ISO 20000-1 cerințe: clauzele 4-10 explicate pe rând

21 de procese de management al serviciilor IT stau într-o singură clauză din ISO/IEC 20000-1:2018: clauza 8. Restul standardului (clauzele 4, 5, 6, 7, 9 și 10) construiește sistemul în jurul lor: context, conducere, planificare, resurse, măsurare și corecție.

ISO/IEC 20000-1:2018 are 10 clauze. Clauzele 1-3 sunt introductive, iar cerințele obligatorii sunt în clauzele 4-10: contextul organizației, leadership, planificare, suport, operare, evaluarea performanței și îmbunătățire. Toate cerințele din clauzele 4-10 se aplică integral, fără excluderi, indiferent de mărimea firmei.

Mai jos iei clauzele în ordinea în care le implementezi. Pentru imaginea de ansamblu, vezi pagina despre certificarea ISO 20000.

Implementează cerințele ISO 20000-1 în ordinea corectă

Standardul numerotează clauzele de la 4 la 10, dar o firmă care pornește de la zero lucrează într-o altă succesiune. Aceasta este ordinea care evită refacerea documentelor:

1. Stabilește domeniul sistemului (4.3) și lista serviciilor pe care le acoperă.
2. Scrie politica de management al serviciilor (5.2) și numește responsabilii (5.3).
3. Evaluează riscurile (6.1), fixează obiective măsurabile (6.2) și întocmește planul sistemului (6.3).
4. Pune la punct controlul documentelor (7.5) și locul unde păstrezi cunoștințele echipei (7.6).
5. Construiește procesele din clauza 8, începând cu catalogul de servicii, incidentele și schimbările.
6. Rulează sistemul cel puțin 3 luni și colectează înregistrări.
7. Fă un ciclu complet de audit intern (9.2) și o analiză de management (9.3).
8. Tratează neconformitățile găsite (10.1), apoi programează auditul extern.

Pasul 6 este cel pe care firmele încearcă să îl scurteze. Organismele de certificare cer de regulă ca sistemul să funcționeze minimum 3 luni și să fi trecut printr-un audit intern și o analiză de management înainte de auditul de certificare. Detaliile despre calendar sunt în articolul despre cât durează certificarea ISO 20000.

Pregătește fundația: clauzele 4-7

Clauza	Subclauze	Ce produci concret
4. Contextul organizației	4.1-4.4	Analiza de context, părțile interesate, domeniul sistemului
5. Leadership	5.1-5.3	Politica de management al serviciilor, roluri și autorități
6. Planificare	6.1-6.3	Registrul de riscuri, obiectivele, planul sistemului
7. Suport	7.1-7.6	Evidența competențelor, procedura de documente, baza de cunoștințe

Două subclauze sunt specifice ISO 20000-1 și lipsesc din ISO 9001.

Subclauza 6.3 cere un plan al sistemului de management al serviciilor. În el scrii ce servicii intră în sistem, cine răspunde de fiecare proces, ce resurse ai și cum se leagă procesele între ele. Auditorul îl citește primul, pentru că din el rezultă tot ce verifică după.

Subclauza 7.6 (cunoștințe) a apărut în ediția 2018. Concret, îți cere să păstrezi informația de care depinde livrarea serviciilor: soluții la probleme recurente, configurații documentate, instrucțiuni pentru tehnicienii noi. Un wiki intern bine întreținut acoperă de obicei cerința.

Din februarie 2024, amendamentul ISO/IEC 20000-1:2018/Amd 1:2024 a adăugat la 4.1 o frază nouă: organizația trebuie să determine dacă schimbările climatice sunt un aspect relevant. La 4.2 a apărut o notă despre cerințele părților interesate legate de climă. Pentru un furnizor IT, analiza poate fi de două rânduri, dar trebuie să existe în analiza de context.

Construiește clauza 8 proces cu proces

Clauza 8 începe cu 8.1 (planificarea și controlul operațional), apoi împarte procesele în șase grupe:

Grupa	Subclauze și procese
8.2 Portofoliul de servicii	livrarea serviciilor, planificarea serviciilor, controlul părților implicate, catalogul de servicii, gestiunea activelor, gestiunea configurației
8.3 Relații și acorduri	relația cu clienții, nivelul de serviciu (SLA), furnizorii
8.4 Cerere și ofertă	buget și contabilizare, gestiunea cererii, capacitate
8.5 Proiectare, construire, tranziție	schimbări, proiectarea și tranziția serviciilor, lansare și implementare
8.6 Rezolvare și onorare	incidente, cereri de serviciu, probleme
8.7 Asigurarea serviciului	disponibilitate, continuitate, securitatea informației

Clauza 8 este cea mai extinsă din standard și cere cele mai multe informații documentate.

O greșeală frecventă la firmele care vin din ITIL: incidentele și cererile de serviciu intră în aceeași coadă de tichete, fără distincție. Auditorul cere apoi raportul separat pentru cereri (8.6.2) și echipa nu îl poate scoate, pentru că datele sunt amestecate. Soluția este simplă: un câmp de tip în sistemul de tichete, setat la deschidere, și rapoarte lunare separate. Relația cu ITIL e detaliată în comparația ISO 20000 vs ITIL.

Subclauza 8.2.3 (controlul părților implicate în ciclul de viață al serviciului) prinde multe firme nepregătite. Dacă hostingul rulează la un furnizor de cloud sau dacă suportul de nivel 2 e externalizat, tu rămâi responsabil în fața auditorului. Trebuie să arăți ce procese operează alții și cum le controlezi prin contract și raportare.

Subclauza 8.7.3 cere management al securității informației, fără să impună certificare ISO 27001. Suprapunerile sunt în comparația ISO 20000 cu ISO 27001.

Închide ciclul: clauzele 9 și 10

Clauza 9 are patru subclauze: monitorizare și evaluare (9.1), audit intern (9.2), analiză de management (9.3) și raportarea serviciilor (9.4). Ultima este specifică ISO 20000-1: rapoartele către clienți despre nivelul de serviciu, incidente și disponibilitate trebuie produse regulat și folosite în decizii.

Pentru auditul intern poți folosi metoda generală din ghidul despre cum se face un audit intern ISO, cu un plan care trece prin toate cele 21 de procese din clauza 8 cel puțin o dată pe ciclu.

Clauza 10 are doar două subclauze: neconformități și acțiuni corective (10.1), plus îmbunătățire continuă (10.2).

Bugetează implementarea

Ai un SRL din Cluj cu 30 de angajați care oferă servicii gestionate (helpdesk, administrare servere, backup) pentru patru clienți corporate. Unul dintre ei, o companie germană, cere ISO 20000-1 la reînnoirea unui contract de 180.000 EUR pe an. Aveți deja sistem de tichete și SLA-uri scrise, dar nu aveți catalog de servicii, plan al sistemului (6.3), gestiunea activelor (8.2.5) sau rapoarte separate pe cereri.

Calculul arată așa:

• Luna 1-2: analiza de context, politica, riscurile, planul sistemului și catalogul de servicii.
• Luna 3-4: procesele lipsă din clauza 8 și separarea incidentelor de cereri în sistemul de tichete.
• Luna 5-7: 3 luni de funcționare, audit intern și analiză de management.
• Consultanță și implementare: între 15.000 și 35.000 lei + TVA.
• Auditul de certificare: între 5.000 și 15.000 lei + TVA, plus supraveghere anuală de 3.000-8.000 lei + TVA.

Prețurile pe niveluri sunt explicate în articolul despre cât costă certificarea ISO 20000. Dacă ținta este o licitație publică, Legea 98/2016 (art. 200) permite autorității contractante să ceară certificate ISO ca cerință de calificare, iar pașii până la certificat sunt în ghidul cum obții certificarea ISO 20000.

Înțelege ce s-a schimbat față de ediția 2011

ISO/IEC 20000-1:2018 a fost publicat pe 30 septembrie 2018 și a fost restructurat complet față de ediția 2011, pe structura comună cu ISO 9001 și ISO 27001. Diferențele care contează dacă citești materiale vechi:

• Toate procesele au fost mutate în clauza 8, împărțite în grupele 8.1-8.7.
• Incidentele și cererile de serviciu, unite în 2011, sunt acum procese separate (8.6.1 și 8.6.2).
• A apărut gestiunea activelor (8.2.5), cu noțiunea de activ ca element care are valoare pentru organizație.
• Catalogul de servicii a devenit subclauză proprie (8.2.4).
• Guvernanța proceselor operate de alții a devenit 8.2.3, controlul părților implicate.
• Raportarea serviciilor nu mai este un proces, ci subclauza 9.4.
• Acțiunile preventive au dispărut, iar numărul documentelor obligatorii a scăzut.
• Standardul nu mai impune o bază de date de configurare ca unealtă; cere informații de configurare, oriunde le ții.

Ediția 2018 spune ce trebuie obținut și lasă metoda la alegerea ta, așa că două firme certificate pot avea proceduri diferite pentru același proces.