完整內容的ISO IEC 20000-1-2018信息技術服務管理體系內部審核檢查表

完整內容的ISOIEC20000-1-2018信息技術服務管理體系內部審核檢查表受審核部門：管理層審核準則：ISO/IEC20000-1:2018，體系文件、適用法律法規(guī)審核員：條款號審核條款內容檢查內容審核記錄審核結果理解組織及其環(huán)境公司是否有部門簡介，并能充分反應公司內部情況，如：背景、經營范圍、財務表現(xiàn)、規(guī)模及設施、人力資源能力、技術優(yōu)勢、知識等（內部因素）及涉及法律法規(guī)和專利技術、市場占有率、主要合作伙伴及同行的影響、物理邊界、信息渠道（外部因素）？查看公司組織經營內部及外部因素分析表，最近更新理解相關方的需求和期望公司是否收集相關方需求及期望(上級及主要供方及客戶)包括：?顧客對信息技術服務的要求；已與顧客或外部供應商達成的合同；行業(yè)規(guī)范及標準；和社區(qū)團體或非政府組織的協(xié)議；作者李柏倫翻版盜賣必追究責任法規(guī)法案；備忘錄；許可，執(zhí)照或其他授權形式；監(jiān)管機構發(fā)布的制度；條約，公約及草案；和公共機構及顧客的協(xié)議；組織要求；自愿原則或行為規(guī)范；自愿標示或環(huán)境承諾；組織契約合同的承擔義務；查看相關方需求和期望分析表，最近更新日期為確定IT服務管理體系范圍公司是否有一個定義ITSMS范圍的過程？有沒有明確的體系范圍和邊界？是否有對任何范圍的刪減？查管理手冊，明確確定IT服務管理體系的范圍IT服務管理體系公司形成完整的體系文件公司性體系文件描述適用于公司實際情況查看管理手冊、程序文件、作業(yè)指導書及相關記錄領導力和承諾是否有一個確保管理者對ITSMS的建立、實施與運行、監(jiān)視與評審、保持和改進，做出承諾的過程？管理者提供承諾的證據是否包括以下內容：c)建立信息技術服務的角色和職責；d)向該組織傳達滿足信息技術服務目標與符合信息技術服務方針的重要性、法律責任和持續(xù)改進的需要；e)提供足夠的資源；f)決定接受風險的準則和風險的可接受級別準則；進行ITSMS管理評審。查看管理手冊、任命書、管理方針、管理目標、內審記錄及管理評審記錄等，與最高管理層及管理代表方針公司是否有一個ITSMS方針文件？公司的ITSMS方針文件是否滿足以下要求：1)包括信息技術服務的目標框架、信息技術服務工作的總方向和原則；2)考慮業(yè)務要求、法律法規(guī)的要求和合同要求；3)與組織開發(fā)與維護ITSMS的戰(zhàn)略性風險管理，結合一起或保持一致；4)建立風險評價準則；5)獲得管理者批準。查看管理方針。與最高管理層及管理代表與中層管理及基層員工交組織的角色，職責和權限公司內各職位職責是否明確？權限分派、溝通和理解是否適宜？各職責間關系是否明確？是否有頒布令和授權令？查看組織架構圖、各部門職責說明書及各崗位職責說與中層及基層人員交談。應對風險和機會公司是否有明確可能所需要應對的風險和機遇？為確定需要應對的風險和機遇：1、公司在策劃IT服務管理體系時，是否考慮內部和外部因2、公司在策劃IT服務管理體系時，是否有理解相關方需求？公司是否有策劃應對風險和機遇的措施？這些措施可能是產品及服務的檢查、監(jiān)視和測量、校準、產品及過程設計、糾正措施、規(guī)定方法和工作指導書、培訓及使用有能力人員等方面。2.應對風險和機遇的措施是否得到實施和評價措施的有效性？查看風險和機遇識別、評價分析及應對措施記錄總表，最近更新日期為信息技術服務目標和實現(xiàn)規(guī)劃公司信息技術服務目標是否：1)包括信息技術服務的目標框架、信息技術服務工作的總方向和原則；2)考慮業(yè)務要求、法律法規(guī)的要求和合同要求；3)與組織開發(fā)與維護ITSMS的戰(zhàn)略性風險管理，結合一起或保持一致；4)建立風險評價準則；5)獲得管理者批準。在對這個要求的符合性審核時，要確保組織的ITSMS方針滿足上述5個要求。還要注意到ITSMS方針與信息技術服務方針的關系。查看目標管理方案及最近一年的目標測量記錄。與中層管理交談。策劃服務管理體系1、在在確定產品和服務要求時，公司是否考慮如下因素：顧客和法律法規(guī)要求、組織戰(zhàn)略要求、利益相關方的相關要求？2、是否建立過程控制，產品和服務驗收的準則，公司是否考慮：風險和機會、質量目標、產品和服務要求？3、根據產品和服務提供過程的性質和復雜度，作者李柏倫翻版盜賣必追究責任公司是否確定所需的資源以及現(xiàn)有資源是否充足？4、公司是否制定有效措施，用于控制：確認滿足了準則、交付了預期的輸出、識別了需要改進的區(qū)域？5、公司是否形成并保持、保留準則及支持準則的運行的成文信息？查看管理手冊及IT服務管理策劃控制程序公司是否有對為滿足IT服務管理體系要求的人力資源、材料、能力、信息、設施等進行評估？2、公司是否識別各種現(xiàn)有制約，即為減少不良影響或達成目標需要什么，以及需要什么措施？查看資源控制程序、資源評估表公司是否定期總結并收集各項管理經驗，并進行交流？以確保經驗知識的積累；獲取組織內部人員的知識和經驗；從顧客、供應商和合作伙伴方面收集知識；獲取組織內部存在的知識（隱性的和顯性的與競爭對手比較；與相關方分享組織知識；根據改進的結果更新必要的組織知識查看組織知識控制程序及組織知識清單。發(fā)現(xiàn)有建立組織知識清單，單沒明確組織知識的實際運用情況。不符合運行策劃和控制公司有哪些運行控制？有無明確運行準則？對變更的控制？異常情況的評審？產品設計開發(fā)的輸出的有關信息中是否包括生產周期每一階段的信息技術服務要求？采購過程的控制？對外部供方的控制的類型與程度？運輸、交付、使用、最終處置等？查看運行控制程序、相關作業(yè)指導書和相關記錄控制服務生命周期涉及的相關方公司是否確定并應用評估和選擇服務生命周期中涉及的其他各方的標準，公司是否應確定并文件化：由其他各方提供或運行的服務;由其他各方提供或運行的服務組件;由其他各方運行的組織SMS中的過程或過程的一部分。公司是否從以下方面為其他各方定義和應用相關控制：過程績效的測量和評估;測量和評估服務和服務組件在滿足服務要求方面的有效性？查看過程績效測量和評估控制程序及相關測量評估記錄公司是否對使用供方：a)以提供和運行服務；b)作為運行服務組件；c)做為公司運行服務管理體系范圍內的過程或過程的一部分進行確定？查供方管理控制程序及供方評價記錄監(jiān)視、測量、分析和評價公司確定的需要監(jiān)視和測量的對象包括：監(jiān)理服務的符合性、管理體系的符合性、管理體系的適宜性、充分性、有效性、管理體系績效、顧客滿意等；2)公司確定的確保結果有效所需的監(jiān)視、測量、分析和評價方法包括：識別和得到了外來的標準，制定了檢驗文件，通過實施進貨驗證、過程檢驗、成品檢驗等證實產品的符合性；通過內審、管理評審等證實體系的符合性、適宜性、充分性、有效性；通過顧客滿意率調查、用戶質量反饋等證實管理體系績效、顧客滿意；3)通過糾正、糾正措施、預防措施、改進計劃、簡單的統(tǒng)計分析保持管理體系持續(xù)改進的有效性，并確定了質量目標/過程績效指標及監(jiān)視和測量方法，考核頻次。公司在管理手冊中對監(jiān)視、測量、分析和改進過程進行了策劃，對確保管理體系的適宜性、產品質量的符合性及應用數(shù)據分析等方式來實現(xiàn)對管理體系的改進和提高進行了策劃，并在實際工作中通過日常的監(jiān)視和測量對發(fā)現(xiàn)的問題及時進行分析、解決，并建立了相應的信息流過程，就有關質量、環(huán)境、職業(yè)健康安全績效進行內部和外部信息交流查監(jiān)視、測量、分析及評價控制程序及相關監(jiān)視、測量、分析及評價記錄。1）公司是否定期進行內部審核？2）內部審核的頻次和結果是否滿足部門體系運行要求？公司是否定期進行內部審核？內部審核的頻次和結果是否滿足部門體系運行要求？作者李柏倫翻版盜賣必追究責任內部審核是否得到了有效的實施和保查內部審核控制程序及最近一次的內部審核記錄（包括審核計劃、審核檢查表、審核報告、首末次會議簽到表、不符合報告及糾正預防措施報告）管理評審公司是否定期召開管理評審？并在管理評審中確定體系的運行是否適宜、充分和有效，并與組織的戰(zhàn)略方向一致？管理評審輸入資料是否滿足要求？是否包括以為管理評審采取措施的情況？環(huán)境目標的實現(xiàn)程度？組織環(huán)境績效方面的信息？資源的充分性？來自相關方的有關信息交流？應對風險和機遇采取的措施是否有效？作者李柏倫翻版盜賣必追究責任有無改進的機會？管理評審輸出資料是否滿足要求？并保留形成文件的信息？體系改進有關的信息？環(huán)境目標為實現(xiàn)時需要采取的措施？改進管理體系與其他業(yè)務過程融合的機遇？任何與組織戰(zhàn)略方向相關的結論？查管理評審控制程序及最近一次的管理評審記錄（包括管理評審計劃，管理評審會議記錄，管理評審各部門匯報記錄，管理評審報告不符合及糾正措施1）是否建立和實施改進、糾正措施的要求？是否保存管理體系改進與創(chuàng)新記錄？2）是否調查分析了不合格的原因（包括顧客報怨）在內并起到防止不合格再發(fā)生的目的3）是否針對原因提出措施并實施和記錄結果？4）糾正措施的實施是否驗證其效果，并作出評價？重大的糾正措施是否成為管理評審的輸入？查看不符合及糾正措施控制程序及不符合及糾正預防措施記錄持續(xù)改進公司是否通過多種途徑，持續(xù)改進ITSMS的有效性持，包括：1)使用信息技術服務方針；2)使用安全目標；3)使用審核結果；4)使用監(jiān)視事件的分析；5)使用糾正措施與預防措施；6)使用管理評審。查持續(xù)改進控制程序，不符合及糾正預防措施控制程序以及持續(xù)改進記錄受審核部門：行政部審核準則：ISO/IEC20000-1:2018，體系文件、適用法律法規(guī)審核員：條款號審核條款內容檢查內容檢查結果組織的角色、責任和權限公司內各職位職責是否明確？權限分派、溝通和理解是否適宜？各職責間關系是否明確？是否有頒布令和授權令？查人員任職說明書應對風險和機會公司是否有明確可能所需要應對的風險和機遇？為確定需要應對的風險和機遇：1、公司在策劃IT服務管理體系時，是否考慮內部和外部因2、公司在策劃IT服務管理體系時，是否有理解相關方需求？公司是否有策劃應對風險和機遇的措施？這些措施可能是產品及服務的檢查、監(jiān)視和測量、校準、產品及過程設計、糾正措施、規(guī)定方法和工作指導書、培訓及使用有能力人員等方面。2.應對風險和機遇的措施是否得到實施和評價措施的有效性？查行政部的風險和機遇的識別評價及應對措施表1、公司是否有對為滿足管理體系要求的人力資源、材料、能力、信息、設施等進行評估？2、公司是否識別各種現(xiàn)有制約，即為減少不良影響或達成目標需要什么，以及需要什么措施？查看資源評估表1）是否對從事影響體系活動的部門、層次、崗位人員進行了識別，對各類人員所需的教育、培訓、技能和經驗提出了要求？2）針對需求是否提出了培訓計劃（包括特殊工種、工作人員）或采取其他措施并組織實施？3）通過何種方式宣傳/培訓確保員工意識到所從事活動的相關性和重要性，并為實現(xiàn)質量目標做出貢獻？4）是否適當?shù)乇４媪私逃⑴嘤?、技能、經驗的記錄?）看培訓需求是否合理？是否按計劃實施？通過查相關記錄驗證計劃完成情況，抽查相關培訓和評價記錄。查看崗位任職說明書、年度培訓計劃、培訓記錄發(fā)現(xiàn)其中兩次培訓未進行培訓效果評價確認。不符合1、公司員工及各相關方是否知曉公司信息技術服務方針、信息技術服務2、公司員工及各相關方是否明確“可接受”產品和“不合格”產品和服務的知識和理解。以及當產品和服務不滿足規(guī)范時，該如何去做。3、公司是否信息技術服務體系有相關溝通過程?，F(xiàn)場觀察員工是否知曉管理體系方針和目標？員工是否知曉其對管理體系的貢獻？員工是否知曉不符合管理體系要求的后果？與管理層、中層管理及基層員工進行交談。溝通最高管理者應確保在組織內建立適當?shù)臏贤ㄟ^程，并確保對體系的有效性進行溝通。各職能層次間的溝通是如何開展的？對信息溝通的職責和方法以及對重大事件、問題的溝通是如何開展的？2）是否使用了恰當?shù)臏贤ㄐ问剑块_展的情況，信息是否被有效的利用？3）溝通的內容是否能促進組織質量活動協(xié)調和體系過程及其有效性？作者李柏倫翻版盜賣必追究責任如何策劃內外部溝通的過程？有哪些記錄來證明？外部信息交流的內容？正面的？負面的（如投訴是否及時給出清晰回復？是否涉及績效的改進？查看信息溝通控制程序及相關溝通記錄、會議記錄及聯(lián)絡單等形成文件的信息公司是否按標準要求和按公司情況形成質量管理體系文件信息？并保持和保留這些文件信息？如何進行文件的分發(fā)、存儲、更新、保留和處置等？如何識別外部文件，文件是如何保管的？文件是否有標識和說明？文件都有哪些形式？是否經過評審和批準？記錄控制程序是否完整，是否有可操作性？作者李柏倫翻版盜賣必追究責任程序文件是否為有效版本？記錄控制程序是否對記錄的標識、收集、編目、歸檔、保存、維護、查閱、處置管理做出了規(guī)定？記錄控制情況如何？記錄的形成與質量活動是否同步進行？與本組織的記錄有哪些？作者李柏倫翻版盜賣必追究責任與受審核部門有關記錄有哪些？是否有保存期的規(guī)定？記錄是否按檔案管理規(guī)范的要求處理和管理？查看形成文件信息控制程序及受控文件清單、外來文件清單、記錄清單，文件發(fā)放記錄、文件的最新版本的控制情況等、資產管理1、組織在體系策劃和為實現(xiàn)產品/服務過程策劃中是否確定和提供并維護為實現(xiàn)產品符合性所需的基礎設施？2、基礎設施包括建筑物、工作場所和相關設施、過程設備（硬件和軟件）等是否進行了適當?shù)木S護？并能保持實現(xiàn)產品的符合性？3、支持性服務如運輸或通訊等是否能確定和提供？查看資產管理控制程序及資產登記表、資產維護保養(yǎng)記錄等受審核部門：技術部審核準則：ISO/IEC20000-1:2018，體系文件、適用法律法規(guī)審核員：條款號審核條款檢查內容檢查結果組織的角色、責任和權限公司內各職位職責是否明確？權限分派、溝通和理解是否適宜？各職責間關系是否明確？是否有頒布令和授權令？查看技術部的崗位職責說與技術部相關人員進行交談應對風險和機會公司是否有明確可能所需要應對的風險和機遇？為確定需要應對的風險和機遇：1、公司在策劃IT服務管理體系時，是否考慮內部和外部因2、公司在策劃IT服務管理體系時，是否有理解相關方需求？公司是否有策劃應對風險和機遇的措施？這些措施可能是產品及服務的檢查、監(jiān)視和測量、校準、產品及過程設計、糾正措施、規(guī)定方法和工作指導書、培訓及使用有能力人員等方面。2.應對風險和機遇的措施是否得到實施和評價措施的有效性？查看技術部的風險和機遇分析評價及應對措施表運行策劃和控制公司有哪些運行控制？有無明確運行準則？對變更的控制？異常情況的評審？產品設計開發(fā)的輸出的有關信息中是否包括生產周期每一階段的信息技術服務要求？采購過程的控制？對外部供方的控制的類型與程度？運輸、交付、使用、最終處置等？查看運行控制程序及服務管理規(guī)范、服務管理的控制記錄等服務交付1、是否有針對此次產品或服務的實施進行合格性評價？2、是否實施與產品和服務相關的服務？3、是否滿足顧客要求？4、是否收集顧客反饋記錄？查看服務交付確認表。策劃服務是否對服務管理進行策劃，并明確定義了：a.信息技術中心的服務管理范圍b.服務管理的目標的和需求d.管理角色和職責框架，包括高級負責人、流程負責人和供應商管理e.服務管理流程之間的接口，流程活動協(xié)調的方式f.識別、評估、管理阻礙達成既定目標的問題、風險的方法g.為建立、調整服務的項目定義接口的方法查看策劃控制程序及相關項目的策劃書策劃服務h.達成即定目標所需要的資源、設備和預算j.如何對服務質量進行管理、審核和改進2.是否有清晰的管理方向和成文定義的檢查、簽署、溝通、實施、維護服務管理計劃的職責3.任何具體的流程計劃是否與服務管理計劃一致查看服務進度跟蹤表服務目錄管理公司是否創(chuàng)建和維護一個或多個服務目錄。服務目錄是否包括公司、客戶、用戶和其它相關方的信息，描述服務、預期的結果和服務間的依賴關系。公司是否為客戶、用戶和其它相關方提供服務目錄適當?shù)牟糠值脑L問的渠道。查看服務目錄表配置管理1.是否綜合地計劃變更和配置管理2.是否定義了配置管理與財務管理流程的接口3.是否明確定義了哪些項目應被作為配置項進行記錄和管理？4.是否明確定義了每個配置項應該記錄什么信息5.每個配置項該記錄的信息中是否包括了：a.配置項關系、b.進行有效管理所需的相關文檔6.配置管理是否提供相應機制對所有可標識的服務和基礎設施組件的版本進行：識別、控制、跟蹤？查看配置管理控制程序及配置管理記錄服務級別管理1.是否存在相應流程或機制保證服務提供的范圍、服務級別目標、工作量特性都經過相關方面同意并且記錄4．服務級別協(xié)議、支持服務的協(xié)議、供應商合同和相關步驟是否都經相關方面協(xié)商同意并記錄5.是否有相應流程或機制保證服務級別協(xié)議的變更均由變更管理流程控制6.是否存在相應流程或機制，保證服務級別協(xié)議定期由相關方面檢查以確保及時更新和持續(xù)有效查看服務級別控制程序及相關流程圖、及服務協(xié)議書等容量管理公司是否確定、文件化和維護人力、技術、信息和財務資源的容量要求，并考慮服務和績效要求。客戶服務中心是否進行容量規(guī)劃，包括：基于服務需求的當前和預測的容量;服務可用性和服務連續(xù)性對達成一致的服務級別目標中容量的預期影響;服務容量變化的時間尺度和閾值。公司是否提供足夠的容量來滿足達成一致的容量和績效要求。客戶服務中心是否監(jiān)控容量使用情況，分析容量和性能數(shù)據，并確定改進績效的機會。查看服務容量及性能分析表變更管理1.服務和基礎設施變更的范圍是否清晰地定義成文2.是否存在相應流程或步驟對所有的變更請求進行：記錄、分類4.變更管理流程是否包括恢復或者彌補不成功變更的方法5.變更管理流程中是否有相應步驟或要求來評估變更對連續(xù)性計劃和可用性計劃的影響查看變更管理控制程序及表更記錄服務設計與轉換發(fā)布和分發(fā)的過程的設計、實施是否確保了硬件和軟件在安裝、交付、打包、交付時的正確性公司是否識別了設計和轉化新的或變更的服務流程、服務交付流程、信息安全流程、關系流程、解決流程、控制流程查看服務設計方案及服務的運行跟蹤表發(fā)布與部署管理公司是否定義發(fā)布的類型，包括緊急發(fā)布，發(fā)布頻率及如何管理？公司是否對新的或變更的服務和服務組件部署到運行環(huán)境中進行規(guī)劃？規(guī)劃是否剖包括每個版本的部署日期，可交付成果和部署方法。發(fā)布應根據文件化的驗收標準進行驗證，并在部署前獲得批準。作者李柏倫翻版盜賣必追究責任如果不符合驗收標準，組織和相關方應對必要的行動和部署做出決定。查看發(fā)布及部署控制程序事件管理公司是否確立標準以重大事件？重大事件是否依據文件程序進行分類和管理？重大事件的信息是否通知最高管理者？重大事件是否分配責任人？事件解決后，重大事件是否予以匯報和評審，以識別改進機會？查看事件管理控制程序及事件管理記錄服務請求管理服務請求的記錄是否根據采取的措施及時更新？履行服務請求的指南是否對履行服務請求的人員可用？查看服務請求記錄問題記錄是否根據所采取的行動及時更新？解決問題所需的變更是否根據變更管理方針進行管理？公司是否識別減少或消除問題對服務影響的措施？是否記錄已知錯誤？是否為其他服務管理活動提供有關已知錯誤和問題解決方案的最新信是否按計劃的時間間隔，監(jiān)測、評審和報告問題解決的有效性？查看問題管理控制程序及問題管理記錄服務可用性管理是否按計劃的時間間隔，評估服務可用性的風險，并形成文件？公司是否確定服務可用性要求和目標？達成一致的要求是否考慮相關的業(yè)務要求，服務要求，SLA和風險？服務可用性要求和目標是否形成文件并維護？是否監(jiān)控服務可用性，記錄結果并與目標進行比較？是否對計劃外的不可用進行調查并采取必要的措施查看服務可用性管理控制程序服務連續(xù)性管理是否按計劃的時間間隔，評估和記錄服務連續(xù)性的風險？公司是否確定服務連續(xù)性要求？達成一致的要求是否考慮相關的業(yè)務要求、服務要求、SLA和風險？公司是否創(chuàng)建、實施和維護一個或多個服務連續(xù)性計劃？是否確保能夠訪問服務連續(xù)性計劃和聯(lián)系人列表？是否按計劃的時間間隔，按照服務連續(xù)性要求對服務連續(xù)性計劃進行測試？服務連續(xù)性計劃是否在服務環(huán)境發(fā)生重大變化后重新測試？是否記錄測試結果？是否在每次測試后和服務連續(xù)性計劃調用后進行審核？作者李柏倫翻版盜賣必追究責任如果發(fā)現(xiàn)不足，公司是否采取必要的措施？公司是否在啟動服務連續(xù)性計劃時報告原因、影響和恢復情況？查看服務連續(xù)性控制程序及連續(xù)性計劃信息安全管理服務管理體系和服務的信息安全風險是否按策劃的時間間隔進行評價并形成文件？信息安全控制措施是否確認、實施和運行，以支持信息安全方針并處置已識別的信息安全風險？信息安全控制措施的決策是否保留成文信息？公司是否批準并實施信息安全控制措施以是否對與外部組織有關的信息安全風險？公司是否監(jiān)控和評審信息安全控制措施的有效性，并采取必要的措施？查看信息安全管理控制程序及信息安全記錄服務報告2.服務報告是否包括以下內容：a.相對服務級別目標而言的服務績效b.不合規(guī)的內容和事件，如違反服務級別協(xié)議或安全規(guī)范c.工作量特件發(fā)生后的績效報告，如重大突發(fā)事件、重大變更3.管理決策和更正活動是否考慮了服務報告中的發(fā)現(xiàn)4.管理決策和更正活動是否與相關方面溝通查看服務報告控制程序及服務報告記錄受審核部門：業(yè)務部（含采購）審核準則：ISO/IEC20000-1:2018，體系文件、適用法律法規(guī)審核員：