出功能测试报告的机构需要什么资质？只有CNAS行不行？

功能测试报告不是谁都能出的。你去打印店让人家"写份报告盖个章"，那不叫检测报告。一份在验收、投标、申报中被认可的功能测试报告，出报告的机构必须具备相应的检验检测资质，报告上要加盖对应的资质标识。

目前行业里和功能测试相关的资质主要有三类：

1.CNAS实验室认可。

由中国合格评定国家认可委员会颁发，证明机构的检测能力达到了ISO/IEC 17025国际标准。CNAS认可范围里必须包含"软件测试"或"软件产品测试"相关的项目，才能合法出具功能测试报告。这是目前软件测试领域最核心、最主流的资质。

2.CMA检验检测机构资质认定。

由市场监管部门颁发，报告加盖CMA标志后具有法律效力。但在"一单一库"新政下，通用软件测试已经不在CMA认定的11大类法定领域内，新出具的软件测试报告原则上不应使用CMA标志。这个变化是结构性的，不是暂时的。

3.CCRC信息安全服务资质。

如果你的功能测试报告中还涉及安全功能验证或安全测试内容，机构具备CCRC信息安全风险评估服务资质会更有说服力。不过这不是功能测试的硬性要求，属于"有则更好"的加分项。

答案不是简单的"行"或"不行"，而是取决于你的报告用在什么场景。逐个场景来看。

CNAS就够了。 这是最常见的场景。"一单一库"实施后，官方已经明确：招标、采购或委托方不应要求软件测试报告使用CMA标志。也就是说，甲方或验收方如果还坚持要CMA章，这个要求本身就不合规了。你拿着政策文件去沟通，大部分甲方了解情况后会调整要求。

实务中，越来越多的验收细则已经更新为"提供具备CNAS资质的第三方检测报告"或"CMA/CNAS资质的检测报告均可"。CNAS认可范围覆盖GB/T 25000系列标准的功能测试报告，在项目验收中完全够用。

看招标文件怎么写。 有的招标文件写"提供CNAS认可的检测报告得X分"，那CNAS就是标准答案。有的写"CMA或CNAS均可"，两者都行。还有的写"CMA/CNAS双章"，那就要看机构能不能在过渡期出具双章报告。如果招标文件还写着"必须CMA"，可以向招标方提出政策咨询，按"一单一库"规定，这个要求对软件测试项目来说已经不合理了。

产品登记测试以前主要看CMA，但"一单一库"之后CMA在通用软件领域的报告标注受限，CNAS报告成为主要替代。高企认定、首版次申报等场景也在逐步更新要求，CNAS报告的接受度持续提升。建议申报前和受理部门确认最新口径，通常CNAS可以满足。

国家级重点课题、涉外合作项目的评审组对CNAS报告认可度一直很高。省部级课题的验收要求也在同步更新。总体来说，CNAS报告在课题结题中完全可用。

CNAS报告依据ISO/IEC 17025体系出具，在司法实践中具有证据效力。"一单一库"之下，软件测试已很难合规盖CMA章，CNAS报告在司法场景的地位反而更加稳固。

既然CNAS是核心资质，那选机构时就不能只看"有没有CNAS"这四个字。有几个细节必须核实。

第一，认可范围必须覆盖软件测试。

机构有CNAS资质不代表什么都能测。必须查看认可证书附表，确认"软件功能测试""软件产品测试"或GB/T 25000系列标准在认可范围内。认可范围不覆盖，报告同样不合规。在CNAS官网可以查验机构的认可状态和能力范围。

第二，认可状态必须有效。

有的机构证书过期了、暂停了、撤销了，不查就委托，报告到手才发现用不了。CNAS官网可实时查询机构的认可状态，一分钟的事。

第三，报告内容要规范。

资质是"门槛"，内容是"里子"。功能测试报告要覆盖测试依据（GB/T 25000.51）、测试范围、测试环境、用例执行统计、缺陷分析、测试结论等核心要素，数据可追溯、结论有依据。资质章盖了但内容空洞的报告，专家照样不认。

测试依据与结论

第四，测试能力要匹配。

不同机构的CNAS认可范围不同，有的只覆盖功能测试，有的还能做性能、安全、兼容性。如果你的需求是综合性测试，找认可范围覆盖多维度的机构，一次搞定不用找第二家。

出功能测试报告，CNAS认可（范围覆盖软件测试）是核心资质，在"一单一库"新政下也是最合规、最主流的选择。只有CNAS行不行？在绝大多数场景下行，而且是当前的最优解。

政策在变，但企业的核心需求不变，拿到一份合规、专业、被认可的功能测试报告，用于验收、投标、申报。搞清楚资质要求、选对机构、做对报告，这件事就没那么复杂。

标签：CMA和CNAS、第三方功能测试机构