Le point de vue de l’auditeur par Jean-Marc LEZCANO – SOGETI Membre des commissions « Education et normalisation » et « Expertise » de l’itSMF Auditeur ICA Services Informatiques ISO 20000-1 jean-marc.lezcano@sogeti.com

L’audit initial Sur la base du référentiel ISO/IEC 20000-1: 2005 S’appuyant sur la norme ISO 19011:2002 (Lignes directrices pour l'audit des systèmes de management) Champ de certification couvrant toutes les exigences du référentiel ISO/IEC 20000-1 Périmètre géographique / organisationnel au choix de l’organisme (nécessité d’inclure dans le système de management les entités qui concourent à la réalisation de l’activité définie) Possibilité d’audit combiné ISO 9001 et ISO/IEC 20000-1 (combinaison possible avec audit de suivi ou de renouvellement) Documentation disponible auprès d’AFAQ-AFNOR : Guide d’audit à l’attention des organismes clients pour une certification ISO/IEC 20000-1

Préparation activités audit Décision de l’instance de certification Les phases Plan de Gestion des Services Revue de Direction Revue des documents Préparation activités audit Revue > 10 jours ouvrés Plan d’Audit Audit sur site Réunion d’ouverture Réalisation Réunion de clôture 1 à 7 jours ouvrés Fiches d’Ecarts Fiche Réunion Clôture < 5 jours ouvrés Rapport d’audit Rapport provisoire < 10 jours ouvrés Préparation Approbation Diffusion Réponses Rapport final Décision de l’instance de certification

L’audit sur site Réunion d’ouverture Confirmation du plan d’audit Présentation des activités Confirmation des rôles Réponse à des questions éventuelles Réalisation : Information en temps réel sur les constats d’audit Réunion quotidienne de synthèse Echange sur les constats d’audit de la journée Adaptation éventuelle du plan d’audit Réunion de clôture Présentation des conclusions d’audit (Classification des écarts éventuellement constatés) Communication de la proposition de décision Information sur la suite du processus Prise en compte d’éventuelles divergences

Exemple de plan d’audit ISO 20000-1 Contexte de l’entreprise et resp. de la direction (§ 3.1) Système (Plan et Do - § 4.1 et 4.2, Documentation - § 3.2) Relations clients et business (§ 6.1 et 6.2 – § 7.2) Conception et cycle de vie des services (§ 5) Niveau opérationnel (Support) : incidents, problèmes, configuration, changements, mises en production Relations fournisseurs (§ 7.3) Activités de définition et maîtrise des services (+/- Delivery) : continuité, disponibilité, capacité, sécurité Compétences (§ 3.3) Gestion financière (§ 6.4) Boucle d’amélioration (§ 4.3 et 4.4) Combiné ISO 20000-1 + 9001 Resp. direction (§ 5) SMQ (§ 4) Relations et écoute clients (§ 5.2 et 7.2) Conception (§ 7.3) Activités de réalisation (§ 7) Achats (§ 7.4) Ressources (§ 6) Boucle d’amélioration (§ 8) et revue de direction (§ 5.6)

L’ISO 20000 : accessible ? Formalisation du Système de Gestion des Services Approche Processus Prise en compte du PDCA Prise en compte de l’ensemble du champ du référentiel dans le Système de Gestion des Services L’ISO/IEC 20000-1 n’exige pas la mise en œuvre immédiate de l’ensemble des bonnes pratiques d’ITIL ! L’ISO/IEC 20000-1 n’impose pas de niveaux de service (pour autant que la satisfaction utilisateur puisse être au rendez-vous !) L’ISO/IEC 20000-1 constitue une base de départ solide pour mettre en œuvre un cycle d’amélioration continue de la fourniture de services, augmentant progressivement la maturité de l’organisation, au travers de la démarche ITIL

MERCI DE VOTRE ATTENTION