IAF MD 18:2015 Aplikace ISO/IEC 17021:2011 v oblasti řízení služeb (ISO/IEC 20000-1)

Prezentace na téma: "IAF MD 18:2015 Aplikace ISO/IEC 17021:2011 v oblasti řízení služeb (ISO/IEC 20000-1)"— Transkript prezentace:

1 IAF MD 18:2015 Aplikace ISO/IEC 17021:2011 v oblasti řízení služeb (ISO/IEC 20000-1)

2 Datum vydání: 8.1.2015 Obsahuje požadavky na orgány provádějící certifikaci systému řízení služeb IT (ITSMS, ISO/IEC 20000-1) Podpora akreditace certifikačních orgánů (CO) (předpokládáme, že tento dokument bude využit pro akreditaci CO v ČR) IAF MD 18:2015

3 CO musí zajistit neustálý profesní rozvoj pracovníků, aby udržoval a zlepšil jejich způsobilost pro certifikaci ISO/IEC 20000-1. CO musí zejména zajistit, aby auditoři měli aktuální znalosti z praxe řízení služeb IT a souvisejících regulatorních požadavků. Neustálý profesní rozvoj může zahrnovat: –Dodatečné pracovní zkušenosti –Účast na školeních –Účast seminářích –Koučink –Samostudium Článek 7 - Požadavky na zdroje

4 „Znalost odvětví byznysu klienta“ musí zahrnovat obecné znalosti o informačních technologií a příslušné regulatorní požadavky. Pojmy a definice: „Produkty klienta“ = služby poskytované klientem „Procesy klienta“ = procesy řízení služeb implementované klientem „Specifické normy systémů řízení“ = řada norem ISO/IEC 20000. Auditoři musí porozumět vazbám mezi procesy, jak je popsáno v ISO/IEC 20000-1. Článek 7 - Požadavky na zdroje (Annex A)

5 Před certifikačním auditem CO musí požádat klienta, aby CO informoval, pokud některé ze záznamů ITSMS nemůže při auditu předložit, protože obsahují důvěrné nebo citlivé informace a zároveň k tomu uvedl náležité zdůvodnění. CO se musí rozhodnout, jestli může přistoupit k auditu i bez přístupu k těchto citlivých informací. Článek 8 - Požadavky na informace

6 Pokud se CO rozhodne, že audit není možné provést bez přezkoumání těchto důvěrných nebo citlivých záznamů, pak klientovi sdělí, že audit neproběhne, dokud nebude dohodnut nějaký způsob přístupu k informacím. Možnost řešení: Dohodnout se na způsobilém prostředníkovi s odpovídající bezpečnostní prověrkou k nahlížení na důvěrné a citlivé informace, který je nezávislý na klientovi, a který záznamy místo CO přezkoumá. Článek 8 - Požadavky na informace

7 Při stanovení počtu auditodní je třeba vzít v úvahu specifické faktory ITSMS: –Rozsah a složitost ITSMS a dodávaných služeb –Typ byznysu –Rozsah a složitost používaných technologií použitých při implementaci různých komponent ITSMS –Počet lokalit –Předchozí výkonnost ITSMS –Rozsah SLA a dalších smluvních ujednání v rámci ITSMS –Normy a regulatorní požadavky aplikovatelné na certifikaci –Počet dalších zainteresovaných stran podílejících se na poskytování služeb – dodavatelů, interních podpůrných skupin, zákazníků v roli dodavatelů Článek 9 - Požadavky na proces

8 Při certifikaci, která zahrnuje více lokalit, se využívá dokument IAF MD 1 pro vzorkování. Pokud organizace provozuje rozdílné procesy nebo činnosti v různých lokalitách, pak CO zdůvodní způsob vzorkování, který zvolil při certifikaci. Tím také prokazuje, jak se ujistil o shodě systému řízení napříč všemi lokalitami. Pozornost musí být věnována auditování „virtuálních lokalit“, např. v jiných než stálých lokalitách nebo online přístupů. V těchto případech nemusí být vzorkování vhodným nástrojem. Auditní zpráva musí obsahovat, jak klient identifikoval, posoudil a jak řídí rizika poskytovaných služeb. Článek 9 - Požadavky na proces

9 V rámci 1.stupně auditu musí CO získat dokumentaci ohledně navrhovaného ITSMS, která splňuje požadavky na dokumentaci uvedené v článku 4.3.1 ISO/IEC 20000-1. Cílem 1. stupně auditu je připravit zaměření plánování 2.stupně audit. Je třeba porozumět ITSMS v kontextu politiky a cílů zjistit připravenost organizace na audit. 1.stupeň auditu zahrnuje přezkoumání dokumentace. CO musí s klientem domluvit, kdy a kde bude provedeno přezkoumání dokumentace. V každém případě musí být přezkoumání dokumentace dokončeno před zahájením 2. stupně. Článek 9 - Počáteční audit a certifikace

10 Výsledky 1.stupně auditu musí být dokumentované ve zprávě. CO musí přezkoumat zprávu z 1.stupně, aby rozhodl o pokračování v auditu a o výběru kompetentního auditního týmu pro 2.stupeň auditu. CO musí upozornit klienta, že mohou být požadovány další typy informací a záznamů pro detailnější prověření ve 2.stupni auditu. Článek 9 - Počáteční audit a certifikace

11 Audit 2.stupně se musí zaměřit na: –Požadavky na dokumentaci uvedené v článku 4.3.1 ISO/IEC 20000-1 –Efektivnost implementace, monitorování, měření a přezkoumání cílů, plánů a procesů v rámci řízení služeb –Interní audity ITSMS a přezkoumání vedením –Odpovědnost vedení za politiku Článek 9 - Počáteční audit a certifikace