ISO20000

ISO 20000是面向機構的IT服務管理標準，目的是提供建立、實施、運作、監控、評審、維護和改進IT服務管理體系(ITSM)的模型。建立IT服務管理體系(ITSM)已成為各種組織，特別是金融機構、電信、高科技產業等管理運營風險不可缺少的重要機制。ISO 20000讓IT管理者有一個參考框架用來管理IT服務，完善的IT管理水平也能通過認證的方式表現出來。

ISO20000標準着重於通過“IT服務標準化”來管理IT問題，即將IT問題歸類，識別問題的內在聯繫，然後依據服務水準協議進行計劃、推行和監控，並強調與客户的溝通。該標準同時關注體系的能力，體系變更時所要求的管理水平、財務預算、軟件控制和分配。

ISO20000的原理和方法如下

第一，集成的過程方法

過程：將輸入轉化為輸出的相互關聯或相互作用的一組活動。

集成的過程是系統的識別、定義和管理組織內所使用的各個過程，特別是過程間的接口和交互作用，形成可協調運行的過程集合。舉例：一個服務事件會觸發事件管理過程，從而可能進一步引發問題管理過程、變更管理過程等。

第二，質量管理的PDCA方法

IT組織從產生到發展的很長一段時期，一直是以搞好技術，做好技術支持配角為特徵的。但今天的信息系統已不單純是企業的技術支撐，信息化由“技術驅動”向“業務驅動”轉變，IT部門的角色也逐步開始從單純的信息技術提供者向信息服務供應者轉換，職能的轉變，客觀上也要求信息管理向IT服務管理模式轉變。

隨着IT技術的發展，越來越多的組織基於IT技術構築自己的價值鏈，需要IT來支持和支撐組織的運行，IT構架已經成為影響組織生存的關鍵要素，特別是對於銀行、證券、保險、電信等高度依賴信息技術的組織。而且隨着逐年IT的投入，建設了大量的軟硬件系統，對客户要求的提高，對故障發生的恐懼，對投入成本逐年增加的不安，都促使現在的組織要採取措施規範IT服務的管理。

在產品生產過程中，需要遵循一定的質量控制標準（如ISO9000系列標準），可以確保產品的質量保持較高的水準（如較高的產品合格率），同時也可以降低產品製造成本。而對於服務提供（運營）過程來説，遵循相關的服務管理標準（如ISO20000）可以實現服務運營的輸入（Inputs）和生產流程（Process）的標準化。只有將過程標準化了，才能保證最終的服務質量和成本符合預定的標準，才能實現過程控制，從而達到質量控制的目標。

在傳統的IT管理模式下，IT部門是作為技術支持的角色被動地存在的，而在新的IT服務管理模式下，IT部門是作為一個主動的服務提供者向其客户和用户（企業的業務部門）提供賴以支撐組織業務運作的IT服務，IT部門和IT外包商往往需要向客户提供服務目錄（SC）並和客户簽訂正式的服務級別協議（SLA）。

目前，全球的IT服務業正逐漸走向專業化和外包化。隨着企業和政府組織的業務運作越來越依賴於IT，越來越多的組織考慮將其IT服務運營外包給專業的IT服務提供商或對內部的IT支持部門提出更明確的服務要求，以確保提高服務質量，降低服務成本，降低因IT服務中斷所導致的業務風險。

如何控制這個IT服務的整體風險（無論是內部還是外部），提高IT的整體服務水平是一個需要高度重視的問題，而ISO/IEC20000就是解決該問題的一個很好的指南。

ISO/IEC 20000-2:2005為審核人員提供行業一致認同的指南，並且為服務提供者規劃服務改善或通過ISO/IEC 20000-1:2005審核提供指導。ISO/IEC 20000-2:2005基於已被替代的BS 15000-2的。

實踐準則描述了在BS 15000-1中服務管理流程的最佳實踐。為以最小成本滿足業務需求，客户對使用先進設施會不斷提出要求，服務提供就越發顯得重要了。人們已經意識到服務和服務管理對於幫助組織開源節流的重要性。

ISO/IEC 20000系列能使組織瞭解如何從內部和外部改進其服務質量。

由於組織對服務支持的日益依賴，以及技術多樣性的現狀，服務提供方有可能通過努力保持客户服務的高水準。服務供應方往往被動工作，很少花時間規劃、培訓、檢查、調查並與客户一同工作，其結果必然導致失敗。其失敗就源於沒有采用系統、主動的工作方式。

服務供應商也常常被要求提高服務質量，降低成本、採用更大靈活性和更快反應速度。有效的服務管理能提供高水準的客户服務和較高的客户滿意度。

ISO/IEC 20000-2描述了IT服務管理流程質量標準。這些服務管理流程為組織在一定環境中開展業務提供了最佳實踐指南，包括提供專業服務、降低成本、調查和控制風險。

ISO/IEC 20000-2推薦服務管理者採用一致的術語和統一的方法進行服務管理，這可以為改進服務交付基礎，並有助於服務提供者建立一個服務管理框架。

ISO/IEC 20000-2為審核人員提供指南，並可為組織規劃服務的改進提供幫助，以便組織通過ISO/IEC 20000-1認證。

ISO20000 與 ISO9000比較

·ISO20000 與 ISO9000 的實用範疇不同：ISO20000 只針對 IT 服務管理，在 IT 服務提供商和政府及企業的IT部門應用較多；而 ISO9000 適用各行業的質量標準，在製造企業應用得最多。

·ISO20000 與 ISO9000 的側重點不同：ISO20000 與 IT 服務流程相關，其流程的名稱和控制採用的IT 人員容易接受的術語，對 IT 系統變更的風險進行管理；而 ISO9000 與質量框架相聯繫。

·ISO20000關注的內容和ISO9000相比，除IT服務質量外，如還關注財務、信息安全。

·ISO20000也可以説是ISO9000在IT服務行業的具體應用和拓展。

ISO20000和ITIL的關係

·ISO20000 作為 IT 服務管理的國際標準，是從 IT 服務管理最佳實踐 ITIL 中發展而來。

·ISO20000 是13個管理流程，而 ITIL 是10個管理流程（不含服務枱）。

·ISO20000 新增了業務關係管理與供應商管理，對應於 ITIL 中的服務等級管理。

·ISO20000 新增的服務報告，涵蓋在 ITIL 的每個管理流程之中。

·ITIL 提供最佳實踐指南

·ISO/IEC20000 提供基於 ITSM 的度量

1、中國企業持有工商行政管理部門頒發的《企業法人營業執照》、《生產許可證》或等效文件；外國企業持有關機構的登記註冊證明。

2、申請方的IT服務管理體系已按ISO/IEC 20000-1:2005標準的要求建立，並實施運行3個月以上。

3、至少完成一次內部審核，並進行了管理評審。

4、信息技術服務管理體系運行期間及建立體系前的一年內未受到主管部門行政處罰。

1.1 開展培訓，職能分工

1.1.1 培訓：

1.1.1.1 全員ISO20000基礎知識培訓。

培訓目的 ：

瞭解ISO20000標準的內容；瞭解ISO20000標準的基本要求；瞭解ISO20000標準的實施辦法；瞭解企業推行ISO20000意義和計劃。

學習內容：

什麼是ISO20000標準,對標準的理解；該公司推行ISO20000意義；該公司推行ISO20000的計劃和要求。

1.1.1.2 骨幹培訓

培訓目的

瞭解ISO20000標準的基本內容；領導在體系中的作用；瞭解為什麼要推行ISO20000；要了解如何推行ISO20000。

學習內容

ISO20000標準的結構、原理和內容概述；重要的質量概念；實施標準的指導思想；領導在體系中的作用； IT服務管理體系認證、維護和改進的過程。

參加人員

公司總經理、副總經理、各有關部門經理和主管。

1.1.1.3 文件編寫技能培訓

培訓目的

掌握文件編寫方法；結合該公司實際如何編制有關文件。

學習內容

IT服務管理體系文件總論； IT服務管理體系編寫；程序文件編寫；工作文件編寫；管理計劃制定；管理記錄。

參加人員

企業各有關部門領導、ISO20000工作小組內的成員，專職管理人員。

1.1.2 建立組織：

1.1.2.1 領導小組 ISO20000委員會

推行ISO20000，領導是關鍵，企業領導應作正確決策，並積極地帶頭參加這項工作；給出人力和物力支援；成立領導小組，主要領導都應當參與；任命管理代表，負責標準中規定的職責； 及時處理有關重大問題；組織管理評審。

1.1.2.2 工作機

為了推行ISO20000，公司應成立專門工作機構，負責全公司推行ISO20000組織協調工作，作為一個辦事核心。應保證：

所有各有關部門都能參與工作小組；

有專職人員；

有骨幹力量。骨幹人員應對ISO20000有較全面系統的學習，最好有一定相關工作經歷。

1.1.2.3 管理者代表

公司應按標準要求任命管理者代表。

應由最高管理者指定；管理者代表應是公司管理層成員；

管理者代表應具有如下職責：

確保按照標準規定建立、實施和維持IT服務管理體系要求；向管理者報告體系的執行情況，以便評審和改進管理體系；管理者代表的職責還可以包括就IT服務管理體系方面與外部機構的聯絡。

1.1.3 系統調查、診斷

1.1.3.1 通過診斷，達到以下目的：

現有體系與標準的符合性：找出與標準之間差距；找出形成這些差距原因。

1.1.3.2 選擇合適的IT服務管理體系標準及其補充要求：

根據公司運作需要、合同要求、產品特點從ISO9000或其他標準中選擇適合於企業的管理體系標準；

在此的基礎上對選定標準進行必要的增刪，提出對IT服務管理體系補充要求。

1.1.3.3 識別確定對服務管理體系進行修改的內容：

體系標準和要素選擇；機構調整內容；體系文件清單；需新編制的文件（清單）

1.1.3.4 診斷的依據

診斷工作一般應按某一合適的IT服務管理體系標準、主要合同和本單位一些基本法規。根據各單位具體情況，診斷的依據可以歸納成如下幾個方面：

管理體系標準：例如ISO20000標準；

診斷所選擇的標準與申請認證的標準應是同一類型的。

合同：

IT服務管理體系應能基本滿足各客户的要求，因此，合同應是論斷的一個重要依據。

本單位的基本規定、規程：

如有關標準化方面的、有關監控方面的、有安全方面的等等，這些規定、規程是否合理及合理的內容是否被有效運行，診斷時要檢查的內容。

社會或行業有關法規

IT服務管理體系不僅要滿足管理體系標準、合同和公司有關規定，還應該符合國家、地區、行業有關法律、法規、規章制度的要求，診斷時應作為考慮。

⑴.有關安全法規；

⑵.有關服務法規；

⑶.有關環保法規；

⑷.有關勞動法規

1.1.3.5 實施診斷的人員

實施診斷員可以是公司內部的人員，也可以公司委託的外部機構，如諮詢機構的人員，因此實施診斷的人員可以有如下幾方面：

諮詢人員：

如果公司聘請了諮詢人員，診斷工作可以其為主進行。為此諮詢機構可以委派專門診斷、檢查工作組，制訂計劃，在企業確認的基礎上按計劃進行診斷。

內部審核員：

如果公司有經培訓合格並勝任該項工作的人員，可以授權其進行診斷工作。

第三方審核機構的人員：

如果公司有需要，可以聘請外部審核機構的審核員為公司進行診斷

1.1.3.6 診斷工作的實施過程

確定診斷小組。

確定診斷依據和診斷物件。

制訂診斷計劃，編制診斷工作文件。

現場診斷檢查

⑴.與現場人員交談，瞭解情況；

⑵.檢查現場文件和記錄；

⑶.如實記錄體系運行現狀。

提交診斷報告

⑴.不合格報告；

⑵.診斷結論；

⑶.體系文件清單；

⑷.需新編制和修訂的文件（清單）。

1.1.4 職能分工、體系設計

1.1.4.1 制訂IT服務管理方針；

1.1.4.2 任命管理者代表主要責任：

協助管理者確保按標準的要求建立IT服務管理體系。

負責體系的實施和維護。負責組織內部管理體系審核，向最高管理者報告體系執行情況，以便評審和改進。

就IT服務管理體系方面問題與外部聯繫。

1.1.4.3 選擇體系標準和要素

管理體系要素選擇

⑴.根據合同要求，可刪去所選擇標準中包含的某些服務管理體系要素或分要素，還可以涉及體系要素證實程度的調整；

⑵按合同要求，規定對管理體系的補充要求，例如統計程序控制要求、安全性要求等。

設計調整組織機構

⑴各部門職責應覆蓋標準要求.

⑵各部門有清楚的職責。

⑶各部門工作之間有合理的銜接。

⑷職能分工形成書面文件，並經充分討論。

⑸應把有關管理的策劃、控制、協調、檢查、改進工作都反映出來。

確定新體系中文件結構

⑴典型文件層次

編寫文件、試點運

1.1.5 編寫文件

1.1.5.1 列出文件清單：

IT服務管理體系

⑴手冊的構成

⑵職能的分配

⑶組織結構

⑷手冊中要素描述

⑸有關支持性文件（針對某個具體事件的管理辦法、工作流程、或者詳細説明）

程序文件

⑴需編制哪些程序文

⑵每個程序文件對應標準哪個要

⑶各程序文件之間有無重複、有無遺

⑷各程序文件形成的記錄

⑸有關支援性文件

工作文件

⑴作業指導

⑵技術類文

⑶管理文件

⑷報告和表格

1.1.5.2 明確哪些舊文件作廢、哪些保留

1.1.5.3 分配文件編寫任務：

各部門參與

1.1.5.4 起草文件

1.1.5.5 文件討論：

內部討論─適用性

外部檢查─完整性

1.1.5.6 文件批准發效

審核、批准

複印、裝訂

受控、登記

發效、簽收

1.1.6 試點運行

1.1.6.1 向工作人員進行體系文件的交代：

手冊：特點、使用、保管要求；

程序：特點、注意事項、形成記錄、各程序之間介面；

工作文件：需要掌握關鍵問題如何記錄，報告不合格品。

1.1.6.2 培訓、宣傳：

培訓：崗位培訓；

特殊崗位培訓考核；

管理人員程序文件培訓；

全員IT服務管理方針、目標培訓。

宣傳：管理方針；

試運行計劃；

ISO20000認證計劃；

體系文件內容介紹。

1.1.6.3 其他配套工作：

監控；

合格分承包方許定；

標識的製作。

1.1.6.4 試運行：

補充完善基礎工作：邊運行，邊完善第三層次文件；

修改體系文件：邊運行，邊修改不合適的文件；

作為記錄並保存好記錄以推供證據。

1.2 內部審核、正式運行

1.2.1 部審核、管理評審：

至少進行一次內部審核，按ISO20000要求制訂審核計劃、審核清單、審核報告、不合格項的跟蹤和監督等有關活動記錄和文件應保存完好，以便以認證檢查。

至少安排一次管理評審，以評價新體系的有效性和適用性，同時積累一次管理評審活動記錄，評審按程序文件要求進行。

1.2.2 正式運行：

通過內部審核、管理評審，對體系文件中不切合實際或規定不合適之處進行及時的修改，在一系列修改後，發佈第二版管理手冊、程序文件進行正式運行。

1.3 內部審核，準備認證

1.3.1 為了減少認證一次通過可能存在的某種風險，在由第三方正式審核之前，可以由內部審核組成類似的外部機構進行一次內部審核或請已確認的認證機構進行預審。

1.3.2 企業應本着對自己有利的觀點選擇認證機構，一般應從以下幾個方面考慮：

客户要求；

企業所在地區；在選擇認證機構時應在原則上既近又便；

認證機構的認證範圍和有效性；

費用；正常認證收費和交通、食宿等其他費用。

1.4 正式審核，體系維持

1.4.1 接受所選擇的認證機構的正式審核。

1.4.2 體系維持與提高

檢查現場中問題，不斷地改進和鞏固；

進一步完善體系文件，加強協調監督工作

企業建立IT服務管理體系的目標是為了企業建立起一套行之有效的以客户為中心的自我完善的體系。在實施認證ISO20000管理體系後，在各個流程中，各個工作崗位上都建立了一個自我完善的循環，工作的策劃、執行、檢查，以及持續的發現問題改善問題的體系建立起來，使每個員工都擁有問題意識，自覺的發現自己工作當中的問題，並通過系統的解決問題的方法，將問題一個一個的解決。IT服務提供商通過實施IT服務管理體系，可以獲取如下收益：

保持服務目標與企業業務目標一致，有效的支持業務戰略

建立規範的服務流程，提高信息技術服務和運營效率

有效及高效地整合和利用信息、基礎架構、應用及人員等IT資源

建立持續改進的服務管理機制，快速應對市場需求，提高客户滿意度

向國際標杆靠齊，增強市場競爭力，提高組織聲譽，提升投資回報

控制IT風險及相關的成本，提高與控制IT服務質量、降低長期的服務成本

靈活應對來自客户、認證機構、內部機構等不同的合規審核要求，增加投資者信心

對於眾多IT服務提供商，ISO20000認證的意義並不僅僅限於IT服務符合規程和提高服務質量。它在服務量化，員工績效考核，衡量IT部門投資回報方面更具有積極的意義。

ISO20000是以流程化管理方式為基礎的，IT工作被分解成了不同的流程，每個小部門、每個人的工作都是若干流程中不同工作的組合，流程對工作量化的輸入輸出為員工的工作量化提供了可能。員工的量化考核這個IT部門的普遍難題得到了初步解決，尤其是服務枱的一線員工基本做到了完全的工作量化衡量。

流程的量化數據為員工的工作分配，工作成績的反映提供了基礎，同時對於工作人員的責任也有了相應的考核體系。

同時，IT對服務也有了量化指標，建立了量化的質量控制體系，設定了完整準確的考核指標，提供完善的報表。對客户滿意度等還選用第三方進行調查，保證數據的可信性。

量化管理不僅是IT部門自身管理的需要，也是衡量IT部門價值與投資回報的基礎，流程化管理方式為量化管理的實現提供了可能。借用ISO20000，CIO也同時找到了一個衡量IT服務好壞的國際公認的標準。用這麼一個標準來證明公司的ITSM實施達到了怎樣一個階段，在一個標準的平台上跟CEO、CIO溝通IT服務管理的標準化、規範化。

ISO/IEC 20000是一個針對管理流程系統的標準，ISO/IEC 20000的認證適合IT服務的提供者，可以內部的IT部門，也可以是外部的服務提供商。獲取ISO/IEC 20000的認證，意味着提供服務的IT組織，對ISO/IEC 20000中定義的這些管理流程，具有足夠好的管理控制力。這裏所謂對流程的管理控制力包括：

對流程輸入的瞭解和控制

對流程輸出的瞭解、使用和詮釋

制定和執行對流程效能的衡量機制

有客觀的證據表明，對流程的功能負責，使之符合ISO 20000標準要求

制定流程的改進提高計劃，衡量和回顧改進結果

IT服務組織要獲得ISO/IEC 20000的認證，必須證明它能夠對標準中涉及的所有5組13個流程都具有以上的管理控制力。ISO/IEC 20000系列對流程的最佳實踐進行了總結，可適用於不同規模、類型和結構的組織，服務管理流程最佳實踐要求並不會因為組織形式不同而被改變。

ISO 20000-1是一個正式的規範，它界定了一個組織向客户提供品質合格、管理良好的服務的有關要求。

另一方面，ISO 20000-2是一個行為準則，它描述了ISO 20000-1範圍內的服務管理程序的最佳範例。這個行為準則對於要準備通過ISO 20000-1審核或計劃改進服務的公司來説尤其有用。