内蒙古ISO20000⭐18734859001信息技术管理体系办理注意事项

ISO20000 信息技术服务管理体系认证‑注意事项

一、前期体系搭建阶段注意事项

1. 体系运行时长硬性条件：有效运行≥3 个月，留存真实运行记录

必须保留连续 3 个月以上 IT 服务工单、问题处理、变更审批、客户投诉、满意度记录；不要文件刚写完立刻申请认证；同时必须完成完整内审 + 管理评审（最高管理者主持），两项缺一不可抖音百科。

2. ⭐IT 服务目录是本体系核心，高频不符合点

禁止直接照搬网上通用模板；服务目录要匹配企业真实业务；写清楚对外提供哪些 IT 服务（运维、技术支持、云服务、系统实施等）；同步配套 SLA 服务级别协议，SLA 指标要可量化，不能全部笼统描述。

⚠️ISO20000 标准不允许随意删减标准条款，不能自行排除变更、事件、问题管理等核心流程要求。

3. 梳理 IT 服务连续性与应急预案

要识别 IT 服务中断风险，制定应急预案；条件允许要保留应急演练记录；IDC、云服务商对该项审核更加严格。

4. 供方（外包服务商）管控不可忽视

如果存在 IT 外包，需要建立外包供方台账，定期开展供方绩效评价；不能只管自己内部，对外包交付也要纳入体系管控，是审核经常开出不符合项的地方。

5. 慎重确定认证范围（多场所重点）

• 优先按照实际 IT 服务业务划定范围；没有实际开展的 IT 服务业务不要写到证书范围上，禁止虚构业务取证；

• 多地点办公、异地项目部，如果纳入认证范围，全部地点都需要接受现场审核；

• 企业只是软件开发，没有运维交付，认证范围不要写 IT 运维服务。

二、选择认证机构与签约阶段注意事项

1. 发证机构必须是认监委备案机构

签约前在【全国认证认可信息公共服务平台】核查机构资质；坚决不要买证、跳过现场审核取证；后期国家核查，证书直接撤销，招投标、申报补贴全部失效。

2. 报价一定要分清费用边界

初次认证报价不等于三年全部费用；监督审核、再认证一般单独收费；签约前确认审核人日、是否包含审核员差旅食宿，写进合同；警惕极低报价，后续年审恶意抬价。

如果同时做 ISO27001 信息安全体系，可以申请整合审核，节约审核人日，降低整体成本；但专项资料不能合并省略（20000 服务目录、27001 风险评估各自独立）。

三、现场审核（一阶段 + 二阶段）注意事项

1. 一阶段审核不能省略

一阶段重点审核体系文件、服务目录、内审管理评审；识别短板；整改之后再开展二阶段现场审核；直接跳过一阶段属于不合规审核。

2. 重点审核业务流程记录，不要后期集中补资料

审核员重点抽查：事件工单、问题根因分析记录、变更审批流程、发布上线记录、客户投诉闭环记录、供方评价记录；很多企业因为变更管控流于形式开出一般不符合项。

IT 部门相关岗位人员需要熟悉本部门体系职责，审核员会现场访谈运维、项目管理人员。

3. 不符合项及时闭环整改

区分严重不符合、一般不符合；出现严重不符合，本次认证直接不予通过；一般不符合需要在规定时限提交整改证据完成闭环。

四、获证之后证书维护（非常容易忽视）

1. 证书有效期 3 年；第 1、2 年度必须完成监督审核；

监督审核依旧会抽查工单、变更、供方管控资料，不是拿证就完事，体系需要持续运行；逾期不做监督审核，证书先暂停，超时直接撤销；撤销之后只能重新走初次认证。

2. 到期再认证建议提前 3‑6 个月启动；不要等到证书过期，过期失效只能重新初次取证，增加成本。

3. 企业发生重大变更务必主动报备认证机构：

如公司更名、搬迁办公地址；IT 业务重大调整、新增 IT 服务项目；需要及时申请范围变更，不能继续沿用旧证书。

五、商务申报与档案留存注意事项

1. 用于招投标、申报政府补贴前，先在认监委平台核实证书当前状态（有效 / 暂停 / 撤销）；

2. 整套体系档案（手册、服务目录、内审、运行记录）企业务必完整留存；很多地区申请认证补贴，不仅仅核验证书，还要核查体系运行档案；

3. 高层要持续重视体系，不要取证之后体系直接搁置，后续监督审核重点核查体系持续改进。