ISO 20000-18 min de lecture
Certificat ISO 20000-1 : gérer ses services IT, mode d'emploi
Le certificat ISO 20000-1 prouve que vos services IT sont gérés de façon structurée. Exigences, preuves attendues, checklist et voie d'obtention.
Par Zertify Redaktion
Le certificat ISO 20000-1 atteste que vos services IT reposent sur un système de management structuré, de la demande du client jusqu'à l'amélioration continue. Vous l'obtenez soit par un audit sur site mené par un organisme de certification, soit par une évaluation en ligne, comme celle de Zertify.
Ce que couvre l'ISO 20000-1
La norme ISO 20000-1:2018 (Management des services informatiques) fixe les exigences d'un système de management des services, le SMS. Elle ne prescrit aucune technologie. Elle porte sur la façon dont une organisation conçoit, fournit et améliore ses services IT pour ses clients.
Le service peut être très concret : hébergement d'une application, support utilisateur, gestion d'un parc de postes, infogérance, plateforme SaaS. Si vous fournissez une telle prestation de façon régulière, la norme vous concerne.
Son principe tient en trois points. Vos clients savent ce que vous leur promettez. Vous savez si vous tenez cette promesse. Quand ce n'est pas le cas, vous corrigez la cause, pas seulement le symptôme.
À qui s'adresse ce certificat
La norme vise les fournisseurs de services, quelle que soit leur taille. Trois profils la demandent le plus souvent :
- les prestataires d'infogérance et les sociétés de support informatique ;
- les éditeurs et les agences qui exploitent des applications pour leurs clients ;
- les services IT internes qui facturent ou rendent compte à d'autres unités de l'entreprise.
Certains donneurs d'ordre la citent dans leurs appels d'offres ou leurs questionnaires fournisseurs. Sans exigence externe, elle apporte un cadre à une équipe qui grandit et qui n'a plus la vue d'ensemble. Pour savoir si une telle norme est réaliste à votre échelle, lisez notre guide sur la certification ISO pour les PME.
Les exigences, chapitre par chapitre
L'ISO 20000-1:2018 reprend la structure de haut niveau commune aux normes de systèmes de management. Si vous connaissez l'ISO 9001 ou l'ISO 27001, vous retrouverez la logique.
Chapitres 4 à 7 : le cadre du système
Le chapitre 4, Contexte de l'organisation, demande de définir les parties intéressées, leurs attentes et le périmètre du système : quels services, quels sites, quelles équipes. Un périmètre trop large complique tout, un périmètre trop étroit réduit la valeur du certificat.
Le chapitre 5, Leadership, met la direction au centre. Elle fixe une politique de management des services, attribue les rôles et s'engage. Les évaluateurs cherchent la preuve qu'elle suit réellement le système, une simple signature ne suffit pas.
Le chapitre 6, Planification, traite des risques, des opportunités et des objectifs de service. Ces objectifs doivent être mesurables, et la manière de les atteindre doit être planifiée.
Le chapitre 7, Support, regroupe les ressources, les compétences, la sensibilisation, la communication et l'information documentée. Il impose aussi de gérer les connaissances nécessaires à l'exploitation des services.
Chapitre 8 : l'exploitation des services
Le chapitre 8, Fonctionnement, est le cœur de la norme et ce qui distingue le plus l'ISO 20000-1 des autres. Il couvre le cycle de vie du service, notamment :
- le catalogue de services et la gestion des accords de niveau de service ;
- la gestion de la capacité, de la disponibilité et de la continuité ;
- la gestion des changements, des mises en production et des déploiements ;
- la gestion des incidents et des demandes de service ;
- la gestion des problèmes, c'est-à-dire la recherche des causes racines ;
- la gestion de la configuration et des actifs ;
- la gestion des fournisseurs et des sous-traitants ;
- la sécurité de l'information appliquée aux services.
Un outil coûteux pour chaque point n'est pas nécessaire. Il faut une règle claire, une personne responsable et la trace que la règle est appliquée.
Chapitres 9 et 10 : mesurer et améliorer
Le chapitre 9, Évaluation des performances, exige de surveiller vos services, de réaliser des audits internes et de tenir une revue de direction. Le chapitre 10, Amélioration, impose de traiter les non-conformités et d'améliorer le système en continu.
Un système monté en un après-midi ne passe pas ces deux chapitres. La norme attend un fonctionnement répété, avec des enregistrements.
Les preuves que l'on vous demandera
Une évaluation sérieuse ne se contente pas de déclarations. Elle cherche des pièces concrètes, par exemple :
- un catalogue de services à jour, avec les engagements pris envers les clients ;
- un extrait de votre outil de tickets montrant le traitement d'incidents réels ;
- un registre des changements avec validation et retour arrière prévu ;
- un plan de continuité des services, et la trace d'un test ;
- un compte rendu d'audit interne et un compte rendu de revue de direction ;
- la liste de vos fournisseurs critiques, avec ce que vous attendez d'eux.
Si ces pièces existent déjà, même sous une forme simple, vous êtes plus près du but que vous ne le pensez. Sinon, créez-les avant de lancer l'évaluation.
Deux voies pour obtenir le certificat
La voie classique passe par un organisme de certification qui réalise un audit sur site. Il faut réserver des journées d'audit, mobiliser les équipes et suivre le calendrier de l'auditeur. Elle s'impose si un client ou un appel d'offres exige précisément ce mode de contrôle.
La voie en ligne repose sur une auto-évaluation. Vous répondez à un questionnaire structuré et fournissez vos pièces, puis l'évaluation est vérifiée avant l'émission. Aucun audit sur site n'a lieu. Notre guide sur la certification ISO sans audit détaille ce fonctionnement, ses avantages et les cas où il convient.
Si un client exige explicitement un audit sur site, la décision est prise. Si vous voulez surtout une preuve claire et vérifiable de la maturité de vos services, la voie en ligne est le plus souvent proportionnée.
Checklist de préparation
Parcourez cette liste avant de lancer l'évaluation. Chaque point doit pouvoir être démontré, pas seulement affirmé.
Obtenir le certificat avec Zertify
Zertify délivre des certificats ISO à partir d'une évaluation en ligne. La norme est présentée sur la page ISO 20000-1.
Vous faites l'auto-évaluation en ligne, sans audit sur site. SICE (Swiss Institute of Certification and Education) examine chaque évaluation avant l'émission. Une fois l'évaluation réussie et le paiement effectué, G6 Agency AG émet le certificat sous licence de SICE, dans un délai de 4 heures. Vos clients peuvent le contrôler eux-mêmes, puisqu'il est vérifiable publiquement.
Le certificat est valable trois ans et confirmé chaque année par un court ré-audit en ligne, dans le cadre d'un abonnement annuel. Les conditions figurent sur la page tarifs. Quand vous êtes prêt, démarrez l'évaluation.
Les erreurs fréquentes
Les petites structures commettent le plus souvent trois erreurs.
Définir un périmètre flou. Si vous ne pouvez pas dire quels services sont couverts, l'évaluation sera laborieuse. Écrivez le périmètre en une phrase et ne le changez plus.
Documenter sans appliquer. Une procédure de gestion des changements que personne ne suit ne vaut rien. Une règle courte et réellement appliquée vaut mieux qu'un manuel de quarante pages.
Oublier la boucle d'amélioration. Un incident traité n'est pas un problème résolu. La norme attend que vous cherchiez la cause, que vous agissiez et que vous vérifiiez l'effet.
Par où commencer
Dressez d'abord le périmètre et la liste de vos services. Rassemblez ensuite les preuves que vous avez déjà : tickets, registres, comptes rendus. Comblez les écarts les plus visibles, puis lancez l'évaluation. Pour une petite équipe IT, quelques semaines de travail ciblé suffisent souvent à poser les bases, à condition que la direction s'engage réellement.
Le certificat confirme que vos services sont gérés de façon régulière et traçable. C'est ce que vos clients veulent savoir.
Questions fréquentes
Quelle est la différence entre l'ISO 20000-1 et l'ISO 27001 ?
L'ISO 20000-1 porte sur la gestion des services IT : catalogue, incidents, changements, niveaux de service. L'ISO 27001 porte sur la sécurité de l'information. Les deux partagent la même structure de haut niveau et se complètent, mais elles répondent à des questions différentes.
Une PME peut-elle obtenir le certificat ISO 20000-1 ?
Oui. La norme s'applique à toute organisation qui fournit des services IT, quelle que soit sa taille. Les exigences sont les mêmes pour tous, mais une petite structure peut les remplir avec des processus plus simples, pourvu qu'ils soient appliqués et tracés.
Faut-il un audit sur site avec Zertify ?
Non. Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site. SICE examine chaque évaluation avant l'émission. Si un client l'exige, la voie classique avec un audit sur site par un organisme de certification reste possible.
Combien de temps faut-il pour recevoir le certificat ?
Zertify émet le certificat dans un délai de 4 heures après une évaluation réussie et le paiement. La préparation en amont dépend de la maturité de vos processus et de la qualité de vos preuves.
Quelle est la durée de validité du certificat ?
Le certificat est valable trois ans. Un court ré-audit en ligne le confirme chaque année, dans le cadre d'un abonnement annuel. G6 Agency AG l'émet sous licence de SICE, et il peut être vérifié publiquement.
