ISO 20000-1 für Finanzbranche: der Nachweis für Ihre IT-Services

Eine Bank lagert den Betrieb der Handelsanwendung aus. Ein Vermögensverwalter lässt sein Portfoliosystem bei einem Hosting-Anbieter laufen. Ein Versicherer bezieht den Arbeitsplatz-Support von einem Managed Service Provider. In allen drei Fällen prüft die Einkaufs- oder Compliance-Abteilung den Lieferanten, bevor der Vertrag unterschrieben wird.

Im Lieferantenfragebogen steht dann die Frage, wie Störungen, Änderungen und Verfügbarkeit gesteuert werden. Der Auftraggeber muss die Antwort belegen können, auch gegenüber der eigenen Revision. ISO 20000-1 gibt ihm dafür einen Massstab, der für jeden Anbieter gleich gilt.

Für Sie als Anbieter ändert das den Ablauf. Statt eines Dokumentenpakets mit Prozessbeschreibungen schicken Sie die Zertifikatsnummer. Der Einkauf prüft sie auf der öffentlichen Verifizierungsseite oder über den QR-Code auf dem PDF.

• Die Norm ISO 20000-1 im Überblick

Im Finanzumfeld laufen IT-Services zu festen Zeiten unter hohem Druck: Zahlungsläufe am Morgen, Börsenhandel tagsüber, Abschlussarbeiten am Monatsende. Die Norm setzt bei den Stellen an, an denen dabei etwas schiefgehen kann.

ISO 20000-1 baut auf ITIL-Praktiken auf, ist aber im Gegensatz zu ITIL zertifizierbar. Diese Begriffe begegnen Ihnen im Assessment und im Gespräch mit Ihrem Auftraggeber.

Servicekatalog

Die Liste der Services, die Sie anbieten, mit Leistungsumfang und Supportzeiten. Beispiel: «Betrieb Portfoliosystem für Vermögensverwalter, Support werktags von 07:00 bis 18:00 Uhr».

Service Level Agreement (SLA)

Die schriftlich vereinbarte Servicequalität. Beispiel: Das E-Banking-Portal ist zwischen 06:00 und 22:00 Uhr verfügbar, kritische Störungen werden innert 15 Minuten aufgenommen. Die Werte legen Sie mit Ihrem Kunden fest.

Incident

Eine ungeplante Unterbrechung oder Qualitätsminderung eines Services. Beispiel: Die Kartenautorisierung antwortet nicht mehr.

Problem

Die Ursache hinter einem oder mehreren Incidents. Beispiel: Ein Zeitlimit in der Schnittstelle erklärt, warum der Abgleich mit der Depotbank jeden Monatsultimo scheitert.

Change

Eine geplante Änderung an einem Service, die vor der Umsetzung beurteilt und freigegeben wird. Beispiel: ein neues Format für Zahlungsdateien.

Kontinuierliche Verbesserung

Der feste Rhythmus, in dem Sie Kennzahlen auswerten und Massnahmen ableiten. Beispiel: Die Quartalsauswertung der Tickets zeigt, dass drei Störungsarten 60 Prozent der Aufwände verursachen, und führt zu einer Massnahme für diese drei.

Die Anforderungen verlangen keinen Konzern-Apparat. Ein Managed Service Provider mit wenigen Mitarbeitenden erfüllt sie mit Mitteln, die meist schon vorhanden sind: Ticketsystem, Monitoring, Kundenverträge.

1. 01

   Services und Katalog festhalten

   Schreiben Sie auf, welche Services Sie für Banken, Versicherer oder Vermögensverwalter erbringen. Jeder Service erhält Beschreibung, Supportzeiten und einen verantwortlichen Ansprechpartner.

2. 02

   SLAs in die Verträge übernehmen

   Verfügbarkeit, Reaktionszeit und Eskalationswege stehen in jedem Kundenvertrag und nicht nur in einer separaten Offerte.

3. 03

   Incidents und Probleme getrennt führen

   Im Ticketsystem unterscheiden Sie die Störung selbst von der Ursachenanalyse. Wiederkehrende Incidents erhalten ein Problem-Ticket mit Verantwortlichem und Frist.

4. 04

   Änderungen freigeben lassen

   Jede Änderung an einem Produktivsystem durchläuft Beurteilung, Freigabe und Dokumentation. Für dringende Änderungen gibt es einen definierten Notfallweg.

5. 05

   Kapazität und Verfügbarkeit messen

   Das Monitoring zeichnet Auslastung und Ausfallzeiten pro Service auf. Die Werte fliessen in die Planung ein, etwa vor dem Quartalsabschluss Ihrer Kunden.

6. 06

   Ergebnisse regelmässig bewerten

   Die Kapitel 9 und 10 der Norm verlangen Auswertung und Verbesserung. Ein festes Review pro Quartal mit Protokoll und Massnahmenliste genügt als Rhythmus.

Sie beantworten online 36 Ja-Nein-Fragen zu Ihrem Service-Management. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Bei den übrigen 23 Fragen sind mindestens 16 Ja-Antworten nötig. Sobald Sie bestanden und bezahlt haben, liegt das Zertifikat innert 4 Stunden vor.

Das Zertifikat wird von der G6 Agency AG unter Lizenz von SICE ausgestellt. SICE prüft jedes Assessment, bevor das Zertifikat entsteht. Es gibt kein Audit vor Ort. Jedes Zertifikat ist öffentlich über Nummer und QR-Code verifizierbar und gilt 3 Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit.

Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive Online-Re-Audit. Das Abonnement verlängert sich jährlich automatisch und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Dann endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % MwSt. enthalten. Zum Kauf brauchen Sie kein Konto.

Benötigt Ihr Auftraggeber zusätzlich ein weiteres Zertifikat, etwa zur Informationssicherheit, gilt ein Mehrfachrabatt: 20 % bei 2 Normen, 30 % bei 3 oder mehr, auch auf die jährliche Gebühr.

• Kostenloses Assessment starten
• Preise ansehen
• Seite zu ISO 20000-1

Der klassische Weg ist ein Audit vor Ort durch eine Zertifizierungsstelle. Er bindet mehrere Personen über mehrere Tage, und als grober Richtwert liegen Vorlauf und Kosten deutlich über dem Online-Weg. Die genauen Zahlen hängen von Grösse und Anbieter ab.

Welche Form des Nachweises zählt, entscheidet der Auftraggeber. Lesen Sie dafür die Ausschreibungsunterlagen oder fragen Sie die Einkaufsabteilung direkt. Steht dort ein Zertifikat nach ISO 20000-1 mit prüfbarer Nummer, ist das Zertify-Zertifikat eine Option, die Sie in wenigen Stunden in der Hand haben.

• Zertifizierungswege vergleichen
• Zertifizierung ohne Vor-Ort-Audit
• Was eine Zertifizierung kostet