ISO 20000认证（IT服务管理体系，ITSMS）的办理路径很直接：先按ISO/IEC 20000-1建立文件化的IT服务管理体系并有效运行满3个月，再找具备CNAS认可资质的认证机构做一阶段文件审核加二阶段现场审核，关闭不符合项后发证。它和ISO 27001管信息安全不同，20000管的是"你交付的IT服务稳不稳、能不能被第三方证明"。
三个典型处境，先对号入座
上个月我去一家软件外包公司做差距分析，项目经理第一句话就是："我们ITIL流程跑了两年，客户投标却非要ISO 20000，这俩不是一回事吗？"——这是最常见的误解，后面专门拆。
还有一家做政务云的服务商，被甲方在合同里写死"运维团队须通过ISO 20000认证"，否则进不了供应商短名单。他们不是没流程，是没把流程"证明"出来。
第三家是大型制造集团的IT共享中心，管着全公司ERP、OA和几十个业务系统，董事会要的是"IT服务中断有兜底、变更不背锅"。他们做20000，其实是想把分散在各科室的运维动作收成一个可审计的体系。还有一家金融科技公司，监管检查被要求证明IT服务有体系化管控，20000的证书加体系文件正好交差。三种处境，本质都指向同一件事：你的IT服务能不能被一套国际标准量出来。
它和ITIL到底差在哪
说最常被问到的——它和ITIL到底差在哪。简单讲，ITIL是一套最佳实践库，教你怎么做好事件管理、变更管理，认证是发给"人"的（比如ITIL Foundation证书）。ISO 20000是唯一可认证的IT服务管理国际标准，认证发给"组织"，证明你们整个公司的ITSMS符合ISO/IEC 20000-1的要求。
标准分两部分：20000-1规定要求（认证依据），20000-2给实施指南，底层流程描述和ITIL高度对齐。所以如果你们已经在用ITIL，等于地基有了，往上搭20000的体系文件会快很多——但别以为有ITIL就自动满足20000，审核员查的是你有没有把那些流程写进体系、留成证据、持续运行。
14个强制过程，按三组落地
落到实操，14个强制过程不是让你写14份文件，而是按三组落地。服务交付组最重——服务级别协议SLA怎么定、服务报告怎么出、可用性容量怎么监控、业务连续性和信息安全怎么兜底，这组占审核权重最大。关系组管两头和谁打交道：对内业务关系管理，对外供方管理（你用的云、运营商、外包都得纳入）。解决组是日常最忙的事件管理和问题管理，区别在于事件求"快恢复"、问题求"根因除"。控制组是变更、配置、发布部署，变更不评估就上线的厂在这组必开不符合项。把这三组跑顺，体系就立住了。
申请前必须凑齐的几件事①境内独立法人资格，营业执照正常；②已按ISO 20000-1建立ITSMS并有效运行≥3个月；③有正式发布的IT服务管理方针和服务目录（服务目录是必交件，很多厂漏了）；④覆盖全部14个强制过程，且过程间接口闭环；⑤至少一次完整内审加管理评审；⑥近一年无重大IT服务事故或严重失信记录。第六条最容易被卡——临时补记录一查就穿。
六步走完拿证
第一步差距分析，机构帮你对照标准找缺口，我见过一家厂光是把散在三个Excel里的事件单归到统一台账就花了一周。第二步体系设计，定范围、画流程、写方针和服务目录。第三步文件编写，出服务管理手册、程序文件、作业指导书。第四步试运行满3个月，期间真实跑事件、变更、问题流程并留记录。第五步内审加管理评审。第六步认证审核：一阶段查文件符合性和完整性，二阶段现场看实际运行——审核员会抽事件单追到关闭、看变更有没有回滚记录、问服务台值班员SLA怎么算。整改关闭不符合项后发证，证书3年有效，每年一次监督审核。
周期一般3到6个月，取决于已有流程成熟度；已有ITIL底子的跑得快。费用按企业规模、覆盖站点数、服务过程数量浮动，小微企业整体投入不高，多数据中心、多服务线的集团会上去一截。预算时把咨询辅导、认证审核、每年监督审核分开算，别只看初次拿证那笔。
三个高频翻车点
其一，机构没选CNAS认可的。市面上"低价快证"出的证书在官网约不到，招投标现场直接判无效。其二，服务目录和方针缺失，一阶段文件审核就开不符合项，退回补正拖一个月。其三，流程是"写的一套、跑的另一套"——审核员交叉核对服务台工单系统和你们写的事件管理程序，对不上就开严重不符合项。
2026年现场审核有几个被点名的新关注：远程运维和外包人员的访问控制、AI辅助运维的变更风险评估、服务连续性演练的真实性（别只交预案，要交演练记录和恢复计时）。这几项审核员会专门翻证据。ISO 20000认证的价值，从来不是墙上那张牌，是它逼你把从报障到闭环的每条IT服务线都管明白、留成证据，让客户和监管方一眼能验证你的服务真的稳。
