ITSS 信息技术服务标准指南
ITSS 是国内 IT 服务能力的等级证明，评的是"你的运维服务能做到什么水平"；ISO 20000 认的是管理体系。一个看能力，一个看体系，投标里常常并列出现。
先说结论
如果你只记三句话，记这三句：
一、ITSS 是"国内 IT 服务能力的等级证明"。它属于国内信息技术服务领域的标准体系与能力评估，落点在 IT 服务——尤其运维服务——的实际能力水平，而不是一份管理手册写得漂不漂亮。评估结论会落到"达到哪一级"这件事上。
二、ITSS 与 ISO 20000 是两条线。ISO 20000 是国际标准的管理体系认证（ITSMS），看的是你有没有一套可持续运行的服务管理体系；ITSS 是国内的能力评估，看的是你在具体服务场景里做到了什么程度。两者不互相替代，很多企业两个都做，标书里也经常并列写。
三、ITSS 常见的动因是投标和准入。政府、央企的 IT 运维服务招标，以及大型企业选择运维供应商时的准入条件，是实务中引用 ITSS 频率较高的两类场景。所以做不做、做到几级，多数时候不是技术判断，而是市场判断。
认证概览
把几个容易混的概念拆开看：ITSS 是一套标准体系，能力评估是它下面的评价动作，成熟度等级是评价结果的表达方式。
| 项目 | 推进与评估体系 | 评估对象 | 等级 | 参考说明 |
|---|---|---|---|---|
| ITSS 标准体系 | 国内信息技术服务领域的标准体系 | IT 服务的通用要求与各专业方向 | 不适用 | 体系层面，不是一张证书 |
| 运维服务能力成熟度 | ITSS 体系下的能力评估 | 组织提供 IT 运维服务的能力 | 通常分 1—4 级，一级为高阶，四级为入门阶 | 具体分级与判定以现行标准与评估规则为准 |
| 证书与维持 | 由 ITSS 体系下的评估机构实施评估 | 获证组织的持续符合情况 | 按证书载明等级 | 证书有有效期并需维持，以现行规则为准 |
| 与其他体系的关系 | 与 ISO 20000、CMMI／CSMM 分属不同评价方向 | 分别为管理体系、服务能力、开发与交付过程能力 | 各自独立 | 可组合，不可互相替代 |
ITSS 评什么：评的是服务能力，不是文档厚度
很多企业初次接触 ITSS，会把它当成"再写一套文件"。方向就偏了。ISO 20000 那一类管理体系认证，核心交付物确实是体系文件与运行记录；ITSS 的能力评估，落点在"你能不能稳定地把运维服务交付出去"。
具体展开时，评估通常围绕几个能力要素来看：人员（岗位设置、能力要求、培养与备份）、过程（服务级别、事件与问题、变更与发布、连续性与可用性等）、技术（工具平台、监控与自动化水平）、资源（知识库、备件、服务目录与资源配置）。这几条怎么划分、要求到什么颗粒度，以现行标准与评估规则为准。
换个说法：ITSS 想看的是"服务是不是有人负责、有流程兜底、有工具支撑、有知识沉淀"。这四件事只要有一件是空的，等级就上不去——因为评估看的是运行证据，不是承诺。
人员
服务岗位是否清晰、人员能力是否匹配、关键岗位有没有备份。看任命、看能力记录、看实际排班。
过程
服务级别、事件、问题、变更等过程是否真正在跑，而不是文件里存在、系统里查不到。
技术
监控、工单、自动化等工具是否支撑得住服务规模，数据能否导出、能否追溯。
资源
知识库、备件、服务目录是否与对外承诺一致，是否在用、在更新。
等级怎么分：一到四级，数字越小要求越高
运维服务能力成熟度通常划分为 1—4 级，一级为高阶，四级为入门阶。这个顺序和很多人直觉相反——不少人以为四级的数字更大、层级也更高，实际是反过来的。做方案前先把这层搞清楚，能避免在标书里写反。
| 等级 | 大致定位 | 适用情形（经验判断） |
|---|---|---|
| 四级 | 入门阶，具备基本的服务能力与规范意识 | 刚开始把运维当业务做、需要一张国内资质背书的中小团队 |
| 三级 | 能力进一步体系化，过程与工具形成闭环 | 投标门槛常落在这一档，多数成长型服务商的目标 |
| 二级 | 能力量化与持续改进成为常态 | 有一定规模、需要以数据证明服务水平的企业 |
| 一级 | 高阶，能力领先且具备行业示范性 | 大型服务商、承担关键信息系统运维的单位 |
评估看什么证据：四类东西决定成败
能力评估怕的是"讲得清、拿不出"。评估人员真正会翻的东西，大致是这四类：
服务承诺类
服务目录、服务级别协议、对外承诺的响应与恢复指标，以及这些承诺与实际客户是否对得上
运行记录类
工单、事件与问题记录、变更审批、值班与巡检记录、监控告警处置轨迹，要求能追溯到具体时间与人
人员与组织类
岗位任命、能力矩阵、培训与考核记录、关键岗位备份安排
改进与量化类
服务报告的统计口径、指标趋势、问题复盘与改进闭环，等级越高这部分权重越实
这四类证据有一个共同特征：都是"跑出来的"，不是"写出来的"。提前两三个月补文件，也许能凑出一套文本，但凑不出半年的工单曲线。所以真正的准备起点，往往是把服务过程先规范化跑起来，再谈申报。
谁能评、怎么评：流程比想象中朴素
ITSS 体系下的能力评估由该体系内的评估机构实施。选机构时看的是受理范围与评估经验是否匹配你的服务类型和目标等级，而不是看名字大小——评估结论由现行规则与证据共同决定，机构不替你造能力。
| 阶段 | 要做的事 | 容易出问题的地方 |
|---|---|---|
| 1. 定级与差距分析 | 对照现行规则判断当前能力落在哪一档、目标等级差什么 | 凭感觉定级，把目标定到够不着的位置 |
| 2. 体系与过程落地 | 补齐岗位、过程、工具、知识库，让服务按规则跑起来 | 只出文件不上系统，运行数据为空 |
| 3. 运行与留痕 | 积累工单、指标、复盘记录，形成可核查的轨迹 | 记录碎片化，统计口径前后不一致 |
| 4. 提交与评估 | 按评估机构要求提交材料，配合文件审查与现场核查 | 材料与实际运行两套说法，现场一问就露 |
| 5. 结论与维持 | 取得证书后按要求维持，接受后续监督 | 拿证即松劲，维持期数据断档 |
哪些企业适合做
不是所有公司都需要 ITSS。判断标准很朴素：你的收入是否来自"替别人运维 IT"这件事。如果答案是否定的，优先级通常排在后面。
投政府／央企运维标
招标文件把 ITSS 等级写成资格条件或加分项时，这是硬需求。没证连投标资格都没有，讨论性价比没有意义。
做供应商准入
大型企业、金融机构、园区在选择运维服务商时会设资质门槛，ITSS 常与 ISO 20000、信息安全类资质一起被要求。
系统集成商转运维
项目型收入波动大，想做持续性服务收入，就需要一套能被客户检验的服务能力证明。
IDC／托管／运维外包
服务同质化严重，等级是少数能写进标书的差异化项之一。
已有 ISO 20000 想补国内资质
体系已经有了，缺的是国内招标语境下的能力证明，两个体系可以共用大量运行记录。
暂不适合的情况
纯产品型公司、运维只是售后附带、没有独立服务团队与工单系统——先解决业务问题，再谈资质。
还在几个体系之间比较的话，可以先看体系认证总览，把国内与涉外两条线的要求摆在一起；信息安全方向的配套资质见 CCRC 信息安全，需要有人陪着把过程跑起来的，服务范围见认证服务。
与 ISO 20000 的区别与组合
这是被问得很多的一组。两个都跟 IT 服务有关，但回答的是不同问题，混着讲容易在客户面前露怯。
| 对比项 | ITSS（运维服务能力成熟度） | ISO 20000（ITSMS） |
|---|---|---|
| 性质 | 国内的标准体系与能力评估 | 国际标准的管理体系认证 |
| 评什么 | IT 服务（尤其运维）的实际能力水平 | 服务管理体系的建立、运行与持续改进 |
| 结果表达 | 能力成熟度等级（通常 1—4 级） | 体系符合性（通过／不通过） |
| 谁来看 | 国内招标方、甲方准入评审 | 国内外客户、合作方的体系要求 |
| 适用场景 | 政府／央企 IT 运维招标、供应商准入 | 服务型组织的管理体系证明、涉外合作 |
| 能否互相替代 | 不能。一个是能力等级，一个是体系符合性，标书里常并列出现 | |
组合的价值在哪
对投标来说，两个并列出现时传递的信息更完整：ISO 20000 证明你有可复用的管理体系，ITSS 证明你的运维能力到了一定的档位。前者是"有章法"，后者是"有水平"。
对内部来说，两者共用大量证据——服务级别、事件与问题记录、变更管理、服务报告，本来就是同一批运行数据。分开建两套，是常见的浪费。
推进顺序怎么定
如果客户群以国内政府、央企为主，先做 ITSS，把服务能力和工单数据跑起来；体系文件层面的内容后续做 ISO 20000 时可以大量复用。
如果客户以涉外或外资为主，先做 ISO 20000 更顺，再补 ITSS 应对国内标。顺序没有绝对对错，看收入结构。ISO 20000 详解、ITSS 实施路径可对照看。
与 CMMI／CSMM 的区别：一个看服务，一个看交付
这三者经常被放进同一张"软件企业资质清单"里，导致不少人以为可以互相顶替。实际上方向完全不同。
| 体系 | 评的方向 | 典型对象 |
|---|---|---|
| ITSS | IT 服务与运维能力 | 运维服务商、IT 服务部门 |
| CMMI | 软件开发与交付过程能力 | 研发型组织、软件交付团队 |
| CSMM | 软件过程能力（国内评价体系） | 以国内软件项目为主的组织 |
一句话区分：ITSS 关心"系统交给你之后，你运维得怎么样"；CMMI／CSMM 关心"系统在交给你之前，你是怎么把它做出来的"。一个面向运行阶段，一个面向建设阶段。做集成加运维的企业，两边都会被要求；纯研发型企业，通常只需要后者。
延伸阅读：DCMM 数据管理能力成熟度（评估的是数据管理能力，又是另一个方向），以及 ITSS／CMMI／DCMM／CSMM 怎么选。四套体系的目标不同，先按"客户要什么"排序，再按"内部有什么基础"排序，答案通常很清楚。
常见坑
| 坑 | 表现 | 怎么避开 |
|---|---|---|
| 等级顺序搞反 | 以为四级高于一级，标书里写错目标等级 | 记住一级为高阶、四级为入门阶，投标前核对招标文件写法 |
| 为投标临时抱佛脚 | 离开标两个月才启动，运行记录一片空白 | 先看招标时间线，倒推服务过程启动时间；时间不够就换策略 |
| 文件与运行两张皮 | 文档写得很规范，系统里查不到对应工单 | 让文件跟着系统走，别让系统迁就文件 |
| 把 ITSS 当 ISO 20000 替代 | 客户要 ISO 20000，拿 ITSS 证书去顶 | 两个体系分开理解，标书要求哪项就提供哪项 |
| 盲目冲高等级 | 基础没打好就申报高阶，量化指标拿不出 | 先做差距分析，按档位递进，把每一级的证据攒实 |
| 拿证后停止维护 | 维持期数据断档，监督时补不出来 | 把服务报告做成常规动作，而不是评估前的突击任务 |
| 轻信固定报价 | 按"打包价"立项，实际范围一变就追加 | 以评估机构评估为准，先明确范围、场所数与目标等级 |
关键信息
| 体系名称 | ITSS（信息技术服务标准）体系 |
| 评估类型 | 国内信息技术服务领域的能力评估，聚焦 IT 服务（尤其运维）能力 |
| 常见评估项 | 运维服务能力成熟度 |
| 等级 | 通常分 1—4 级，一级为高阶、四级为入门阶（以现行标准与评估规则为准） |
| 实施主体 | ITSS 体系下的评估机构 |
| 证书有效性 | 证书有有效期并需维持（以现行规则为准） |
| 与 ISO 20000 的关系 | 两条线：国际管理体系认证 vs 国内能力评估，不可互相替代 |
| 与 CMMI／CSMM 的关系 | 方向不同：服务与运维能力 vs 开发与交付过程能力 |
| 常见动因 | 政府／央企 IT 运维服务招标、供应商准入 |
| 周期与费用 | 以评估机构评估为准，随范围、等级与现有基础变化 |