一、标准简介

ISO/IEC 20000 是全球首个、也是目前唯一的 IT 服务管理（ITSM）国际标准，全称《信息技术 服务管理》。它起源于英国 BSI 的 BS 15000 标准，2005 年首次由 ISO/IEC 发布，2011 年修订一次，2018 年 9 月发布第三版 ISO/IEC 20000-1:2018，目前仍为现行有效版本。

与 ITIL 的关系：一句话概括——ITIL 是方法论，ISO 20000 是可认证的标准。ISO 20000 最初正是为了反映 ITIL 最佳实践指南而制定的，两者都覆盖事件、问题、变更、配置等流程；但 ITIL 只是一套非强制性的最佳实践框架（只能做个人培训认证，不能给组织发证），而 ISO 20000-1 是一套可审核、可发证的管理体系要求。形象地说，ISO 20000 相当于 IT 服务领域的"ISO 9001"。

该标准系列目前共有 12 个文件，其中只有 Part 1（要求）能产生正式认证；Part 2（2019）是应用指南，Part 3 是范围界定指南。

二、核心内容详解

1. 第 4–7 章、第 9–10 章要求要点

第 4 章 组织环境：识别与服务管理体系（SMS）相关的内外部议题（如法律法规、技术变革、市场竞争），识别相关方（客户、用户、供方、监管机构）及其需求和期望，在此基础上确定 SMS 的边界和适用性——即体系覆盖哪些服务、哪些地点、哪些组织单元，并形成成文信息。

第 5 章 领导作用：最高管理者必须亲自担责：制定与组织战略方向一致的服务管理方针；确保方针和目标融入业务过程；提供所需资源；明确各岗位的职责和权限；推动全员意识；承诺持续改进。2018 版不再强制设立"管理者代表"岗位，但必须明确"报告 SMS 绩效"的职责归属。

第 6 章 策划：基于风险的思维——识别 SMS 面临的风险与机遇并策划应对措施；设定可测量的服务管理目标；制定服务管理计划，明确实现目标要做什么、需要什么资源、由谁负责、何时完成、如何评价结果。

第 7 章 支持：提供体系运行所需资源（人员、基础设施、工具环境）；确保从事服务管理工作人员具备相应能力（培训、考核）；提升全员对服务方针、目标及自身贡献的意识；建立内外部沟通机制；对成文信息进行创建、更新和控制；管理服务所需的知识（如知识库）。

第 9 章 绩效评价：确定需要监视和测量的对象、方法、频次和评价时机；对照服务管理目标评价 SMS 的绩效，对照服务要求评价服务的绩效；按策划的间隔开展内部审核；最高管理者按策划间隔进行管理评审，判断 SMS 的适宜性、充分性和有效性。

第 10 章 改进：对出现的不符合采取纠正措施（分析根本原因、防止再发生）；识别改进机会，持续改进 SMS 的适宜性、充分性和有效性。

2. 第 8 章各过程组详解

第 8 章是标准的心脏，共 6 个过程组（8.2–8.7），另有 8.1"运行的策划和控制"作为总纲。下面按五个业务过程组逐个详解：

（一）关系过程（8.3 关系和协议）

业务关系管理：目的——与客户建立并维持良好的合作关系，确保服务持续对齐业务需求。关键活动：识别客户及相关方、定期沟通、收集并分析客户满意度、处理投诉、评审服务交付情况。

服务级别管理：目的——就服务水平与客户达成一致并确保兑现。关键活动：与客户协商确定服务内容、服务目标和工作量限制，形成成文的 SLA；监视、测量服务绩效并与目标对比；定期评审 SLA 的适宜性；未达标时采取纠正措施，必要时制定服务改进计划；用 OLA（内部运营级别协议）和 UC（外部支持合同）从上下游支撑 SLA。（详见下文第 3 节）

供方管理：目的——确保外部供方（及内部供方）的交付支撑整体服务目标。关键活动：与供方签订明确职责、服务目标和接口的合同/协议；监视供方绩效；管理供方变更、争议和风险；定期评审供方。

（二）服务设计、构建和转换（8.5）

新服务或变更服务的策划、设计和转换：目的——让新服务/重大变更受控地从需求走向上线。关键活动：识别服务需求；设计方案（包括各参与方的职责分工、资源与技能要求、配套的 SLA/合同更新、对其他服务的影响评估、服务目录更新）；按计划转换上线并验证。

变更管理：目的——对服务及支撑组件的所有变更进行标准化控制，在速度和风险之间取得平衡。关键活动见下文第 5 节。

配置管理：目的——掌握"我们有什么、它们之间什么关系"。关键活动见下文第 5 节。

发布和部署管理：目的——把经过测试的新增或变更内容安全地投放到生产环境。关键活动：策划发布（含发布策略：大版本/小版本/紧急修复）、发布前验证、受控部署、保留回退能力、管理发布的完整性。

（三）供需过程（8.4 供应和需求）

服务预算和核算：目的——让 IT 投入可量化、可追溯。关键活动：按组织财务管理政策对服务编制预算、对实际成本进行核算，使资源投入与业务价值匹配。

需求管理：目的——掌握服务被如何使用、未来需要多少。关键活动：监视并报告服务的需求量与消耗情况，预测未来需求趋势。

容量管理：目的——确保当前和未来的容量满足约定的需求，"不卡顿"。关键活动：制定容量计划；监视容量使用情况；需求变化时及时扩容或优化。

（四）解决和履行过程（8.6）

事件管理：目的——对服务中断或服务质量下降做出快速响应，尽快恢复服务。关键活动：记录和分类每一个事件；按"影响度×紧急度"定优先级；必要时升级（职能升级找专家、管理升级调资源）；解决并恢复服务；关闭事件。重大事件要有专门的升级和沟通程序。

服务请求管理：目的——高效履行用户发起的常规、预授权请求。关键活动：同样要记录、分类、定优先级、履行、关闭。典型请求包括信息咨询、权限申请、标准变更等低风险事项。

问题管理：目的——找到一个或多个事件的根本原因并消除，防止复发。关键活动：记录、分类问题；定优先级；必要时升级；在可能时予以解决并关闭；当根本原因已找到但暂时无法根治时，形成"已知错误"记录并给出变通方案；已知错误信息必须让事件/服务请求处理人员能够获取；按策划的间隔监视问题解决措施的有效性。

（五）服务保障过程（8.7）

服务可用性管理：目的——确保服务在约定的时间可用。关键活动：确定可用性要求和目标（综合考虑业务要求、服务要求、SLA 和风险）；监视可用性并与目标对比；对非计划的不可用进行调查并采取措施；按策划的间隔评估可用性风险并形成成文信息。

服务连续性管理：目的——重大灾难发生时服务能快速恢复、业务不中断。关键活动：确定连续性要求；建立、实施并维护业务连续性计划（内容包括：激活计划的标准与职责、重大中断时的处置程序、激活期间的可用性目标、恢复要求、返回正常的程序）；按策划间隔测试计划并记录结果；计划有缺陷或激活后发现不足时立即整改；计划一旦激活，要报告原因、影响和恢复活动。

信息安全管理：目的——在服务管理体系内落实信息安全。关键活动：经授权的管理者批准信息安全方针（成文信息，考虑服务要求和法律法规义务）；按策划间隔评估与 SMS 和服务相关的信息安全风险并形成成文信息；确定、实施并运行信息安全控制措施；对涉及外部组织的安全风险也要管控；监视评审控制措施有效性；信息安全事件要记录、分类、定优先级、升级、解决、关闭，并做趋势分析以发现改进机会。注：该部分可与 ISO/IEC 27001 整合实施。

3. SLA（服务级别协议）管理的具体要求

SLA 是服务级别管理过程的核心产出，标准的要求可归纳为五点：

  1. 内容必须商定并成文：与客户商定的内容至少包括——提供哪些服务、服务目标（如可用性 ≥99.5%、事件响应/解决时限）、工作量限制（如并发用户数上限、交易量上限）、例外情形、各方职责。口头承诺不算数。
  2. 上下游支撑：用 OLA（与内部团队的运营级别协议）和 UC（与外部供方的支持合同）把 SLA 目标分解下去，确保端到端可交付，避免"对客户承诺了、对内部没要求"。
  3. 监视与报告：持续监视服务绩效，定期向客户和相关方报告 SLA 达成情况。
  4. 定期评审：按策划的间隔评审 SLA 是否持续适宜，业务变化、服务变更时要同步更新 SLA。
  5. 不达标要行动：服务目标未达成时必须采取纠正措施，必要时制定正式的服务改进计划并跟踪。

4. 事件管理 vs 问题管理 vs 服务请求管理

三者的区别可以用一句话概括：事件管"恢复"，问题管"根除"，服务请求管"履行"。

维度事件管理问题管理服务请求管理
触发非计划的服务中断/质量下降一个或多个事件的根本原因（可主动发现）用户发起的常规需求
目标尽快恢复服务（先止血）消除根本原因、防止复发（治病根）高效、标准化地交付
例子系统宕机、网络中断内存泄漏导致每周宕机一次密码重置、权限申请
时效观分秒必争，有 SLA 时限压力可以从容分析，追求彻底按约定周期批量处理

三者的衔接链条：事件处理中遇到未知原因或同一故障反复出现 → 创建问题单转入问题管理；问题分析找到根本原因 → 若暂时无法根治，登记为"已知错误"并提供变通方案（事件处理人员凭此快速恢复）；要彻底修复则必须走变更管理实施变更；问题关闭后，关联的事件方可关闭。标准特别要求：事件和服务请求处理人员必须能够访问已知错误库、问题记录和 CMDB，三者共用一套知识。

5. 变更管理和配置管理（CMDB）的核心要求

变更管理：建立变更管理方针，核心是"所有变更皆受控"。

  • 变更要分类（标准变更/常规变更/紧急变更）、定优先级、走审批：常规变更经评估授权，重大变更由 CAB（变更顾问委员会）评审，紧急变更走快速通道但事后必须补评审和记录。
  • 每个变更的生命周期：记录 → 分类 → 定优先级 → 评估影响和风险 → 授权 → 实施 → 复审（是否成功、有无后遗症）→ 关闭。
  • 变更实施前要有测试和回退计划；问题根因的永久性修复必须经由变更流程实施，不能绕过。

配置管理（CMDB）：把 IT 环境变成一本"可查询、可追溯的总账"。

  • 识别配置项（CI）：服务器、网络设备、软件版本、文档、服务本身都可以是 CI；在 CMDB 中记录每个 CI 的属性及其相互关系，形成配置基线。
  • 对 CI 的任何变更必须受控（经变更管理授权后才能动）；定期审计验证 CMDB 数据的准确性，发现偏差立即纠正。
  • CMDB 是事件、问题、变更的"单一事实来源"：事件用来定位影响范围，问题用来分析根因链条，变更用来评估波及面——三者都依赖同一套准确的配置数据。

三、对企业的帮助

  • 招投标与市场准入：ISO 20000 证书是 IT 服务能力的"国际背书"，在政府、大型企业、金融等招投标中常被列为加分项甚至准入门槛，是打开高端客户市场的钥匙
  • 服务质量可量化：通过 SLA、可用性、响应/解决时限等指标体系，把"服务好坏"变成可测量、可考核的数据，减少服务中断和故障修复时间
  • 降低运维成本：规范的变更、问题、配置流程能显著减少重复故障和人为失误（如变更引发的中断），从而降低业务损失和运维成本
  • 甲方 IT 部门：即使不对外提供服务，企业内部 IT 部门建立该体系也能让 IT 与业务目标对齐，从"救火队"变成可管理的服务组织
  • 外包与供应链管理：标准规范了与外包商、供应商的接口管理，企业可以更放心地把核心 IT 职能外包
  • 与其他体系整合：与 ISO 9001（质量）、ISO/IEC 27001（信息安全）同属 Annex SL 结构，可一体化实施审核，降低多体系维护成本

四、最新版本

截至 2026 年 10 月，现行有效版本为 ISO/IEC 20000-1:2018（2018 年 9 月发布，第三版）。核实要点：

  • 2023 年 ISO 对其进行了确认复审（confirmed），确认 2018 版继续有效，未发布新版
  • 2024 年 2 月 23 日发布了一个修正案 Amd 1:2024（气候行动变化），仅在 4.1/4.2 条款增加了"组织应确定气候变化是否为相关因素"的表述，不改变标准模型和认证要求
  • 配套指南最新为 ISO/IEC 20000-2:2019

五、适合做认证的企业

  • IT 运维/外包服务商：云计算、数据中心运维、桌面运维、系统集成商——认证几乎是行业标配
  • 软件公司：有对外运维支持、SaaS 服务的软件企业
  • 大型企业/集团的内部 IT 部门：提升 IT 治理水平，对内建立服务承诺
  • 金融、电信、政府等对 IT 稳定性要求高的单位
  • 需要参与招投标、拓展海外/大客户市场的 IT 服务企业

主要信息来源

  • Wikipedia（英文）"ISO/IEC 20000"条目
  • Microsoft Learn《ISO/IEC 20000-1 - Azure Compliance》
  • BSI《ISO 20000-1 Implementation Guide》
  • Advisera 20000 Academy（事件/服务请求与已知错误、CMDB 信息流）

标签：IT 服务管理 · ISO/IEC 20000 · 标准解读