Langer Weg zum ISO/IEC-20000-Zertifikat
IT Infrastructure Library (Itil) hat sich für viele Organisationen als Wegbereiter erwiesen. ISO/IEC 20000 rundet die Best-Practices mit Blick auf ein zertifizierbares IT-Servicemanagement (ITSM) ab. Deshalb lassen sich erstmals Prozessarchitekturen im ITSM-Umfeld aus Organisationssicht bewerten.
Der Nutzen von Itil ist unstrittig. Die Kernprozesse eines IT-Dienstleisters können darüber effizient gestaltet und verlässlich dokumentiert werden. Die hinterlegten Best-Practices haben bei konsequenter Umsetzung vielen Unternehmen und Providern geholfen, ihre IT an geschäftlichen Vorgaben auszurichten. So haben sie über eine höhere IT-Prozessqualität die ihrer Services verbessert, ohne die Kostenseite aus dem Blick zu verlieren. Jene Rund-um-Sicht hat diese Organisationen befähigt, ihre Prozesse angemessen zu organisieren, zu bewerten und kontinuierlich effizienter zu gestalten. Itil ist und bleibt die halbe Miete, um wirksame ITSM-Prozesse zu schaffen.
Es bleiben aber Lücken. So ist Itil als Orientierungs- und Vorgehensmodell kein international anerkannter Standard. Organisationen beziehungsweise deren Einheiten lassen sich darüber nicht zertifizieren. Das ist vor allem für Bereiche schmerzlich, für die Compliance wichtig ist. Ihnen fehlt damit der offizielle Nachweis ihrer Rechtskonformität. In Großbritannien wurden diese Lücken mit dem British Standard (BS) 15000 zuerst gefüllt. Ende 2005 wurde diese nationale Norm fast unverändert in ISO/IEC 20000 übernommen. Sie hat somit internationale Geltung, um ITSM-Prozesse allgemein verbindlich zu gestalten, zu messen und zu verbessern.
ISO/IEC 20000 gewinnt allmählich an Bedeutung. Nach der ITSM-Entscheider-Studie 2007 von Materna beabsichtigen 16 Prozent der befragten Unternehmen, ihre Prozesse binnen zweier Jahre nach diesem Standard zertifizieren zu lassen. Diese noch geringe Zahl hängt unter anderem von der langen Vorlaufzeit ab. So setzt die Norm voraus, die vorgegebene Prozessarchitektur komplett und in einem hohen Reifegrad einzuführen. Die meisten Unternehmen und Provider konzentrieren sich aber bisher nur auf einzelne Funktionen wie Service-Desk und IT-Prozesse wie Incident-, Change- und Configuration-Management. Damit können sie das ISO/IEC 20000-Projekt mit dem Ziel »Zertifizierung« nicht starten.
Sie werden also erst später, nachdem sie die fehlenden Komponenten und Maßnahmen ergänzt haben, die Zertifizierungs-Weihen erreichen. Dafür werden sie dann den ersten Teil der Norm, 20000-1, erfüllen müssen. Hier steht geschrieben, welche Voraussetzungen für ein erfolgreiches ITSM einzuhalten sind. Angesprochen werden sämtliche Aspekte, die für die Einführung, Implementierung und Pflege des ITSM erforderlich sind. Die Erfüllung von 20000-2 ist für die Zertifizierung nicht zwingend notwendig. Darin wird aufgeführt, wie die IT-Prozess-, Service- und Audit-Qualität auf Basis von 20000-1 verbessert werden kann.
Ist die ISO/IEC-20000-Zertifizierung, einmal erreicht, ist sie nur für drei Jahre gültig. Während dieser Frist sind jährliche Audits erforderlich. Außerdem muss das Zertifikat im Rahmen eines Wiederholungs-Audits, also einer erneuten Prüfung, nach Ablauf der drei Jahre bestätigt werden. Weder Dienstleister noch Beratungsunternehmen dürfen die Zertifizierungsreife abnehmen. Dadurch soll Interessensverflechtungen zwischen beiden Seiten, Beratern und Prüfern, entgegengewirkt werden. Auch diese strikte Regelungen bremsen den Marktfortschritt der Norm.
Es gibt einen weniger aufwändigen Weg, das ISO/IEC-20000-Projekt zu starten. Es kann lohnen, eine Zertifizierungsreife zu erlangen, ohne das offizielle Zertifikat anzustreben. Auf diese Weise lassen sich innerhalb der Organisation Verbesserungsprozesse für das ITSM etablieren. Diese können verlässlich dokumentiert und objektiv am offiziellen Standard gemessen werden. Das kommt den Unternehmen und Providern nicht nur intern, sondern auch mit Blick auf ihre Kunden zugute. Diese Initiative macht sich zudem für sie auf der Kostenseite durch erhebliche Einsparungen bezahlt. Und sie kommen Schritt für Schritt dem offiziellen Zertifikat näher.
Dieses wird bis auf Weiteres nur für große Unternehmen und Provider ein nicht zu hohes Ziel sein. Sie haben in der Regel den konsequenten Itil-Weg mit der Umsetzung aller zentralen Prozesse und Funktionen weit gehend beschritten. Ihnen winkt in Kürze ein Prüfsiegel nach internationalem Standard. Das lässt sich als Qualitätsnachweis gegenüber Kunden und Partnern für ein erfolgreicheres Geschäft nutzen. Zumal darüber auch die Rechtsverbindlichkeit des geschäftlichen Handelns nachweislich dokumentiert werden kann.
