Qué es la ISO 20000 y qué exige

El proveedor llevaba cuatro años operando la mesa de servicio de un corporativo financiero y renovaba el contrato sin problema. En la licitación del quinto año apareció un requisito nuevo: certificación del sistema de gestión de servicios. El proveedor tenía ISO 27001 vigente, una herramienta de tickets, tableros de atención y un equipo que resolvía. Lo que no tenía era un catálogo de servicios con acuerdos de nivel medidos, ni un inventario de configuración confiable, ni distinción entre un incidente y un problema. Resolvía bien, pero no podía demostrar que administraba un servicio.

Qué es la ISO 20000

La ISO/IEC 20000-1 es la norma internacional certificable para un sistema de gestión de servicios. Aplica a cualquier organización que entregue servicios, típicamente de tecnología de la información, ya sea a clientes externos o a áreas internas. Comparte la estructura de alto nivel con las demás normas de sistemas de gestión, de modo que el contexto, el liderazgo, la planificación, el soporte, la operación, la evaluación del desempeño y la mejora funcionan igual que en la ISO 9001 o la ISO 27001, y sobre esa base agrega los requisitos propios del ciclo de vida de un servicio.

No hay que confundirla con ITIL. ITIL es un marco de buenas prácticas que describe cómo se puede gestionar un servicio, y su certificación es para personas. La ISO/IEC 20000-1 establece requisitos auditables y su certificación es para la organización. Se puede operar con ITIL y certificarse en ISO 20000, pero adoptar ITIL no basta para cumplirla, porque la norma exige evidencia de gobernanza, medición y mejora que un marco de prácticas no obliga a producir.

Qué exige

• —Portafolio de servicios: planificar y controlar los servicios, gestionar la demanda y la capacidad, y administrar las partes del servicio operadas por terceros sin perder la gobernanza.
• —Relación y acuerdo: catálogo de servicios, acuerdos de nivel de servicio con metas medibles, gestión de la relación con el negocio, gestión de proveedores internos y externos.
• —Suministro: gestión del nivel de servicio con reporte periódico contra las metas, gestión de la disponibilidad y de la continuidad del servicio, presupuesto y contabilidad de los servicios, gestión de la seguridad de la información.
• —Resolución y cumplimiento: gestión de incidentes, gestión de solicitudes de servicio y gestión de problemas, que es la investigación de la causa de los incidentes recurrentes.
• —Control: gestión de la configuración con un inventario de elementos y sus relaciones, gestión de cambios y gestión de liberación y despliegue.
• —Diseño y transición: el proceso por el que un servicio nuevo o modificado se planea, se prueba y se pone en operación con criterios de aceptación.

El punto que más cuesta: la gobernanza de lo que operan otros

La norma permite que partes del servicio las opere otro, pero exige que la organización certificada conserve la gobernanza: definir los procesos, acordar las interfaces, medir el desempeño del tercero contra metas y actuar cuando no se cumplen. Si un proceso completo está en manos de un proveedor y la organización no puede demostrar que lo gobierna, ese proceso no puede quedar dentro del alcance. Es la razón más común por la que un alcance se reduce a la mitad durante la etapa inicial de la auditoría de certificación.

Cómo convive con otras normas

Con ISO 27001 la relación es directa: la norma de servicios exige gestionar la seguridad de la información dentro del sistema de gestión de servicios, así que quien ya opera controles de seguridad reutiliza buena parte de la evidencia. Con ISO 9001 comparte todo el andamiaje de gestión: política, objetivos, competencia, información documentada, auditoría interna, revisión por la dirección, no conformidades y acciones correctivas. En la práctica conviene auditarlas de forma combinada y mantener un solo programa de auditoría interna, un solo procedimiento de no conformidades y una sola revisión por la dirección con los tres conjuntos de indicadores.

Errores frecuentes

• —Presentar la herramienta de tickets como si fuera el sistema de gestión de servicios.
• —Tener un catálogo de servicios que enumera actividades y no servicios con destinatario, alcance y acuerdo.
• —Acordar niveles de servicio que nadie mide, o medirlos sin reportarlos al cliente en un periodo definido.
• —No distinguir incidente de problema, con lo que se resuelve el mismo síntoma cada semana sin atacar la causa.
• —Inventario de configuración desactualizado, que hace imposible evaluar el impacto de un cambio.
• —Cambios de emergencia aplicados sin registro posterior ni revisión.
• —Plan de continuidad del servicio que nunca se prueba.
• —Dejar fuera del alcance al proveedor que opera la infraestructura sin reconocer que ahí vive el servicio.

Dónde se rompe en la operación

Los equipos de servicio suelen ser buenos resolviendo y malos demostrando. La norma no pregunta si el incidente se resolvió: pregunta contra qué meta, quién la acordó, cómo se reportó y qué se hizo cuando no se cumplió. En la Ciudad de México, donde los proveedores de tecnología, los centros de servicios compartidos y las empresas de servicios financieros compiten por contratos corporativos y por licitaciones de gobierno en las que el pliego pide certificaciones vigentes, esa diferencia entre resolver y demostrar es la que decide la adjudicación. Montar el sistema de gestión una sola vez, con un alcance que aguante la auditoría y con los procesos de calidad, servicio y seguridad integrados, es parte de lo que se estructura en la Consultoría ISO 9001 en Ciudad de México, donde el sistema se diseña para sostener las normas que el cliente exija sin duplicar el trabajo.

En resumen

La ISO/IEC 20000-1 es la norma certificable del sistema de gestión de servicios. Exige portafolio y catálogo de servicios, acuerdos de nivel medidos y reportados, continuidad y disponibilidad, capacidad y demanda, seguridad de la información, gestión de incidentes, solicitudes y problemas, configuración, cambios, liberación, y el diseño y transición de servicios nuevos. ITIL describe prácticas; esta norma fija requisitos auditables. Y su punto más exigente es demostrar que la organización gobierna incluso aquello que opera un tercero.