标准简介
ISO/IEC 20000-1:2018 是信息技术服务管理体系（SMS）的国际标准，规定了组织建立、实施、维护和持续改进服务管理体系的要求。该标准源自英国 ITIL（IT 基础设施库）最佳实践框架，但作为认证标准，ISO 20000 提供了可审核和可认证的要求。2018 版采用了 ISO 高级结构（HLS），与 ISO 9001、ISO 27001 等管理体系标准保持一致，便于整合实施。
ISO/IEC 20000-1 覆盖了服务管理的各个方面，包括服务组合管理、关系管理、供应商管理、服务级别管理、服务可用性管理、容量管理、服务连续性管理、变更管理、发布管理、事件管理、服务请求管理和问题管理。组织必须制定服务管理计划、定义和管理服务级别协议（SLA）、建立持续改进机制，并通过内部审核和管理评审确保体系的有效运行。该标准适用于各种规模的 IT 服务提供商，无论是内部 IT 部门还是外部服务供应商。全球已有超过 7,000 张证书，在 IT 服务外包、云服务和数据中心运营领域采用率较高。
服务管理体系
规定了建立、实施、维护和持续改进服务管理体系（SMS）的要求，通过服务交付价值。
与 ITIL 保持一致
与 ITIL 最佳实践紧密对齐。提供可认证的框架，将 IT 服务管理流程贯穿整个服务生命周期予以正式化。
高级结构
遵循 ISO 高级结构（HLS），能够与 ISO 27001、ISO 9001 及其他管理体系标准无缝集成。
list_alt SMS 条款（4-10）
- 组织环境及相关方
- 领导承诺与服务管理方针
- 策划，包括风险与机遇
- 支持——资源、能力、意识、沟通
- 服务组合与服务级别管理
- 关系管理与供应商管理
- 事件、问题与变更管理
- 绩效评价与持续改进
谁需要合规？
IT 服务提供商（内部或外部）、托管服务提供商、云服务提供商，以及任何希望证明其能够持续设计、交付和改进符合服务要求的组织。
关键要求
服务管理体系
建立、实施和维护涵盖服务规划、设计、转换、交付与改进的 SMS。界定 SMS 范围与服务管理方针。
服务级别管理
定义、约定、监控并报告服务级别。维护服务级别协议（SLA），确保服务符合约定要求。
事件与问题管理
实施尽快恢复正常服务运行（事件管理）和识别根本原因以防止再次发生（问题管理）的流程。
变更与发布管理
通过正式的变更管理流程控制对 SMS 及服务的变更。规划、测试和部署发布，以将对服务质量的影响降至最低。
实施路线图
准备范围、领导责任和目标
围绕服务、客户、服务团队、供应商、服务资产和服务生命周期流程定义服务管理体系范围。确认领导责任、相关方、法律和合同义务、方针承诺以及可衡量目标，再进入详细控制建设。
差距分析和风险评估
依据 ISO/IEC 20000-1 要求和组织风险背景评估当前实践。审查服务规划、服务目录、服务级别、事件和请求管理、变更控制、供应商管理和持续改进，并按合规暴露、客户影响、运营风险和审核准备度排列差距优先级。
实施流程、控制和记录
部署或改进所需流程、运行控制、职责、培训、监测、成文信息和纠正措施流程。围绕服务目录、SLA、事件记录、变更记录、供应商评审、容量和可用性报告以及改进计划建立证据。
审核、评审并持续改进
在认证审核前执行内部审核、管理评审、绩效监测和纠正措施。发生事件、流程变化、客户反馈、法规变化或审核发现后保持体系更新。
合规检查清单
checklist 范围与治理
checklist 运行控制与证据
checklist 绩效与改进
处罚与执行
无直接的法律处罚——ISO 20000-1 属于自愿认证。然而，失去认证可能导致被排除在 IT 服务合同之外，尤其是在政府和金融行业采购中，ISO 20000-1 通常是先决条件。
常见问题解答
谁需要 ISO/IEC 20000-1？
expand_more
ISO/IEC 20000-1 适用于需要围绕服务、客户、服务团队、供应商、服务资产和服务生命周期流程建立受控服务管理体系的组织。客户、监管、采购或市场预期经常要求组织证明控制有效且绩效可重复。
ISO/IEC 20000-1 可以认证或审核吗？
expand_more
在存在认证或认可基础设施的情况下，组织通常可以围绕 ISO/IEC 20000-1 进行认证审核。即使短期目标不是认证，也可将该标准作为内部运行和保证框架。
实施需要多长时间？
expand_more
聚焦实施通常需要数月，取决于范围、成熟度、场所数量、流程复杂度和证据质量。已有成熟流程的组织更快，多场所或受监管环境通常需要更久。
最重要的第一步是什么？
expand_more
先明确范围、领导责任并进行诚实的差距评估。如果范围和流程所有权不稳定，团队往往会创建与实际工作不一致的文件。
审核员通常期望哪些证据？
expand_more
审核员需要运行证据，而不仅是政策文件。有用证据包括服务目录、SLA、事件记录、变更记录、供应商评审、容量和可用性报告以及改进计划，以及发现项被评审并持续改进的证明。
内部审核应多久进行一次？
expand_more
内部审核应按风险、流程重要性、历史发现和变化情况计划执行。许多组织每年覆盖完整体系，并在事件或重大变化后执行专项审核。
持续改进如何运行？
expand_more
持续改进利用绩效数据、审核发现、事件、客户反馈、管理评审决策和纠正措施来强化体系。改进应体现在目标、控制和可衡量结果中。
可以与其他标准整合吗？
expand_more
可以。ISO/IEC 20000-1 通常可通过共享治理、文件控制、内部审核、纠正措施、风险管理和管理评审流程，与其他管理体系标准整合。