Différence entre ISO 20000 et ITIL : ce qui change pour vous

ITIL est un référentiel de bonnes pratiques que vous adaptez librement à votre organisation. ISO 20000-1 est une norme dont les exigences se vérifient, et c'est la seule des deux qui donne lieu à un certificat d'entreprise.

La confusion vient du fait que les deux parlent de la même chose : la manière dont une organisation conçoit, fournit et améliore des services informatiques. Elles ne jouent pourtant pas le même rôle. L'une explique comment travailler. L'autre définit ce que vous devez pouvoir démontrer.

Ce qu'est ITIL

ITIL est une collection de pratiques de gestion des services IT. La version actuelle, ITIL 4, décrit 34 pratiques, parmi lesquelles la gestion des incidents, la gestion des changements, la gestion des niveaux de service et le centre de services. Elle les place dans un modèle appelé système de valeur des services.

ITIL ne contient pas d'exigences au sens d'une norme. Aucun article ne dit « vous devez ». Vous choisissez les pratiques utiles, vous les adaptez à votre taille et vous ignorez le reste. Un prestataire de cinq personnes n'appliquera pas ITIL comme une banque.

Ce qui se certifie, ce sont des personnes. Un collaborateur passe l'examen ITIL Foundation et obtient une attestation à son nom. Votre entreprise, elle, ne peut pas être « certifiée ITIL ». Cette phrase figure pourtant dans beaucoup de plaquettes commerciales, et un acheteur attentif la relève.

Ce qu'est ISO 20000-1

ISO 20000-1:2018 est la norme internationale pour le système de management des services (SMS). Elle suit la structure commune à toutes les normes de management modernes, avec les chapitres 4 à 10 : contexte de l'organisme, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances et amélioration.

Le chapitre 8 concentre le travail propre aux services IT : conception et transition des services, gestion des changements, incidents, demandes de service, problèmes, continuité, disponibilité et sécurité de l'information. Les autres chapitres portent sur le management : politique, objectifs, rôles, ressources, audit interne, revue de direction, actions correctives.

La norme exige des preuves. Vous devez montrer que votre politique de service existe, que vos objectifs sont mesurés, que vos incidents sont enregistrés et analysés, que vos changements sont autorisés avant d'être réalisés. Si vous n'avez pas de trace, l'exigence n'est pas remplie.

Pour une présentation complète de la norme et de ses exigences, consultez la page ISO 20000-1.

Comparaison point par point

La ligne qui compte pour un dirigeant est celle de la certification de l'entreprise. Un acheteur qui demande un « certificat de service IT » ne vise pas ITIL. Il vise ISO 20000-1.

Peut-on utiliser ITIL pour satisfaire ISO 20000-1 ?

Oui, et c'est une combinaison courante. Les pratiques ITIL décrivent bien des processus que la norme attend : gestion des incidents, des changements, des demandes, des problèmes. Une équipe qui a déjà adopté ces pratiques part avec de l'avance.

Il manque toutefois ce que ITIL ne formalise pas. La norme demande une politique de management des services, un périmètre défini, une analyse des parties intéressées, des risques et opportunités, des objectifs mesurables, un audit interne et une revue de direction. Ces éléments se trouvent dans les chapitres 4, 5, 6, 9 et 10, pas dans un guide de bonnes pratiques.

L'inverse fonctionne aussi. Une organisation qui applique ISO 20000-1 sans connaître ITIL peut très bien satisfaire la norme. ITIL n'est pas un prérequis, seulement une source d'idées.

Lequel choisir quand on est une PME ou une agence ?

Posez la question à l'envers : que vous demande-t-on ?

Si personne ne vous demande de justificatif, mais que votre support part dans tous les sens, ITIL est un bon point de départ. Vous reprenez trois ou quatre pratiques, vous les écrivez sur une page chacune, vous les appliquez.

Si un client, un cahier des charges ou un questionnaire fournisseur exige une preuve, ISO 20000-1 répond à la demande. Le certificat se joint à l'offre, l'acheteur peut le vérifier, le dossier avance.

Les deux ne s'excluent pas. Beaucoup de prestataires IT utilisent ITIL pour le quotidien et ISO 20000-1 pour la preuve. Les petites structures trouveront d'autres éléments de réflexion dans notre guide sur la certification ISO pour les PME.

Ce que cela change dans le quotidien

Avec ITIL seul, votre équipe améliore ses pratiques à son rythme. Personne ne vérifie. C'est une force pour la souplesse et une faiblesse quand il faut convaincre quelqu'un d'extérieur.

Avec ISO 20000-1, vous travaillez avec un cadre qui vous oblige à écrire, mesurer et revoir. Le premier mois paraît lourd. Après, le tableau des incidents, le registre des changements et la revue annuelle deviennent des habitudes, et le prochain questionnaire client se remplit en quelques minutes.

Checklist : où en êtes-vous ?

Cette liste vous aide à situer votre organisation par rapport à ISO 20000-1, que vous connaissiez ITIL ou non.

• Le périmètre des services concernés est défini par écrit.
• Une politique de management des services existe et la direction l'a validée.
• Les rôles et responsabilités du service sont attribués à des personnes nommées.
• Un catalogue des services décrit ce que vous fournissez et à quelles conditions.
• Les incidents et les demandes de service sont enregistrés, avec une date et un responsable.
• Les problèmes récurrents sont analysés, avec une cause identifiée.
• Chaque changement est approuvé avant sa mise en production.
• Les niveaux de service convenus avec les clients sont mesurés.
• La continuité et la disponibilité des services sont traitées, y compris les sauvegardes.
• Un audit interne a eu lieu ou est planifié.
• La direction revoit le système au moins une fois par an.
• Les écarts donnent lieu à des actions correctives enregistrées.

Si vous cochez la majorité des cases, votre système existe déjà en grande partie. Si vous n'en cochez que quelques-unes, commencez par le périmètre et la politique : tout le reste s'y accroche.

Comment Zertify s'inscrit dans cette démarche

Zertify délivre un certificat ISO 20000-1 à partir d'une auto-évaluation en ligne. Il n'y a pas d'audit sur site. G6 Agency AG émet le certificat sous licence de SICE (Swiss Institute of Certification and Education), et un membre du SICE Certification Board examine chaque évaluation avant l'émission. Le certificat est émis dans les 4 heures après une évaluation réussie et le paiement.

Le document PDF porte un code QR qui renvoie à une page de vérification publique. Votre client ou votre service des achats peut y contrôler que le certificat est authentique, sans vous écrire.

La validité est de trois ans. Chaque année, une courte réévaluation en ligne confirme que le système est toujours en place, dans le cadre d'un abonnement annuel. Le détail des conditions figure sur la page des tarifs.

Cette voie diffère de la voie classique, où un organisme de certification envoie des auditeurs sur place. Si vous hésitez entre les deux, notre guide sur la certification ISO sans audit compare les approches et leurs usages.

Pour commencer, vous pouvez lancer l'évaluation. Les questions suivent la norme et reprennent les points de la checklist ci-dessus.

Erreurs fréquentes

Écrire « certifié ITIL » sur le site de l'entreprise. ITIL certifie des personnes, pas des organisations. La formulation correcte est « collaborateurs certifiés ITIL ».

Penser qu'ITIL suffit pour un appel d'offres. Si le cahier des charges demande ISO 20000-1, une attestation Foundation ne répond pas à l'exigence.

Croire que la norme impose une organisation lourde. ISO 20000-1 fixe des exigences, pas la taille de votre équipe. Une petite structure documente ce qu'elle fait réellement.

Copier des procédures sans les appliquer. Un modèle rempli ne remplace pas des enregistrements réels. L'évaluation demande ce que vous faites, pas ce que vous avez téléchargé.