IAF MD 18:2015 Aplikace ISO/IEC 17021:2011 v oblasti řízení služeb (ISO/IEC )

Datum vydání: Obsahuje požadavky na orgány provádějící certifikaci systému řízení služeb IT (ITSMS, ISO/IEC ) Podpora akreditace certifikačních orgánů (CO) (předpokládáme, že tento dokument bude využit pro akreditaci CO v ČR) IAF MD 18:2015

CO musí zajistit neustálý profesní rozvoj pracovníků, aby udržoval a zlepšil jejich způsobilost pro certifikaci ISO/IEC CO musí zejména zajistit, aby auditoři měli aktuální znalosti z praxe řízení služeb IT a souvisejících regulatorních požadavků. Neustálý profesní rozvoj může zahrnovat: –Dodatečné pracovní zkušenosti –Účast na školeních –Účast seminářích –Koučink –Samostudium Článek 7 - Požadavky na zdroje

„Znalost odvětví byznysu klienta“ musí zahrnovat obecné znalosti o informačních technologií a příslušné regulatorní požadavky. Pojmy a definice: „Produkty klienta“ = služby poskytované klientem „Procesy klienta“ = procesy řízení služeb implementované klientem „Specifické normy systémů řízení“ = řada norem ISO/IEC Auditoři musí porozumět vazbám mezi procesy, jak je popsáno v ISO/IEC Článek 7 - Požadavky na zdroje (Annex A)

Před certifikačním auditem CO musí požádat klienta, aby CO informoval, pokud některé ze záznamů ITSMS nemůže při auditu předložit, protože obsahují důvěrné nebo citlivé informace a zároveň k tomu uvedl náležité zdůvodnění. CO se musí rozhodnout, jestli může přistoupit k auditu i bez přístupu k těchto citlivých informací. Článek 8 - Požadavky na informace

Pokud se CO rozhodne, že audit není možné provést bez přezkoumání těchto důvěrných nebo citlivých záznamů, pak klientovi sdělí, že audit neproběhne, dokud nebude dohodnut nějaký způsob přístupu k informacím. Možnost řešení: Dohodnout se na způsobilém prostředníkovi s odpovídající bezpečnostní prověrkou k nahlížení na důvěrné a citlivé informace, který je nezávislý na klientovi, a který záznamy místo CO přezkoumá. Článek 8 - Požadavky na informace

Při stanovení počtu auditodní je třeba vzít v úvahu specifické faktory ITSMS: –Rozsah a složitost ITSMS a dodávaných služeb –Typ byznysu –Rozsah a složitost používaných technologií použitých při implementaci různých komponent ITSMS –Počet lokalit –Předchozí výkonnost ITSMS –Rozsah SLA a dalších smluvních ujednání v rámci ITSMS –Normy a regulatorní požadavky aplikovatelné na certifikaci –Počet dalších zainteresovaných stran podílejících se na poskytování služeb – dodavatelů, interních podpůrných skupin, zákazníků v roli dodavatelů Článek 9 - Požadavky na proces

Při certifikaci, která zahrnuje více lokalit, se využívá dokument IAF MD 1 pro vzorkování. Pokud organizace provozuje rozdílné procesy nebo činnosti v různých lokalitách, pak CO zdůvodní způsob vzorkování, který zvolil při certifikaci. Tím také prokazuje, jak se ujistil o shodě systému řízení napříč všemi lokalitami. Pozornost musí být věnována auditování „virtuálních lokalit“, např. v jiných než stálých lokalitách nebo online přístupů. V těchto případech nemusí být vzorkování vhodným nástrojem. Auditní zpráva musí obsahovat, jak klient identifikoval, posoudil a jak řídí rizika poskytovaných služeb. Článek 9 - Požadavky na proces

V rámci 1.stupně auditu musí CO získat dokumentaci ohledně navrhovaného ITSMS, která splňuje požadavky na dokumentaci uvedené v článku ISO/IEC Cílem 1. stupně auditu je připravit zaměření plánování 2.stupně audit. Je třeba porozumět ITSMS v kontextu politiky a cílů zjistit připravenost organizace na audit. 1.stupeň auditu zahrnuje přezkoumání dokumentace. CO musí s klientem domluvit, kdy a kde bude provedeno přezkoumání dokumentace. V každém případě musí být přezkoumání dokumentace dokončeno před zahájením 2. stupně. Článek 9 - Počáteční audit a certifikace

Výsledky 1.stupně auditu musí být dokumentované ve zprávě. CO musí přezkoumat zprávu z 1.stupně, aby rozhodl o pokračování v auditu a o výběru kompetentního auditního týmu pro 2.stupeň auditu. CO musí upozornit klienta, že mohou být požadovány další typy informací a záznamů pro detailnější prověření ve 2.stupni auditu. Článek 9 - Počáteční audit a certifikace

Audit 2.stupně se musí zaměřit na: –Požadavky na dokumentaci uvedené v článku ISO/IEC –Efektivnost implementace, monitorování, měření a přezkoumání cílů, plánů a procesů v rámci řízení služeb –Interní audity ITSMS a přezkoumání vedením –Odpovědnost vedení za politiku Článek 9 - Počáteční audit a certifikace