ISO20000信息安全認(rèn)證咨詢(xún)

ISO20000標(biāo)準(zhǔn)著重于通過(guò)“IT服務(wù)標(biāo)準(zhǔn)化”來(lái)管理IT問(wèn)題，即將IT問(wèn)題歸類(lèi)，識(shí)別問(wèn)題的內(nèi)在聯(lián)系，然后依據(jù)服務(wù)水準(zhǔn)協(xié)議進(jìn)行計(jì)劃、推行和監(jiān)控，并強(qiáng)調(diào)與客戶(hù)的溝通。該標(biāo)準(zhǔn)同時(shí)關(guān)注體系的能力，體系變更時(shí)所要求的管理水平、財(cái)務(wù)預(yù)算、軟件控制和分配。

IT組織從產(chǎn)生到發(fā)展的很長(zhǎng)一段時(shí)期，一直是以搞好技術(shù)，做好技術(shù)支持配角為特征的。但今天的信息系統(tǒng)已不單純是企業(yè)的技術(shù)支撐，信息化由“技術(shù)驅(qū)動(dòng)”向“業(yè)務(wù)驅(qū)動(dòng)”轉(zhuǎn)變，IT部門(mén)的角色也逐步開(kāi)始從單純的信息技術(shù)提供者向信息服務(wù)供應(yīng)者轉(zhuǎn)換，職能的轉(zhuǎn)變，客觀上也要求信息管理向IT服務(wù)管理模式轉(zhuǎn)變。

隨著IT技術(shù)的發(fā)展，越來(lái)越多的組織基于IT技術(shù)構(gòu)筑自己的價(jià)值鏈，需要IT來(lái)支持和支撐組織的運(yùn)行，IT構(gòu)架已經(jīng)成為影響組織生存的關(guān)鍵要素，特別是對(duì)于銀行、證券、保險(xiǎn)、電信等高度依賴(lài)信息技術(shù)的組織。而且隨著逐年IT的投入，建設(shè)了大量的軟硬件系統(tǒng)，對(duì)客戶(hù)要求的提高，對(duì)故障發(fā)生的恐懼，對(duì)投入成本逐年增加的不安，都促使現(xiàn)在的組織要采取措施規(guī)范IT服務(wù)的管理。

在產(chǎn)品生產(chǎn)過(guò)程中，需要遵循一定的質(zhì)量控制標(biāo)準(zhǔn)（如ISO9000系列標(biāo)準(zhǔn)），可以確保產(chǎn)品的質(zhì)量保持較高的水準(zhǔn)（如較高的產(chǎn)品合格率），同時(shí)也可以降低產(chǎn)品制造成本。而對(duì)于服務(wù)提供（運(yùn)營(yíng)）過(guò)程來(lái)說(shuō)，遵循相關(guān)的服務(wù)管理標(biāo)準(zhǔn)（如ISO20000）可以實(shí)現(xiàn)服務(wù)運(yùn)營(yíng)的輸入（Inputs）和生產(chǎn)流程（Process）的標(biāo)準(zhǔn)化。只有將過(guò)程標(biāo)準(zhǔn)化了，才能保證最終的服務(wù)質(zhì)量和成本符合預(yù)定的標(biāo)準(zhǔn)，才能實(shí)現(xiàn)過(guò)程控制，從而達(dá)到質(zhì)量控制的目標(biāo)。

在傳統(tǒng)的IT管理模式下，IT部門(mén)是作為技術(shù)支持的角色被動(dòng)地存在的，而在新的IT服務(wù)管理模式下，IT部門(mén)是作為一個(gè)主動(dòng)的服務(wù)提供者向其客戶(hù)和用戶(hù)（企業(yè)的業(yè)務(wù)部門(mén)）提供賴(lài)以支撐組織業(yè)務(wù)運(yùn)作的IT服務(wù)，IT部門(mén)和IT外包商往往需要向客戶(hù)提供服務(wù)目錄（SC）并和客戶(hù)簽訂正式的服務(wù)級(jí)別協(xié)議（SLA）。

目前，全球的IT服務(wù)業(yè)正逐漸走向?qū)�業(yè)化和外包化。隨著企業(yè)和政府組織的業(yè)務(wù)運(yùn)作越來(lái)越依賴(lài)于IT，越來(lái)越多的組織考慮將其IT服務(wù)運(yùn)營(yíng)外包給專(zhuān)業(yè)的IT服務(wù)提供商或?qū)��?nèi)部的IT支持部門(mén)提出更明確的服務(wù)要求，以確保提高服務(wù)質(zhì)量，降低服務(wù)成本，降低因IT服務(wù)中斷所導(dǎo)致的業(yè)務(wù)風(fēng)險(xiǎn)。

如何控制這個(gè)IT服務(wù)的整體風(fēng)險(xiǎn)（無(wú)論是內(nèi)部還是外部），提高IT的整體服務(wù)水平是一個(gè)需要高度重視的問(wèn)題，而ISO/IEC20000就是解決該問(wèn)題的一個(gè)很好的指南。

標(biāo)準(zhǔn)特點(diǎn)

ISO/IEC 20000-2:2005為審核人員提供行業(yè)一致認(rèn)同的指南，并且為服務(wù)提供者規(guī)劃服務(wù)改善或通過(guò)ISO/IEC 20000-1:2005審核提供指導(dǎo)。ISO/IEC 20000-2:2005基于已被替代的BS 15000-2的。

實(shí)踐準(zhǔn)則描述了在BS 15000-1中服務(wù)管理流程的最佳實(shí)踐。為以最小成本滿(mǎn)足業(yè)務(wù)需求，客戶(hù)對(duì)使用先進(jìn)設(shè)施會(huì)不斷提出要求，服務(wù)提供就越發(fā)顯得重要了。人們已經(jīng)意識(shí)到服務(wù)和服務(wù)管理對(duì)于幫助組織開(kāi)源節(jié)流的重要性。

ISO/IEC 20000系列能使組織了解如何從內(nèi)部和外部改進(jìn)其服務(wù)質(zhì)量。

由于組織對(duì)服務(wù)支持的日益依賴(lài)，以及技術(shù)多樣性的現(xiàn)狀，服務(wù)提供方有可能通過(guò)努力保持客戶(hù)服務(wù)的高水準(zhǔn)。服務(wù)供應(yīng)方往往被動(dòng)工作，很少花時(shí)間規(guī)劃、培訓(xùn)、檢查、調(diào)查并與客戶(hù)一同工作，其結(jié)果必然導(dǎo)致失敗。其失敗就源于沒(méi)有采用系統(tǒng)、主動(dòng)的工作方式。

服務(wù)供應(yīng)商也常常被要求提高服務(wù)質(zhì)量，降低成本、采用更大靈活性和更快反應(yīng)速度。有效的服務(wù)管理能提供高水準(zhǔn)的客戶(hù)服務(wù)和較高的客戶(hù)滿(mǎn)意度。

ISO/IEC 20000-2描述了IT服務(wù)管理流程質(zhì)量標(biāo)準(zhǔn)。這些服務(wù)管理流程為組織在一定環(huán)境中開(kāi)展業(yè)務(wù)提供了最佳實(shí)踐指南，包括提供專(zhuān)業(yè)服務(wù)、降低成本、調(diào)查和控制風(fēng)險(xiǎn)。

ISO/IEC 20000-2推薦服務(wù)管理者采用一致的術(shù)語(yǔ)和統(tǒng)一的方法進(jìn)行服務(wù)管理，這可以為改進(jìn)服務(wù)交付基礎(chǔ)，并有助于服務(wù)提供者建立一個(gè)服務(wù)管理框架。

ISO/IEC 20000-2為審核人員提供指南，并可為組織規(guī)劃服務(wù)的改進(jìn)提供幫助，以便組織通過(guò)ISO/IEC 20000-1認(rèn)證。

ISO20000 與 ISO9000比較

·ISO20000 與 ISO9000 的實(shí)用范疇不同：ISO20000 只針對(duì) IT 服務(wù)管理，在 IT 服務(wù)提供商和政府及企業(yè)的IT部門(mén)應(yīng)用較多；而 ISO9000 適用各行業(yè)的質(zhì)量標(biāo)準(zhǔn)，在制造企業(yè)應(yīng)用得最多。

·ISO20000 與 ISO9000 的側(cè)重點(diǎn)不同：ISO20000 與 IT 服務(wù)流程相關(guān)，其流程的名稱(chēng)和控制采用的IT 人員容易接受的術(shù)語(yǔ)，對(duì) IT 系統(tǒng)變更的風(fēng)險(xiǎn)進(jìn)行管理；而 ISO9000 與質(zhì)量框架相聯(lián)系。

·ISO20000關(guān)注的內(nèi)容和ISO9000相比，除IT服務(wù)質(zhì)量外，如還關(guān)注財(cái)務(wù)、信息安全。

·ISO20000也可以說(shuō)是ISO9000在IT服務(wù)行業(yè)的具體應(yīng)用和拓展。

ISO20000和ITIL的關(guān)系

·ISO20000 作為 IT 服務(wù)管理的國(guó)際標(biāo)準(zhǔn)，是從 IT 服務(wù)管理最佳實(shí)踐 ITIL 中發(fā)展而來(lái)。

·ISO20000 是13個(gè)管理流程，而 ITIL 是10個(gè)管理流程（不含服務(wù)臺(tái)）。

·ISO20000 新增了業(yè)務(wù)關(guān)系管理與供應(yīng)商管理，對(duì)應(yīng)于 ITIL 中的服務(wù)等級(jí)管理。

·ISO20000 新增的服務(wù)報(bào)告，涵蓋在 ITIL 的每個(gè)管理流程之中。

·ITIL 提供最佳實(shí)踐指南

·ISO/IEC20000 提供基于 ITSM 的度量

認(rèn)證條件

1、中國(guó)企業(yè)持有工商行政管理部門(mén)頒發(fā)的《企業(yè)法人營(yíng)業(yè)執(zhí)照》、《生產(chǎn)許可證》或等效文件；外國(guó)企業(yè)持有關(guān)機(jī)構(gòu)的登記注冊(cè)證明。

2、申請(qǐng)方的IT服務(wù)管理體系已按ISO/IEC 20000-1:2005標(biāo)準(zhǔn)的要求建立，并實(shí)施運(yùn)行3個(gè)月以上。

3、至少完成一次內(nèi)部審核，并進(jìn)行了管理評(píng)審。

4、信息技術(shù)服務(wù)管理體系運(yùn)行期間及建立體系前的一年內(nèi)未受到主管部門(mén)行政處罰。

認(rèn)證步驟

1.1 開(kāi)展培訓(xùn)，職能分工

1.1.1 培訓(xùn)：

1.1.1.1 全員ISO20000基礎(chǔ)知識(shí)培訓(xùn)。

培訓(xùn)目的 ：

了解ISO20000標(biāo)準(zhǔn)的內(nèi)容；了解ISO20000標(biāo)準(zhǔn)的基本要求；了解ISO20000標(biāo)準(zhǔn)的實(shí)施辦法；了解企業(yè)推行ISO20000意義和計(jì)劃。

學(xué)習(xí)內(nèi)容：

什么是ISO20000標(biāo)準(zhǔn)？對(duì)標(biāo)準(zhǔn)的理解；該公司推行ISO20000意義；該公司推行ISO20000的計(jì)劃和要求。

1.1.1.2 骨干培訓(xùn)

培訓(xùn)目的

了解ISO20000標(biāo)準(zhǔn)的基本內(nèi)容；領(lǐng)導(dǎo)在體系中的作用；了解為什么要推行ISO20000；要了解如何推行ISO20000。

學(xué)習(xí)內(nèi)容

ISO20000標(biāo)準(zhǔn)的結(jié)構(gòu)、原理和內(nèi)容概述；重要的質(zhì)量概念；實(shí)施標(biāo)準(zhǔn)的指導(dǎo)思想；領(lǐng)導(dǎo)在體系中的作用； IT服務(wù)管理體系認(rèn)證、維護(hù)和改進(jìn)的過(guò)程。

參加人員

公司總經(jīng)理、副總經(jīng)理、各有關(guān)部門(mén)經(jīng)理和主管。

1.1.1.3 文件編寫(xiě)技能培訓(xùn)

培訓(xùn)目的

掌握文件編寫(xiě)方法；結(jié)合該公司實(shí)際如何編制有關(guān)文件。

學(xué)習(xí)內(nèi)容

IT服務(wù)管理體系文件總論； IT服務(wù)管理體系編寫(xiě)；程序文件編寫(xiě)；工作文件編寫(xiě)；管理計(jì)劃制定；管理記錄。

參加人員

企業(yè)各有關(guān)部門(mén)領(lǐng)導(dǎo)、ISO20000工作小組內(nèi)的成員，專(zhuān)職管理人員。

1.1.2 建立組織：

1.1.2.1 領(lǐng)導(dǎo)小組 ISO20000委員會(huì)

推行ISO20000，領(lǐng)導(dǎo)是關(guān)鍵，企業(yè)領(lǐng)導(dǎo)應(yīng)作正確決策，并積極地帶頭參加這項(xiàng)工作；給出人力和物力支援；成立領(lǐng)導(dǎo)小組，主要領(lǐng)導(dǎo)都應(yīng)當(dāng)參與；任命管理代表，負(fù)責(zé)標(biāo)準(zhǔn)中規(guī)定的職責(zé)； 及時(shí)處理有關(guān)重大問(wèn)題；組織管理評(píng)審。

1.1.2.2 工作機(jī)

為了推行ISO20000，公司應(yīng)成立專(zhuān)門(mén)工作機(jī)構(gòu)，負(fù)責(zé)全公司推行ISO20000組織協(xié)調(diào)工作，作為一個(gè)辦事核心。應(yīng)保證：

所有各有關(guān)部門(mén)都能參與工作小組；

有專(zhuān)職人員；

有骨干力量。骨干人員應(yīng)對(duì)ISO20000有較全面系統(tǒng)的學(xué)習(xí)，最好有一定相關(guān)工作經(jīng)歷。

1.1.2.3 管理者代表

公司應(yīng)按標(biāo)準(zhǔn)要求任命管理者代表。

應(yīng)由最高管理者指定；管理者代表應(yīng)是公司管理層成員；

管理者代表應(yīng)具有如下職責(zé)：

確保按照標(biāo)準(zhǔn)規(guī)定建立、實(shí)施和維持IT服務(wù)管理體系要求；向管理者報(bào)告體系的執(zhí)行情況，以便評(píng)審和改進(jìn)管理體系；管理者代表的職責(zé)還可以包括就IT服務(wù)管理體系方面與外部機(jī)構(gòu)的聯(lián)絡(luò)。

1.1.3 系統(tǒng)調(diào)查、診斷

1.1.3.1 通過(guò)診斷，達(dá)到以下目的：

現(xiàn)有體系與標(biāo)準(zhǔn)的符合性：找出與標(biāo)準(zhǔn)之間差距；找出形成這些差距原因。

1.1.3.2 選擇合適的IT服務(wù)管理體系標(biāo)準(zhǔn)及其補(bǔ)充要求：

根據(jù)公司運(yùn)作需要、合同要求、產(chǎn)品特點(diǎn)從ISO9000或其他標(biāo)準(zhǔn)中選擇適合于企業(yè)的管理體系標(biāo)準(zhǔn)；

在此的基礎(chǔ)上對(duì)選定標(biāo)準(zhǔn)進(jìn)行必要的增刪，提出對(duì)IT服務(wù)管理體系補(bǔ)充要求。

1.1.3.3 識(shí)別確定對(duì)服務(wù)管理體系進(jìn)行修改的內(nèi)容：

體系標(biāo)準(zhǔn)和要素選擇；機(jī)構(gòu)調(diào)整內(nèi)容；體系文件清單；需新編制的文件（清單）

1.1.3.4 診斷的依據(jù)

診斷工作一般應(yīng)按某一合適的IT服務(wù)管理體系標(biāo)準(zhǔn)、主要合同和本單位一些基本法規(guī)。根據(jù)各單位具體情況，診斷的依據(jù)可以歸納成如下幾個(gè)方面：

管理體系標(biāo)準(zhǔn)：例如ISO20000標(biāo)準(zhǔn)；

診斷所選擇的標(biāo)準(zhǔn)與申請(qǐng)認(rèn)證的標(biāo)準(zhǔn)應(yīng)是同一類(lèi)型的。

合同：

IT服務(wù)管理體系應(yīng)能基本滿(mǎn)足各客戶(hù)的要求，因此，合同應(yīng)是論斷的一個(gè)重要依據(jù)。

本單位的基本規(guī)定、規(guī)程：

如有關(guān)標(biāo)準(zhǔn)化方面的、有關(guān)監(jiān)控方面的、有安全方面的等等，這些規(guī)定、規(guī)程是否合理及合理的內(nèi)容是否被有效運(yùn)行，診斷時(shí)要檢查的內(nèi)容。

社會(huì)或行業(yè)有關(guān)法規(guī)

IT服務(wù)管理體系不僅要滿(mǎn)足管理體系標(biāo)準(zhǔn)、合同和公司有關(guān)規(guī)定，還應(yīng)該符合國(guó)家、地區(qū)、行業(yè)有關(guān)法律、法規(guī)、規(guī)章制度的要求，診斷時(shí)應(yīng)作為考慮。

⑴.有關(guān)安全法規(guī)；

⑵.有關(guān)服務(wù)法規(guī)；

⑶.有關(guān)環(huán)保法規(guī)；

⑷.有關(guān)勞動(dòng)法規(guī)

1.1.3.5 實(shí)施診斷的人員

實(shí)施診斷員可以是公司內(nèi)部的人員，也可以公司委托的外部機(jī)構(gòu)，如諮詢(xún)機(jī)構(gòu)的人員，因此實(shí)施診斷的人員可以有如下幾方面：

諮詢(xún)?nèi)藛T：

如果公司聘請(qǐng)了諮詢(xún)?nèi)藛T，診斷工作可以其為主進(jìn)行。為此諮詢(xún)機(jī)構(gòu)可以委派專(zhuān)門(mén)診斷、檢查工作組，制訂計(jì)劃，在企業(yè)確認(rèn)的基礎(chǔ)上按計(jì)劃進(jìn)行診斷。

內(nèi)部審核員：

如果公司有經(jīng)培訓(xùn)合格并勝任該項(xiàng)工作的人員，可以授權(quán)其進(jìn)行診斷工作。

第三方審核機(jī)構(gòu)的人員：

如果公司有需要，可以聘請(qǐng)外部審核機(jī)構(gòu)的審核員為公司進(jìn)行診斷

1.1.3.6 診斷工作的實(shí)施過(guò)程

確定診斷小組。

確定診斷依據(jù)和診斷物件。

制訂診斷計(jì)劃，編制診斷工作文件。

現(xiàn)場(chǎng)診斷檢查

⑴.與現(xiàn)場(chǎng)人員交談，了解情況；

⑵.檢查現(xiàn)場(chǎng)文件和記錄；

⑶.如實(shí)記錄體系運(yùn)行現(xiàn)狀。

提交診斷報(bào)告

⑴.不合格報(bào)告；

⑵.診斷結(jié)論；

⑶.體系文件清單；

⑷.需新編制和修訂的文件（清單）。

1.1.4 職能分工、體系設(shè)計(jì)

1.1.4.1 制訂IT服務(wù)管理方針；

1.1.4.2 任命管理者代表主要責(zé)任：

協(xié)助管理者確保按標(biāo)準(zhǔn)的要求建立IT服務(wù)管理體系。

負(fù)責(zé)體系的實(shí)施和維護(hù)。負(fù)責(zé)組織內(nèi)部管理體系審核，向最高管理者報(bào)告體系執(zhí)行情況，以便評(píng)審和改進(jìn)。

就IT服務(wù)管理體系方面問(wèn)題與外部聯(lián)系。

1.1.4.3 選擇體系標(biāo)準(zhǔn)和要素

管理體系要素選擇

⑴.根據(jù)合同要求，可刪去所選擇標(biāo)準(zhǔn)中包含的某些服務(wù)管理體系要素或分要素，還可以涉及體系要素證實(shí)程度的調(diào)整；

⑵按合同要求，規(guī)定對(duì)管理體系的補(bǔ)充要求，例如統(tǒng)計(jì)程序控制要求、安全性要求等。

設(shè)計(jì)調(diào)整組織機(jī)構(gòu)

⑴各部門(mén)職責(zé)應(yīng)覆蓋標(biāo)準(zhǔn)要求.

⑵各部門(mén)有清楚的職責(zé)。

⑶各部門(mén)工作之間有合理的銜接。

⑷職能分工形成書(shū)面文件，并經(jīng)充分討論。

⑸應(yīng)把有關(guān)管理的策劃、控制、協(xié)調(diào)、檢查、改進(jìn)工作都反映出來(lái)。

確定新體系中文件結(jié)構(gòu)

⑴典型文件層次

編寫(xiě)文件、試點(diǎn)運(yùn)

1.1.5 編寫(xiě)文件

1.1.5.1 列出文件清單：

IT服務(wù)管理體系

⑴手冊(cè)的構(gòu)

⑵職能的分配

⑶組織結(jié)構(gòu)

⑷手冊(cè)中要素描

⑸有關(guān)支持性文件（針對(duì)某個(gè)具體事件的管理辦法、工作流程、或者詳細(xì)說(shuō)明）

程序文件

⑴需編制哪些程序文

⑵每個(gè)程序文件對(duì)應(yīng)標(biāo)準(zhǔn)哪個(gè)要

⑶各程序文件之間有無(wú)重復(fù)、有無(wú)遺

⑷各程序文件形成的記錄

⑸有關(guān)支援性文件

工作文件

⑴作業(yè)指導(dǎo)

⑵技術(shù)類(lèi)文

⑶管理文件

⑷報(bào)告和表格

1.1.5.2 明確哪些舊文件作廢、哪些保留

1.1.5.3 分配文件編寫(xiě)任務(wù)：

各部門(mén)參與

1.1.5.4 起草文件

1.1.5.5 文件討論：

內(nèi)部討論─適用性

外部檢查─完整性

1.1.5.6 文件批準(zhǔn)發(fā)效

審核、批準(zhǔn)

復(fù)印、裝訂

受控、登記

發(fā)效、簽收

1.1.6 試點(diǎn)運(yùn)行

1.1.6.1 向工作人員進(jìn)行體系文件的交代：

手冊(cè)：特點(diǎn)、使用、保管要求；

程序：特點(diǎn)、注意事項(xiàng)、形成記錄、各程序之間介面；

工作文件：需要掌握關(guān)鍵問(wèn)題如何記錄，報(bào)告不合格品。

1.1.6.2 培訓(xùn)、宣傳：

培訓(xùn)：崗位培訓(xùn)；

特殊崗位培訓(xùn)考核；

管理人員程序文件培訓(xùn)；

全員IT服務(wù)管理方針、目標(biāo)培訓(xùn)。

宣傳：管理方針；

試運(yùn)行計(jì)劃；

ISO20000認(rèn)證計(jì)劃；

體系文件內(nèi)容介紹。

1.1.6.3 其他配套工作：

監(jiān)控；

合格分承包方許定；

標(biāo)識(shí)的制作。

1.1.6.4 試運(yùn)行：

補(bǔ)充完善基礎(chǔ)工作：邊運(yùn)行，邊完善第三層次文件；

修改體系文件：邊運(yùn)行，邊修改不合適的文件；

作為記錄并保存好記錄以推供證據(jù)。

1.2 內(nèi)部審核、正式運(yùn)行

1.2.1 部審核、管理評(píng)審：

至少進(jìn)行一次內(nèi)部審核，按ISO20000要求制訂審核計(jì)劃、審核清單、審核報(bào)告、不合格項(xiàng)的跟蹤和監(jiān)督等有關(guān)活動(dòng)記錄和文件應(yīng)保存完好，以便以認(rèn)證檢查。

至少安排一次管理評(píng)審，以評(píng)價(jià)新體系的有效性和適用性，同時(shí)積累一次管理評(píng)審活動(dòng)記錄，評(píng)審按程序文件要求進(jìn)行。

1.2.2 正式運(yùn)行：

通過(guò)內(nèi)部審核、管理評(píng)審，對(duì)體系文件中不切合實(shí)際或規(guī)定不合適之處進(jìn)行及時(shí)的修改，在一系列修改後，發(fā)布第二版管理手冊(cè)、程序文件進(jìn)行正式運(yùn)行。

1.3 內(nèi)部審核，準(zhǔn)備認(rèn)證

1.3.1 為了減少認(rèn)證一次通過(guò)可能存在的某種風(fēng)險(xiǎn)，在由第三方正式審核之前，可以由內(nèi)部審核組成類(lèi)似的外部機(jī)構(gòu)進(jìn)行一次內(nèi)部審核或請(qǐng)已確認(rèn)的認(rèn)證機(jī)構(gòu)進(jìn)行預(yù)審。

1.3.2 企業(yè)應(yīng)本著對(duì)自己有利的觀點(diǎn)選擇認(rèn)證機(jī)構(gòu)，一般應(yīng)從以下幾個(gè)方面考慮：

客戶(hù)要求；

企業(yè)所在地區(qū)；在選擇認(rèn)證機(jī)構(gòu)時(shí)應(yīng)在原則上既近又便；

認(rèn)證機(jī)構(gòu)的認(rèn)證范圍和有效性；

費(fèi)用；正常認(rèn)證收費(fèi)和交通、食宿等其他費(fèi)用。

1.4 正式審核，體系維持

1.4.1 接受所選擇的認(rèn)證機(jī)構(gòu)的正式審核。

1.4.2 體系維持與提高

檢查現(xiàn)場(chǎng)中問(wèn)題，不斷地改進(jìn)和鞏固；

進(jìn)一步完善體系文件，加強(qiáng)協(xié)調(diào)監(jiān)督工作

認(rèn)證好處

企業(yè)建立IT服務(wù)管理體系的目標(biāo)是為了企業(yè)建立起一套行之有效的以客戶(hù)為中心的自我完善的體系。在實(shí)施認(rèn)證ISO20000管理體系后，在各個(gè)流程中，各個(gè)工作崗位上都建立了一個(gè)自我完善的循環(huán)，工作的策劃、執(zhí)行、檢查，以及持續(xù)的發(fā)現(xiàn)問(wèn)題改善問(wèn)題的體系建立起來(lái)，使每個(gè)員工都擁有問(wèn)題意識(shí)，自覺(jué)的發(fā)現(xiàn)自己工作當(dāng)中的問(wèn)題，并通過(guò)系統(tǒng)的解決問(wèn)題的方法，將問(wèn)題一個(gè)一個(gè)的解決。IT服務(wù)提供商通過(guò)實(shí)施IT服務(wù)管理體系，可以獲取如下收益：

·保持服務(wù)目標(biāo)與企業(yè)業(yè)務(wù)目標(biāo)一致，有效的支持業(yè)務(wù)戰(zhàn)略

·建立規(guī)范的服務(wù)流程，提高信息技術(shù)服務(wù)和運(yùn)營(yíng)效率

·有效及高效地整合和利用信息、基礎(chǔ)架構(gòu)、應(yīng)用及人員等IT資源

·建立持續(xù)改進(jìn)的服務(wù)管理機(jī)制，快速應(yīng)對(duì)市場(chǎng)需求，提供客戶(hù)滿(mǎn)意度

·向國(guó)際標(biāo)桿靠齊，增強(qiáng)市場(chǎng)競(jìng)爭(zhēng)力，提高組織聲譽(yù)，提升投資回報(bào)

·控制IT風(fēng)險(xiǎn)及相關(guān)的成本，提高與控制IT服務(wù)質(zhì)量、降低長(zhǎng)期的服務(wù)成本

·靈活應(yīng)對(duì)來(lái)自客戶(hù)、認(rèn)證機(jī)構(gòu)、內(nèi)部機(jī)構(gòu)等不同的合規(guī)審核要求，增加投資者信心

對(duì)于眾多IT服務(wù)提供商，ISO20000認(rèn)證的意義并不僅僅限于IT服務(wù)符合規(guī)程和提高服務(wù)質(zhì)量。它在服務(wù)量化，員工績(jī)效考核，衡量IT部門(mén)投資回報(bào)方面更具有積極的意義。

基礎(chǔ)要求

ISO20000是以流程化管理方式為基礎(chǔ)的，IT工作被分解成了不同的流程，每個(gè)小部門(mén)、每個(gè)人的工作都是若干流程中不同工作的組合，流程對(duì)工作量化的輸入輸出為員工的工作量化提供了可能。員工的量化考核這個(gè)IT部門(mén)的普遍難題得到了初步解決，尤其是服務(wù)臺(tái)的一線(xiàn)員工基本做到了完全的工作量化衡量。

流程的量化數(shù)據(jù)為員工的工作分配，工作成績(jī)的反映提供了基礎(chǔ)，同時(shí)對(duì)于工作人員的責(zé)任也有了相應(yīng)的考核體系。

同時(shí)，IT對(duì)服務(wù)也有了量化指標(biāo)，建立了量化的質(zhì)量控制體系，設(shè)定了完整準(zhǔn)確的考核指標(biāo)，提供完善的報(bào)表。對(duì)客戶(hù)滿(mǎn)意度等還選用第三方進(jìn)行調(diào)查，保證數(shù)據(jù)的可信性。

量化管理不僅是IT部門(mén)自身管理的需要，也是衡量IT部門(mén)價(jià)值與投資回報(bào)的基礎(chǔ)，流程化管理方式為量化管理的實(shí)現(xiàn)提供了可能。借用ISO20000，CIO也同時(shí)找到了一個(gè)衡量IT服務(wù)好壞的國(guó)際公認(rèn)的標(biāo)準(zhǔn)。用這么一個(gè)標(biāo)準(zhǔn)來(lái)證明公司的ITSM實(shí)施達(dá)到了怎樣一個(gè)階段，在一個(gè)標(biāo)準(zhǔn)的平臺(tái)上跟CEO、CIO溝通IT服務(wù)管理的標(biāo)準(zhǔn)化、規(guī)范化。

試用范圍

ISO/IEC 20000是一個(gè)針對(duì)管理流程系統(tǒng)的標(biāo)準(zhǔn)，ISO/IEC 20000的認(rèn)證適合IT服務(wù)的提供者，可以?xún)?nèi)部的IT部門(mén)，也可以是外部的服務(wù)提供商。獲取ISO/IEC 20000的認(rèn)證，意味著提供服務(wù)的IT組織，對(duì)ISO/IEC 20000中定義的這些管理流程，具有足夠好的管理控制力。這里所謂對(duì)流程的管理控制力包括：

·對(duì)流程輸入的了解和控制

·對(duì)流程輸出的了解、使用和詮釋

·制定和執(zhí)行對(duì)流程效能的衡量機(jī)制

·有客觀的證據(jù)表明，對(duì)流程的功能負(fù)責(zé)，使之符合ISO 20000標(biāo)準(zhǔn)要求

·制定流程的改進(jìn)提高計(jì)劃，衡量和回顧改進(jìn)結(jié)果

IT服務(wù)組織要獲得ISO/IEC 20000的認(rèn)證，必須證明它能夠?qū)��?biāo)準(zhǔn)中涉及的所有5組13個(gè)流程都具有以上的管理控制力。ISO/IEC 20000系列對(duì)流程的最佳實(shí)踐進(jìn)行了總結(jié)，可適用于不同規(guī)模、類(lèi)型和結(jié)構(gòu)的組織，服務(wù)管理流程最佳實(shí)踐要求并不會(huì)因?yàn)榻M織形式不同而被改變。

組成部分

ISO 20000-1是一個(gè)正式的規(guī)范，它界定了一個(gè)組織向客戶(hù)提供品質(zhì)合格、管理良好的服務(wù)的有關(guān)要求。

另一方面，ISO 20000-2是一個(gè)行為準(zhǔn)則，它描述了ISO 20000-1范圍內(nèi)的服務(wù)管理程序的最佳范例。這個(gè)行為準(zhǔn)則對(duì)于要準(zhǔn)備通過(guò)ISO 20000-1審核或計(jì)劃改進(jìn)服務(wù)的公司來(lái)說(shuō)尤其有用。

實(shí)施效益

· 得以獲得業(yè)界普遍認(rèn)同的國(guó)際證書(shū)ISO20000認(rèn)證；

· 就服務(wù)質(zhì)量和服務(wù)承諾與業(yè)務(wù)及供貨商達(dá)成一致，建立和業(yè)務(wù)及供貨商統(tǒng)一的溝通平臺(tái)；達(dá)到相關(guān)利益方均滿(mǎn)意的IT服務(wù)管理目標(biāo)；

· 提高IT服務(wù)的可用性、可靠性和安全性，為業(yè)務(wù)用戶(hù)提供高質(zhì)量的服務(wù)；

· 持續(xù)優(yōu)化服務(wù)流程，提升服務(wù)水平，提高業(yè)務(wù)滿(mǎn)意度；

· 提高項(xiàng)目的可提供性并確保如期交付；

· 從總體上提高組織/企業(yè)IT投資的報(bào)酬率，提升組織/企業(yè)的綜合競(jìng)爭(zhēng)力；

· 建立IT部門(mén)一整套行之有效的持續(xù)改善機(jī)制和內(nèi)控機(jī)制；

· 明晰IT管理成本和組織/企業(yè)業(yè)務(wù)戰(zhàn)略和IT戰(zhàn)略目標(biāo)的結(jié)合點(diǎn)，完善現(xiàn)有IT服務(wù)結(jié)構(gòu)和資源配置，使各項(xiàng)IT資源的運(yùn)用符合公司業(yè)務(wù)戰(zhàn)略和IT戰(zhàn)略目標(biāo)；

· 通過(guò)建立優(yōu)化、透明的管理流程和權(quán)責(zé)的定義，監(jiān)控管理流程、進(jìn)行績(jī)效評(píng)價(jià)；降低IT運(yùn)營(yíng)的管理成本和風(fēng)險(xiǎn)；

· 易于整合服務(wù)管理流程和其它管理系統(tǒng)，如：信息安全管理體系ISMS 、質(zhì)量管理體系ISO9000等；

· 將現(xiàn)有管理體系和業(yè)務(wù)流程整合，規(guī)范IT部門(mén)服務(wù)水平，規(guī)范工作流程，降低由人員變動(dòng)導(dǎo)致的風(fēng)險(xiǎn)；

· 提高IT部門(mén)相關(guān)員工的專(zhuān)業(yè)素質(zhì)，提高員工的服務(wù)能力和工作效率；

· 提升IT部門(mén)整體運(yùn)作及部門(mén)間溝通的能力。