ISO20000信息技术服务管理体系内部审核检查表.docx

信息技术服务管理体系内部审核检查表(ISO/IEC20000-1:2018)编号:条款审核要点审核记录审核结论4.1理解组织及其环境1.组织是否确定与其宗旨和战略相关并且影响其实现服务管理体系预期结果能力的外部和内部因素？4.2理解相关方的需求和期望1. 组织是否确定服务管理体系及服务的相关方？2. 组织是否确定相关方要求？4.3确定服务管理体系范围1. 组织是否确定服务管理体系的边界及其适用性，以建立其范围？2. 服务管理体系的范围定义是否包括范围内的服务以及管理和交付服务的组织名称？3. 服务管理体系的范围是否保留成文信息，可获得并得到保持？4.4服务管理体系1.组织是否按照本标准的要求，建立、实现、维护和持续改进服务管理体系，包括其所需要过程及其相互作用？5.1领导和承诺1.最高管理层应通过哪些方式证实其对服务管理体系的领导作用和承诺？5.2.1制定服务管理方针1. 最高管理层是否制定了服务管理方针？2. 服务管理方针是否适应组织的宗旨和环境并支持其战略方向？3. 服务管理方针是否为建立服务管理目标提供框架？4. 服务管理方针是否包括对满足适用的服务管理相关要求的承诺？5. 服务管理方针是否包括对持续改进服务管理体系及服务的承诺？5.2.2沟通服务管理方针1. 服务管理方针是否可获取并保持成文信息？2. 服务管理方针是否在组织内得到沟通？3. 服务管理方针，适用时，是否可为相关方获取？5.3组织的角1.最高管理层是否确保与服务管理体系及服务相关岗位的责任和权限得到条款审核要点审核记录审核结论色，责任和权限分配和沟通？2.最高管理层是否分配责任和权限？6.1应对风险和机遇的措施1. 当策划服务管理体系时，组织是否考虑到内外部因素和相关方要求，并确定需要应对的风险和机遇？2. 组织是否确定有关的风险；风险对客户的影响和服务管理体系及服务的机遇；风险接受标准；风险管理的方法？是否形成文件？3. 组织是否策划应对风险和机遇的措施及优先级？策划如何将这些措施整合到服务管理体系过程中，并予以实现？策划如何评价这些措施的有效性？6.2.1制定目标1. 组织是否在相关职能和层级上制定服务管理目标？2. 服务管理目标是否与服务管理方针保持一致？3. 服务管理目标是否可测量？4. 服务管理目标是否考虑适用的要求？5. 服务管理目标是否予以监视？6. 服务管理目标是否予以沟通？7. 服务管理目标是否适当时更新？8. 组织是否保留有关服务管理目标的成文信息？6.2.2策划实现目标1.在策划如实现服务管理目标时，组织是否确定要做什么？需要什么资源？由谁负责？什么时候完成？如何评价结果？6.3策划服务管理体系1. 组织是否制定、实施和维护服务管理计划？2. 计划是否考虑到服务管理方针，服务管理目标，风险与机遇，服务要求和本标准的要求？3. 服务管理计划是否包含或引用以下内容：a）服务清单b）影响服务管理体系和服务的已知限制；c）有关的方针，标准和法律法规要求、合同的义务；d）服务管理体系和服务的权限、职责；条款审核要点审核记录审核结论e）运行服务管理体系和服务所需要的人员、技术、信息和财务资源；f）服务生命周期中和相关方采取的工作方法；g）支持服务管理体系的技术h）如何测量、审核、报告和改进服务管理体系和服务的有效性。4.其它的计划是否与服务管理计划相一致？7.1资源1.组织是否确定并提供建立、实现、维护和持续改进服务管理体系和运行服务所需的人员、技术、信息和财务资源，以满足服务要求和实现服务管理目标。7.2能力1. 组织是否确定在组织控制下工作人员所需要的能力，这些人员从事的工作会影响绩效和服务管理体系及服务的有效性？2. 组织是否基于适当的教育、培训或经验，确保这些人员是胜任的？3. 适用时，是否采取措施以获得所需的能力，并评价措施的有效性？4. 组织是否保留适当的成文信息，作为人员能力的证据？7.3意识1.组织是否确保在其控制下的工作人员知晓服务管理方针；服务管理目标；与工作有关的服务；其对服务管理体系有效性的贡献，包括改进绩效带来的益处；不符合服务管理体系要求带来的后果？7.4沟通1.组织是否确定与服务管理体系和其范围内的服务相关的内部和外部的沟通？包括：沟通什么？何时沟通？与谁沟通？如何沟通？谁负责沟通？7.5.1成文信息一总则1. 组织的服务管理体系是否包括本标准所要求的成文信息？2. 组织的服务管理体系是否包括组织所确定的、为确保服务管理体系的有效性必要的成文信息？7.5.2成文信息创建和更新1. 创建和更新成文信息时，组织是否确保适当的标识和描述？2. 创建和更新成文信息时，组织是否确保适当的格式？3. 创建和更新成文信息时，组织是否确条款审核要点审核记录审核结论保适当的评审和批准，以保持适宜性和充分性？7.5.3成文信息的控制1. 服务管理体系及本标准所要求的成文信息是否得到控制？2. 为控制成文信息，适用时，组织是否进行下列活动？a）分发，访问，检索和使用；b）存储和保护，包括保持可读性；c）变更控制（例如版本控制）；d）保留和处置。3. 对于组织确定的策划和运行服务管理体系所必需的来自外部的成文信息，是否得到适当的识别，并予以控制？7.5.4服务管理系统成文信息1.服务管理体系的成文信息是否包括：a）服务管理体系范围；b）服务管理的方针和目标；c）服务管理计划；d）变更管理方针、信息安全方针和服务连续性计划（一个或多个）；e）服务管理体系的过程；f）服务要求；g）服务目录；h）服务级别协议（SLA）；i）与外部供应商的合同；j）与内部供应商和充当供应商的客户的协议；k）本标准要求的程序；l）证明符合本标准和服务管理体系要求的记录。7.6知识1.组织是否确定和保持必要的知识，以运行服务管体系和服务？8.1运行策划和控制1. 组织是否策划、实现和控制满足要求所需要的过程？2. 组织是否控制策划的变更并评审非预期变更的后果，必要时，采取措施减轻不利影响？3. 组织是否确保外包过程受控8.2.1服务交付1. 组织是否运行服务管理体系，确保协作活动和资源。2. 组织是否执行交付服务所需要的活动。8.2.2策划服务1.已存在服务、新服务、服务变更的要求是否确认和保留成文信息。条款审核要点审核记录审核结论2. 组织是否基于组织、客户、用户和相关方的需求确认服务的关键性。3. 组织是否确认和管理服务间的依赖关系和复制关系。4. 考虑已知限制和风险，组织是否提议服务变更，以便服务与服务管理方针、服务管理目标和服务要求保持一致。5. 考虑可用资源，组织应对服务变更进行优先排序和提议新服务、服务变更，以便服务管理目标和业务目标保持一致。8.2.3控制服务生命周期的相关方1. 无论任何相关方涉及到在支持服务生命周期中执行活动，组织是否对本标准的要求和交付的服务负责。2. 组织是否确认和应用本标准评估和选择服务生命周期中的其它相关方。3. 组织是否确认和成文化下列内容？a）其它相关方提供和运行的服务；b）其它相关方提供和运行的服务组件；C）其它相关方运行的服务管理体系范围内的流程或部分流程。4. 组织是否集成组织自身或其它相关方提供和运行的服务管理体系范围内的服务、服务组件和流程？5. 组织是否进行协调包括服务生命周期中，策划、设计、转换、交付和改进活动的其它相关方。6. 组织是否对其它相关方定义和应用下列控制措施？a）测量和评估过程绩效；b）测量和评估服务、服务组件满足服务要求的有效性。8.2.4服务目录管理1. 组织是否创建和维护一个或多个服务目录。2. 服务目录是否包括描述服务的组织、客户、用户和其它相关方的信息、它们预期的结果和服务间依赖关系。3. 组织是否对客户、用户和其它相关方提供合适的访问（部分）服务目录的渠道。8.2.5资产管理1.组织是否确保管理用于交付服务的资产以满足服务要求和合同义务？条款审核要点审核记录审核结论8.2.6配置管理1. 配置项的类型是否定义？服务是否分类为配置项？2. 配置信息是否记录到适合服务关键性和类型的详细程度？访问配置信息是否受控？3. 每个配置项的配置信息是否包括？a）唯一性标识；b）配置项类型；c）配置项描述；d）与其它配置项的关系；e）状态。4. 配置项是否受控？配置项的变更是否可追溯和可审计，以维护配置信息的完整性？配置项的变更发布后，配置项是否更新？5. 适用时，配置信息是否对其它服务管理活动可用？8.3.1关系与协议一总则1. 组织是否使用供应商提供和运行服务？2. 组织是否使用供应商提供和运行服务组件？3. 组织是否使用供应商运行服务管理体系范围内的流程或部分流程？8.3.2业务关系管理1. 服务的客户，用户和相关方是否予以识别，并保留成文信息？2. 组织是否指定一个或多个专人负责管理客户关系和维护客户满意度？3. 组织是否与确定客户和相关方沟通的安排？沟通是否促进对不断进化的服务运行的业务环境的理解，是否使组织能够响应新的或变更的服务的要求？4.组织是否与客户按策划的时间间隔评审审服务绩效趋势和结果？5. 组织是否按照策划的时间间隔，基于对服务的客户进行抽样，调查客户满意度？是否对结果进行分析和评审以识别改进机会？6. 服务投诉是否予以记录、管理直至关闭和报告。当服务投诉通过正常渠道得不到解决，是否升级处理？8.3.3服务级别1. 组织是否与客户约定交付的服务？2. 对于所交付的每项服务，组织是否基条款审核要点审核记录审核结论管理于服务要求与客户协商确定一个或多个服务级别协议（SLAs）?服务级别协议是否包括服务级别目标，工作量和例外情况？3. 组织是否按照策划的时间间隔监控、评审和汇报：a）服务级别目标的绩效；b）与服务级别目标的工作量比较，实际和周期性的工作量的变更。4. 服务级别目标未满足时，组织是否识别改进机会？8.3.4.1管理外部供应商1. 组织是否指定一个或多个专人负责管理与外部供应商的关系、合同和绩效？2. 组织和外部供应商是否协商形成成文的合同？3. 合同中是否包含或引用以下内容？a）外部供应商提供或者运行的服务范围、服务组件、流程或部分流程；b）外部供应商需要满足的要求；c）服务等级目标或其它合同义务；d）组织与外部供应商的职责与权限。4. 组织是否评估外部供应商的服务等级目标或者其它合同义务与客户的服务等级目标保持一致，和管理已识别的风险。5. 组织是否按照策划的时间间隔监视外部供应商的绩效？服务等级目标和其他合同义务未满足的场合，组织是否确保识别改进机会？6. 组织是否按照策划的时间间隔依据当前的服务要求评审合同？变更授权前，合同的变更对服务管理体系和服务的影响是否予以评估？7. 组织和外部供应商的争议是否予以记录、管理直至关闭？8.3.4.2管理内部供应商和充当供应商的客户1. 对于每一个内部供应商和充当供应商的客户，组织是否开发、协商和维护成文的协议，以定义服务等级目标，其它承诺，活动和相互间的接口？2. 组织是否按照策划的时间间隔监视内部供应商和充当供应商的客户的绩效。服务等级目标和其它约定的承诺未条款审核要点审核记录审核结论满足的场合，组织是否确保识别改进机会。8.4.1服务预算与核算1. 组织是否在保持与财务管理方针和流程一致的情况下进行服务或一组服务的预算和核算？2. 是否对服务成本进行预算，使提供的服务能有效地进行财务控制和决策？3. 按照策划的时间间隔，组织是否依据预算来监视和报告实际成本，审核财务预测并管理成本？8.4.2需求管理1.按照策划的时间间隔，组织是否：a）确定服务当前需求和预测未来需求；b）监视和评审需求与服务使用情况。8.4.3能力管理1. 考虑服务和性能要求，人员、技术、信息和财务资源的能力要求是否予以确定、保留成文信息和维护？2. 组织是否对能力进行策划？包括：a）基于服务需求，当前和预测的能力；b）对约定的服务等级目标、服务可用性、服务连续性要求的预期影响；c）能力变更的时间跨度和阀值。3. 组织是否提供充分的容量满足商定的容量和性能要求？组织是否监视能力的使用、分析能力和性能数据和识别改进机会？8.5.1.1变更管理方针1.变更管理方针是否予以制定和保留成文信息？8.5.1.2变更管理启动1.变更请求，包括增加、移除或转移服务，是否予以记录和分类？2组织是否在下列情况使用服务设计和转换流程：a）由变更管理方针确定的，对客户或其它服务有潜在重大影响的新服务；b）由变更管理方针确定的，对客户或其它服务有潜在重大影响的服务变更；c）依据变更管理方针，通过服务设计和转换管理的变更类别；d）移除服务；e）转移已存在的服务至客户或其它方；f）从客户或其它方转移已存在的服务条款审核要点审核记录审核结论至组织；8.5.1.3变更管理活动1. 组织和相关方是否就变更请求的授权和优先级做出决策。决策是否考虑风险、业务收益、可行性和财务影响。2. 决策是否考虑变更的潜在影响？3. 授权的变更是否予以准备、确认，可行的情况下，进行测试？授权变更的建议发布日期和其它细节是否和相关方沟通？4. 回退或补救不成功变更的活动是否予以策划，可行的情况下，进行测试？不成功的变更是否予以调查和采取约定的措施？5. 组织是否评审变更的有效性，与相关方采取约定的措施。6. 是否按照策划的时间间隔分析变更请求记录以识别趋势？分析所得的结果和结论是否予以记录和评审以识别改进机会？8.5.2.1策划新的或变更的服务1. 策划是否使用条款8.2.2确定的新的或者变更的服务的要求？是否包括或引用下列内容：a）设计、构建和转换活动的权限和职责；b）组织以及其他相关方拟执行的活动，包括时间跨度；c）人员、技术、信息和财务资源；d）与其它服务的依赖关系；e）新的服务或变更的服务需要的测试；f）服务验收标准；g）以可测量的术语表述的交付新的或变更的服务的预期结果。h）对服务管理体系、其它服务、计划的变更、客户、用户和其它相关方的影响。2. 针对将要被移除的服务，组织是否进行服务移除的策划？策划额外是否包括移除归档、数据的废弃与转移、文档信息以及服务组件？3. 受新的或变更的服务影响的配置项是否通过配置管理控制？8.5.2.21.新的或者变更的服务是否予以设计条款审核要点审核记录审核结论设计和保留成文信息以满足条款8.2.2确定的服务要求？设计是否包括下列内容：a）交付新的或变更的服务时的各方权限和职责；b）对人员、技术、信息和财务资源变更的要求；c）对适当的教育、培训和经验的要求；d）支持服务的新的或变更的服务等级协议、合同和其他形成文件的协议；e）变更对服务管理体系的影响，包括新的或变更的方针、计划、过程、程序、测量或知识；f）对其它服务的影响；g）更新服务目录（一个或多个）。8.5.2.3构建与转换1. 新的或变更的服务是否被构建和测试，以验证其能否满足服务要求，设计文件的要求，以及约定的验收标准？如果不符合服务验收标准，组织和相关方是否就必要的措施和部署进行决策？2. 发布和部署管理是否被用于部署已批准的新的或变更的服务到实际运行环境中？3. 转换活动完成后，组织是否向相关方报告所实现的结果，并与预期结果进行对比。8.5.3发布与部署管理1. 组织是否定义发布类型，包括紧急发布，发布频率和如何管理？2. 组织是否与对新的或变更的服务和服务组件部署到实际运行环境进行策划？策划是否与变更管理过程协调一致，并包含对相关的变更请求、已知错误和通过该发布所关闭问题的引用？策划是否包括每个发布的部署日期、交付物和部署方法？3. 组织是否依据成文的验收准则对发布进行验证，并在部署前被授权？如果未能满足验收准则，组织和相关方是否就采取必要的措施和部署进行决策？4. 发布部署到实际运行环境前，是否建立受影响的配置项的基线？5. 发布是否部署到实际运行环境中，以使服务和服务组件的完整性得到保持？条款审核要点审核记录审核结论6. 是否监视和分析发布的成功或失败？测量内容是否包括发布在部署之后至随后的发布间的的事件？分析的结果和结论是否予以记录和评审以识别改进机会？7. 适用时，发布成功或者失败、未来发布日期的信息是否对其它服务管理活动可用？8.6.1事件管理1. 事件是否：a）记录和分类；b）考虑影响和紧急性，进行优先排序；c）需要时升级;d）解决；e）关闭。2. 事件记录是否根据采取的措施进行更新？3. 组织是否确定识别重大事件的标准？重大事件依据成文的程序进行分类和管理？重大事件的信息是否通知最高管理者？组织是否分配管理重大事件的责任人？事件解决后，重大事件是否予以汇报和评审，以识别改进机会？8.6.2服务请求管理1服务请求是否：a）记录和分类；b）优先排序；c）完成；d）关闭。2. 服务请求是否根据采取的措施进行更新？3. 服务请求完成的指南是否对服务请求完成的有关人员可用？8.6.3问题管理1. 组织是否分析事件数据和趋势，以识别问题？组织是否进行根本原因分析和确定潜在的措施，以阻止事件的出现或者再现？2. 问题是否：a）记录和分类；b）优先排序；c）需要时升级;d）可能时进行解决;e）关闭。3. 问题记录是否根据采取的措施进行更新？问题解决的变更是否依据变更条款审核要点审核记录审核结论管理方针进行管理？4. 根本原因已经识别，但问题没有永久解决时，组织是否确认降低和消除问题对服务影响的措施？已知错误是否予以记录？适用时，已知错误的最新信息和问题解决方案是否对其它服务管理活动可用？5. 按照策划的时间间隔，问题解决方案的有效性是否予以监视、评审和报告？8.7.1服务可用性管理1. 按策划的时间间隔，与服务可用性有关的风险是否予以评估和保留成文信息？组织是否确定服务可用性要求和目标？协定的要求是否考虑了相关的业务要求、服务要求、SLA和风险？2. 服务可用性的要求和目标是否保留成文信息并维护？3. 服务可用性是否予以监控、记录结果和与目标作比较？非计划的不可用是否予以调查和采取必要的措施？8.7.2服务连续性管理1. 按策划的时间间隔，与服务连续性有关的风险是否予以评估和保留成文信息？组织是否确定服务连续性要求？协定的要求是否考虑了相关的业务要求、服务要求、SLA和风险？2. 组织是否建立、实施和维护一个或者多个业务连续性计划？3. 业务连续性计划是否包括或引用下列内容：a）激活服务连续性计划的标准和职责；b）在重大服务中断时实施的程序；c）激活服务连续性计划时的可用性目标；d）服务恢复要求；e）返回正常工作条件的程序；4. 正常服务位置访问被阻止时，服务连续性计划和联系人清单是否有可访问的渠道？5. 按策划的时间间隔，服务连续性计划是否按照服务要求进行测试？服务环境有重大变更后，服务连续性计划是否重新测试？测试的结果是否予以记录？每次测试后和服务连续计划激活条款审核要点审核记录审核结论后，发现有缺陷或不足时，组织是否采取必要的措施？6.服务连续性计划已经激活时，组织是否报告原因，影响和恢复活动？8.7.3.1信息安全策略1. 合适授权的管理者是否同意组织的信息安全策略？信息安全策略应保留成文信息和考虑服务要求及合同义务？2. 适用时，信息安全策略是否可用和可获取？组织是否沟通符合信息安全策略的重要性和应用策略于服务管理体系和服务的下列人员？a）组织；b）客户和用户；C）外部供应商、内部供应商和其它相关方。8.7.3.2信息安全控制措施1. 按策划的时间间隔，与服务管理体系和服务有关的信息安全风险是否予以评估和保留成文信息？信息安全控制措施是否确认、实施和运行，以支持信息安全策略和应对识别的信息安全风险？信息安全控制措施的决策是否保留成文信息？2. 组织是否同意和实施信息安全控制措施以应对与外部组织有关的信息安全风险？3. 组织是否监控和评审信息安全控制措施的有效性，必要时，采取措施？8.7.3.3信息安全事件1. 信息安全事件是否：a）记录和分类；b）考虑信息安全风险，进行优先排序；c）需要时，升级；d）解决；e）关闭。2. 组织是否基于类型、数量、对服务管理体系和相关方的影响分析信息安全事件？信息安全事件是否报告和评审，以发现改进机会？9.1监视、测量、分析和评价1. 组织是否确定服务管理体系和服务需要监视和测量什么？2. 组织是否确定需要用什么方法进行监视、策略、分析和评价，以确保结果有效？条款审核要点审核记录审核结论3. 组织是否确定何时实施监视和测量？4. 组织是否确定何时对监视和测量结果进行分析和评价？5. 组织是否保留适当的成文信息，以作为结果的证据？6. 组织是否对服务管理目标评估服务管理管理体系的绩效和有效性？组织是否对服务要求评估服务的有效性？9.2内部审核1. 组织是否按策划的时间间隔进行内部审核？2. 组织是否策划、建立、实现和维护审核方案（一个或多个）？3. 审核方案是否包括审核频次、方法、责任、策划要求和报告？4. 审核方案是否考虑下列内容：1）关注流程的重要性；2）变更对组织的影响；3）前一次审核的结果。5. 组织是否规定每次审核的审核准则和范围？6. 组织是否选择审核员并实施审核？7. 组织是否确保将审核结果报告至相关管理层；8. 是否保留成文信息作为实施审核方案以及审核结果的证据？9.3管理评审1. 最高管理层是否按策划的时间间隔评审组织的服务管理体系和服务？2. 管理评审输入信息是否包括：a）以往管理评审提出的措施的状态；b）与服务管理体系相关的外部和内部因素的变化；c）有关信服务管理体系绩效，包括以下方面的趋势：1）不符合和纠正措施；2）监视和测量结果；3）审核结果；d）持续改进的机遇e）客户好其它相关方反馈；f）本标准要求的服务管理方针和其它方针的遵守性、适宜性；g）实现服务管理目标；h）服务绩效；条款审核要点审核记录审核结论i）服务生命周期中其它相关方的绩效；j）当前和预测的人员、技术、信息和财务资源级别，和人、技术资源的能力；k）风险评估的结果、应对风险和机遇措施的有效性；l）影响服务管理体系和服务的变更；3. 管理评审的输出是否包括与持续改进机遇相关的决定以及变更服务管理体系和服务的任何需求？4, 组织是否保留成文信息作为管理评审结果的证据？9.4服务报告1. 组织是否确定服务报告的要求和用途？2. 关于服务管理体系和服务绩效、有效性的服务报告是否使用服务管理体系和服务交付活动产生的信息？服务报告是否包括趋势？3. 组织是否基于服务报告的发现决策和采取措施？已协定的措施是否和其它相关方沟通？10.1不符合及纠正措施1. 当发生不符合时，组织是否对不符合做出反应？适用时，是否采取措施，以控制并予以纠正？是否处置后果？2. 当发生不符合时，组织是否通过以下活动，评价是否需要采取措施，以消除产生不符合的原因，避免其再次发生或在其他场合发生：1）评审不符合；2）确定不符合的原因；3）确定类似的不符合是否存在，或可能发生；3. 当发生不符合时，组织是否实现任何需要的措施？4. 当发生不符合时，组织是否评审任何所采取的纠正措施的有效性？5. 当发生不符合时，必要时，是否对服务管理体系进行变更？6. 纠正措施是否与所遇到的不符合的影响相适合？7. 组织是否保留成文信息作为以下方面的证据：a）不符合的性质及所采取的任何后续条款审核要点审核记录审核结论措施；b）任何纠正措施的结果。10.2持续改进1. 组织是否持续改进服务管理体系和服务的适宜性、充分性和有效性？2. 授权决策时，组织是否确定适用于改进机会的评估标准？评估标准是否包括和组织服务管理目标保持一致？3. 改进机会是否保留成文信息？组织应是否同意的改进机会进行管理，是否包括下列活动：a）在质量、价值、能力、成本、成果、资源利用率和风险降低等方面设置一个或者多个改进目标；b）确保改进活动进行优先排序、策划和实施；c）必要时，对服务管理体系进行变更；d）针对设定的目标，测量实施的改进，目标未满足的场合，采取必要的措施；e）汇报实施的改进。内审组长:内审组成员:审核时间: