Сертификат ИСО/МЭК 20000: оформим систему менеджмента ИТ-сервисов

ИСО/МЭК 20000 — стандарт на систему менеджмента сервисов, то есть на управление ИТ-услугами со стороны поставщика. Он описывает, как устроена работа сервисной организации: какие услуги предоставляются, с какими параметрами качества, что происходит при сбое, кто отвечает за изменения и как заказчик видит результат в отчётах.

Сертификат подтверждает, что поддержка держится на процессах, а не на памяти пары инженеров. Требуют документ обычно заказчики ИТ-аутсорсинга и организаторы тендеров на сопровождение информационных систем — вместе с ISO 27001.

Центр сертификации «Сертификат РБ» оформляет сертификат напрямую, как орган по сертификации, без посредников и наценок сверху. Документацию системы менеджмента сервисов разработаем сами, если у вас её нет, подготовим к оценке и доведём до готового бланка.

Какая редакция действует: ISO/IEC 20000-1:2018 и ГОСТ Р ИСО/МЭК 20000-1-2021

В запросах встречаются четыре цифры года — 2010, 2013, 2018 и 2021, поэтому разберём, что из этого действует.

• ISO/IEC 20000-1:2018 — действующая международная редакция части 1. Заменила ISO/IEC 20000-1:2011.
• ГОСТ Р ИСО/МЭК 20000-1-2021 «Информационные технологии. Менеджмент сервисов. Часть 1. Требования к системе менеджмента сервисов» — действующий национальный стандарт. Утверждён и введён в действие приказом Росстандарта от 7 декабря 2021 года № 1718-ст, идентичен ISO/IEC 20000-1:2018.
• ГОСТ Р ИСО/МЭК 20000-1-2013 — прежняя российская редакция, соответствовала международной версии 2011 года. Заменена стандартом 2021 года.

Значит, «ГОСТ Р ИСО/МЭК 20000-1-2021» и «ISO/IEC 20000-1:2018» — один документ, российская версия принята на три года позже. Если заказчик написал в требованиях одно обозначение, а в предложении стоит другое, речь об одном и том же стандарте. А вот ссылка на редакцию 2013 года в новом сертификате — повод задать вопросы органу.

Редакция 2018 года заметно отличается от версии 2011-го. Стандарт переведён на единую структуру систем менеджмента, добавлены требования к планированию услуг, управлению знаниями, спросом и мощностями, уточнена работа с поставщиками — внутренними и внешними. Часть прежней детализации по процессам снята: организации дали больше свободы в том, как выстраивать процессы под свой масштаб.

Части серии ИСО/МЭК 20000

Серия состоит из нескольких документов, и сертифицируются организации только по части 1.

• Часть 1 — требования к системе менеджмента сервисов. По ней проводится оценка соответствия и выдаётся сертификат.
• Часть 2 — руководство по применению системы. В России действует ГОСТ Р ИСО/МЭК 20000-2-2010, международная версия обновлялась позже. Документ рекомендательный: помогает внедрять, но сертификат по нему не выдаётся.
• Часть 3 — руководство по определению области применения и применимости требований. Полезна, когда услуги оказываются несколькими подразделениями или с привлечением субподрядчиков.
• Часть 10 — основные понятия и терминология серии.

Формулировка области сертификации здесь имеет практическое значение: в неё входят конкретные услуги и площадки, с которых они оказываются. Заказчик, читая ваш сертификат, смотрит прежде всего на этот раздел — попадает ли в него та услуга, которую он собирается закупать.

Кому нужен сертификат ИСО/МЭК 20000

• Компаниям ИТ-аутсорсинга и технической поддержки — здесь документ спрашивают чаще всего;
• системным интеграторам, сопровождающим внедрённые системы по договорам обслуживания;
• дата-центрам, хостинг-провайдерам и операторам связи;
• разработчикам, продающим продукт как услугу, — когда в договоре появляются параметры доступности и время реакции;
• внутренним ИТ-службам крупных организаций, работающим с бизнес-подразделениями по соглашениям об уровне услуг;
• участникам тендеров на ИТ-сопровождение, где сертификат заявлен в квалификационных требованиях или даёт баллы;
• подрядчикам банков и госструктур, транслирующих требования к управляемости сервисов на поставщиков.

Обязательной сертификация по ИСО/МЭК 20000 не является: законом она не установлена и проводится добровольно. Обязательной её делают договор с заказчиком или условия конкретной закупки.

Что проверяют в системе менеджмента сервисов

Оценка идёт по тому, как устроено предоставление услуг, а не по количеству железа и лицензий. Основные направления:

• Каталог услуг — перечень того, что вы предоставляете, с описанием и границами ответственности.
• Соглашения об уровне услуг (SLA) — время реакции и восстановления, доступность, приоритеты, порядок пересмотра параметров.
• Управление инцидентами и запросами на обслуживание — регистрация обращений, приоритизация, эскалация, закрытие с подтверждением от заказчика.
• Управление проблемами — поиск причин повторяющихся сбоев, а не бесконечный перезапуск одного и того же сервиса.
• Управление изменениями и релизами — согласование, тестирование, план отката, порядок аварийных изменений.
• Управление конфигурациями — учёт компонентов инфраструктуры и связей между ними.
• Мощности и спрос — прогноз нагрузки и ресурсов под неё.
• Доступность и непрерывность услуг — резервирование, восстановление после сбоя, проверка планов на учениях.
• Управление поставщиками — требования к субподрядчикам и контроль их обязательств, включая внутренних поставщиков внутри группы компаний.
• Отчётность и внутренние аудиты — измеримые показатели по услугам и регулярный анализ со стороны руководства.

Чаще всего замечания собирают две области: отчётность по SLA, которую ведут вручную и по памяти, и управление изменениями — когда правки в продуктив вносятся без согласования и без плана отката. Обе закрываются наведением порядка в регламентах и в системе учёта заявок, а не покупкой софта.

С чего начать, если системы ещё нет

Внедрение с нуля выглядит объёмным, но первые шаги ИТ-служба делает сама, без внешней помощи.

• Составьте каталог услуг. Выпишите, что вы реально предоставляете заказчику: не «сопровождение», а конкретные услуги с границами ответственности.
• Зафиксируйте параметры по каждой услуге — время реакции, время восстановления, режим работы поддержки, доступность. Даже если сейчас они выполняются не всегда: без записанных цифр обсуждать нечего.
• Приведите в порядок учёт обращений. Заявки должны попадать в одну систему, а не в почту, мессенджеры и звонки на личный телефон инженера.
• Опишите порядок изменений — кто согласовывает правки в продуктиве, как они тестируются и что делать при откате.
• Соберите данные за последние месяцы — количество инцидентов, сроки закрытия, повторяющиеся сбои. Это основа отчётности и первый материал для анализа со стороны руководства.

Дальше подключаемся мы: оформляем это в документацию по требованиям стандарта, помогаем закрыть недостающие процессы и готовим систему к оценке соответствия.

ИСО/МЭК 20000 и ITIL: что чем является

Вопрос от ИТ-директоров звучит почти всегда. ITIL — библиотека практик: рекомендации, как организовать процессы. Сертифицируются по ней люди, а не компании. ИСО/МЭК 20000-1 — стандарт с требованиями к системе менеджмента сервисов, и сертифицируется по нему организация.

Одно не заменяет другое и не является обязательным условием для второго. Компания с процессами, выстроенными по ITIL, проходит подготовку быстрее — терминология и логика совпадают. Но обязательного требования «сначала ITIL» в стандарте нет.

Связка с другими стандартами

Стандарты построены на общей структуре, поэтому политика, распределение ответственности, управление документированной информацией и внутренние аудиты у них пересекаются.

• ISO 27001 — информационная безопасность. Самая частая связка: заказчику нужны и управляемость сервисов, и защита данных;
• ISO 22301 — непрерывность деятельности, продолжение темы доступности услуг за пределами ИТ;
• ISO 9001 — базовая система качества, чаще всего требуется в тендерах;
• ГОСТ Р ИСО 9001 — если требование заказчика сформулировано через национальный стандарт.

Как проходит сертификация

• Заявка и определение области сертификации — перечень услуг и площадок; стоимость и срок называем сразу.
• Анализ документов — регистрационные документы организации, каталог услуг, договоры и SLA, действующие регламенты поддержки.
• Подготовка документации — политика, процедуры по инцидентам, изменениям, конфигурациям и поставщикам, формы отчётности по услугам.
• Оценка соответствия системы требованиям ГОСТ Р ИСО/МЭК 20000-1-2021.
• Выдача сертификата и внесение в реестр. Срок действия — до трёх лет.

Сертификация проводится в системе добровольной сертификации «ПромТехСтандарт» (регистрационный номер РОСС RU.З1391.04ИБФ0). Мы работаем как орган по сертификации напрямую, поэтому сроки короче, а стоимость ниже, чем через агентов-перепродавцов.

Как проверить сертификат

Наши сертификаты на системы менеджмента проверяются по QR-коду на бланке в реестре sert-reestr.net. Номер, держатель, срок действия и область сертификации должны совпадать с бумагой. В закупках такую проверку делают регулярно, поэтому документ должен находиться в открытом реестре.

Срок действия и сопровождение

Сертификат выдаётся на срок до трёх лет. Область сертификации фиксируется в бланке, поэтому при выводе новой услуги или открытии площадки документ дополняют — это отдельная процедура, но короткая.

Своих клиентов мы ведём весь срок действия: напоминаем о проверках заранее, помогаем поддерживать отчётность по услугам в форме, которая устраивает и заказчика, и аудитора, и закрываем переоформление без авралов. Если у вас действует сертификат по редакции 2013 года, пришлите его — посмотрим, что придётся доработать под ГОСТ Р ИСО/МЭК 20000-1-2021, и назовём стоимость до начала работ.

FAQ

Действует ли ГОСТ Р ИСО/МЭК 20000-1-2013?

Нет, его заменил ГОСТ Р ИСО/МЭК 20000-1-2021. Оформлять сертификат нужно по действующей редакции.

ГОСТ Р ИСО/МЭК 20000-1-2021 и ISO/IEC 20000-1:2018 — разные стандарты?

Нет, это один документ. Российская версия идентична международной, разница только в дате принятия.

Что с частью 2 — ГОСТ Р ИСО/МЭК 20000-2-2010?

Это руководство по применению системы менеджмента сервисов, документ рекомендательный. Сертификат выдаётся по части 1, где содержатся требования.

Нужен ли ITIL перед сертификацией?

Нет. ITIL — набор практик и сертификация специалистов, стандарт ИСО/МЭК 20000-1 — требования к организации. Внедрённые практики ITIL ускоряют подготовку, но обязательным условием не являются.

Обязателен ли ИСО/МЭК 20000 по закону?

Нет, сертификация добровольная. Обязательной её делают требования заказчика или условия закупки.

Сколько стоит сертификат ИСО/МЭК 20000?

Стоимость зависит от области сертификации, количества услуг и площадок, готовности документации. Смету считаем бесплатно и фиксируем в договоре.

На какой срок выдаётся сертификат?

До трёх лет. Область сертификации фиксируется в документе, поэтому перечень услуг стоит формулировать с учётом того, что вы планируете заявлять в закупках.