ISO/IEC 20000-1:2018 + Amd 1:2024 – Система за управление на услугите

ISO/IEC 20000-1:2018 + Amd 1:2024 – Система за управление на услугите

ISO/IEC 20000-1:2018 е международен стандарт за създаване, внедряване, поддържане и непрекъснато подобряване на система за управление на услугите – Service Management System (SMS).

Стандартът помага на организациите да управляват целия жизнен цикъл на предоставяните услуги – от планирането и проектирането до доставката, поддръжката, контрола и непрекъснатото им подобряване.

ISO/IEC 20000-1 се използва широко от IT компании, managed service providers, cloud и SaaS организации, системни интегратори, outsourcing компании и вътрешни IT звена, но принципите му могат да бъдат приложени и при други видове услуги. BSI посочва, че стандартът се използва както за IT services, така и за business и facilities services и е приложим за доставчици с различен размер.

Strategy предоставя цялостно съдействие за внедряване на ISO/IEC 20000-1:2018 + Amd 1:2024 – от първоначалния GAP анализ и определянето на обхвата до разработване на SMS, вътрешен одит и подготовка за независима сертификация.

Какво представлява ISO/IEC 20000-1?

Качественото управление на услугите не означава единствено техническите системи да работят.

Клиентът очаква услугата да бъде налична, договорените нива да бъдат изпълнявани, инцидентите да се разрешават своевременно, промените да бъдат контролирани и доставчиците да не създават неприемлив риск.

ISO/IEC 20000-1 превръща тези очаквания в структурирана система за управление.

Организацията определя какви услуги предоставя, какви са изискванията към тях, кой носи отговорност, как се измерва качеството, как се управляват инциденти и промени и как се доказва, че предоставяните услуги продължават да носят стойност за клиента и организацията.

Стандартът изисква SMS да обхваща планирането, проектирането, прехода, предоставянето и подобряването на услугите така, че те да отговарят на договорените изисквания и да създават стойност. 

За кои организации е подходящ ISO 20000-1?

SO/IEC 20000-1 е особено подходящ за организации, при които услугата е критична част от основната дейност.

Това включва software development и outsourcing компании, IT support организации, cloud и hosting providers, data centres, telecom operators, managed service providers, системни интегратори и вътрешни IT departments.

Стандартът е ценен и когато корпоративни или международни клиенти изискват доказуема система за управление на услугите или когато компанията иска да премине от неформално управление към ясно дефинирани процеси, отговорности и показатели.

Какви са ползите от ISO/IEC 20000-1?

Добре внедрената SMS помага организацията да управлява услугите като бизнес процес, а не като поредица от отделни технически задачи.

Практически това може да доведе до по-предвидима доставка, по-добро управление на SLA, по-контролирани промени, по-бързо разрешаване на инциденти и по-добро управление на доставчиците.

Сред основните ползи са:

• по-ясно управление на service portfolio и service catalogue;
• по-добро управление на SLA и отношенията с клиентите;
• контролирани промени, releases и deployments;
• систематично управление на incidents, service requests и problems;
• управление на availability, capacity и service continuity;
• по-добър контрол върху suppliers и други външни страни;
• измерване на резултатите и continual improvement;
• по-добро съответствие между IT/service operations и бизнес нуждите.

STRATEGY свързва ISO/IEC 20000-1 именно с по-последователни и надеждни услуги, намаляване на неефективността, по-добро съответствие с бизнес нуждите и непрекъснато подобрение на service management.

Основни области на ISO/IEC 20000-1

Същинската оперативна част на стандарта е структурирана около реалното управление на услугите.

Тя включва service portfolio management, service catalogue, assets и configuration information, отношения с клиенти и доставчици, service level management, budgeting, demand и capacity management, change management, service design and transition, release and deployment, incident management, service request management, problem management, availability, continuity и information security management.

Тези процеси не трябва да функционират изолирано. Например сериозен incident може да доведе до problem investigation, последваща change request, release и актуализация на configuration information. Именно тази интеграция между процесите е една от основните характеристики на зрялата SMS.

Service Catalogue и управление на услугите

Една организация трябва ясно да знае какво всъщност предоставя като услуга.

Service Catalogue описва активните услуги и създава обща основа между доставчика, потребителите и клиентите.

За всяка услуга трябва да е ясно какво включва тя, какви зависимости има, кой е отговорен и какви изисквания трябва да бъдат изпълнявани.

При реален одит това позволява одиторът да проследи услугата от договорените изисквания до нейната ежедневна доставка.

Service Level Management

SLA не трябва да бъде договор, който се подписва и след това не се използва.

Service Level Management трябва да осигури, че договорените показатели се наблюдават, резултатите се анализират и отклоненията водят до действия.

Например availability, response times, resolution times или други service metrics трябва да бъдат свързани с реалните изисквания на клиента и да могат да бъдат доказани чрез подходящи записи и отчети.

Incident, Service Request и Problem Management

Стандартът ясно разграничaва incident management, service request management и problem management. Това разграничение е част от структурата на изданието от 2018 г.

Incident Management има за цел услугата да бъде възстановена възможно най-бързо.

Service Request Management управлява стандартни заявки на потребителите.

Problem Management търси причините зад повтарящи се или значими инциденти и цели да предотврати тяхното повторение или да намали въздействието им.

За ефективна SMS тези процеси трябва да бъдат свързани, а не да представляват три отделни регистъра без взаимодействие.

Change, Release и Service Transition

Промяната е една от областите с най-голям operational risk при IT услугите.

ISO/IEC 20000-1 изисква промените да бъдат оценявани, одобрявани и контролирани, а новите или изменени услуги да бъдат планирани, проектирани и въведени по управляван начин.

Това е особено важно за software и cloud организации, при които deployment-и могат да се извършват ежедневно.

Стандартът не забранява Agile, DevOps или CI/CD. Напротив – SMS може да бъде изградена така, че governance и controls да бъдат интегрирани в тези модели, без да създават ненужна бюрокрация. BSI посочва ISO/IEC 20000-1 като рамка, която може да се използва съвместно с ITIL, Agile и DevOps

Supplier Management

Доставчикът на услугата може да използва cloud provider, data centre, software vendor, telecommunications provider или друг външен партньор.

Фактът, че определена дейност е възложена на външна страна, не освобождава организацията от отговорността за нейната SMS.

Затова трябва да бъде ясно как доставчиците се оценяват, какви изисквания се поставят към тях, как се наблюдава изпълнението и как зависимостите им влияят върху крайната услуга.

Availability и Service Continuity

Клиентът не се интересува единствено дали инфраструктурата технически работи – интересува го дали услугата е налична, когато му е необходима.

ISO/IEC 20000-1 включва отделни изисквания за service availability и service continuity.

Организацията трябва да разбира критичността на услугите, зависимостите, изискванията за наличност и способността си да продължи предоставянето им при прекъсване.

Тук естествено има силна връзка с ISO 22301 и Business Continuity Management.

Какво представлява Amd 1:2024?

През февруари 2024 г. е публикувано ISO/IEC 20000-1:2018/Amd 1:2024 – Climate action changes. Изменението е част от общата инициатива на ISO за включване на climate change considerations в management system standards.

Промяната е много конкретна.

Към клауза 4.1 се добавя изискване организацията да определи дали изменението на климата е релевантен въпрос.

Към клауза 4.2 се добавя уточнение, че релевантните заинтересовани страни могат да имат изисквания, свързани с климатичните промени.

Това не означава автоматично въвеждане на климатични контроли.

ISO/IEC JTC 1/SC 40 изрично пояснява, че организацията трябва първо да оцени релевантността. Ако climate change не е релевантен за SMS, е достатъчно да има доказателство за направената оценка. Ако е релевантен, въпросът трябва да бъде управляван чрез подходящите политики, планове, процеси или други действия.

При IT и service provider организация например могат да бъдат разглеждани зависимости от data centres, електрозахранване, cooling systems, telecommunications infrastructure, critical suppliers или изисквания на големи клиенти за sustainable service delivery.

ISO 20000-1 и ITIL

ISO/IEC 20000-1 и ITIL не са конкурентни рамки.

ISO/IEC 20000-1 определя изискванията, които една Service Management System трябва да изпълнява и спрямо които може да бъде извършена независима сертификация.

ITIL предоставя практики и насоки за начина, по който service management може да бъде организиран и изпълняван.

Затова една организация може да използва ITIL практики като начин за изпълнение на част от изискванията на ISO/IEC 20000-1. BSI също посочва съвместимостта на стандарта с ITIL, Agile и DevOps

ISO 20000-1 и ISO 27001

Комбинацията между ISO/IEC 20000-1 и ISO/IEC 27001 е особено подходяща за IT, SaaS, cloud и outsourcing организации.

ISO 20000-1 управлява качеството и жизнения цикъл на услугите, докато ISO 27001 управлява рисковете за информационната сигурност.

Голяма част от общите management system processes – context, leadership, risk, competence, documented information, internal audit, Management Review и corrective actions – могат да бъдат интегрирани.

При правилно изградена система няма причина клиентът да поддържа две напълно отделни управленски структури.

ISO 20000-1 и ISO 9001

ISO 9001 разглежда качеството на процесите и способността на организацията последователно да изпълнява изискванията на клиентите.

ISO/IEC 20000-1 надгражда тази логика със специфични изисквания към service management.

За service-based организации комбинацията може да бъде много практична – ISO 9001 осигурява общата рамка за quality management, а ISO 20000-1 навлиза в детайлите на service portfolio, SLA, incident, problem, change, suppliers, availability и continuity.

Как Strategy внедрява ISO/IEC 20000-1?

При внедряването не започваме с писането на процедури за Incident Management или Change Management.

Първо трябва да разберем какви услуги предоставя организацията, на кого ги предоставя, какви SLA и договорни изисквания има, кои технологии и доставчици използва и как услугите реално се управляват в момента.

След това извършваме GAP анализ, определяме обхвата на SMS и идентифицираме кои съществуващи ITSM практики могат да бъдат използвани и кои трябва да бъдат подобрени.

Проектът обичайно включва service catalogue и service portfolio, roles and responsibilities, SLA management, supplier management, asset и configuration management, incident/service request/problem management, change и release management, availability и continuity management, information security, service reporting, вътрешен одит и Management Review.

Когато организацията вече работи с Jira, ServiceNow, Freshservice, Zendesk, Azure DevOps или друга service management платформа, целта не е да се създават паралелни Excel регистри. Използваме максимално реалните workflows и доказателствата от работещите системи.

Какво проверява одиторът?

При сертификационния одит не е достатъчно организацията да представи набор от процедури.

Одиторът трябва да може да проследи реално предоставяна услуга и да види как се управлява през SMS.

Например:

услуга → изискване/SLA → ресурси и зависимости → доставка → monitoring → incident/change → service report → анализ → improvement.

Може да бъдат проверени реални tickets, changes, releases, SLA reports, supplier reviews, capacity data, availability results, incidents, problems, continuity tests и service improvement actions.

Точно затова при внедряването на Strategy целим да изградим система, която използва реалните operational records на компанията, а не документация, създадена единствено за одита

Сертификация по ISO/IEC 20000-1

След внедряването и доказването на функционирането на SMS организацията може да премине през независима сертификационна оценка.

При първоначална сертификация обичайно се преминава през Stage 1 и Stage 2, след което независимият сертификационен орган взема решение относно издаването на сертификата.

Strategy не издава ISO сертификати. Ние подпомагаме организацията при GAP анализа, внедряването, вътрешния одит, Management Review, избора на сертификационна организация, подготовката за Stage 1 и Stage 2 и обработването на евентуални констатации.

Планирате ISO/IEC 20000-1?

Ако организацията вече има изградени ITSM процеси, можем да започнем с GAP Analysis, който да покаже какво вече отговаря на стандарта и какво трябва да бъде доразвито.

Ако изграждате Service Management System за първи път, Strategy може да подпомогне целия процес – от определянето на обхвата и service catalogue до вътрешния одит и готовността за сертификация.