ISOIEC 29110-3-22018AMD12025 系统和软件工程 超小型实体(VSE)的生命周期概况 第3-2部分符合性认证方案 修订1取消3年重新认证的要求标准立项发展报告

系统和软件工程超小型实体（VSE）的生命周期概况第3-2部分：符合性认证方案修订1：取消3年重新认证的要求标准立项发展报告StandardizationDevelopmentReport:SystemsandSoftwareEngineering–LifecycleProfilesforVerySmallEntities(VSEs)–Part3-2:ConformityCertificationScheme–Amendment1:RemovalofRequirementfor3-yearRecertification摘要随着全球软件产业的持续发展，超小型实体（VerySmallEntities,VSEs）在经济和社会发展中扮演着日益重要的角色。为满足这一群体对标准化过程的迫切需求，国际标准化组织（ISO）和国际电工委员会（IEC）联合制定了ISO/IEC29110系列标准，为员工人数不超过25人的超小型实体提供量身定制的生命周期管理框架。其中，ISO/IEC29110-3-2作为该系列标准中的符合性认证方案部分，规定了VSEs获取标准符合性认证的流程和要求。本次修订（AMD1:2025）的核心内容是取消原标准中关于每3年进行一次重新认证的强制性要求，代之以更加灵活的监督审核机制。本报告全面梳理了该修订标准的立项背景、技术内容、修订依据和实施意义。报告分析了当前全球VSEs发展的现状与挑战，阐述了标准修订的必要性和紧迫性，详细解读了修订后的认证方案调整内容及其对VSEs和认证机构的实际影响。报告指出，取消固定周期的重新认证要求，意味着标准体系从“周期性重认证”向“持续性监督”模式转变，这一变化将显著降低超小型实体的认证负担和合规成本，同时通过差异化的监督审核频率和风险评估机制，保障认证体系的公信力和持续有效性。本报告的编制旨在为标准实施机构、认证机构、软件企业及相关利益方提供全面的技术参考和决策支持。关键词：超小型实体；软件工程；生命周期概况；符合性认证；标准修订；ISO/IEC29110；监督审核；认证方案；国际标准Keywords:VerySmallEntities;SoftwareEngineering;LifecycleProfiles;ConformityCertification;StandardAmendment;ISO/IEC29110;SurveillanceAudit;CertificationScheme;InternationalStandard1引言1.1研究背景在全球软件产业生态中，超小型实体——通常指员工人数在25人以下的企业或组织——占据了企业总数的绝大多数。根据世界经济论坛的统计数据，中小微企业占全球企业总数的90%以上，提供了约60%至70%的就业岗位。在软件和信息技术服务领域，这一比例更为突出。然而，这些超小型实体在实施软件工程标准时面临着独特的挑战：传统的大型软件工程标准往往以大型组织为对象，其体系庞大、流程复杂、资源要求高，难以直接适用于资源有限、组织架构精简的VSEs。为应对这一标准化需求缺口，ISO/IECJTC1/SC7（软件与系统工程标准化技术委员会）于2011年正式发布了ISO/IEC29110系列标准，专门针对超小型实体的软件开发生命周期管理提供了一套“瘦身版”的标准框架。该系列标准采用“概要（Profile）”方法，根据VSEs的任务复杂性和业务需求，将标准分为基本型（Entry）、基础型（Basic）、中间型（Intermediate）和高级型（Advanced）等不同层级，使超小型实体能够根据自身情况选择适当的实施路径。1.2标准修订的必要性自ISO/IEC29110-3-2:2018发布以来，全球已有多个国家和地区将其采纳为国家标准，并建立了相应的认证体系。在实际实施过程中，各方反馈显示，原标准规定的“每3年进行一次重新认证”的要求在实践中带来了一些问题：首先，对VSEs而言，固定的3年重新认证周期造成了不必要的行政负担。超小型实体通常仅有10至25名员工，缺乏专职的质量管理人员。每次重新认证需要投入大量的时间和人力资源来准备审核材料、安排审核活动，这对本就资源紧张的小型团队而言是一项沉重的负担。根据国际标准化组织在修订征求意见阶段收集的反馈数据，超过65%的受访VSEs认为3年重认证周期过于频繁，认证相关的文档准备和审核配合工作占据了其质量管理工作的主要精力。其次，固定的重新认证周期与认证后的持续监督机制存在功能重叠。认证机构（CertificationBodies,CBs）在认证有效期内的监督审核活动已经能够在相当程度上确保获证组织持续符合标准要求。在此情况下，要求VSEs在3年期满后重新进行一轮完整的认证程序，在程序上形成了重复审核，增加了认证体系的总体社会成本。第三，国际认证体系的发展趋势正在从“周期性重认证”向“持续性合规监督”方向演变。国际标准化组织ISO/IEC17021-1:2015《合格评定对提供管理体系审核与认证机构的要求第1部分：要求》中详细规定了监督审核与再认证的活动安排，并允许认证方案根据特定领域的特点调整监督和再认证活动的频率与方式。ISO/IEC29110-3-2的修订正是顺应这一国际趋势，将监督审核与再认证活动有机整合，优化认证方案的整体设计。因此，ISO/IECJTC1/SC7/WG24工作组经过多轮讨论和国际协商，决定对ISO/IEC29110-3-2:2018进行修订，正式发布AMD1:2025修订案，取消3年重新认证的强制性要求。2标准修订的主要内容2.1修订前的认证要求概述ISO/IEC29110-3-2:2018规定的符合性认证方案主要包含以下核心要素：-认证流程：从申请受理、文件审核、现场审核、不符合项关闭到认证决定的完整流程；-初次认证要求：VSEs须通过认证机构实施的初次审核，验证其软件过程符合所选概要（Profile）的要求；-认证有效期：认证证书有效期为3年，有效期届满前须通过重新认证程序延续认证资格；-年度监督审核：在认证有效期内的每一年度，认证机构须对获证VSE实施监督审核，以确保持续符合性；-重新认证要求：证书3年有效期届满时，VSE须接受一次全面的重新认证审核，审核范围通常等同于初次认证审核；-认证暂停、撤销与扩大/缩小范围的管理程序等。2.2修订后的主要变化本次修订的核心内容为：取消ISO/IEC29110-3-2:2018中关于VSEs须每3年进行一次重新认证的强制性要求。具体修改涉及以下方面：（一）删除固定周期的重新认证要求修订后的标准取消了“认证证书有效期为3年，期满须重新认证”的相关条款。这意味着VSEs在获得认证后，不再需要在固定3年周期届满时接受一次完整的重新认证审核。认证证书不再设定固定的有效期截止日期。（二）强化持续监督审核机制代替重新认证的是一套更加完善和灵活的持续监督审核机制。修订后的标准要求认证机构在认证有效期内实施定期监督审核，确保VSEs持续满足标准要求。监督审核的频次和深度可根据以下因素进行调整：-VSEs所实施概要的复杂程度；-以往审核结果中不符合项的性质和数量；-组织内部重大变更（如关键人员变动、过程重大调整等）的发生情况；-客户投诉或市场反馈所反映的潜在风险。（三）新增认证后的持续符合性评估要求修订后的标准对持续符合性评估提出了更加明确的要求，包括：-认证机构应当建立文件化的监督方案，明确监督审核的频次、范围和方法的确定规则；-每次监督审核的结果应当形成正式报告，作为维持认证资格的依据；-若监督审核发现严重不符合项，认证机构有权暂停或撤销认证证书。（四）调整认证机构的相关要求修订后的标准同步更新了对认证机构（CBs）运作的要求，包括审核员能力要求、审核时间计算方法和认证决定程序等方面的相应调整。认证机构需根据修订后的要求重新评估其认证方案中的相关程序和文件。2.3标准修订的兼容性考虑本次修订保持了与ISO/IEC29110系列其他部分的兼容性，确保修订内容不影响ISO/IEC29110-1（概念和术语）、ISO/IEC29110-2-1（框架和分类法）、ISO/IEC29110-4-x（概要描述）和ISO/IEC29110-5-x（管理和工程指南）等部分的正常使用。同时，修订后的认证方案保持了与ISO/IEC17021-1相关要求的协调一致性，并兼顾了ISO/IEC29110-3-1（认证机构要求）的协调统一。3标准修订的依据与意义3.1修订的技术依据本次标准修订主要基于以下几方面的技术依据：（一）国际标准化组织对认证方案的顶层设计要求ISO/IEC17021-1:2015作为管理体系认证的通用要求，为认证方案的制定提供了顶层框架。该标准允许特定领域的认证方案根据行业特点和受益方需求，在满足最低要求的前提下灵活设计认证活动及其频次。ISO/IEC29110-3-2的修订正是在这一框架下，对重新认证活动的安排进行了优化调整。（二）ISO/IEC29110系列标准的内在逻辑ISO/IEC29110系列标准以“渐进式改进”为核心理念，VSEs可在不同概要之间切换和升级。固定周期的重新认证在一定程度上限制了这种灵活性——若VSEs在3年有效期内已经升级到更高的概要等级，原有的3年重新认证安排便需要调整。取消固定周期的重新认证后，VSEs可以在监督审核中更自然地实现概要的调整和升级。（三）各国实施经验和反馈在AMD1修订草案的编制过程中，ISO/IECJTC1/SC7/WG24工作组向各成员国、认证机构、VSEs代表和相关行业协会广泛征集了意见。反馈数据显示：-多数受访者认为固定周期的重新认证造成了不必要的负担；-认证机构普遍具备通过监督审核维持认证有效性的能力；-市场对于“无固定有效期+持续监督”的认证模式接受度较高。3.2标准修订的意义与影响（一）降低VSEs的合规成本取消3年重新认证要求，将直接降低VSEs在认证有效期届满时所需投入的时间、人力和资金成本。根据初步测算，新方案可使VSEs在4-6年内的认证相关总成本降低约20%至30%，有效释放了VSEs的创新活力，使其能够将有限资源聚焦于产品研发和市场开拓。（二）增强标准体系的竞争力全球范围内，针对中小微企业的质量管理和软件工程标准体系竞争日趋激烈。通过减轻认证负担和优化认证方案设计，ISO/IEC29110系列标准在吸引VSEs参与认证方面的竞争力将得到显著增强，有助于扩大标准在全球的采用范围，拓展其在国际标准化市场中的影响力。（三）推动认证模式的国际化转型本次修订体现了国际认证体系从“固定周期重认证”向“基于风险的持续监督”方向的转变。这一转变不仅适用于ISO/IEC29110系列标准，也为其他面向中小型组织的认证方案的优化提供了参考范例，有助于推动整个认证行业在方案设计上的创新与进步。（四）强化认证的有效性与公信力通过引入基于风险的监督审核机制，认证机构可以将审核资源集中于风险较高的环节和领域，提高监督审核的针对性和有效性。同时，灵活调整监督频次的机制设计，也有助于更及时地发现VSEs在获证后的过程偏离，从而更好地维护认证体系的公信力。4标准实施与推广4.1国际层面的标准实施ISO/IEC29110-3-2:2018/AMD1:2025作为国际标准修订案，已由国际标准化组织和国际电工委员会正式发布。按照ISO/IEC各成员体的标准采纳程序，各国家标准化机构将在规定期限内将该修订案采纳为国家标准或行业标准，并同步更新相关的认证认可规则。代表性国家如马来西亚、墨西哥、泰国、卢森堡、哥伦比亚等，已通过各自的标准化路线图将ISO/IEC29110系列纳入国家推广计划，并结合本地软件产业特点制定实施方案，探索以认证补贴、培训支持等方式鼓励VSEs参与标准认证。4.2认证机构层面的实施准备认证机构作为认证方案的主要实施主体，需要根据修订后的标准要求进行以下调整：制定新的监督方案：认证机构应建立文件化的监督方案，明确监督审核的频次、范围和方法。监督方案的制定应考虑VSEs的规模、复杂度、风险等级和以往审核结果等因素，体现分级分类管理的原则。修订认证合同和相关文件：认证机构需要修订认证合同中关于证书有效期、监督审核安排和认证维持条件的条款，更新认证规则文件、申请书模板、审核报告模板等相关文件，确保各环节的衔接一致。审核员能力建设：由于监督审核替代重新认证后，对审核员的持续监督能力和风险评估能力提出了更高要求，认证机构应加强对审核员的专项培训，提升其在新审核模式下的专业判断能力和风险识别能力。4.3VSEs组织层面的实施指南对于已经获得认证或计划申请认证的VSEs，有关实施要点如下：-已经获得ISO/IEC29110-3-2认证的VSEs，在修订生效后将自动适用新的认证方案，无需重新申请认证；原证书中关于3年有效期的条款将被视为已删除。-VSEs应配合认证机构开展监督审核活动，确保持续符合标准要求；建议VSEs建立内部质量监控机制，在认证机构监督审核前开展自查。-在组织发生重大变更（如业务方向调整、关键人员变动、过程框架重大改变）时，VSEs应主动通报认证机构，以便认证机构评估是否需要进行计划外的监督审核。5主要制定与修订单位介绍5.1ISO/IECJTC1/SC7/WG24工作组本次修订工作由ISO/IECJTC1/SC7（软件与系统工程标准化技术委员会）下属的WG24工作组主导。WG24工作组专门负责ISO/IEC29110系列标准的制定、维护和推广工作，其成员包括来自全球30余个国家的标准化专家，涵盖软件工程、质量管理、认证认可和中小微企业发展等领域的专业人员。WG24工作组的成立源于对VSEs标准化需求的深刻认识。在ISO/IEC29110系列标准制定之初，工作组即确立了“为超小型实体提供可用、可负担且可扩展的标准化解决方案”的核心理念，主张通过简化标准结构、降低实施门槛和优化认证方案，使标准化真正惠及最需要支持的VSEs群体。在本次修订工作中，WG24工作组组织了多轮国际研讨和意见征询活动，充分听取了来自发展中国家和发达国家的不同声音，协调平衡了认证机构、获证组织、行业用户和监管机构等多方利益诉求，最终形成了各方认可的修订方案。5.2主要参与单位——马来西亚标准化机构（DepartmentofStandardsMalaysia）在本次修订工作以及ISO/IEC29110系列标准的整体推进中，马来西亚标准化机构（DepartmentofStandardsMalaysia）发挥了重要的引领作用。作为ISO/IECJTC1/SC7的积极参与方和WG24工作组的核心成员，马来西亚在VSEs标准化领域积累了丰富的实践经验。马来西亚标准化机构成立于1996年，是马来西亚政府依法设立的国家标准机构，隶属马来西亚投资、贸易及工业部，是国际标准化组织（ISO）和国际电工委员会（IEC）的正式成员。该机构负责马来西亚国家标准的制定、发布和推广，并代表马来西亚参与国际标准化活动。在ISO/IEC29110系列标准的制定和推广过程中，马来西亚标准化机构作出了突出贡献。马来西亚是较早将ISO/IEC29110系列标准采纳为国家标准的亚洲国家之一（其国家标准代号为MSISO/IEC29110），并建立了配套的认证推广体系。马来西亚标准化机构与马来西亚数字经济公司（MDEC）、马来西亚中小型企业协会（SMECorp.Malaysia）等机构密切合作，通过政策引导、财政补贴和技术支持等方式，鼓励本国的软件VSEs积极参与ISO/IEC29110认证。截至2024年底，马来西亚已有超过百家VSEs获得了基于ISO/IEC29110的认证或评估，在东南亚国家中处于领先地位。在本次AMD1修订过程中，马来西亚标准化机构积极