ISO 20000 + ITSS：为什么标书常要两张
一、两张证各管什么：一个管合规，一个管分级
把这两张证当成“同一个东西的两国版本”，是后面排期、预算、标书措辞全部跑偏的起点。它们回答的是两个不同的问题。
| 对比项 | ISO 20000（ITSMS） | ITSS 能力评估 |
|---|---|---|
| 性质 | 国际标准的信息服务管理体系认证 | 国内 IT 服务（尤其运维）能力评估 |
| 看什么 | 服务管理体系是否合规、能否持续 | 服务能力达到什么等级 |
| 结果表达 | 体系符合性：通过 / 不通过 | 能力等级：落在哪一档 |
| 谁在看 | 国内外客户、合作方的体系要求 | 国内招标方、甲方准入评审 |
| 有效期与维持 | 通常 3 年，加年度监督审核（以认证规则为准） | 以现行评估规则为准 |
| 能否互相替代 | 不能。一个是体系合规，一个是能力分级，标书里常并列出现 | |
用两个场景区分会更直观：
- 场景一：甲方要审你的运维交付，翻开你的文件——服务目录有，但和合同里的服务项对不上；SLA 写了 4 小时响应，但没人统计过达成情况；工单散在三个人的微信里，变更没人审批。这类问题问的是“你有没有一套能持续运行的服务管理体系”，是 ISO 20000 的题。
- 场景二：两家供应商都过了 ISO 20000，一家 80 人运维团队、监控与工单平台齐备、指标按月复盘；另一家 15 个人靠人盯、半夜告警靠电话接力。两家在体系证书上看不出高低——证书只写“符合”，不写“多强”。要分出档位，就得靠 ITSS 的能力等级。
这就是两套标准存在的根本原因：体系认证判“有没有章法”，能力评估判“水平在哪一档”。前者是国际通行的语言，后者是国内招标的语言。做咨询这些年，见过太多企业在这上面吃亏——不是能力不够，是把两张证的说服力搞混了，标书里写错定位，评审专家一眼就能看出没弄明白。
二、为什么标书常要两张：资格一栏，评分一栏
招标文件本质上是采购方把“我担心的风险”翻译成条款的结果。IT 运维类项目里，采购方担心的是两件事，而且是分开担心的：
- 交付过程会不会乱。 服务有没有目录、有没有 SLA、事件和变更有没有流程兜底、出了事谁负责。这一层怕的是“没章法”，对应体系合规。
- 承接方水平够不够。 真出了大面积故障，你的团队、工具、知识沉淀扛不扛得住。这一层怕的是“没能力”，对应能力分级。
两件担心不会因为一张证书就同时消失，所以标书里常常是两行：一行写管理体系要求，一行写能力等级要求。常见的位置有两种——一种放在资格条件里，缺一项就不满足；一种放在评分表里，各占若干分。两种写法对企业的意义完全不同：前者是准入问题，后者是竞争力问题。
这也解释了一个现象：很多企业是在投标截止前两周才发现“还差一张”。这不是运气差，是需求识别做得晚。证书的时间成本主要在运行留痕，不在提交材料，发现得晚，基本没有补救空间。
三、能合并的部分：两份材料吃同一批数据
两张证的评价对象不同，但落到证据上，重合度很高。运维服务真实跑起来之后，产生的东西本来就是同一批：
服务目录与服务级别
卖哪些服务、承诺什么水平、怎么度量。体系侧要它作为管理对象，能力侧要它作为对外承诺的依据。
事件与问题记录
工单系统里的同一批数据。体系侧看流程是否闭环，能力侧看处置效率与复盘深度。
变更与发布记录
审批链、回退预案、实施窗口。两边都要，且都要求能追溯到具体时间与人。
人员与岗位
岗位任命、能力矩阵、培训与考核记录、关键岗位备份安排。
服务报告与指标
月度/季度服务报告、SLA 达成率、趋势分析。体系侧是监视测量，能力侧是量化证明。
工具与知识库
服务台、监控、自动化、知识库、备件。既是体系的服务支撑，也是能力评估的技术与资源要素。
合并推进时真正省力的做法只有一句：先把数据源统一，再按两套规则各取一次数。不要建两套工单、记两本台账、出两份口径不一致的服务报告——这种浪费很典型，现场一问就穿。
再往上一层，ISO 20000 侧的文件控制、内部审核、管理评审、纠正措施这些“管理动作”，本身是体系运转的成本，跟专业深度无关。它们做一遍就够，不需要为 ITSS 再复制一套。但要注意边界：两边对同一份记录的要求口径并不相同，能共用的是数据源，不能共用的是整理规则——按各自规则重新取数、重新编排，这一步省不了。具体口径以认证机构与评估机构的要求为准。
四、不能合并的部分：两个内核各自独立
省错了地方，代价是现场核查时拿不出对应证据，然后返工重排。下面这几块必须各做各的。
| 只能各自做 | 为什么合不了 |
|---|---|
| 体系文件与合规证据（ISO 20000 侧） | 方针、目标、职责与权限、体系范围、内审与管理评审记录、纠正措施闭环。ITSS 不评你的管理手册写得好不好。 |
| 能力等级证据（ITSS 侧） | 支撑等级判定的能力要素、过程闭环深度、工具与自动化水平、量化指标。ISO 20000 只判符合性，不分档。 |
| 规则与实施主体 | 一个由认证机构按认证规则审核，一个由评估机构按评估规则评估。两套规则、两个结论、两份有效期与维持要求。 |
| 结果表达 | 一个是“通过 / 不通过”，一个是“达到几级”。标书要等级，交符合性结论没有意义；标书要体系，交等级也顶不上。 |
还有一件容易误解的事：不要把两张证排成“一次审核拿两张”。 领域不同、规则不同、结论也各自独立。两边的现场安排能否协调在同一时间段，需要向认证机构与评估机构确认，以机构评估和安排为准；内部计划不要按“一次搞定”去倒排，否则一延就全线延。
顺带说一句边界：咨询与认证/评估是两个独立角色，这条规则在两张证上都适用，别指望“一家全包”。
五、哪些企业适合两张一起做
判断标准不在规模，在三个交叉点：收入是不是来自“替别人运维 IT”、客户结构是否横跨国内外、运行数据是否已经在系统里跑。
适合一起推进的情形
- 业务本身就是运维服务。 IT 运维服务商、IT 外包服务商、IDC/托管、系统集成转运维、政企 IT 供应商——收入结构与这两张证的评价对象天然对得上。
- 客户结构两头都有。 一头是政府、央企的运维招标（常看 ITSS 等级），一头是涉外或外资客户的体系要求（常看 ISO 20000）。两边都在做，就两张都要。
- 工单与监控系统已经在跑。 数据源成熟，合并推进的边际成本低，两边的证据都能从系统里导出来。
- 有专职或稳定的兼职负责人。 能连续投入几个月建体系、跑数据，拿证后还能继续维护记录。
建议先做一个的情形
- 只有一张卡着当前订单。 多一张证就多一份费用、多一套维持动作。没有客户需求支撑的那一张，是净支出。
- 服务还靠人盯。 没有服务目录、没有 SLA 台账、报修靠微信转达——这种情况下 ITSS 的等级证据跑不出来，ISO 20000 也只能写成纸面文件。
- 组织正在搬迁、重组或核心系统切换。 记录链一断，两边同时出问题，返工成本翻倍。
- 内部没人能长期维护。 人少不是问题，没人负责才是问题。
六、排期与周期参考
排期这件事有一个反直觉的地方：能压缩的是写材料，压不动的是跑数据。 体系要有一定时长的实际运行记录才谈得上受理，具体时长与受理条件以认证规则和机构要求为准；能力等级更依赖可追溯的工单与指标轨迹，凑不出来。所以但凡有人跟你说“两个月两张全下来”，先问一句：运行记录从哪来。
下面是我们常用的排布区间（经验值，实际以认证机构与评估机构评估为准）：
| 阶段 | 要做的事 | 时间区间 |
|---|---|---|
| 需求确认与差距分析 | 把标书要求拆成条款，盘点现有体系与运行数据，定目标等级与顺序 | 2–4 周 |
| 服务目录与过程落地 | 服务目录、SLA 台账、事件/问题/变更流程定稿，并在系统里真正跑起来 | 4–8 周 |
| 运行与留痕 | 工单、监控、服务报告持续积累；两套规则共用同一批数据源 | 2–4 个月起 |
| 体系侧收尾 | 文件定稿、内部审核、管理评审、纠正措施（ISO 20000 方向） | 2–4 周 |
| 提交与审核 / 评估 | 认证审核（文件 + 现场）；能力评估（材料审查 + 现场核查），分别安排 | 4–8 周 |
合起来，经验区间大致是 4–8 个月起，起点低的更久。影响变量的不是“你想多快”，而是：现有管理基础、团队与场所数量、工具成熟度、内部配合速度。
顺序上没有绝对对错，看收入结构：
- 国内标为主——先把服务过程和工单数据跑起来，能力等级的底子在运行里；体系文件后续补齐时可以大量复用同一批记录。
- 涉外或外资客户为主——先按 ISO 20000 把体系立起来，再补 ITSS 应对国内标。
两条路的交点其实是同一个动作：让服务按规则跑起来并留下痕迹。 这也是为什么“先动起来”比“先定先做哪张”更值钱。
七、费用构成与节省逻辑
钱花在三个地方，分清才知道“省”省在哪：
| 费用项 | 由什么决定 | 合并推进是否节省 |
|---|---|---|
| 咨询服务费 | 顾问投入的人天：文件量、现场辅导次数、培训场次 | 节省明显：共用数据源只整理一次 |
| 认证 / 评估费 | 认证机构按组织规模、人数、场所、认证范围核定；评估机构按目标等级、评估范围与场所核定 | 不省：两套规则分别计费，不按“打包”打折 |
| 内部投入 | 员工工时、工具平台、记录整理与整改 | 节省明显：培训、报表、复盘只跑一轮 |
节省逻辑一句话说透：省的是“同一批数据整理两遍”和“同一批人培训两遍”，不是省掉任何一边的专业内容。 所以谈费用时不要问“两张一起做能不能打折”，要问“哪些工作只做一次、哪些必须做两次”。前者是价格问题，后者是范围问题——范围算清楚了，价格自然清楚。
反过来也要算清“多一张证的成本”：认证/评估按份计、维持按各自规则走、日常记录按套跑。所以决策问题不是“能省多少”，而是“第二张证能不能带来对等的订单或准入资格”。能，就一起推进；不能，先做卡着你的那张。具体金额需按组织规模与范围单独评估，以机构报价为准。
八、常见坑
- 把 ITSS 说成“国内的 ISO 20000”。 这句话在专业场合站不住：一个是管理体系认证，一个是能力评估，连评价对象都不完全重合。标书里这么写，评审一问就露。
- 拿一张顶另一张。 客户要 ISO 20000，拿 ITSS 等级去顶；或反过来。要求哪一项就提供哪一项，替代的念头从一开始就不要有。
- 一套材料改两个抬头。 两套规则的取数口径不同，复制粘贴出来的材料在现场经不起追问。数据源可以共用，整理规则得重来。
- 只做文件不做运行。 文件能两周写出来，工单曲线写不出来。评估与审核看的是系统里的真实轨迹。
- 盲目冲高等级。 等级越高，对运行数据、过程闭环、量化指标的要求越实，跳级申报往往卡在证据环节。先做差距分析，按档位递进。
- 把维持要求当成一样。 ISO 20000 通常 3 年有效期加年度监督审核；ITSS 的证书有效期与维持要求以现行规则为准。两套日历各自维护，别用一张表管两张证。
- 按“一次审核拿两张”排期。 两套规则两次结论，安排能否协调以机构为准，内部计划按“分别安排”留余量。
- 拿证即收工。 日常不积累记录，到维持或监督前突击补材料，年年重复一次痛苦。
行动清单：五步判断要不要两张一起做
建议由体系负责人拉着业务、运维、销售坐一次会，逐条打勾：
- ☐ 翻标书。 把近 12 个月已发布和在跟的招标文件翻出来，把“资格条件”和“评分项”分两列抄，看写的是 ISO 20000、ITSS 等级，还是两张都要。
- ☐ 盘数据源。 有没有服务目录、SLA 台账、工单系统、监控平台？能导出多长时间的记录？统计口径前后一致吗？
- ☐ 盘人。 谁做体系负责人？谁管服务台？拿证后谁维护记录？每周能投入多少小时？
- ☐ 定顺序与档位。 按客户结构定先做哪张；ITSS 的目标等级按现有证据能撑住的档位定，不按愿望定。
- ☐ 问机构 + 倒排期。 确认受理范围、人数与场所口径、两边安排能否协调；再从目标投标日往前推，把运行留痕的时间锁死。
五条里“翻标书”和“盘数据源”打不上勾的，通常说明现在还不该同时上；这两条清楚、只是人手紧的，可以做，但排期放宽一两个月更稳。
这两张证的关系，说到底像一个人的学历和职称：学历证明你受过系统训练，职称证明你在专业上到了哪一档。招聘时两个都看，是因为它们回答的不是同一个问题。标书要两张，做一张替代不了另一张；但把同一批工作做实，两张都能立得住。
▍想知道自己该先做哪张、ITSS 目标定到哪一档？把公司人数、主营业务、客户结构和目标投标时间发给我们，我们出一份双证路径与排期参考。
普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律意见；周期、人数与费用均为区间参考，具体以认证机构与评估机构评估为准相关阅读：ISO 20000 IT服务管理体系 · ITSS 信息技术服务标准指南 · ITSS 认证怎么准备 · ISO 27001 + 20000 双体系：一起做省在哪 · 全部体系认证 · 联系我们