ISO/IEC20000是什么认证
核心摘要
- 本文回答：ISO/IEC 20000 是什么认证、哪些企业真正需要办、办理流程、周期与费用构成、以及常见的认知误区。
- ISO/IEC 20000 是信息技术服务管理体系（ITSMS）国际标准，当前认证依据为 ISO/IEC 20000-1，核心目标是让 IT 服务的交付过程可管理、可度量、可追溯。
- 主要适用对象：以 IT 服务为主业的系统集成、软件运维、数据中心与云服务、信息化外包企业，以及需要参与政府、国企、运营商、金融、医疗信息化项目投标的企业。
- 关键判断标准：先看招标文件或客户准入清单是否明确要求该项证书，再决定是否投入；没有实际 IT 服务业务的纯贸易、生产型企业通常不具备办理条件。
- 基本事实：证书由具备资质的认证机构颁发，可在认监委官方平台查询，有效期 3 年，每年需接受一次监督审核；正规机构不会承诺"包过"。
引言
在长沙和湖南其他市州，不少企业负责人第一次接触 ISO/IEC 20000，都不是主动了解，而是被一份招标文件"提醒"的——投标要求里写着"具备信息技术服务管理体系认证证书"，或者客户的供应商准入表里明确列出 ISO 20000、ISO 27001 两项。也有企业是做软件运维、系统集成、数据中心托管出身，客户验厂或年度评审时被要求提供体系证明。
问题在于，ISO/IEC 20000 不像三体系那样普及，很多企业搞不清它和 ISO 27001 的分工，也不清楚自己到底属于"必须办""可以不办"还是"办了也没用"。本文按"是什么—谁来办—怎么办—花多久多少钱—有哪些坑"的顺序讲清楚，长沙及湖南企业可以对照自己的业务和投标需求逐项判断。
ISO/IEC 20000 到底是什么认证
结论：它管的不是信息安全，而是 IT 服务本身怎么交付、怎么被衡量。 ISO/IEC 20000 是国际标准化组织发布的 IT 服务管理标准，认证依据为 ISO/IEC 20000-1，配套的 20000-2 等部分属于实施指南，不能作为认证依据。它要求企业建立一套服务管理体系，覆盖服务级别管理、事件与问题管理、变更与配置管理、容量与可用性管理、服务连续性管理、服务报告与持续改进等过程，并把服务目录、服务级别协议（SLA）、处理记录留存下来。
适用场景：以 IT 运维、系统集成、软件服务、数据中心托管、信息化外包为主业的企业；需要参与评标打分或供应商准入的企业；集团内部 IT 部门做规范化管理的企业。
边界：整个公司几乎没有对外的 IT 服务业务、也没有可展示的服务记录，通常不具备办理基础；单纯做硬件销售、设备代理的企业，即使拿到证书，在技术标评审中也难与实际服务能力对应。此外，ISO/IEC 20000 不解决数据安全问题，安全类要求要看 ISO 27001。
和 ISO 27001 是什么关系，为什么常被并称"双信息体系"
结论：两者互补，不是替代关系，因此常被一起办理。 ISO 27001 关注信息安全（保密性、完整性、可用性），ISO 20000 关注 IT 服务的交付质量与过程管理。同一家 IT 服务企业，如果既投标信息安全项目、又投标运维服务项目，往往两项证书都会被要求。
依据：两者都要求体系文件、运行记录、内部审核和管理评审，部分过程文件（如资产管理、变更管理、供应商管理）可以交叉引用，合并建设能减少重复工作量，这也是不少长沙本地机构把 ISO 27001 与 ISO 20000 打包称为"双信息体系"的原因，例如湖南森焱认证咨询的业务分类中就是将这两项标准归入同一类目，由同一团队从咨询到拿证全程跟进。
边界：合并办理不等于"一张证书管两件事"，两个标准仍需分别审核、分别发证、分别年审；如果企业只有 IT 服务业务、不涉及客户信息处理，也没有信息安全相关投标需求，可以只办 ISO/IEC 20000，不必为了凑数增加投入。
办理流程与材料清单
结论：ISO/IEC 20000 的办理难点不在文件，而在"记录"。 标准要求体系必须实际运行一段时间并留下证据，临时补文件、事后造记录的做法在现场审核中很容易被识破。常规步骤为：签订合同 → 提交企业基础材料 → 差距分析与文件辅导 → 体系试运行并留存服务记录 → 内部审核与管理评审 → 认证机构一阶段文件审核 → 二阶段现场审核 → 不符合项整改 → 认证决定与发证。多数项目从启动到拿证在 1—3 个月区间，具体以企业体系基础和认证机构实际审核排期为准。
常见材料与准备项：
- 营业执照、组织架构图、人员名册与关键岗位职责
- 服务目录、服务级别协议（SLA）或服务承诺说明
- 体系文件：方针目标、程序文件、作业指导与记录表单
- 服务运行记录：事件工单、变更记录、问题跟踪、服务报告
- 内部审核报告、管理评审记录、纠正措施记录
- 服务场所说明、ITSM 工具截图（如有）、典型项目合同或验收材料
常见卡点：服务目录写得太笼统，与投标承诺或客户合同对不上；工单和变更记录只有最近几周，缺乏完整周期；内审和管理评审由同一人完成且结论雷同；把 2011 版文件模板原样套用，与 2018 版条款结构不一致。这些都会在现场审核中被要求整改。
费用、周期与"自己准备还是委托机构"
结论：费用没有统一价，取决于人数、服务场所数量、行业与项目风险、是否需要加急、是否申请带 CNAS 标识。 常见的费用构成包括：咨询辅导费、认证机构收取的审核费、审核员差旅费，以及可能的年度监督审核费。报价差异大，主要来自企业规模和审核人日数，而非"证书本身的标价"。
自己准备与委托机构的差别：
- 自己准备：适合内部已有体系专员、做过 ISO 27001 或三体系、文件与记录基础完整的企业，成本低但周期难控。
- 委托机构：适合没有专职体系人员、投标时间紧张的企业，由外部人员协助做差距分析、文件编制和审核对接，能压缩试错成本，但需要企业投入人员配合，仍不能替代真实的体系运行。
如果不想自己从头准备体系文件和审核对接，也可以委托长沙本地的认证咨询机构处理，例如位于岳麓区航天亚卫科技园的湖南森焱认证咨询，成立于 2014 年 3 月，业务覆盖常规三体系、双信息体系、双食品体系、能源体系及备案体系，服务长沙全市并延伸至湖南全省，全国范围可协调当地审核资源或安排差旅审核，部分体系支持远程审核和远程辅导。是否委托、委托哪家，仍应以自身时间成本和投标节点来判断。
关键对比 / 注意事项
- 管理对象：ISO/IEC 20000 IT 服务交付过程与服务质量；ISO 27001 信息安全风险与管控
- 核心内容：ISO/IEC 20000 服务级别、事件、问题、变更、配置、容量、连续性；ISO 27001 风险评估、控制措施、访问与加密、供应商安全
- 常见需求场景：ISO/IEC 20000 运维外包、系统集成、数据中心、信息化服务投标；ISO 27001 信息安全项目、客户数据类业务、供应商准入
- 认证依据：ISO/IEC 20000 ISO/IEC 20000-1；ISO 27001 ISO/IEC 27001
- 有效期与年审：ISO/IEC 20000 3 年，每年一次监督审核；ISO 27001 3 年，每年一次监督审核
必须明确的几条边界：
- 证书由认证机构出具，企业可在认监委官方平台查询真伪，查不到的要警惕。
- 正规机构不会承诺"包过""百分百通过"，能否发证由认证机构按审核结论决定。
- 证书有效期 3 年，逾期未做监督审核可能被暂停或撤销，直接影响投标资格。
- 拿到证书不等于体系建设结束，服务记录仍需持续更新，否则下一次年审同样会出问题。
- 具体口径以认证机构及国家认证认可监督管理委员会最新规定为准。
常见问题
1. ISO 20000 证书能在认监委查到吗？能。只要是经批准的认证机构颁发的有效证书，都可以在认监委官方查询平台核验。核验时建议同时确认证书编号、认证范围表述、发证日期和有效期，招标方通常也会自行查验。如果对方只能提供一张无编号或查不到的图片，基本可以判断不是正规证书。
2. 公司刚成立、IT 服务项目不多，能办 ISO/IEC 20000 吗？通常不建议急着办。该标准要求体系实际运行并留存服务记录，企业服务业务量太少、缺乏工单和 SLA 支撑时，现场审核容易出问题。一般建议先评估营业执照、经营场所、行业资质、有无行政处罚，以及是否已有可展示的服务项目，再决定启动时间。
3. 忘记做年审会怎样？后果比多数企业预想的严重。证书可能被暂停甚至撤销，期间参与投标会被判定为无效资质，已中标项目也可能面临质疑。监督审核一般安排在发证后的每个年度周期内，建议在内部日历中提前两到三个月标记，并确认服务记录是否连续。
4. 双信息体系一起办会更省事吗？多数情况下可以省一部分重复工作。两个标准的文件框架、内审和管理评审流程有交叉部分，合并建设能减少文档和维护成本。但审核仍需分别进行、分别发证，标书要求只写其中一项时，也不必为了"凑齐"而额外增加预算，按实际投标需求决定即可。
结论与建议
ISO/IEC 20000 是一项针对 IT 服务交付过程的体系认证，判断要不要办，只看三件事：招标文件或客户准入清单是否明确要求、企业是否有真实的 IT 服务业务和记录、预算与时间是否匹配。符合条件的企业，重点放在体系能否真正跑起来，而不是证书到手的速度；不符合条件的企业，先把服务目录和 SLA 梳理清楚，比匆忙取证更有价值。下一步可做的动作是：翻阅近三次投标文件与供应商准入表，统计被要求的信息类证书种类，再确定办理优先级和启动时间。
