En bref :
- ISO 20000 est la norme internationale qui certifie le système de management des services (SMS) d’une organisation informatique.
- Elle impose des exigences documentées et vérifiables, à la différence d’ITIL, référentiel de bonnes pratiques non certifiable pour une organisation.
- La norme se structure en deux parties, les exigences certifiables du SMS et des lignes directrices d’application, autour d’un cycle d’amélioration continue.
- La certification suit une démarche en plusieurs étapes, conduite jusqu’à l’audit par un organisme accrédité, puis entretenue par des audits de surveillance.
La norme ISO 20000 désigne le référentiel international qui encadre et certifie le système de management des services (SMS) d’une organisation informatique. À la différence d’un référentiel de bonnes pratiques comme ITIL, elle fixe des exigences formelles, vérifiables par un audit externe et sanctionnées par un certificat. Les directions des systèmes d’information s’appuient sur elle quand la maîtrise de leurs services doit être démontrée à des clients, des donneurs d’ordre ou des autorités de tutelle.
Qu’est-ce que la norme ISO 20000 ?
ISO 20000 est publiée par l’ISO (International Organization for Standardization) conjointement avec l’IEC (International Electrotechnical Commission), ce qui explique sa référence complète ISO/IEC 20000-1. La version en vigueur date de 2018 et succède à une première publication de 2011. La norme trouve son origine dans la BS 15000, un standard britannique publié par le British Standards Institution au début des années 2000, avant d’être internationalisée par l’ISO.
Son objet est le système de management des services : l’ensemble des politiques, processus, rôles et outils qu’une organisation met en place pour planifier, fournir et améliorer ses services informatiques. ISO 20000 ne décrit pas comment traiter un incident ou configurer un outil de ticketing : elle fixe des exigences sur la façon dont l’ensemble du système est piloté et documenté.
A quoi sert le système de management des services (SMS) ?
Le SMS vise à garantir que les services informatiques répondent aux besoins de l’entreprise et de ses clients, de manière planifiée, contrôlée et continuellement améliorée. Il couvre la gouvernance des services, la gestion de la relation avec les parties prenantes, la conception et la transition des services, ainsi que leur résolution et leur amélioration dans la durée, une logique proche de celle que décrit l’Enterprise Service Management.
Un SMS efficace donne à la direction informatique une vision documentée de ses engagements, de ses risques et de ses marges de progrès, plutôt qu’une organisation reposant sur des pratiques informelles et dépendantes de quelques personnes.
La structure de la norme : ISO/IEC 20000-1 et 20000-2
La famille ISO/IEC 20000 se décompose en deux textes aux rôles distincts.
| Partie | Rôle | Caractère |
|---|---|---|
| ISO/IEC 20000-1 | Exigences du SMS à satisfaire pour être certifié | Certifiable |
| ISO/IEC 20000-2 | Lignes directrices d’application des exigences | Non certifiable, guide de mise en œuvre |
Seule la partie 1 fait l’objet d’un audit de certification. La partie 2 aide les équipes à interpréter les exigences et à les décliner concrètement, sans engager de conformité auditée. L’ensemble repose sur une logique de cycle PDCA (Plan, Do, Check, Act), qui structure la planification, la mise en œuvre, le contrôle et l’amélioration continue du SMS.
Les avantages de la certification ISO 20000
La certification apporte une reconnaissance internationale de la maturité des services informatiques, utile lors d’appels d’offres ou de négociations avec des clients exigeants. Elle structure aussi en interne la gestion des services, avec des rôles et des responsabilités clarifiés, une proximité de préoccupation avec les différences qu’explore l’article sur ESM et ITSM.
Elle installe enfin une discipline d’amélioration continue : les audits de surveillance obligent à mesurer régulièrement la performance du SMS, plutôt que de traiter la qualité de service comme un sujet ponctuel.
La démarche de certification ISO/IEC 20000-1
La certification suit un parcours structuré, qui commence généralement par une analyse d’écart entre les pratiques existantes et les exigences de la norme, puis se poursuit par la mise en conformité des processus et de leur documentation.
Le cycle PDCA appliqué au SMS
Le cycle PDCA structure la démarche dans la durée : planifier les objectifs du SMS, mettre en œuvre les processus, vérifier leur fonctionnement par des audits internes, puis agir pour corriger les écarts constatés. Ce cycle se répète après l’obtention du certificat, via les audits de surveillance menés par l’organisme certificateur.
Choisir un organisme certificateur accrédité
L’audit de certification est réalisé par un organisme accrédité, en deux temps : un audit documentaire qui vérifie l’existence et la cohérence du SMS, puis un audit de fonctionnement qui contrôle son application réelle. Seule l’accréditation de l’organisme garantit que le certificat délivré est reconnu internationalement.
ISO 20000 et ITIL : deux référentiels complémentaires
ISO 20000 et ITIL sont souvent confondus alors qu’ils répondent à des logiques différentes. ITIL est un référentiel de bonnes pratiques qui décrit comment organiser la gestion des incidents, des changements ou du catalogue de services, comme le détaille la méthodologie ITIL. Il n’est pas certifiable pour une organisation : seules les personnes obtiennent des certifications ITIL individuelles.
ISO 20000 est, à l’inverse, une norme certifiable pour l’organisation elle-même. Dans la pratique, les deux référentiels se combinent naturellement : les pratiques ITIL fournissent souvent la matière opérationnelle qui permet de satisfaire les exigences documentaires et de pilotage de la norme ISO 20000, un peu comme COBIT structure la gouvernance au-dessus des pratiques ITIL. Une organisation certifiée ISO 20000 n’a donc pas à choisir entre les deux : elle s’appuie généralement sur ITIL pour l’exécution et sur ISO 20000 pour en faire certifier la maîtrise.
Questions fréquentes
Qu'est-ce que la norme ISO 20000 ?
ISO 20000 est la norme internationale qui définit les exigences d’un système de management des services (SMS) informatiques. Publiée par l’ISO conjointement avec l’IEC sous la référence ISO/IEC 20000-1, elle est certifiable par un organisme accrédité, contrairement à un référentiel de bonnes pratiques comme ITIL. Elle s’adresse aux organisations qui doivent démontrer, preuves à l’appui, la maîtrise de leurs services informatiques.
A quoi sert la certification ISO 20000 pour une entreprise ?
Elle atteste qu’une organisation planifie, fournit et améliore ses services informatiques de façon structurée et vérifiable. La certification sert d’argument de confiance face aux clients et aux donneurs d’ordre, en particulier lors d’appels d’offres qui exigent un niveau de maturité démontré. Elle installe aussi une discipline d’amélioration continue qui dépasse le seul exercice d’audit.
Quelle est la différence entre ISO 20000 et ITIL ?
ISO 20000 est une norme certifiable : une organisation peut obtenir et perdre la certification selon le respect d’exigences précises, vérifiées par un auditeur externe. ITIL est un référentiel de bonnes pratiques non certifiable en tant que tel pour une organisation, seules les personnes passent des certifications ITIL individuelles. Dans la pratique, ITIL fournit souvent les pratiques opérationnelles qui permettent de satisfaire les exigences de la norme.
Qui délivre la certification ISO 20000 ?
La certification est délivrée par des organismes de certification accrédités, à l’image d’AFNOR Certification, de Bureau Veritas ou de DNV, à l’issue d’un audit du système de management des services. L’accréditation de ces organismes garantit l’indépendance et la rigueur de l’audit, condition nécessaire pour qu’un certificat ISO 20000 soit reconnu internationalement.
ISO 20000 et ISO 27001 appartiennent-elles à la même famille de normes ?
Les deux sont des normes ISO certifiables qui suivent la même logique de système de management et le même cycle d’amélioration continue, mais leur périmètre diffère. ISO 20000 porte sur le management des services informatiques, tandis qu’ISO 27001 porte sur le management de la sécurité de l’information. Une organisation peut détenir les deux certifications en parallèle, avec des processus communs de gouvernance documentaire.