选择软件第三方测评机构不能再只盯着CMA章，需要以CNAS认可附表为主，结合技术实力、过程管控和合同条款进行综合选择。

第一标准

过去CMA（检验检测机构资质认定）常被认为国内软件测评的标准。根据2026年6月1日起实施的新政，通用软件的功能、性能、安全等常规测评已调出CMA强制认证清单。机构为通用软件测试出具CMA报告，反而属于超范围违规盖章，在验收或招投标中会被认定为无效。因此选择需要转向CNAS（实验室认可）。

CNAS按照ISO/IEC 17025国际标准，不受一单一库清单限制，在政企验收、科研结题和招投标中已成为更主流、更稳妥的选择。CNAS报告在ILAC国际互认体系内也具有互认效力。

除CNAS外的CCRC（信息安全服务资质） 是必要的补充。如果项目涉及渗透测试、代码审计、风险考虑等安全服务，应优先考虑同时有CCRC资质的机构。

怎样检查资质

机构有CNAS证书不代表就能测你的项目。

上官网查状态：登录中国合格评定国家认可委员会官网（cnas.org.cn），在检测和校准实验室查询中，输入机构名称或CNAS编号（如CNAS Lxxxx），确定认可状态为有效且在有效期内。

下载并逐字核对附表：在查询结果页面下载该机构的《认可范围附件》（PDF）。需要逐项核对附件中是不是确定列有软件测试、软件产品或项目所需的具体标准（如GB/T 25000.51-2016）。

确定测试项包括：项目可能需要功能、性能、安全等多项测试。必须确定每一个需要盖章的测试项目都列在认可范围内。如果机构只认可了功能测试，性能部分就不能加盖CNAS章。

注意：要保证证书主体、合同签约主体和报告签发主体是同一法人，以防遇到中介转包的情况。

技术实力和行业经验

团队能力：了解测试人员是不是持有ISTQB（国际软件测试工程师认证）、CSP等专业认证。如果涉及安全测试，应确定机构拥有人工渗透测试团队，而不是仅依赖自动化工具扫描。

工具和标准：正规机构会使用Selenium、JMeter、LoadRunner等行业主流工具，并严格按照GB/T 25000.51等国家标准流程，保证测试过程可追溯。

同行业案例：优先选择有同类系统测试经验的机构。可以要求提供脱敏后的同类项目测试报告样本或合同查看，证明对业务场景和验收难点的经验。

过程管控和合同

测试方案独立：警惕机构直接使用开发方提供的用例。要求机构根据《需求规格说明书》独立制定测试方案和用例，并由建设方、开发方、测评机构三方共同评审确定。

过程可追溯：合同中应要求机构使用独立的缺陷管理工具（如Jira、禅道），并开通只读权限，以便实时查看缺陷状态。所有缺陷的提交-修复-回归流程都应有记录，并出现在报告中。

交付物确定：在合同中确定交付物是带CNAS/CMA标识的盖章正本报告，并约定报告需包含测试环境、用例执行统计、缺陷分析、具体性能数据等内容，避免只有结果的模板报告。

报价和周期：要求一口价报价，并在报价单中列明人员、工具、环境等所有费用。在合同中约定入场、初测、回归、交付时间节点及延期违约金，以防后期增项或拖延。

常见问题

资质造假或超范围：使用过期证书或PS的证书，或用硬件检测资质套打软件报告。必须亲自在认e云（cx.cnca.cn）或CNAS官网检查，并核对附表范围。

极端低价和虚假报告：报价远低于市场价，承诺24小时出报告的极可能是编造数据。拒绝明显低于成本的报价，要求提供测试日志、脚本等原始记录以备检查。

一站式外包：宣传能提供全链条服务，但实际将风险考虑等步骤外包。确定询问哪些步骤由机构自身团队完成，并要求在合同中承诺不得转包测试工作。

保密缺失：测评需要提供源代码等资产，如果机构管理不善易导致泄密。签约时必须签署详细的保密协议（NDA），优先选择通过ISO 27001信息安全管理体系认证的机构，并约定项目结束后数据的彻底销毁机制。

挑选方式可以概括为：

确定需求：清晰界定测试类型（功能/性能/安全）、行业属性及期望的交付物。

建立初选池：通过资质检查和同行业案例，挑选出3-5家候选机构。

深度沟通：要求候选机构提供针对项目的测试方案和详细报价，对比专业性和一致度。

小范围试点：如果条件允许，可选取部分模块进行试测，以实际检验其能力。