¿Qué es la ISO 20000?
📌La ISO 20000 (Sistema de Gestión de Servicios de IT) es la norma más importante relaccionada con la gestión de servicios de IT (Tecnologías de la Información), cuyo objetivo es usar los servicios de manera más eficiente, controlada y orientada a las necesidades de los clientes, así como siguiendo prácticas y procesos estandarizados.
Descubre sus beneficios
¿A quién aplica la norma ISO 20000?
🌍La norma ISO 20000 aplica a todas las empresas que provean servicios de tecnología de información o que hagan uso de los mismos
Empresas IT
Departamentos IT
Consultoras
La norma ISO 20000 NO es obligatoria, y por tanto, es tu decisión obtenerla y beneficiarte de ella.
Sin embargo, en muchas ocasiones, puede estar solicitada por una autoridad o gobierno (contratos públicos, licitaciones), un cliente grande o por políticas internas de una empresa. La norma es particularmente recomendada o requerida en los sectores financieros, telecomunicaciones o sanitario.
Los 6 pasos para certificarte en ISO 20000
A continuación te dejo las claves para conseguir la certificación iso 20000. Si sigues estos pasos, no te costará en absoluto superar la auditoría externa que lo otorga.
1. Diagnóstico inicial
Para superar este paso, es necesario analizar la situación de la empresa. Esto implica revisar los servicios de IT críticos, identificar las expectativas de los clientes internos y externos, y evaluar los riesgos de continuidad del servicio (ciberseguirdad, interrupciones…).
La política debe estar enfocada en el compromiso con prestar servicios de IT fiables y seguros, garantizando su confidencialidad, integridad y disponibilidad. También se aseguraran el cumplimiento de las normas vigentes, así como las actuaciones frente a fallos o cambios en los sistemas.
Deben establecerse indicadores, ya que la norma exige metas claras y cuantificables, aunque estos variarán según el contexto de cada organización:
Disponibilidad del servicio
Tiempo activo frente al total planeado. Cambios implementados sin interrupciones en el servicio.
Tiempo promedio de respuesta
Tasa de incidentes resuletos y velocidad con la que se solucionan posibles problemas.
Satisfacción del cliente
Medición de la puntuación mediante encuestas post-servicio.
Además, se deben evaluar los posibles riesgos teniendo en cuenta la diversidad de las causas:
Ambigüedad en la política de empresa, desalineación con los objetivos de negocio, KPI’s inadecuados o irrelevantes, dependencia excesiva de personas clave, riegos de reputación…
Falta de control documental y de revisiones periódicas, ausencia de comunicación interna y formación, riesgo de incumplimento normativo, carencia de integración con otros sistemas de gestión…
2. Planificación
En esta etapa, se ponen definen todos los objetivos a los que hemos hecho alusión en el apartado anterior.
Serán la base de la planificación, ya que todos los esfuerzos deben ir en esa dirección, y todos ellos conformarán la «hoja de ruta» para maximizar la eficiencia y el control de los servicios de IT. Se debe de evaluar el potencial impacto, así como una correcta asignación de roles y la inversión necesaria.
Deberá existir una división del trabajo y de las responsabilidades clara, con la inclusión de distintos equipos especializados (soporte, infraestructura, desarrollo, seguridad, etc.) y un Responsable de Gestión del Servicio de IT encargado de coordinar los avances y de asegurar la alineación con la norma ISO.
Para lograr que plan de acción sea un éxito, se debe hacer hincapié en los siguientes aspectos:
Ejemplo:
Una empresa de servicios financieros detecta que el 35 % de las incidencias de IT se deben a fallos en el sistema de gestión documental. Se define como meta migrar toda la documentación a una plataforma en la nube con redundancia geográfica antes de final del tercer trimestre, así como implantar un sistema de copias de seguridad automáticas cada 4 horas. Para ello, se asigna un presupuesto de 40.000 € y un equipo de 4 especialistas en infraestructura y ciberseguridad, liderado por el Responsable de Gestión del Servicio.
3. Implementación y Formación del personal
Cuando ya está creado el plan de acción, sólo queda ponerlo en marcha. Una buena implementación en el día a día permitirá superar la auditoría con facilidad.
Por ejemplo, para optimizar la gestión de servicios de IT, se fijarán cursos sobre gestión de incidentes según ITIL, formación en ciberseguridad aplicada a la gestión de servicios, y talleres prácticos para el uso de nuevas herramientas de ticketing o automatización de procesos.
En cuanto a capacitar al personal, por ejemplo, se fijarán cursos de buenas prácticas para el uso de la energía, formación en mantenimiento preventivo, y talleres de uso de aplicaciones de navegación siempre que haya actualizaciones relevantes.
Como ejemplo, para proporcionar herramientas y recursos, se proporcionarán instalaciones adecuadas para la mejora de la eficiencia y posibles softwares de gestión de IT (ServiceNow, Jira Service Management…). También se asegurará la disponibilidad de manuales de procedimientos actualizados, y se programará el mantenimiento periódico de sistemas críticos. Además se crearán boletines donde se informe de los avances, para reforzar la cultura de mejora continua.
4. Seguimiento
Para estar seguros de que la ISO 20000 llega para quedarse, es necesario que todos los trabajadores de la empresa la adopten de la forma más sencilla y práctica posible. Para evaluar su efectividad y garantizar que sus objetivos se cumplen:
- Monitoreo constante: Se deben comparar el rendimiento real de los servicios con los niveles de servicio (SLA) y objetivos definidos.
- Análisis de resultados, revisando métricas clave para evaluar el buen funcionamiento del plan de acción y posibles desviaciones. ¿Se cumplen los SLA pactados con los clientes? ¿Se observa una disminución en el número y gravedad de incidencias? ¿Se mantienen los niveles de disponibilidad y rendimiento acordados?
- Ajustes y mejoras continuas: Reforzar la formación, reasignar recursos, optimizar procesos de soporte o actualizar herramientas si se detecta que los resultados no cumplen los objetivos.
5. Auditoría interna
Esta paso consiste en simular la auditoría externa que otorga la certificación, de forma que se pueda evaluar la calidad de los cambios. Si la empresa supera la auditoría interna fácilmente, le costará poco esfuerzo superar la externa y obtener la certificación.
Lo ideal sería planificar una serie de auditorías del departamento de IT y sus interacciones con otros departamentos, y redactar un informe con los resultados observados. Con ello, se logran identificar áreas de mejora, y permiten mostrar a la empresa auditora los progresos sistemáticos. También se evalua si los registros y mediciones son completos y trazables.
Para realizar la auditoría interna, diseña preguntas modelo que permitan «examinar» de forma interna a la plantilla. De esta forma, podrás comprobar qué puntos necesitan mejorar.
+ ¿Cómo asegura el hospital que los sistemas de gestión de pacientes mantienen su disponibilidad y rendimiento óptimos durante todo el año?
Cada trimestre, el equipo de IT revisa y actualiza las bases de datos, comprueba la integridad de los registros y realiza pruebas para evaluar la capacidad de respuesta. Además, se ha implementado un sistema de monitorización 24/7 que envía alertas automáticas si el rendimiento baja o si hay riesgo de caída, lo que ha permitido reducir en un 15% las incidencias críticas en el último año.
6. Auditoría externa (Certificación)
La ISO20000, exige que la certificación sea emitida por una empresa acreditada externa (AENOR, TÜV, SGS, Bureau Veritas…). Para ello, deberás recabar información sobre las opciones que tengas y ponerte en contacto para recibir un presupuesto.
Una vez hayas contratado el servicio, deberás superar la auditoría externa para obtener la certificación. Si se detectan algunos errores, se otorgará el período de 30 días para solucionarlos.
💡Será sencillo pasar el período de auditoría externa, si se utilizan las auditorías internas como simulaciones reales. De esta forma, el personal estará más preparado y relajado.
💡La certificación ISO 20000 se entrega por un período de 3 años, con revisiones periódicas para confirmar el mantenimiento de las mejoras. Por ello, es necesario garantizar que la empresa sigue activamente alineada con la norma.