ISO 20000-1 pour prestataires informatiques : guide pratique

ISO 20000-1 est la norme internationale de management des services informatiques. Le certificat prouve à vos clients que vos services sont planifiés, fournis et améliorés selon une méthode reconnue, et non au cas par cas.

Ce que couvre ISO 20000-1:2018

La version en vigueur est ISO 20000-1:2018. Elle fixe les exigences d'un système de management des services, abrégé SMS : les règles, les rôles, les processus et les preuves qui permettent de fournir un service de façon fiable.

La norme vise toute organisation qui fournit des services informatiques à des clients externes ou internes : infogérants, hébergeurs, éditeurs de logiciels en mode service, équipes de support, agences qui assurent la maintenance de solutions livrées.

On ne certifie ni un produit, ni un logiciel, ni une personne. La norme porte sur la manière dont vous gérez le service, du premier contact à l'amélioration continue.

Pourquoi un prestataire informatique y gagne

• Une preuve de sérieux. Certains donneurs d'ordre demandent une preuve de maîtrise des services dans leurs appels d'offres ou leurs questionnaires fournisseurs.
• Moins de dépendance aux individus. Quand les processus sont écrits et appliqués, le service ne repose plus sur la mémoire de deux collaborateurs.
• Des engagements clairs. Niveaux de service, délais de réponse et responsabilités sont définis, mesurés et revus avec le client.
• Une base pour d'autres normes. La structure est celle de toutes les normes de management. Si vous visez plus tard la sécurité de l'information, une partie du travail est déjà faite.

Avant de choisir votre voie, lisez ce que demande votre client ou votre appel d'offres. Certains cahiers des charges exigent explicitement un certificat obtenu par la voie classique, avec audit sur site par un organisme de certification. D'autres se contentent d'une preuve documentée de votre système de management.

La structure de la norme, clause par clause

ISO 20000-1:2018 reprend la structure commune des normes de management, avec les clauses 4 à 10.

Clause 4 : contexte de l'organisme

Vous décrivez qui vous êtes, qui sont vos clients et quelles parties intéressées comptent : clients, fournisseurs, autorités, collaborateurs. Vous fixez aussi le périmètre du SMS : les services inclus, les sites, les équipes. Un périmètre précis vaut mieux qu'un périmètre vaste et flou.

Clause 5 : leadership

La direction définit une politique de management des services, attribue les rôles et les responsabilités et débloque les moyens nécessaires. Dans une petite structure, la gérante ou le directeur signe la politique et en répond réellement.

Clause 6 : planification

Vous identifiez les risques et les opportunités liés à vos services, puis vous fixez des objectifs mesurables, par exemple sur la disponibilité ou le traitement des incidents, et le plan pour les atteindre.

Clause 7 : support

Cette clause couvre les ressources, les compétences, la sensibilisation, la communication et les informations documentées. Vos collaborateurs savent-ils ce que la politique attend d'eux ? Pouvez-vous prouver leurs compétences ? Les documents sont-ils à jour et accessibles ?

Clause 8 : fonctionnement

C'est le cœur de la norme et la clause la plus spécifique aux services informatiques. Elle regroupe les processus que vous devez maîtriser :

• le catalogue de services et la gestion des actifs et des configurations ;
• la gestion des relations avec les clients et des niveaux de service ;
• la gestion des fournisseurs et des sous-traitants ;
• la gestion du budget, de la demande et de la capacité ;
• la conception, la mise en production et la gestion des changements ;
• la gestion des incidents, des demandes de service et des problèmes ;
• la disponibilité, la continuité et la sécurité de l'information.

Aucun outil n'est imposé. Chaque processus doit exister, être défini et appliqué, et vous devez pouvoir le démontrer.

Clauses 9 et 10 : évaluation et amélioration

Vous suivez vos indicateurs, vous menez des audits internes et la direction revoit le système à intervalles réguliers. Un écart se traite : on en cherche la cause, puis on corrige le service. Cette boucle distingue un SMS vivant d'un classeur oublié.

ISO 20000-1, ITIL et ISO 27001 : ne pas les confondre

ITIL est un cadre de bonnes pratiques. Il explique comment organiser la gestion des services, mais une organisation ne s'y fait pas certifier. ISO 20000-1 est une norme avec des exigences vérifiables, donc un certificat est possible. Si vous appliquez déjà ITIL, une bonne partie du travail est derrière vous.

ISO 27001 traite de la sécurité de l'information. ISO 20000-1 y renvoie pour la sécurité des services, mais les deux normes poursuivent des objectifs distincts. Beaucoup de prestataires commencent par l'une et ajoutent l'autre ensuite.

Checklist : êtes-vous prêt pour ISO 20000-1 ?

Cochez ce que vous pouvez déjà démontrer aujourd'hui.

• Le périmètre des services couverts est écrit et validé par la direction.
• Les clients et les autres parties intéressées sont identifiés, avec leurs attentes.
• Une politique de management des services est signée et communiquée à l'équipe.
• Les rôles et responsabilités sont attribués par écrit.
• Un catalogue de services décrit ce que vous proposez réellement.
• Les niveaux de service sont convenus avec les clients et mesurés.
• Les incidents, les demandes et les problèmes sont enregistrés et suivis dans un outil.
• Les changements sont évalués, approuvés et consignés avant mise en production.
• Les fournisseurs et sous-traitants critiques sont évalués et suivis.
• Un plan de continuité est défini et testé au moins une fois.
• Un audit interne a eu lieu et la direction a revu le système.
• Les écarts sont traités avec une cause identifiée et une action corrective.

Moins de la moitié de cases cochées n'est pas un échec : les cases vides forment votre liste de travail préparatoire.

Les erreurs fréquentes

Un périmètre trop large. Couvrir tous les services dès le départ multiplie la documentation. Commencez par les services principaux et élargissez ensuite.

Des documents sans pratique. Un processus décrit mais non appliqué ne résiste pas à la première question. Conservez des preuves réelles : tickets, comptes rendus, rapports de niveaux de service.

Une direction absente. La norme attend un engagement visible. Si la direction ne participe ni aux revues ni à la fixation des objectifs, le système s'essouffle vite.

Des indicateurs sans usage. Mesurer pour mesurer ne change rien. Retenez peu d'indicateurs, liés à la satisfaction du client et à la stabilité du service.

Une petite structure peut-elle viser ISO 20000-1 ?

Oui. Les exigences portent sur le fond et ne dépendent pas de la taille. Une équipe de huit personnes qui gère bien ses incidents, ses changements et ses engagements de service peut y répondre. Tout tient à la rigueur et aux preuves, pas au budget. Notre guide sur la certification ISO pour les PME montre comment adapter la démarche à une petite structure.

Comment Zertify s'intègre dans votre démarche

Zertify propose une voie en ligne pour obtenir le certificat ISO 20000-1. Elle repose sur une auto-évaluation : vous répondez aux questions liées aux exigences de la norme, vous décrivez vos pratiques et vous fournissez vos éléments. Aucun audit sur site n'a lieu. La page certification ISO sans audit détaille cette approche.

Le processus se déroule ainsi :

1. Vous répondez à l'évaluation en ligne, à votre rythme.
2. SICE (Swiss Institute of Certification and Education) examine chaque évaluation avant l'émission du certificat.
3. Après une évaluation réussie et le paiement, le certificat est émis dans les 4 heures par G6 Agency AG, sous licence de SICE.
4. Le certificat est publiquement vérifiable : un client ou un partenaire peut en contrôler l'authenticité.

Le certificat est valable trois ans. Un court ré-audit en ligne le confirme chaque année, dans le cadre d'un abonnement annuel. Les conditions figurent sur la page des tarifs.

Cette voie évite de mobiliser l'équipe pour des journées d'audit sur place, mais elle ne remplace pas le travail interne : vos réponses doivent refléter vos pratiques réelles. Plus votre SMS est en place, plus l'évaluation est simple.

Votre prochaine étape

Partez de la checklist ci-dessus. Notez ce qui manque, désignez un responsable pour chaque point et fixez une date. Quand vos processus principaux tournent et que vous disposez de preuves récentes, vous pouvez démarrer l'évaluation. Elle vous montre, point par point, où vous en êtes par rapport aux exigences.