赛思威尔
ISO 20000 是信息技术服务管理体系标准，认证依据是 ISO/IEC 20000-1:2018。它审的是企业能否稳定交付 IT 服务：服务级别怎么承诺、事件怎么响应、变更怎么控制、容量与可用性怎么保证。
这套标准与常见的「技术能力强不强」是两件事，但两者的边界经常被混淆。系统集成商能把设备装好、软件开发公司能把功能做出来，都不等于服务交付可重复、可衡量。ISO 20000 要求企业把服务当成一条完整链路来管理：从服务目录与级别协议，到服务台受理、事件与问题分级、变更发布、配置项台账，再到容量、可用性、连续性、信息安全的配套过程。
需要注意的一点是，它审的是过程证据，不是技术水平。审核员会调服务级别报告、事件工单的响应与解决时长、重大变更的审批记录、配置项与实际环境的对应关系。系统再先进，如果工单靠口头派、变更有审批但没有回滚方案、配置台账和机房实际对不上，同样过不了。
2026 年 3 月 1 日起，新版《信息技术服务管理体系认证规则》CNCA-ITSMS-01:2026 施行，国家认监委 2026 年第 2 号公告发布，旧版实施规则同日废止，过渡期到 2 月底。因为规则换版，所以现在办证要按新规则的时间表、人日与材料要求走，老证可以结合监督审核或再认证完成换版。
凡是以 IT 服务为交付内容的企业都适用：系统集成、软件开发、运维服务、云与数据中心、通信服务、政企信息化。真正的门槛不是行业，而是有没有成规模、成周期的对外服务。
行业差异主要体现在服务形态，但真正决定能不能过的，是过程记录是否完整。运维与外包企业的重点在服务台、事件与问题管理、现场与远程支持的边界；系统集成企业的重点在项目交付转运营的衔接、质保期内的响应承诺；云与数据中心企业的重点在可用性指标、容量规划与连续性演练。因为服务形态不同，所以过程指标的统计口径必须贴合实际，照抄别人的 SLA 模板往往一开口就露馅。
规模上的差异直接体现在审核人日。按新规则附录的时间表，15 人及以下的初次审核为 3.5 人日，26 至 45 人升到 5.5 人日，46 至 65 人为 6 人日。这个表按认证范围内的人员数量计算，服务点的数量另计，每个服务点还有额外的人日。规模小的企业不必为了「看起来正规」铺开十几本文件，不过核心过程一个都不能省，关键是它们都有记录、能追溯。
常见的触发情形大致分四类。只要对上其中一条，基本就可以启动准备。
最直接的作用是补齐政企 IT 项目的资格门槛，同时把服务交付从「靠人靠谱」变成指标与记录支撑的过程管理。响应时长、解决率、变更成功率这些指标一旦有据可查，报价和续约都更站得住。
政企 IT 项目与运维服务招标中常作为资格条件或评审项，标书里被问到服务级别时，这张证正是对应答案
事件分级与响应时限写进服务级别协议并留工单记录，客户问起时能拿出数据，而不是只承诺态度
变更、发布、配置项管理有规则，重大操作有人审批、有回滚方案，人员流动时服务质量不容易崩
部分行业资质与项目要求把 IT 服务管理体系作为配套条件，提前办好可以避免临标时凑材料
需要说明的是，证书只是外部判断依据，但真正改变交付质量的，是它要求建立的那几条过程。因为工单与变更有了记录，所以问题定位、责任划分、成本核算都有了基础数据；这些数据积累一年之后，续约谈判与服务定价都更有依据。
一张管服务怎么交付，一张管信息怎么保护。ISO 20000 关注服务级别、事件、变更与可用性；ISO 27001 关注信息资产的保密性、完整性与可用性。政企项目经常两张一起要求。
两者常被混为一谈，因为都涉及 IT 与数据。但关注角度完全不同：ISO 20000 回答「你的 IT 服务能不能按时按质地交付」，ISO 27001 回答「你手上的信息资产会不会泄露或被篡改」。理解这层区别，就不难判断手上的项目到底缺哪一张。
如果两个都在招标范围内，建议一起准备。因为服务台、变更、配置这些过程本身就要建，而信息安全的风险评估与控制措施可以挂在这套过程上，所以合并推进的总工作量比先后各办一遍要小。
认证依据 ISO/IEC 20000-1:2018，按 CNCA-ITSMS-01:2026 新规则实施，证书有效期最长 3 年。常规周期 45 天左右，主要变量是体系运行满三个月这条门槛，以及服务级别与工单记录能不能连成线。
周期方面，文件编制通常不是瓶颈，真正拖时间的是三件事：体系按标准运行满三个月、服务级别协议与工单记录有没有连续积累、服务点数量与人员口径是否已经确认。因为受理条件对这些有硬性要求，所以缺一项就要顺延，后面的现场排期也跟着挪。
认证范围是另一个高发点。范围写宽了审核量跟着涨，一旦实际服务能力覆盖不到，就会在二阶段暴露；范围写窄了又覆盖不住招标标的。服务点的划分也要提前想清楚，因为每个服务点都要单独计人日，范围里多写一个点，人日与现场安排都会变。
材料准备上，容易卡住的通常不是执照和架构图，而是工单系统里有没有真实数据、变更记录有没有审批与回滚、配置台账与机房实际是否对得上。因为审核会挑几个工单回溯全过程，所以平时不用的系统临时搭出来，一查时间戳就露馅。
流程是需求沟通、现状诊断与差距分析、过程与文件建立、运行与记录积累、申报受理、两阶段审核、整改闭环、发证，之后进入三年周期的监督审核。
流程的推进顺序大体固定，差异主要出现在过程落地与记录积累的速度上。把每一步需要交付的内容提前说清楚，从而避免中途反复补件。
其中「把过程落到工具」这一环最容易被简化，也最容易在现场暴露问题。因为审核员会要求当场调取工单与变更记录，所以文件写得再细致，系统里没有对应数据，一样站不住。先把服务台和变更流程真跑起来，文件反而是最后补的一层。
需要有真实对外提供的 IT 服务、成体系的交付过程，以及按标准运行满三个月的记录。规则对申请材料列了七项，包括服务目录、级别协议、过程文件与运行证据，缺项会退回补正。
看招标文件的原话。被点名要信息技术服务管理体系的先办 ISO 20000；被点名要信息安全体系的先办 ISO 27001；两张都在范围内的，合并推进的总工作量比先后各办一遍要小。
可以。规模不是门槛，15 人及以下的初次审核是 3.5 人日。文件层级可以压缩，但服务级别、事件响应、变更控制这几条核心过程必须有真实记录。
ISO/IEC 20000-1:2018，第 3 版，2018 年 9 月发布，2023 年复审确认继续有效。国内目前直接按这一版国际标准实施认证，不同于有等同国标的管理体系。
新版《信息技术服务管理体系认证规则》CNCA-ITSMS-01:2026 于 2026 年 3 月 1 日施行，旧版同日废止。变化涉及申请材料、审核时间表、监督与再认证人日比例等，已持证企业可结合监督审核或再认证完成换版。
受理条件要求体系运行满三个月。因为审核要看的是一段连续运行的过程记录，所以这三个月里工单、变更、配置的台账要真实产生，事后补做的记录经不起回溯。
看过程证据而不是系统先进程度：服务级别报告与实际达成情况、事件工单的响应与解决时长、重大变更的审批与回滚方案、配置台账与环境的对应关系，以及服务点的现场执行。
证书有效期最长 3 年，首次监督审核在 12 个月内安排，监督人日不少于初次审核的三分之一，再认证不少于三分之二，到期前办理换证。
免费评估办理方案与费用，不收取任何前期费用
冀公网安备13108202001398号
赛思威尔