哪些企业需要办 ISO 20000 认证？标书里被问服务级别，这张证才用得上

判断要不要办 ISO 20000，看一件事：你卖的是不是持续的服务。卖设备或者卖软件许可，不用办。签了运维合同，按服务级别交付，客户迟早会问到这张证。人不多也办得下来，15 人以内初次审核 3.5 个人日[1]。

三类企业会被要求交这张证

第一类是外包运维和驻场服务商。机房值守和桌面运维，还有监控告警，合同里写着响应时间，采购方就会问你怎么保证。

第二类是云服务和数据中心。托管和 IaaS，还有算力租赁，客户把业务放上去，第一年问安全，第二年问可用率怎么算。

第三类是大企业的信息中心。集团内部按服务收费，或者对外接单，一层层报上去，最后要一张第三方出的证。

三类企业的共同点不在规模，在交付方式：一次交付变成按月交付，证书就有意义。

一张表判断你卖的是服务还是产品

你的生意	要不要办	为什么
卖软件许可、卖硬件	不用	交付一次就结束，没有持续的服务承诺
签年度运维合同	要	合同里有响应时间与可用率
系统集成项目	看情况	验收后还有质保运维，就按服务算
SaaS 订阅	要	每月收费，服务级别写在合同里
按人月结算的开发外包	看情况	服务级别常由客户自己管，证的价值打折

表里"看情况"那两行，决定因素只有一个：合同里有没有写量化指标。写了响应时限和可用率的算法，这张证就能对上。只写"及时响应"这一句，审核员也帮不了你。

底座是两份东西：服务目录先把边界写清，服务级别协议再把承诺写死

20000 审的是服务交付这件事，落点从服务目录开始，而不是从你机房里有几台服务器开始。你卖哪几项服务，边界在哪，谁负责，一项项列出来。第二份是服务级别协议，也就是 SLA，写清响应时间和恢复时间，还有可用率，也要写清怎么测[1]。整套要求在 ISO/IEC 20000-1 里，服务级别和事件，还有变更这些过程都有对应条款[2]。

审核员进门第一件事是拿这两份对现场：工单系统里的分类跟目录对不对得上，月报里的可用率，数据源又在哪。两页纸写得漂亮，系统里查不到对应记录，第一阶段就卡住。

事件和变更，是翻得最多的两页

事件记录看三样：怎么分级，多久响应，什么时候升级。变更记录看两样：谁批准的，回滚方案在哪。

这两页翻不出来，等于没有流程。补记录这件事，临时抱佛脚最容易被看出来：三个月前的工单，创建时间和解决时间都是同一天下午。

和 ISO 27001 的分工

27001 管信息安全，看的是保密性和完整性，还有可用性这三件事。20000 管服务怎么交付，看的是承诺有没有兑现。两张常被同一个标书一起要，结合审核的总时间不少于分开算的 80%[1]。

只办一张行不行？看客户问什么。问数据会不会泄露，办 27001。问故障多久恢复，办 20000。两张的区别，另一篇拆得更细：ISO 27001 和 ISO 20000 有什么区别。

申请条件八条，比 27001 少一条

主体资格在有效期内，行政许可在有效期内，体系建立并运行满 3 个月，因自身原因被暂停或撤销满 1 年，原发证方资质被撤满 3 个月，未被责令停产停业整顿，不在严重违法失信名单，加一条兜底[1]。

27001 那边多一条"一年内未发生重大及以上级别网络安全事件"，20000 这份规则里没有。所以去年出过一次安全事件的 IT 公司，20000 不卡，27001 会卡。

审核要几天：人少的话，三个半人日

档位是这样：15 人以内 3.5 个人日，16 到 25 人 4.5 个，26 到 45 人 5.5 个，46 到 65 人 6 个，66 到 85 人 7 个[1]。比 27001 便宜一档，同规模少一半上下。

现场审核时间不少于确定时间的 80%，审核时间最多减附录 B 的 30%[1]。有多个服务点的要留意：每个服务点的现场审核时间通常不少于 0.25 人日，各点加起来不能低于按总人数算出的现场时间[1]。

多场所抽样也有比例：相似场所初次审核全去，监督审核抽 60%，再认证抽 80%，结果向上取整[1]。

多久拿证

两阶段之间最短隔 5 日，最长 6 个月，超过要重做第一阶段[1]。从递材料到拿证，多数项目落在两三个月。排期紧的时候，卡人的不是审核，是工单记录攒不够三个月。

算时间可以倒着排：想在某个投标截止前拿到证书，往前推三个月建体系，再往前推一个月写文件。这条时间线在ISO 20000 认证费用那篇里也用过。

材料清单七项

• 认证申请：名称与地址，申请范围，人员数量，外包过程
• 法律地位证明，多个法律实体的每个都要交
• 行政许可与资质，适用时才要
• 组织机构与职责
• 信息技术服务的流程与班次
• 体系运行满三个月的证据
• 其他文件

外包过程那栏别空着。运维分包给下家，审核员会顺着合同查下家的控制措施，藏不住[1]。

现场审核那天，审核员先要看什么

先看服务目录与合同清单对不对得上，再看最近三个月的工单统计，最后抽查两条完整链路：一个事件的从报障到关闭，一个变更的从申请到回滚方案[1]

服务级别报告要能自己复算。他说全年没掉过线，你得当场打开监控把那个月的数据调出来。

证书三年，年审每年一次

证书有效期最长 3 年[1]。第一次监督审核在签发日起 12 个月内做，此后间隔不超过 12 个月[1]。到期前没完成再认证决定，证书自动失效[1]。

严重不符合的验证时限：初次认证 6 个月，监督审核 3 个月，再认证要在到期前完成[1]。

常见问题

只有 10 个人，能办吗

能。人日按有效人数查表，10 个人落在 3.5 个人日这一档。人少不等于审得浅，服务目录里的每一项都会被抽到。

我们没有机房，全在云上，能办吗

能。范围写的是你提供的服务，服务器在谁家不影响。但云服务商的管理动作要在你的体系里体现出来：监控谁看，备份谁做，故障谁通知。

ISO 20000 和 ITSS 是一回事吗

不是。20000 是国际标准，由发证机构审核发证。ITSS 是国内的一套信息技术服务标准体系，按成熟度分级评估。标书里写哪个，就按哪个准备，两个都写就得两套材料。

标书要求"ISO 20000 认证"，证书上写的是中文全称，会不会被认为不符

不会。证书在境内使用应当使用中文[1]，写的就是信息技术服务管理体系认证。评标看的是证书编号与查询状态[3]，不是英文缩写。查询步骤另一篇写过：认证证书怎么查真伪。

拿证以后客户还会来审吗

会。客户方的供应商审核跟第三方认证是两条线，证书能减少重复提问，但替不掉客户自己的年度审核。

参考来源

• 信息技术服务管理体系认证规则 CNCA-ITSMS-01:2026 全文，申请条件八条含运行满三个月，材料七项，附录 B 审核时间 15 人以内 3.5 人日与 46 到 65 人 6 人日，现场不少于 80%，减少不超过 30%，服务点每个 0.25 人日，多场所抽样 60% 与 80%，两阶段间隔 5 日与 6 个月，证书最长 3 年，首次监督 12 个月内，严重不符合 6 个月与 3 个月，结合审核 80% ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-14
• ISO/IEC 20000-1:2018 信息技术服务管理体系要求，服务交付相关过程含服务级别与事件管理 ｜ https://www.iso.org/standard/70636.html ｜ 2018-09-15
• 认证证书与机构批准范围查询入口，可按企业名称与证书编号查状态 ｜ https://cx.cnca.cn/ ｜ 2026-10-28