3. 制造数据治理评审标准与依据

制造数据治理评审最容易出现的偏差，是把“标准”当成单一文件来引用：评审时随手翻一份国标，或者直接套用某咨询公司的成熟度问卷，结果评审结论既无法与合规要求对齐，也无法落到车间实际的数据流上。要解决这个问题，先要建立一个清晰的认识：制造数据治理评审的依据不是一份文件，而是一个由国家标准、行业规范、企业制度、成熟度模型四类依据构成的层级体系，它们各自回答不同的问题，评审时需要按“合规底线—行业约束—内部落地—能力进阶”的顺序进行映射与选用。

四类依据的分工与典型代表

国家标准解决的是“通用语言与合规底线”问题。在数据治理领域，最常被引用的是 GB/T 36073《数据管理能力成熟度评估模型》（DCMM），它给出了数据战略、数据治理、数据架构、数据应用、数据安全、数据质量、数据标准、数据生存周期八个能力域，是评审时判断“治理体系是否完整”的通用标尺。与之配套的还有 GB/T 34960 系列（信息技术服务治理）、GB/T 22239（网络安全等级保护）等，涉及数据安全与合规的评审项通常需要引用后者。国家标准的特点是覆盖面广、术语统一，但不会规定某家工厂的工单数据该由谁负责。

行业规范解决的是“制造场景的专门约束”问题。例如汽车行业的 IATF 16949 对产品与过程数据可追溯性有明确要求，要求关键特性数据在供应链上可追溯；航空航天的 AS9100 系列对构型数据、检验记录有更严格的留存与变更控制要求；医药制造的 GMP 则对批记录数据的完整性与审计追踪提出强制要求。行业规范往往直接决定评审中“哪些数据必须留、留多久、谁能改”这类硬性条款，是制造企业评审依据中最具行业专属性的一层。

企业制度解决的是“内部可执行”问题。国标和行标给出的是应然要求，真正落地要靠企业自己的《数据标准管理办法》《主数据管理规范》《数据质量考核细则》《数据安全分级分类指南》等制度文件。评审时，企业制度是判断“要求是否被承接”的直接依据：如果国标要求数据质量有度量，而企业制度里没有任何质量指标定义，那么评审结论就应指出这一断层。

成熟度模型解决的是“能力进阶路径”问题。DCMM 本身既是国标也是成熟度模型，分为初始级、受管理级、稳健级、量化管理级、优化级五个等级。制造企业评审时常用它来判断当前处于哪一级、下一级需要补什么。成熟度模型的价值不在于打分，而在于把评审发现的问题按能力域归类，形成可排序的改进路线。

映射：把四类依据对齐到同一评审项

评审的实操难点在于，同一个评审项往往同时被多类依据约束。以“关键工序质量数据可追溯”为例：国标 DCMM 在数据生存周期能力域要求“数据可追溯”，行业规范 IATF 16949 要求“关键特性数据在供应链上可追溯”，企业制度可能规定“质量数据保存 15 年”，成熟度模型则要求“追溯过程可量化、可审计”。评审时不能只挑一条引用，而应把四条依据映射到同一评审项下，形成“依据编号—条款要求—企业现状—证据—结论”的对应关系。这样得出的不符合项才有说服力，也才能被整改方接受。

映射时建议遵循三条选用原则。第一，就高不就低：当国标、行标、企业制度对同一事项要求不一致时，以要求更严者作为评审依据。例如企业制度规定质量数据保存 5 年，而行业规范要求 15 年，评审应按 15 年判定。第二，可执行优先：如果某条国标要求在企业当前完全没有承接制度，评审不应直接判“不符合”，而应判“待建”，并标注需要补充的制度或流程。第三，冲突显式化：当两类依据确实存在冲突（如某行业规范要求数据本地留存，而集团制度要求集中上云），评审报告中必须显式记录冲突点，交由数据治理委员会裁决，而不是由评审员自行取舍。

选用：按评审目的选择依据组合

不同评审目的，依据组合的侧重点不同。合规性评审以国家标准和行业规范为主，企业制度为辅，重点看“有没有违反强制条款”；体系有效性评审以企业制度和成熟度模型为主，国标为辅，重点看“制度是否被执行、能力是否在提升”；专项评审（如主数据质量专项）则以企业数据标准和成熟度模型中的数据质量能力域为主，行业规范中与质量相关的条款为辅。评审策划阶段就应明确本次评审的依据清单，避免评审过程中随意更换标尺。

一个可参考的依据选用示例

以下示例为某离散制造企业“设备运行数据治理”评审项的依据选用表，参数与结论均为教学示例，非实测结果。

从这张示例表可以看出，评审依据的选用不是“选一份文件”，而是把四层依据逐项对齐、逐项判定。评审员在写结论时，每一条不符合项都应能回溯到具体的依据编号或制度条款，每一条“待建”项都应说明缺失的是哪一层依据。这样，评审结论才既有合规刚性，又有制造场景的针对性，也能为后续成熟度提升提供清晰的输入。