ISO 27001 + 20000 双体系：一起做省在哪

先说结论： ISO/IEC 27001:2022 和 ISO/IEC 20000-1 是两套目标不同的管理体系——一个管"信息不出事"，一个管"服务不断供"。但两者同属 ISO 管理体系族，共用同一套 PDCA 循环和文件化骨架，所以文件与记录控制、内审、管理评审、人员培训、供应商管理这些"管理动作"可以只做一遍。一起做真正省下来的，是重复的管理动作和重复的审核准备，而不是省掉专业内容。按我们页面的口径，合并咨询通常可比分开做省约 20–30% 的总费用；已有 ISO 9001 的企业再做 ISO 27001，体系融合还能减少约 30–40% 的工作量——注意这两个数字口径不同，不能叠加相乘。同时也要说清楚：并不是所有企业都适合同时上。如果只是被一张证书的招标卡住、内部没有人能长期维护、服务流程还没成形，先做一个反而更划算。

一、先分清：两个标准各管什么

很多企业把这两张证书当成"同一个东西的两个版本"，这是后面所有排期和预算误判的源头。它们查的是两件事。

用两个场景区分会比较直观：

• 勒索病毒进了内网，设计图纸和客户数据被加密，产线停了两天。 这是 ISO 27001 的问题——资产没盘清、访问控制没落地、备份没验证、应急响应没人负责。
• 客户报修要通过三个人的微信转达，工单没有记录，SLA 承诺 4 小时响应但没人统计，每个月客户满意度全靠感觉。 这是 ISO 20000 的问题——没有服务目录、没有 SLA 度量、没有服务台和事件流程。

现实里这两类问题往往同时存在，尤其是既做系统集成/运维、又替客户保管数据的企业。这也是"双信息"这个概念在 IT 服务行业里被反复提起的原因：客户审你的时候，安全和服务是两张表在打分。

二、为什么能一起做：共用同一套 PDCA 骨架

ISO 标准族共用统一的高层结构。落到文件上，就是两边都要有：管理方针 → 目标 → 职责与权限 → 文件化信息 → 运行控制 → 监视测量 → 内部审核 → 管理评审 → 纠正与改进。骨架是同一副，只是填进去的业务内容不同。

这带来一个很实际的后果：如果分开做，同一件事你会做两遍——

• 文件清单、编号规则、发放回收、版本控制，做两遍；
• 记录保存期限和归档方式，定两遍；
• 内审员培训、内审计划、不符合项报告、整改跟踪，跑两遍；
• 管理评审的输入输出、会议纪要、改进决议，开两遍；
• 向认证机构提交申请、接受文件审核和现场审核、陪同应答，走两遍。

这些动作加起来占整个项目工作量的比例不低，而且它们和"信息安全"或"IT服务"的专业深度没有关系——纯粹是管理体系本身的运转成本。能省的正是这一块。

已有 ISO 9001 的企业优势更明显：文件控制、内审、管审这套基础已经在跑，做 ISO 27001 时只需要补信息安全特定部分（风险评估、SoA、安全控制），工作量约可减少 30–40%；从体系组合的角度，融合后工作量约减 30%。这就是为什么"先有 9001、再上双信息"是一条顺路的路径。

三、能合并的四个部分

合并不等于"一套文件改两个抬头"。真正能合并且经得起审核的，是下面这四块。

1. 文件与记录控制

一套文件架构、一套编号规则、一份受控文件清单、一套记录保存期限表，同时覆盖 ISMS 和 ITSMS。做法上建议两层结构：一层是两体系共用的管理手册（方针、组织、职责、内审、管审、纠正措施、文件控制）；另一层是各自的专业文件（27001 侧的风险评估程序、SoA、安全控制作业文件；20000 侧的服务目录、SLA 管理办法、事件/问题/变更/配置管理流程）。审核员看的是"同一份文件在不同体系里是否一致"，两层结构比"两套平行文件"更容易自证一致。

2. 内部审核与管理评审

一次内审覆盖两套标准，是完全可行的，也是合并收益里占比很高的一块。关键在两点：

• 审核计划要有条款映射。 把 ISO/IEC 27001:2022 与 ISO/IEC 20000-1 的条款列成一张对照表，标出"共用条款"和"各自特有条款"，检查表按两栏设计。这样一次现场走访能同时取证，不会出现"审了安全、漏了服务"。
• 管理评审一次会议、一份纪要、两组输入。 信息安全侧输入风险处置进展、安全事件、控制措施有效性；服务侧输入 SLA 达成、事件与问题趋势、服务改进、客户满意度。会议可以合并，议题不能合并——纪要里要能分别看出两套体系的评审结论。

3. 人员能力与培训

意识培训、内审员培训、岗位能力矩阵可以共用一套底表，只在专业模块上分叉：安全侧讲资产分级、访问控制、密码与备份；服务侧讲工单规范、SLA 口径、升级路径。合并后员工只需要参加一次集中培训，减少停产停工的时间成本——这一项在制造业和驻场服务团队里往往比咨询费更贵。

4. 供应商与外包管理

两套体系都要求管住外部提供的产品和服务。现实里企业常常对同一个供应商填两张评价表。合并成一张供应商档案，增加"信息安全要求"和"服务水平要求"两个栏目即可：安全侧看保密协议、访问权限、数据处理约定；服务侧看响应时限、交付质量、违约处理。一份档案、两类打分，年审时也只需调一次档。

四、不能合并的部分：别把专业内核也省掉

省错了地方，代价是二阶段现场审核时被开不符合项，然后返工重排。以下内容必须各做各的。

还有一件容易被误解的事：认证审核本身不能合并成一次。 两张证书、两套认证规则、两个技术领域，审核组按各自领域安排，审核结论也各自独立。审核时间能否协调在同一个月、能否由同一组审核员承担，需要向认证机构确认，以机构评估和安排为准；不要按"一次审核拿两张证"去排内部计划。

顺带提一句：咨询和认证是两个独立角色，行业规则要求两者独立。咨询帮你建体系，认证机构来审你的体系。这条边界在合并项目里同样适用，别指望"一家全包"。

五、哪些企业适合一起上，哪些建议先做一个

判断标准不在企业规模，而在三件事的交叉点：客户是否同时要两张、你的业务是否同时涉及安全与服务、内部是否有人能撑住两套体系的日常运转。

适合一起做的情形

• 业务本身横跨两侧。 IT运维服务公司、IT外包服务商、数据中心/云服务、政企IT供应商、系统集成商——既对客户的数据安全负责，又按 SLA 交付服务。
• 客户已经明确要两张。 政府信息化项目、政企 IT 运维招标里，信息安全与服务能力常被分开评分，两张证书对应两个评分项。
• 已有 ISO 9001 等体系在跑。 文件控制、内审、管审已经有底盘，合并建设是"加内容"，不是"从零搭两套"。
• 有专职或稳定的兼职体系负责人。 能连续投入 3–6 个月，并在拿证后继续维护记录。
• 已经有服务台或 ITSM 工具在跑。 ISO 20000 要求工具导入并留下运行记录，工单系统已经在用的企业，这一块几乎不额外增加成本。

建议先做一个的情形

• 只有一张证书能带来订单。 多一张证书意味着多一份认证费、每年多一次监督审核、日常多一套记录。没有客户需求支撑的那一张，是净支出。
• 服务流程还没成形。 服务目录写不出来、SLA 没有历史数据、报修还靠微信转达——这种情况下 ISO 20000 只能写成纸面文件，运行记录撑不住审核。
• 刚发生重大安全事件，或证书刚被暂停/撤销。 ISO 27001 的受理条件包括一年内未发生重大网络安全事件；ISO 20000 对被暂停或撤销证书的情形有满一年的要求（具体以认证规则为准）。这种情况先处置问题，再谈排期。
• 组织正在搬迁、重组或核心系统上线。 记录链一断，两套体系同时出问题，返工成本翻倍。
• 内部没人能长期维护。 两张证书的年度监督审核、内审、管审、记录归档，都要有人做。人数少不是问题，没人负责才是问题。

六、排期与周期参考

先记住两个硬数字：单个体系的初次认证典型周期是 3–6 个月，其中体系需运行满 3 个月才能申请。这两条是 27001 和 20000 共同的门槛，合并做也不能压缩——运行时间是审核要看的事实，不是文件能补的东西。

合并做省的是前期和后期，中间那段运行期省不掉。参考排布如下（区间为经验值，实际以认证机构评估为准）：

所以就总周期看：分开做是"3–6 个月 + 3–6 个月"，中间还夹着一段团队松劲的空窗；一起做的总周期通常仍落在 3–6 个月的区间内，只是把两套动作压进同一条时间线。 具体取决于现有管理基础、人数与场所、工具准备程度和内部配合速度。

倒排期有个简单算法，从目标拿证月份往前推：

• 审核与整改预留 1–2 个月；
• 再往前，运行满 3 个月是硬线；
• 再往前，文件编写与试运行 1.5–2.5 个月；
• 再往前，差距分析与内部立项 2 周到 1 个月。

合起来大约 6 个月。想在某个季度拿证，现在就得动，而不是等招标公告出来。拿证之后，两张证书都是 3 年有效期、每年一次监督审核——年审时间可以尽量协调在同一个月，内部只准备一轮记录，这是合并建设带来的长期红利。

七、费用构成与节省逻辑

双体系的钱花在三个地方，分清楚才知道"省"省在哪：

按我们页面的口径，两个体系合并咨询可节省约 20–30% 的总费用。这个比例的来源是共用部分不重复投入；它不包含认证机构收取的认证费——那部分由机构按规则核定，与是否合并关系不大。

反过来也要算清"多一张证书的成本"：认证费按张计、每年一次监督审核按张做、日常记录维护按套跑。所以决策问题不是"能不能省 30%"，而是"第二张证书能不能带来对等的订单或准入资格"。能，就一起做；不能，先做那张卡着你的。

八、常见坑

• 一套文件改两个抬头。 审核员会顺着服务目录去查工单记录、顺着 SoA 去查风险处置证据。文件能改，运行痕迹改不出来。
• 内审做了一次，检查表只有一套条款。 没有条款映射，必然漏项。做完内审自己都说不清哪条对应哪个标准，现场一问就露。
• 管审开了一次会，纪要只写一个体系。 输入输出要能分别对应两套标准，纪要里必须有两组结论。
• 风险评估做完就锁进柜子。 风险是动态的，资产变了、业务变了、威胁变了，处置计划要跟着更新。审核看的是上一次评估的时间与结论，以及处置计划是否按进度推进。
• 上了 ITSM 工具，流程还是微信派单。 工单系统买了不用、用了不录、录了不统计，等于没有。ISO 20000 看的是工具里的真实数据。
• 把"运行满 3 个月"当成可以通融的条款。 倒排期时被压缩的往往就是这三个月，结果是申请被退回或者审核时记录不足。
• 咨询和认证找同一家。 行业规则要求两者独立，这条边界不要试探。
• 拿证即收工。 两张证书每年都要监督审核，日常不积累记录，年审前突击补材料，年年重复一次痛苦。

行动清单：三步决定要不要一起做

下面这份清单，建议由体系负责人拉着业务、IT、销售坐一次会，逐条打勾：

• ☐ 查需求来源。 把未来 12 个月已知的招标文件、客户审厂表、合同条款翻出来，看要求的是 ISO 27001、ISO 20000，还是两张都要。
• ☐ 盘现有底子。 是否已有 ISO 9001 等体系在运行？文件控制、内审、管审是否真在跑（不是只有文件）？
• ☐ 盘服务侧。 有没有服务目录和 SLA？有没有服务台或工单系统？跑了多久、有没有可统计的记录？
• ☐ 盘安全侧。 资产清单有没有？风险评估做过没有？一年内有无重大网络安全事件？
• ☐ 定人。 谁做体系负责人？每周能投入多少小时？拿证后谁维护？
• ☐ 问机构。 找认证机构确认受理范围、场所与人数口径、审核安排能否协调，再定排期。

六条里"需求来源"和"盘服务侧"打不上勾的，通常说明现在还不该同时上；这两条都清楚、只是内部人手紧的，可以做，但排期要放宽 1–2 个月。

双体系这件事，说到底不是"两张证书一起买便宜"，而是把企业本来就要做的管理动作，整理成审核认得的同一套语言。文件合一、内审合一、管审合一，专业内容各归各位——这样做出来的体系，年审时才不用重新翻一遍。

▍想看自己企业该"单做"还是"双做"？把公司人数、主营业务、客户要求和目标拿证时间发给我们，我们出一份单做/双做的对比路径与时间表。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律意见；周期、人数与费用均为区间参考，具体以认证机构评估为准

相关阅读：ISO 27001 信息安全管理体系 · ISO 20000 IT服务管理体系 · ITSS 认证怎么准备 · CCRC 八大类别怎么选 · 全部体系认证 · 联系我们