ISO 20000-1 für IT-Dienstleister im KMU: So gehen Sie vor

ISO 20000-1 ist die internationale Norm für IT-Service-Management. Für einen kleinen IT-Dienstleister wird sie interessant, sobald Kunden belegt sehen wollen, dass seine Abläufe stabil und nachvollziehbar sind. Mit einem schlanken Managementsystem schafft das auch ein KMU. Massgebend ist die Fassung ISO 20000-1:2018.

Was ISO 20000-1 regelt

Die Norm beschreibt ein Service-Management-System, kurz SMS. Darin legen Sie fest, wie Sie IT-Services planen, erbringen, überwachen und verbessern. Eine bestimmte Technik oder ein bestimmtes Produkt schreibt sie nicht vor. Geprüft wird, ob Ihre Kunden sich darauf verlassen können, dass Services nach klaren Regeln geliefert werden.

Anwenden kann sie jede Organisation, die Services erbringt: ein Managed-Service-Provider, ein Systemhaus, eine Webagentur mit Betriebsverträgen, ein Hosting-Anbieter oder eine interne IT-Abteilung, die für andere Einheiten arbeitet.

Die Gliederung folgt der gemeinsamen Struktur der ISO-Managementsystemnormen. Wer ISO 9001 oder ISO 27001 kennt, erkennt sie wieder: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung.

Warum die Norm für kleine IT-Dienstleister relevant ist

Kleine Dienstleister arbeiten meist gut, nur steckt vieles im Kopf von zwei, drei Personen. Das hält, bis jemand ausfällt, ein Grosskunde nachfragt oder eine Ausschreibung einen Nachweis verlangt. Dann fehlt der Beleg, dass die Abläufe geregelt sind.

Diese Anlässe führen typischerweise zu einer Zertifizierung nach ISO 20000-1:

• Ausschreibungen oder Rahmenverträge, die ein Service-Management-Zertifikat erwähnen.
• Kunden aus regulierten Branchen, die ihre Lieferanten prüfen.
• Der Wunsch, Störungen, Änderungen und Anfragen sauber zu steuern, statt sie per Zuruf zu lösen.
• Wachstum: Ab einer gewissen Teamgrösse tragen feste Abläufe mehr als Erfahrung allein.

Wie die ISO-Zertifizierung für kleine Unternehmen grundsätzlich funktioniert, steht im Leitfaden zur ISO-Zertifizierung für KMU.

Was die Norm von Ihnen verlangt

Die Anforderungen stehen in den Kapiteln 4 bis 10. Die Norm misst die Wirksamkeit, nicht den Umfang. Ein Dokument von zwei Seiten, das im Alltag gelebt wird, zählt mehr als ein Handbuch, das niemand öffnet.

Kapitel 4 bis 7 legen den Rahmen fest

Kapitel 4, Kontext der Organisation. Sie klären, wer Ihre Kunden und weiteren interessierten Parteien sind, was diese erwarten und welche Services zum Geltungsbereich Ihres SMS gehören. Ein KMU zieht diesen Geltungsbereich bewusst eng und ehrlich, etwa auf den Betrieb der Managed Services.

Kapitel 5, Führung. Die Geschäftsleitung trägt das System. Verlangt sind eine Service-Management-Politik sowie klare Rollen und Verantwortlichkeiten. In einem kleinen Betrieb übernimmt das meist die Inhaberin oder der Inhaber selbst, und das ist so gewollt.

Kapitel 6, Planung. Sie bewerten Risiken und Chancen, setzen messbare Ziele und planen Aufbau und Weiterentwicklung des SMS. Brauchbare Ziele sind konkret, zum Beispiel die Reaktionszeit auf Störungen oder die Verfügbarkeit eines Kernservices.

Kapitel 7, Unterstützung. Es geht um Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Informationen. Sie müssen zeigen können, dass Ihre Mitarbeitenden wissen, was sie tun, und dass die wichtigen Regeln schriftlich und aktuell vorliegen.

Kapitel 8 beschreibt den Betrieb der Services

Kapitel 8 ist der Kern der Norm und unterscheidet sich am stärksten von anderen Managementsystemnormen. Hier stehen die eigentlichen Service-Management-Prozesse. Für einen IT-Dienstleister sind diese Themen zentral:

• Servicekatalog und Servicevereinbarungen: Was bieten Sie an, zu welchen Bedingungen, mit welchen Servicezielen?
• Beziehung zu Kunden und Lieferanten: Wie steuern Sie Vereinbarungen, Rückmeldungen und Unterlieferanten?
• Kapazität, Budget und Nachfrage: Wie stellen Sie sicher, dass Ihre Services mit dem Bedarf mitwachsen?
• Änderungs- und Release-Management: Wie werden Änderungen beurteilt, freigegeben, eingeführt und nachverfolgt?
• Incident-, Service-Request- und Problem-Management: Wie nehmen Sie Störungen und Anfragen auf, lösen sie und gehen Ursachen auf den Grund?
• Konfigurations- und Asset-Management: Wissen Sie, welche Komponenten Ihre Services bilden?
• Verfügbarkeit, Kontinuität und Informationssicherheit: Wie halten Sie Services stabil und schützen sie?

Gross ausbauen müssen Sie keinen dieser Prozesse. Jeder braucht aber eine nachvollziehbare Regelung, die zu Ihrer Grösse und Ihrem Angebot passt.

Kapitel 9 und 10 verlangen Kontrolle und Verbesserung

Kapitel 9, Bewertung der Leistung. Sie messen, ob Services und Prozesse die Ziele erreichen. Dazu gehören ein internes Audit und eine Managementbewertung. Beides ist auch in einem kleinen Betrieb gut machbar, wenn es ernsthaft durchgeführt und dokumentiert wird.

Kapitel 10, Verbesserung. Abweichungen werden behoben, Ursachen analysiert, Verbesserungen geplant. Ein einfaches Verbesserungsregister genügt, sofern es gepflegt wird.

Was ein kleiner Dienstleister realistisch aufbaut

Ein KMU mit fünf bis fünfzig Mitarbeitenden braucht keine eigene Qualitätsabteilung. Ein überschaubares Set an Bausteinen reicht:

1. Eine kurze Service-Management-Politik mit Zielen.
2. Ein Servicekatalog mit den Services, Servicezeiten und Zielwerten.
3. Ein Ticketsystem, das Incidents, Anfragen, Probleme und Änderungen abbildet. Viele Teams setzen bereits eines ein.
4. Kurze Prozessbeschreibungen, jeweils mit Zweck, Ablauf und Verantwortlichem.
5. Ein Register für Risiken und eines für Verbesserungen.
6. Nachweise: Auswertungen, Protokolle, Schulungsbelege, interne Audits.

Häufigster Fehler: Vorlagen aus dem Internet werden unverändert übernommen. Ein Auditor sieht sofort, wenn Abläufe beschrieben sind, die es im Betrieb nie gab. Halten Sie schriftlich fest, was Sie tatsächlich tun, und ergänzen Sie, was fehlt.

Checkliste: Sind Sie bereit für ISO 20000-1?

• Der Geltungsbereich ist festgelegt: Welche Services und welche Standorte gehören zum SMS?
• Kunden, Lieferanten und weitere interessierte Parteien sind erfasst, ebenso ihre Anforderungen.
• Die Geschäftsleitung hat eine Service-Management-Politik verabschiedet.
• Rollen und Verantwortlichkeiten sind benannt, auch Stellvertretungen.
• Risiken und Chancen sind bewertet, messbare Ziele sind definiert.
• Der Servicekatalog liegt vor, Servicevereinbarungen sind dokumentiert.
• Incident-, Request-, Problem- und Change-Prozess sind beschrieben und im Ticketsystem abgebildet.
• Konfigurationen und Assets sind erfasst, soweit sie für die Services relevant sind.
• Verfügbarkeit, Kontinuität und Informationssicherheit sind geregelt.
• Unterlieferanten sind bewertet und vertraglich eingebunden.
• Ein internes Audit hat stattgefunden, die Ergebnisse sind festgehalten.
• Die Managementbewertung ist durchgeführt und protokolliert.
• Verbesserungsmassnahmen sind erfasst und werden nachverfolgt.

Sind die meisten Punkte abgehakt, steht der Zertifizierung wenig im Weg. Die offenen Punkte zeigen, wo Sie als Nächstes ansetzen.

Zwei Wege zum Zertifikat

Der klassische Weg führt über ein Audit vor Ort durch eine Zertifizierungsstelle. Er bedeutet Terminabsprachen, Auditorentage und Vorbereitungsaufwand. Sinnvoll ist er, wenn ein Kunde oder eine Ausschreibung genau dieses Verfahren verlangt.

Der zweite Weg ist die Zertifizierung auf Basis einer Online-Selbstbeurteilung, ohne Audit vor Ort. Aufbau und Eignung des Verfahrens beschreibt der Beitrag zur ISO-Zertifizierung ohne Audit.

Bevor Sie sich entscheiden, fragen Sie beim Kunden oder in der Ausschreibung nach, was konkret verlangt ist. Eine kurze Rückfrage spart später Zeit und Kosten.

So funktioniert die Zertifizierung bei Zertify

Zertify stellt Zertifikate auf Basis einer Online-Selbstbeurteilung aus. Ein Audit vor Ort gibt es nicht. Sie beantworten die Fragen zu Ihrem Service-Management-System und belegen Ihre Angaben. SICE (Swiss Institute of Certification and Education) prüft die Beurteilung, bevor das Zertifikat ausgestellt wird.

Ausgestellt wird es von der G6 Agency AG unter Lizenz von SICE. Es ist öffentlich verifizierbar, Ihre Kunden können die Echtheit also selbst prüfen.

So läuft es ab:

1. Auf der Seite zur Norm ISO 20000-1 sehen Sie, was bewertet wird.
2. Mit dem Assessment starten Sie die Selbstbeurteilung.
3. Nach bestandener Beurteilung und Zahlung stellt Zertify das Zertifikat innerhalb von 4 Stunden aus.
4. Das Zertifikat gilt drei Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit. Das ist ein jährliches Abonnement.

Die aktuellen Konditionen stehen auf der Preisseite. Rechnen Sie mit dem jährlichen Rhythmus aus Bestätigung und Abonnement.

Die Vorbereitung ist in den 4 Stunden nicht enthalten, sie bleibt Ihre Aufgabe. Wer seine Prozesse schon dokumentiert hat, kommt zügig durch das Assessment. Wer erst anfängt, sollte Zeit einrechnen.

Häufige Fehler bei der Vorbereitung

Zu grosser Geltungsbereich. Wer sämtliche Services und Standorte einschliesst, schafft sich unnötige Arbeit. Beginnen Sie mit dem Kerngeschäft.

Prozesse nur auf dem Papier. Die Norm verlangt Nachweise. Ein Prozess ohne Belege im Ticketsystem oder in Protokollen gilt als nicht umgesetzt.

Geschäftsleitung nicht beteiligt. Kapitel 5 ist keine Formalität. Trägt die Führung das System nicht mit, bleibt es ein Papierprojekt.

Internes Audit vergessen oder oberflächlich. Es ist Ihr Frühwarnsystem. Lassen Sie es von jemandem durchführen, der nicht den eigenen Prozess prüft.

Keine sichtbaren Verbesserungen. Kapitel 10 verlangt, dass Sie aus Abweichungen lernen. Halten Sie fest, was Sie ändern und warum.

Wo Sie ansetzen

Die Betriebsgrösse entscheidet bei ISO 20000-1 weniger als die Disziplin. Wer Services klar beschreibt, Störungen und Änderungen nachvollziehbar steuert und aus Fehlern Konsequenzen zieht, erfüllt den Kern der Norm zu einem guten Teil bereits. Gehen Sie die Checkliste durch, schliessen Sie die Lücken und wählen Sie danach den Weg zum Zertifikat, den Ihr Kunde akzeptiert.