышла версия 3.02.

Что это сегодня

Действующая редакция — CMMI V3.0 2023 года2. К трём историческим направлениям — разработке продукта, оказанию услуг и работе с поставщиками — она добавила пять новых: всего восемь доменов в одной настраиваемой модели23. Домен — крупное направление работы; внутри него практические области, внутри областей — конкретные действия, practices5. Вот все восемь, как их называет CMMI Institute:

• Development — разработка продукта;
• Services — оказание услуг;
• Suppliers — работа с поставщиками;
• Security — безопасность;
• Safety — охрана труда;
• Data — управление данными;
• People — управление людьми;
• Virtual — управление распределёнными командами.

Внутри доменов содержание сгруппировано по способностям организации — так ISACA называет крупные умения. Среди них разработка продуктов, оказание и сопровождение услуг, планирование и ведение работ, выбор поставщиков и управление ими, обеспечение качества, управление персоналом, устойчивость бизнеса и улучшение результативности3. Организация выбирает, какие домены и практические области ей нужны, и собирает из модели свой вариант — настраиваемое представление, customized view3.

Модель при этом не книга. ISACA описывает CMMI как набор из пяти частей: сама модель, руководство по внедрению, системы и инструменты, обучение с сертификацией и метод оценки4. Для официальной оценки одной подписки на текст недостаточно: нужны метод оценки и сертифицированный ведущий оценщик, а обучение проводят партнёры ISACA467.

Ключевые понятия

Русские названия здесь — объяснение для читателя, английские в скобках — официальные имена в модели: по ним ищут в первоисточнике.

Практическая область (practice area) — раздел модели: группа действий для одной задачи, например работы с требованиями или планирования. В версиях 1.x она называлась процессной областью11. Внутри области действия сгруппированы по уровням от нулевого до третьего, и каждая следующая группа добавляет к предыдущей новые требования и строгость исполнения5.

Отдельная практика (practice) — конкретное действие, которое организация должна выполнять, чтобы достигать назначения области. В версии 1.3 каждая практика была либо специфической — своей у данной области, — либо общей, одинаковой для всех областей. Общие отвечали за то, чтобы процесс закрепился в организации и не зависел от тех, кто его ввёл12.

Уровень возможностей (capability level) присваивается отдельной практической области. Четыре уровня, от 0 до 3: неполный, начальный, управляемый, определённый5. Это ответ на вопрос «насколько хорошо мы умеем вот это одно дело». Английское capability — то же слово, что «способности организации» выше. В названии шкалы его по-русски переводят по-разному. В ГОСТ Р ИСО/МЭК 15504-1 — «возможность процесса» и «уровень возможности процесса»17, в русском издании COBIT 5 — «уровни возможностей процессов»19. В глоссарии портала и в FitSM, лёгком своде для управления ИТ-услугами, — «уровень способности». На этой странице — «возможности», как в ГОСТ и в разборе COBIT 2019.

Уровень зрелости (maturity level) присваивается организации в целом. Шесть уровней, от 0 до 5: неполный, начальный, управляемый, определённый, количественно управляемый, оптимизирующий5. Каждому уровню соответствует свой набор практических областей; уровень достигнут, когда каждая из них дошла до нужного уровня возможностей5. Это ответ на вопрос «насколько предсказуема организация в целом».

Шкалы — по описанию CMMI Institute5. Оценка может закончиться либо уровнем зрелости организации, либо профилем уровней возможностей по выбранным областям — без уровня зрелости9. Путать их дорого. Заказчик обычно спрашивает уровень зрелости. Внутри же организация улучшает отдельные области и следит за их уровнями возможностей. Поэтому «у нас третий уровень» без уточнения, какой именно, ничего не значит. То же различение и с теми же словами принято в COBIT 2019: уровень возможностей там у процесса, уровень зрелости — у фокусной области, то есть у группы целей COBIT вокруг одной темы. Шкала при этом согласована с CMMI V2.016.

Оценка (appraisal) — процедура, по итогам которой организация получает уровень. Проводит её ведущий оценщик (Lead Appraiser), сертифицированный ISACA, вместе с командой из сотрудников организации и внешних оценщиков11. Метод описан в документе CMMI Appraisal Method Definition Document, сокращённо MDD; документ продаётся отдельно69.

Типов оценки четыре6. Эталонная даёт публичный результат, поддерживающая продлевает его, повторная исправляет неудачу, предварительная готовит к остальным. Эталонная (Benchmark) — оценка, по итогам которой присваивают уровень. Команда не меньше четырёх человек, результат действует три года. Поддерживающая (Sustainment) — проверка после эталонной, сохраняется ли уровень. Результат действует два года, и больше трёх поддерживающих оценок подряд без новой эталонной провести нельзя. Повторная по плану действий (Action Plan Reappraisal) — для организаций, которым до целевого уровня не хватило немного. Проводится не позже чем через четыре месяца после предыдущей оценки. Предварительная (Evaluation) — неформальная, без присвоения уровня: она показывает, готова ли организация к эталонной оценке.

В версиях 1.x метод оценки назывался SCAMPI — сокращение от Standard CMMI Appraisal Method for Process Improvement. Полную оценку проводили по классу A; облегчённые классы B и C служили подготовкой к ней12. Если вам встретится это слово в статье или вакансии — речь об оценке по прежней версии модели.

Публикация результата. Результат эталонной оценки публикуется в открытом реестре PARS — Published Appraisal Results, реестре опубликованных результатов оценки, который ведёт CMMI Institute9. Именно эту запись и показывают заказчику.

Что покрывает — и чего не покрывает

Восемь доменов CMMI V3.0 наложены на практикиПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 нашего справочника2. Полоса показывает, какая часть практик каждой области справочника попадает в домены модели. Считали по домену, а не по отдельной практике модели: полный текст модели платный, поэтому соответствие каждой её практике показать нельзя — только состав доменов, который ISACA опубликовала при выпуске редакции.

Отсюда и вид блока: заполнена каждая полоса, но большинство полос — лишь на малую часть. Модель задаёт, какие способности у организации должны быть, а метод оценки их измеряет; как именно устроена работа внутри, описывают своды практик — прежде всего ITIL.

Чем отличается от соседей

ISO 9001. Оба документа задают, как должна быть устроена работа, но проверка устроена по-разному. Лапорт и Эйприл, авторы учебника по обеспечению качества программ, сравнивают CMMI-DEV 1.3 с ISO 9001:2015 по трём признакам11. Охват: ISO 9001 распространяется на всю деятельность организации, CMMI-DEV — на разработку и сопровождение. Объём: у стандарта 29 страниц, текст модели — около 470 страниц с примерами. Проверка: при сертификации по ISO 9001 организацию проверяет орган по сертификации — независимая организация, которой разрешено выдавать сертификаты; по CMMI — команда во главе с ведущим оценщиком, и результат — перечень сильных и слабых сторон и уровень зрелости. Сертификата CMMI не существует — есть опубликованная оценка.

ISO/IEC 15504, известная в отрасли как SPICE, и пришедшее ей на смену семейство ISO/IEC 33000. Это стандарты о том, как проводить оценку процессов, чтобы её результат был объективным и сопоставимым18. CMMI — и модель, и метод оценки в одних руках; ISO/IEC 33000 — правила, по которым строят модели оценки процессов, в том числе свои. Стандарты семейства 33000 постепенно, с 2015 по 2021 год, заменили серию 1550418; на портале есть отдельная страница о семействе.

COBIT 2019 — свод ISACA о руководстве и управлении ИТ на уровне всего предприятия. Он использует шкалу, согласованную с CMMI: в книге «Introduction and Methodology» уровни возможностей процессов названы «вдохновлёнными CMMI», а модель управления результативностью COBIT — согласованной с CMMI Development V2.016. Отдельной модели оценки процессов для COBIT 2019 ISACA не выпускала. Журнал ISACA формулирует это прямо: «There is no PAM for COBIT 2019, but CMMI can be used to measure capability levels»15. По-русски: для COBIT 2019 нет PAM, но для измерения уровней возможностей можно использовать CMMI. PAM здесь — Process Assessment Model, модель оценки процессов. Подробнее — на странице COBIT.

COBIT PAM — прежняя модель оценки для COBIT 5, основанная на стандарте ISO/IEC 15504. IT Service CMM — модель зрелости для ИТ-услуг, построенная по образцу CMM 1990-х. Обе разобраны на портале отдельно.

Что нового

15 июля 2026 года CMMI Institute выпустил модель зрелости в области искусственного интеллекта — CMMI AIM, Artificial Intelligence Maturity, «зрелость в области ИИ»8. ISACA подаёт её как часть CMMI, а не как отдельный свод. Практики и пояснения по ИИ встроены в домены и практические области, а читаются через расширенный тариф Model Viewer Plus7. Для AIM предусмотрены отдельная оценка, программы обучения и таблицы соответствия внешним стандартам по ИИ8. Смысл заявлен так: перевести разрозненные эксперименты с ИИ в подразделениях в ту же систему уровней, по которой организация оценивает остальные свои способности.

Судить о модели рано — ей меньше года. Для читателя важнее другое: содержание CMMI продолжает меняться, и «уровень по CMMI» без указания редакции и года значит всё меньше.

Сколько стоит

Чтение модели — годовая подписка на CMMI Model Viewer. По состоянию на 5 сентября 2026 года она стоила 150 долларов за обычный доступ и 225 долларов за расширенный доступ, включающий материалы по ИИ7. Это плата именно за чтение: подписка открывает содержимое в личном кабинете на сайте7. Так было не всегда: в учебнике Лапорта и Эйприла 2018 года ещё сказано, что документы CMMI можно было бесплатно скачать с сайта института11, — речь о версиях 1.x. Сегодня открытого текста нет.

Оценка организации оплачивается отдельно, и её цену ISACA не публикует: оценки проводят партнёры по своим расценкам. Отдельно продаётся и MDD — документ с методом оценки9. Обучение — тоже у партнёров.

Закладывайте в бюджет три статьи: подписку, обучение своих людей и работу внешнего оценщика. Опубликована цена только у первой.

Сертификация

Для специалистов — семь программ8:

• практик (CMMI Practitioner);
• практик по модели для ИИ (CMMI AIM Practitioner);
• профессионал (CMMI Professional);
• ведущий оценщик (CMMI Lead Appraiser);
• ведущий оценщик по модели для ИИ (CMMI AIM Lead Appraiser);
• ведущий оценщик для оценок на уровнях зрелости 4 и 5 (CMMI High Maturity Lead Appraiser);
• преподаватель (CMMI Instructor).

Обучение и экзамены проводят партнёры ISACA.

У организаций сертификации нет — есть оценка. Сертификат подтверждает соответствие требованиям стандарта. По итогам оценки по CMMI организации присваивают уровень; результат публикуют в реестре PARS, и действует он ограниченный срок69. Когда компания пишет «сертифицированы по CMMI Level 3», речь именно об этом: об эталонной оценке, результат которой опубликован в PARS.

В России

Прямого ГОСТ-эквивалента у CMMI нет: поиск по базе Росстандарта по слову CMMI даёт ноль документов9. Русского перевода тоже не найти. Версию 1.3 переводили на немецкий, китайский, французский, испанский, японский и португальский языки — русского в этом списке нет11. На сайте CMMI Institute русская версия третьей редакции не указана (проверено 5 сентября 2026 года).

Национальные стандарты для оценки процессов в России есть, но это другая серия документов: ГОСТ Р ИСО/МЭК 33001-2017, 33002-2017, 33003-2017 и 33004-2017 — адаптации семейства ISO/IEC 33000. При этом в базе Росстандарта числятся действующими все пять частей прежнего ГОСТ Р ИСО/МЭК 15504, хотя их международный оригинал отменён14. Если в договоре нужен уровень «с опорой на ГОСТ», смотрите туда, а не на CMMI. Оттуда же и принятый на этой странице перевод терминов шкалы: в ГОСТ Р ИСО/МЭК 15504-1 capability переведено как «возможность процесса», а capability level — как «уровень возможности процесса»17.

По обзору методик оценки зрелости, который в 2018 году собрал российский консультант по процессному управлению, первый авторизованный инструктор по CMMI появился в России в 2007 году, первый русскоязычный ведущий оценщик — в 2008-м13. На июль 2018 года CMMI Institute сертифицировал в России одного ведущего оценщика и одного инструктора13. Более свежих чисел по странам ISACA открыто не публикует.

Что путают

Оценку с сертификацией. Сертификата CMMI нет. Есть эталонная оценка с опубликованным результатом и сроком действия69. Формулировка «сертифицированы по CMMI» — разговорная, и по ней стоит спросить: какой уровень, когда, в каком объёме.

Уровень возможностей с уровнем зрелости. Первый — у практической области, шкала от нуля до трёх; второй — у организации, шкала от нуля до пяти5. Заказчик спрашивает второй.

Уровень с качеством продукта. Уровень говорит о процессах — описаны ли они, управляются ли и измеряются ли. В отчёте SEI 1993 года о CMM зрелость определена как свойство процесса, а не результата10. О том, хорош ли конкретный продукт, уровень молчит.

Пятый уровень с рекламой. Пятый уровень означает организацию, которая управляет процессами по данным и постоянно их меняет5, а не «лучшую компанию на рынке». Проверить любое заявление можно в реестре PARS9: если записи нет или срок действия оценки истёк — уровень остался словами.

Модель со стандартом. CMMI — модель, права на которую принадлежат ISACA; это не стандарт ISO и не ГОСТ9. Ссылаться на неё в договоре можно, но правила оценки и требования к оценщику задаёт ISACA, а не государство.

Где ломается применение

Гонятся за уровнем вместо работы. Уровень должен быть следствием устойчиво работающих процессов, а не целью подготовки к оценке. CMMI Institute сам предупреждает: достижение уровня приносит пользу только тогда, когда улучшения нацелены на результаты бизнеса, а не на сам уровень5. Организация, которая готовится к оценке, а не меняет процессы, рискует получить уровень и не подтвердить его при поддерживающей оценке.

Забывают про срок годности. Эталонная оценка действует три года, поддерживающая — два6; после этого «у нас третий уровень» — утверждение о прошлом.

Считают, что модель бесплатна. Даже прочитать её стоит денег7.

Готовятся к оценке по старой версии модели. Российский обзор 2018 года описывал две версии, действовавшие тогда, — 1.3 и 2.013. Сегодня действует 3.0: в ней практические области и четыре типа оценки26. Статья про 22 процессные области и SCAMPI описывает прежнюю версию модели.

Берут для маленькой команды. ISACA заявляет модель для организации любого размера3, но подписка, обучение и внешняя оценка окупаются, только если подтверждённый уровень требует заказчик, головная компания или условия тендера. Для команды из нескольких человек без такого требования это дорогой способ навести порядок.

С чего начать

1. Выясните, кто именно требует уровень, в каком документе и по какой версии модели. Если требования нет, начните с бесплатного: оцените уровни возможностей по COBIT 2019, своду ISACA о руководстве ИТ, — как, рассказывает страница об измерении зрелости.
2. Требование есть — откройте реестр PARS9 и посмотрите, кто в вашей отрасли и на каком уровне.
3. Найдите ведущего оценщика в каталоге партнёров ISACA6 и узнайте порядок цен на оценку — до покупки подписки.
4. Только после этого покупайте подписку и считайте бюджет целиком — с обучением и внешней оценкой.

Что читать дальше

Рядом три страницы. COBIT 2019 — свод, который взял у CMMI шкалу возможностей. ISO/IEC 33000 — стандарт о том, как проводить оценку процессов, с действующими ГОСТами. IT Service CMM — модель зрелости для ИТ-услуг, выросшая из CMM 1990-х. Прежняя модель оценки для COBIT 5, COBIT PAM, стояла на ISO/IEC 15504 и разобрана отдельно.