Сертификация по ГОСТ Р ИСО/МЭК 20000-1-2021 подтверждает, что организация управляет услугами через действующую систему менеджмента услуг, а не только имеет комплект регламентов. Она подходит поставщикам ИТ-услуг, внутренним сервисным подразделениям и другим организациям независимо от размера. В общем случае процедура добровольная. Фиксированного государственного тарифа нет: стоимость определяет орган по сертификации после оценки области СМУ, площадок, персонала и готовности документации.
Сертификат используют при участии в закупках, квалификации поставщиков и заключении договоров, где заказчику требуется подтвержденное управление уровнем сервиса. Обязательность может возникнуть из условий конкретного тендера или договора, но сам ГОСТ Р ИСО/МЭК 20000-1-2021 не обязывает каждую компанию получать сертификат.
Определим область сертификации и рассчитаем аудит СМУ для поставщика или внутреннего сервисного подразделения.
До заключения договора проверим имеющиеся документы, формат сертификата и требования заказчика. В расчет войдут:
- границы системы менеджмента услуг и перечень охватываемых сервисов
- подразделения, площадки и внешние поставщики
- состав проверки документации и записей
- трудоемкость сертификационного аудита
Обращение в наш центр помогает до заключения договора уточнить область СМУ, требования заказчика, состав необходимых записей и трудоемкость аудита, чтобы выбрать подходящий формат сертификации.
Рассчитать сертификацию сму
получить область, смету и перечень записей
Что именно подтверждает сертификат
Объект оценки по ГОСТ Р ИСО/МЭК 20000-1-2021 — система управления услугами организации в заявленной области. Сертификат не подтверждает соответствие отдельного сайта, облачной платформы, оборудования или программного обеспечения. Он показывает, что компания планирует, проектирует, преобразует, предоставляет и улучшает услуги через управляемые процессы.
Официальное название документа — «Информационные технологии. Управление услугами. Часть 1. Требования к системе управления услугами». Национальный стандарт идентичен ISO/IEC 20000-1:2018. Проверяемые требования сгруппированы в разделах 4-10: среда организации, лидерство, планирование, поддержка, функционирование, оценка результатов и улучшение. Карточка ГОСТ доступна в Федеральном информационном фонде стандартов.
Ключевая особенность норматива состоит в оценке целостной системы менеджмента и жизненного цикла услуг, а не отдельных программных продуктов или разрозненных процессов.
Стандарт применим не только к формальным ИТ-компаниям. Код ОКВЭД, организационно-правовая форма и численность сами по себе не определяют применимость: существенны наличие услуг и возможность управлять их жизненным циклом. Поэтому сертифицироваться может, например, внутренний центр обслуживания крупной организации, если его область и взаимодействие с клиентами описаны однозначно.
Стандарт актуален для внешних поставщиков ИТ-услуг, сервисных и технических подразделений, операторов инфраструктуры, облачных и телекоммуникационных сервисов, служб поддержки, а также внутренних центров обслуживания предприятий, если они управляют услугами, их качеством, изменениями, инцидентами и взаимодействием с поставщиками.
Пункты 4.3-4.4 требуют установить границы и содержание СМУ. Организация вправе ограничить область конкретными услугами, подразделениями или площадками, но не может удалить неудобные требования стандарта и заявить полное соответствие. Переданные подрядчикам процессы также остаются под управлением организации: пункты 8.2.3 и 8.3.4 связывают жизненный цикл услуг с контролем участвующих сторон и поставщиков.
Как выбрать обозначение стандарта и статус сертификации
Выбирать нужно не по внешнему виду бланка, а по требованиям будущего пользователя сертификата. Для внутреннего улучшения процессов может быть достаточно оценки в системе добровольной сертификации. Тендер или иностранный контрагент вправе установить требования к аккредитации, схеме признания, языку документа и обозначению стандарта.
Этап 1: обозначение стандарта. Оно не определяет статус аккредитации органа.
| Обозначение | Что подтверждается | Когда подходит | Что проверить |
|---|---|---|---|
| ГОСТ Р ИСО/МЭК 20000-1-2021 | Соответствие СМУ национальному стандарту | Российский договор, закупка или квалификация поставщика | Требования заказчика и соответствие области сертификата заявленным услугам |
| ISO/IEC 20000-1:2018 | Соответствие международной версии требований | Контрагент прямо запрашивает международное обозначение | Требования заказчика и соответствие области сертификата заявленным услугам |
Этап 2: статус органа. Сертификат с любым из двух обозначений может быть выдан в рамках аккредитованной либо неаккредитованной сертификации.
| Статус сертификации | Что означает | Когда подходит | Что проверить |
|---|---|---|---|
| Аккредитованная | Орган заявляет аккредитацию на соответствующие работы | Заказчик, договор или закупка требуют аккредитованного сертификата с выбранным обозначением стандарта | Требования заказчика, область сертификата, статус и область аккредитации органа |
| Неаккредитованная | Оценка проводится по правилам конкретной СДС без заявления об аккредитованном статусе | Заказчик допускает такой статус для сертификата с выбранным обозначением стандарта | Требования заказчика, область сертификата, регистрацию и правила СДС, ограничения применения знаков |
ISO разрабатывает стандарты, но не проводит сертификацию и не выдает «официальный сертификат ISO». Документ оформляет независимый орган. Аккредитация не является самой сертификацией и не обязательна для любого добровольного сертификата, однако она нужна, если этого требует заказчик, система сертификации, договор либо орган заявляет об аккредитованном статусе.
Заявленный аккредитованный статус проверяют в реестре аккредитованных лиц Росаккредитации. В записи сопоставляют статус органа и область аккредитации с сертификацией соответствующих систем менеджмента. Отсутствие записи не доказывает подделку документа: сертификат мог быть выдан вне национальной системы аккредитации, но называть его аккредитованным в таком случае нельзя.
Какие документы нужны для аудита СМУ
Одних положений и шаблонов для сертификационного аудита недостаточно. Аудитор сопоставляет документацию с фактическими процессами, ответственностью, внутренним контролем и свидетельствами улучшения. Если регламент описывает согласование изменений, организация должна показать записи, подтверждающие применение этого порядка.
Комплект для первоначальной оценки формируют с учетом заявленной области:
- сведения об организации, площадках, подразделениях и охватываемых услугах
- описание области СМУ, процессов и распределения ответственности
- политика, цели, показатели качества и правила управления услугами
- каталог или портфель услуг, соглашения об уровне сервиса и договоры с поставщиками
- записи об инцидентах, изменениях, проблемах, доступности и непрерывности услуг
- результаты внутреннего аудита, анализа со стороны руководства и устранения несоответствий
Самая дорогая ошибка подготовки — заказать аудит до того, как система накопила свидетельства функционирования. Наличие документации без записей не подтверждает внедрение. Другая проблема возникает при произвольном исключении процессов: сузить область до определенного подразделения допустимо, а исключить применимое требование стандарта нельзя.
Аутсорсинг также не убирает процесс из контроля СМУ. Если внешний исполнитель участвует в поддержке инфраструктуры или предоставлении сервиса, аудитор проверяет критерии выбора поставщика, согласованные обязательства, мониторинг результатов и действия при отклонениях.
Как проходит аудит, сколько он длится и от чего зависит стоимость
Процедура включает анализ заявки и области, оценку готовности, сертификационный аудит, работу с несоответствиями и решение органа о выдаче сертификата. Орган по сертификации определяет программу аудита, заявитель предоставляет документы и доступ к процессам, а решение принимает компетентное лицо органа, не подменяя его вывод разработкой документов за клиента.
| Часть процедуры | Что делает организация | Что делает орган |
|---|---|---|
| Заявка и расчет | Описывает услуги, площадки, персонал и требуемый статус сертификата | Определяет трудоемкость и условия договора |
| Первый этап аудита | Передает документацию и сведения о готовности СМУ | Оценивает область, структуру документов и готовность ко второму этапу |
| Второй этап аудита | Показывает работу процессов и записи | Проверяет выполнение требований в заявленной области |
| Решение | Устраняет выявленные несоответствия в согласованном порядке | Анализирует материалы и принимает решение о сертификации |
Единого срока процедуры в рабочих или календарных днях закон не устанавливает. Срок закрепляют договор, правила выбранной СДС и программа аудита. Он меняется в зависимости от числа площадок, ширины области, готовности процессов и времени на устранение несоответствий.
Отдельной государственной пошлины за выдачу такого добровольного сертификата нет. Цена является договорной и зависит от численности персонала, числа площадок, области сертификации и трудоемкости аудита. Раздельно оценивают подготовку СМУ и независимую сертификацию.
ГОСТ и Федеральный закон № 184-ФЗ не устанавливают универсальный срок действия сертификата или одинаковую периодичность надзорных аудитов. Упоминаемый на рынке цикл в 3 года применяется только тогда, когда его предусматривают правила конкретной системы. Даты действия, надзор и условия ресертификации нужно читать в сертификате и договоре.
Подготовим расчет после анализа фактической области СМУ и имеющихся свидетельств работы процессов.
Орган, проводящий аккредитованную сертификацию, не разрабатывает и не внедряет СМУ сертифицируемого клиента. Если консультационное сопровождение предлагает иное лицо, должны быть обеспечены организационное разделение исполнителей и решений, а также выявление, оценка и устранение угроз беспристрастности органа; одной раздельной сметы для этого недостаточно.
Составить смету по системе услуг
разделить исполнителей подготовки и независимого аудита
Какие редакции уже нельзя ставить в новую заявку
Действующая редакция введена 1 июня 2022 года. Приказ Росстандарта от 20 октября 2021 года № 1210-ст принят вместо ошибочно встречающейся ссылки на приказ № 1521-ст. Для новой сертификации нужно указывать версию 2021 года, а не переносить обозначение из старого сертификата.
| На что ссылаются | Статус | Что применять |
|---|---|---|
| ГОСТ Р ИСО/МЭК 20000-1-2021 | Действует с 01.06.2022 | Текущая основа сертификации СМУ, идентичная ISO/IEC 20000-1:2018 |
| ГОСТ Р ИСО/МЭК 20000-1-2013 | Утратил силу с 01.06.2022 | ГОСТ Р ИСО/МЭК 20000-1-2021 |
| ГОСТ Р ИСО/МЭК 20000-1-2010 | Утратил силу; был заменен редакцией 2013 года | ГОСТ Р ИСО/МЭК 20000-1-2021 |
| ГОСТ Р ИСО/МЭК 20000-2-2015 | Утратил силу | ГОСТ Р ИСО/МЭК 20000-2-2020 |
| ГОСТ Р ИСО/МЭК 20000-6-2013 | Утратил силу | ГОСТ Р ИСО/МЭК 20000-6-2021 |
Изменения затронули не только номер на бланке. Текущая редакция использует общую структуру стандартов на системы менеджмента и усиливает связь между контекстом организации, заинтересованными сторонами, рисками и возможностями, знаниями, портфелем и жизненным циклом услуг. Простая замена года в старой документации не подтверждает соответствие новым требованиям.
Что грозит за отсутствие сертификата
Отдельный штраф за отсутствие сертификата ГОСТ Р ИСО/МЭК 20000-1-2021 не установлен, поскольку сертификация в общем случае добровольна. Потери для бизнеса возникают по другому основанию: заявка может не соответствовать закупочной документации, а поставщик — договорному условию о наличии действующего сертификата.
КоАП РФ не связывает санкцию с простым отсутствием добровольного документа. Нормы об ответственности в сфере оценки соответствия и аккредитации устанавливают самостоятельные составы нарушений для специальных субъектов и не предусматривают штраф для обычного заявителя только за отсутствие добровольного сертификата. Текст кодекса опубликован на официальном портале в составе КоАП РФ от 30.12.2001 № 195-ФЗ.
Сертификат системы менеджмента не заменяет обязательную оценку продукции, лицензирование, аттестацию информационных систем или подтверждение требований к защите информации. Он также не доказывает автоматическое соответствие ISO 9001, ISO/IEC 27001 или законодательству о персональных данных: у этих режимов другие объекты и критерии.
Преимущества для процессов и клиентов
Практическая ценность сертификата появляется, когда область совпадает с услугами, которые компания продает или предоставляет внутренним клиентам. Тогда аудит проверяет не абстрактную «эффективность управления», а согласованность каталога услуг, уровней сервиса, изменений, инцидентов, поставщиков и показателей качества.
Сертификат может упростить квалификацию поставщика и подтвердить внедрение управляемых процессов. При этом улучшение зависит от самой СМУ: внешний аудит не заменяет управление целями, внутренний аудит и анализ со стороны руководства.
- Можно ли использовать сертификат в тендере?
- Можно, если документ соответствует условиям закупки по стандарту, области, сроку действия, схеме признания и статусу органа. Само наличие надписи ISO/IEC 20000-1 не гарантирует принятие заявки.
- Нужно ли заново проходить процедуру после окончания срока?
- После окончания срока и в течение сертификационного цикла применяются процедуры, предусмотренные правилами конкретной СДС, договором и применяемой схемой. Наличие, периодичность и порядок надзора, а также условия последующего решения о ресертификации нужно проверять в этих документах.
Как подготовиться к сертификации без формальной подмены процессов
Подготовка должна отражать реальные процессы, а не формально подменять их комплектом документов. До подачи заявки следует получить у заказчика или тендерного специалиста точную формулировку требования: национальный либо международный стандарт, допустимая аккредитация, язык сертификата и требуемая область. Это отсеивает вариант, который формально оформлен по нужному стандарту, но не принимается конкретным контрагентом.
Область лучше согласовать до разработки комплекта документов. Для этого сопоставляют услуги, площадки, подразделения, клиентов и внешних поставщиков с фактической ответственностью организации. После фиксации границ проводят внутреннюю проверку действующих записей, а заявку на аудит подают, когда процессы уже можно показать на примерах изменений, инцидентов, анализа показателей и решений руководства.
В договоре с органом отдельно закрепляют применяемую систему добровольной сертификации, область, этапы аудита, договорный срок, состав цены, надзор и правила использования знака соответствия. Если сертификат заявлен как аккредитованный, область органа сверяют до оплаты работ, а не после получения бланка.
На каких нормах основана добровольная сертификация СМУ
Федеральный закон от 27.12.2002 № 184-ФЗ «О техническом регулировании» в статьях 20-22 разделяет обязательное и добровольное подтверждение соответствия, закрепляет договорный характер добровольной сертификации и правила применения знака соответствия.
Федеральный закон от 29.06.2015 № 162-ФЗ «О стандартизации в Российской Федерации» устанавливает принцип добровольности применения документов по стандартизации. Федеральный закон от 28.12.2013 № 412-ФЗ «Об аккредитации в национальной системе аккредитации» применяется, когда орган работает или заявляет статус в национальной системе аккредитации.
Приказ Росстандарта от 20.10.2021 № 1210-ст связан с принятием ГОСТ Р ИСО/МЭК 20000-1-2021 и его введением с 01.06.2022. Сам ГОСТ содержит требования к сертифицируемой СМУ. ГОСТ Р ИСО/МЭК 20000-6-2021 адресован органам, проводящим аудит таких систем, а ГОСТ Р ИСО/МЭК 17021-1-2017 устанавливает общие требования к компетентности, беспристрастности, первоначальной сертификации, надзору, ресертификации, приостановлению и отмене сертификата. Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ применяется только при наличии самостоятельного состава нарушения, а не из-за отсутствия добровольного сертификата.