ISO/IEC 20000-1:2018 IT 服務管理系統內部稽核員培訓課程
ISO/IEC 20000-1:2018 IT 服務管理系統內部稽核員培訓課程
ISO/IEC 20000-1:2018 是服務管理系統（SMS）要求標準，協助組織建立、實施、維持及持續改善服務管理。應用於 IT 服務時，可將服務承諾、交付、事件處理與改善活動納入一致的管理架構。參考:https://committee.iso.org/cms/live/live/en/sites/isoorg/contents/data/standard/07/06/70636.html?browse=tc&utm_source=chatgpt.com
本課程適合 IT 主管、服務台、系統維運、服務交付、供應商管理及內部稽核人員。透過工單、服務協議與案例演練，學習確認服務是否符合需求，找出反覆中斷、責任不清與改善未落實的問題。
本課程應依據哪些標準與修訂內容？
課程以 ISO/IEC 20000-1:2018 為核心，納入 Amd 1:2024 氣候行動修訂，並可搭配服務管理應用指引與稽核方法。
| 參考依據 | 課程用途 |
|---|---|
| ISO/IEC 20000-1:2018 | 服務管理系統要求與符合性查核 |
| Amd 1:2024 | 組織情境與相關要求的確認 |
| ISO/IEC 20000-2 | 理解服務管理系統的實施方式 |
| ISO 19011 | 稽核規劃、執行及人員能力 |
2024 年修訂強調組織應辨識與服務管理系統相關的氣候變遷議題及要求。企業需依情境判定相關性，不代表每家組織都必須採取相同措施。參考:https://committee.iso.org/files/live/sites/jtc1sc40/files/news/Impact%20of%20climate%20action%20amendment%202024%20on%20ISO_IEC%2020000%20%2020240701.pdf?utm_source=chatgpt.com
課程只適合大型資訊公司嗎？
不是。企業內部 IT 部門、委外維運商、雲端服務商及其他服務提供者，都可依服務範圍規劃學習。
課程案例應反映實際服務模式，不宜直接套用大型服務商的所有流程。
ISO/IEC 20000-1 與 ISO 9001、27001 有什麼差別？
服務管理著重服務需求、交付與績效；品質管理涵蓋較廣泛的產品與服務流程；資安管理則著重資訊風險與保護。
| 比較項目 | ISO/IEC 20000-1 | ISO 9001 | ISO/IEC 27001 |
|---|---|---|---|
| 核心方向 | 服務管理與交付 | 品質及客戶要求 | 資訊安全風險 |
| 常見查核內容 | 服務水準、事件、變更及供應商 | 流程、品質控制與客訴 | 權限、資安控制與事件 |
| 績效證據 | 服務報告、工單與交付結果 | 品質指標及客戶回饋 | 控制成效及風險處理 |
| 整合方式 | 可共用文件、稽核與改善架構 | 保留品質專屬要求 | 保留資安專屬要求 |
已採用 ITIL，還需要本課程嗎？
可以依需求搭配。ITIL 提供服務管理實務架構，ISO/IEC 20000-1 則提供管理系統要求。
已有服務流程的企業，可透過課程確認制度、紀錄與實際執行是否完整，而不只是檢查流程名稱是否齊全。
本課程會學到哪些內容？
課程以「理解要求、追查服務、判定缺失、確認改善」為主軸，讓學員能把條文轉化為查核問題。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 範圍與服務需求 | 客戶、服務、責任及管理邊界 | 檢查範圍與服務清單 |
| 規劃與資源 | 風險、目標、人員及知識 | 核對需求與能力 |
| 服務關係與協議 | 客戶溝通、服務水準及供應商 | 判讀 SLA 與合約 |
| 服務設計與轉換 | 新服務、變更、發布與部署 | 追查變更案例 |
| 事件與問題管理 | 恢復服務、原因分析及追蹤 | 分析工單紀錄 |
| 服務保障 | 可用性、持續性、容量及資安 | 核對計畫與結果 |
| 稽核與改善 | 抽樣、訪談、報告及有效性 | 編製檢查表與報告 |
課程如何練習流程查核？
可抽選一次服務中斷，追查受理、分級、處理、升級、恢復及結案紀錄，再確認是否需要問題分析或改善。
學員將練習交叉核對工單、服務報告與客戶回饋，避免只看「已結案」狀態就判定符合。
服務水準協議與績效應如何查核？
先確認服務承諾是否清楚，再查核計算方法與實際結果。服務水準協議（SLA）應能支持雙方理解及績效評估。
| 查核項目 | 建議確認的問題 |
|---|---|
| 服務範圍 | 涵蓋哪些服務、時間與使用者？ |
| 指標定義 | 回應、恢復與可用性如何計算？ |
| 資料來源 | 指標來自哪些系統或紀錄？ |
| 排除條件 | 是否明確、合理且依約使用？ |
| 未達標處理 | 是否分析、溝通及追蹤改善？ |
| 需求變更 | 協議與資源是否同步更新？ |
SLA 達標，就代表服務管理有效嗎？
不能單憑一項指標判定。還需確認客戶需求、反覆事件、服務風險及改善結果。
例如，回應時間達標，但問題長期未解決，仍可能影響服務品質與客戶體驗。
事件、問題與變更管理有什麼不同？
三者目的不同，但應互相連結。事件處理不能取代原因分析，變更核准也不能取代部署後確認。
| 流程 | 主要目的 | 查核證據 |
|---|---|---|
| 事件管理 | 處理服務中斷或品質下降，恢復服務 | 受理、分級、處理及結案 |
| 服務請求管理 | 處理約定的日常服務需求 | 核准、履行及回覆 |
| 問題管理 | 分析原因，降低事件重複發生 | 原因、解決方案及追蹤 |
| 變更管理 | 評估及控制服務變更風險 | 評估、核准與安排 |
| 發布與部署 | 將核准內容導入運作環境 | 測試、部署及結果確認 |
緊急變更可以不留紀錄嗎？
仍需依企業定義的程序管理。可以採用適當的緊急核准方式，但應保留理由、執行及後續檢討證據。
稽核應確認緊急程序是否被合理使用，而不是所有變更都事後補單。
供應商與委外服務應如何查核？
企業應確認外部服務如何支持自身承諾，並管理責任、績效與異常。不能因服務已委外，就省略供應商管理。
| 查核項目 | 證據示例 |
|---|---|
| 供應商選擇 | 能力評估、需求與核准 |
| 合約責任 | 服務範圍、指標及升級安排 |
| 績效管理 | 報告、檢討及異常紀錄 |
| 服務銜接 | 內外部工單、通知及責任分工 |
| 變更與退出 | 服務移轉、資料及交接安排 |
供應商承諾與企業 SLA 不一致，怎麼處理？
應評估是否能透過其他資源或安排滿足客戶需求，必要時調整合約、能力或服務承諾。
稽核重點是企業是否辨識差距並處理，而不是只確認合約已簽署。
內部稽核需要準備哪些文件與證據？
應以服務流程為主線，確認文件、系統紀錄與人員操作一致。
| 查核領域 | 建議證據 |
|---|---|
| 系統規劃 | 範圍、政策、風險、目標及計畫 |
| 服務管理 | 服務清單、需求與 SLA |
| 人員與資源 | 職責、能力、知識及資源安排 |
| 資產與組態 | 管理資料、變更及查核紀錄 |
| 日常交付 | 工單、服務報告與供應商績效 |
| 服務保障 | 可用性、容量、持續性及測試結果 |
| 改善活動 | 稽核、管理審查與矯正措施 |
一定要購買大型 ITSM 平台嗎？
不一定。工具應符合規模與需求，並支持紀錄、追蹤及績效分析。
使用簡易工具也可能建立有效流程；反之，購買平台不代表管理系統自然符合要求。
內部稽核如何執行與判定缺失？
先依服務重要性、風險、變更及以往結果規劃，再安排具備能力且能維持客觀性的人員查核。
| 步驟 | 主要工作 | 預期成果 |
|---|---|---|
| 1. 規劃 | 確認範圍、準則與重點 | 稽核方案 |
| 2. 準備 | 選擇樣本與安排訪談 | 計畫及檢查表 |
| 3. 查核 | 核對文件、工單與結果 | 查核紀錄 |
| 4. 報告 | 描述要求、事實與證據 | 稽核報告 |
| 5. 追蹤 | 確認原因、措施與成效 | 結案證據 |
缺失如何寫得具體？
例如，程序要求重大變更完成風險評估與核准，但抽查发现部署前沒有相關證據。
報告應列明要求、樣本及事實。改善不只補文件，也應檢查核准流程與部署控制是否有效。
課程需要多久，費用如何評估？
一般建議安排 2 天實務培訓；初學者或加入企業案例者，可規劃 3 天。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 基礎認知 | 1 天 | 理解標準與服務責任 |
| 內部稽核實務 | 2 天 | 條文、查核及報告演練 |
| 基礎加企業案例 | 3 天 | 較完整的應用訓練 |
| 培訓加差距檢查 | 另行評估 | 結合現有制度與改善 |
上述為課程規劃建議，並非標準指定時數。費用依人數、語言、授課方式及文件審查、評量與課後追蹤範圍評估。
指定資格考試、第三方驗證及系統建置費用應另行確認。
報名前，客戶常見疑問有哪些？
沒有資訊技術背景，可以參加嗎？
可以。服務管理、客服與採購人員可從流程與責任切入，技術判定則由相關專業人員協作。
已有 ISO 9001，需要重複建立文件嗎？
可共用文件管制、稽核及改善架構，再補足服務管理專屬要求，不必重複建立所有程序。
線上課程能學會稽核嗎？
可以安排工單判讀、訪談與報告演練，並搭配課後實際流程查核。
完成課程就能取得 ISO/IEC 20000-1 認證嗎？
不能。課程建立人員能力，組織認證仍需另外完成系統實施及第三方審核。
課程證明等於第三方稽核員資格嗎？
不等於。一般內部稽核培訓不自動授予特定人員認證或驗證稽核員資格。
能保證通過稽核或不再發生中斷嗎？
無法保證。成效取決於流程執行與持續改善，培訓可協助提早發現管理缺口。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 27001 資訊安全管理：強化服務中的資安控制。
ISO 22301 營運持續管理：提升中斷應對與恢復能力。
ISO 19011 管理系統稽核指南：改善訪談、抽樣及判定。
供應商第二方稽核：確認委外服務與履約證據。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先提供服務範圍、參訓人員與目前待改善問題，再規劃課程。現有 SLA、工單流程、服務報告及稽核缺失，可作為演練依據。
ODI MORGAN 可依需求安排 ISO/IEC 20000-1:2018 內部稽核員培訓、服務流程與 SLA 查核演練、文件差距檢查，以及模擬稽核與改善輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將服務管理要求落實到日常交付，提升內部稽核品質與服務改善能力。
