Auditoría Interna ISO 20000 – Gestión de Servicios de Tecnologías de la Información (TI)

Tu sistema de gestión de servicios de TI está certificado. Lo que la auditoría interna tiene que decirte es si los números que le muestras a tus clientes resisten que alguien los revise.

La problemática

En un proveedor de servicios de TI el sistema de gestión lo lleva alguien que además está en la operación: el jefe de servicio, el líder de la mesa de ayuda o el gerente de operaciones. Son los mismos que apagan incendios durante el día. La auditoría interna se agenda cuando se puede, y lo más práctico es que la haga alguien del equipo con la lista de verificación del año pasado.

Ahí hay un punto que conviene mirar de frente: los datos que prueban el cumplimiento de los acuerdos de nivel de servicio salen de la misma herramienta que opera el equipo al que se está midiendo.

No es un problema de mala fe. Es un problema de estructura. El cumplimiento del SLA se calcula con los campos del ticket: cuándo se abrió, cómo se clasificó, cuándo se detuvo el reloj, cuándo se cerró. Esos campos los llena el mismo equipo cuyo desempeño se reporta. Si nadie revisa la cadena entre el ticket y el número del informe, el número no está verificado: está declarado.

ISO 20000 pide monitorear el desempeño del servicio frente a los objetivos acordados, y pide que la información que se usa para eso sea confiable. Son dos requisitos, no uno, y el segundo es el que casi nunca se audita.

Un auditor que no conoce gestión de servicios revisa el informe mensual de SLA. Uno que la conoce toma una muestra de tickets, sigue cada uno desde que entró hasta el número publicado, y revisa qué pasó con los que se reclasificaron, se pausaron o se reabrieron.

Qué revisa un auditor especialista en ISO/IEC 20000

ISO/IEC 20000 tiene una particularidad: casi todos sus procesos dependen de otro. La gestión de cambios depende de la configuración, la de problemas depende de la de incidentes, la de capacidad depende de la demanda. Auditarlos por separado deja pasar lo importante, que es si encajan. Esto es lo que se revisa, y el hallazgo que aparece con más frecuencia en cada punto.

Catálogo y acuerdos de nivel de servicio. Que lo que está firmado con el cliente sea lo que el catálogo describe y lo que la operación realmente entrega. El hallazgo típico es el SLA heredado de un contrato que ya cambió.
Medición del desempeño del servicio. El punto que se explica más arriba, y el que más hallazgos deja.
Gestión de incidentes y solicitudes de servicio. Que estén separadas, porque no son lo mismo y mezclarlas distorsiona todos los indicadores.
Gestión de problemas. Que exista de verdad y no solo en el procedimiento. El hallazgo típico es la empresa que cierra cientos de incidentes repetidos y nunca abre un problema.
Gestión del cambio. Qué se evaluó antes de aprobar, quién autorizó, qué plan de reversa había y qué pasó con los cambios de emergencia, que son los que se documentan después o no se documentan.
Gestión de la configuración. Que la información de los elementos de configuración sea exacta. Se verifica eligiendo algunos y comprobándolos contra la realidad, no revisando que la base exista.
Capacidad y demanda. Que haya una proyección y no solo un monitoreo de lo que ya pasó.
Disponibilidad y continuidad del servicio. Que los planes de continuidad se hayan probado y que exista registro de qué falló en la prueba.
Gestión de proveedores. Incluidos los proveedores internos y los del cliente. Cuando un tercero sostiene parte de tu servicio, su desempeño es parte de tu SLA.
Seguridad de la información dentro del sistema de servicios. Es un requisito del propio ISO 20000, y es el puente con ISO 27001 del que se habla más abajo.
Presupuesto y contabilidad de los servicios. Es el requisito que más se omite, y el certificador lo pide igual.

No todos estos puntos pesan igual en todos los proveedores. El programa de auditorías define cuáles se revisan más seguido y con qué profundidad, según el riesgo de cada servicio.

La auditoría que tienes que hacer igual, hecha por alguien que sabe seguir un ticket hasta el informe.

Cotiza tu auditoría interna ISO 20000

Cómo trabajamos esta auditoría

La audita un especialista en ISO/IEC 20000, y su formación y experiencia van a la vista en la propuesta. No es un detalle de presentación: la competencia del auditor es uno de los puntos que el organismo certificador revisa de tu auditoría interna.

Quien audita no es parte del proceso auditado. Vale la pena detenerse acá, porque es donde más se pierde valor sin darse cuenta: auditar de forma cruzada dentro del mismo equipo no funciona. Cuando el que audita y el auditado comparten jefatura y objetivos, salen hallazgos puntuales —falta un registro, falta una firma— y no las no conformidades que le dan valor al sistema.

En la práctica, la auditoría se desarrolla así:

Antes. Acordamos el alcance, los criterios y las fechas, y queda por escrito quién va a auditar. Se levanta el plan de auditoría y se avisa con tiempo a los responsables de cada proceso.
Durante. Reunión de apertura, revisión de registros y de la herramienta de gestión, seguimiento de casos reales y entrevistas a quienes operan el servicio. Cierra con una reunión donde los hallazgos se presentan en el momento, uno por uno. Nadie se entera de un hallazgo al leer el informe.
Después. El informe llega con cada hallazgo trazable: el requisito que lo origina, la evidencia concreta que lo sustenta y su clasificación. Con esas tres cosas, quien tiene que responderlo sabe exactamente qué corregir y qué mostrar.

El objetivo es uno solo: que llegues a la auditoría externa sin sorpresas. Lo que el certificador va a encontrar, ya lo sabes y ya lo trabajaste.

Y el servicio trae dos cosas más, sin costo adicional:

Una verificación de la cadena de medición sobre una muestra de casos reales: del ticket al indicador y del indicador al informe que recibe tu cliente. Es la revisión que te dice si tus números aguantan una auditoría de cliente.
Horas de asesoría técnica de respuesta para orientar la respuesta a las no conformidades que levante el certificador durante el ciclo. Se entregan después de emitido el informe, nunca durante la auditoría, para no afectar la objetividad del auditor. La respuesta la presenta tu empresa; nosotros revisamos la causa, el plan de acción y la evidencia de cierre.

Tu próxima auditoría externa define cuándo conviene hacer la interna.

Cotiza tu auditoría interna ISO 20000

Por qué el especialista cambia el resultado

Una auditoría interna hecha por alguien que sabe auditar pero no conoce la norma pasa el capítulo 9 y deja el riesgo de fondo intacto. Se revisa que los documentos existan, se levantan hallazgos de forma, y los puntos donde la empresa está realmente expuesta no se tocan porque no se sabe dónde mirar.

En gestión de servicios eso tiene una consecuencia que llega antes que el certificador: tu cliente también audita. Un proveedor de TI vive de contratos con niveles de servicio comprometidos, y el cliente grande revisa el cumplimiento, pide la evidencia detrás del indicador y, cuando no cuadra, lo descuenta o no renueva. La certificación abre la puerta; lo que mantiene el contrato es que los números resistan.

En la página de auditoría interna de sistemas ISO están las siete cosas que el certificador pide sobre tu auditoría interna, cómo se clasifican los hallazgos y con qué criterio se define la frecuencia. Aplica igual para todas las normas.

ISO 20000 e ISO 27001: dos sistemas que se tocan

Muchos proveedores de servicios de TI tienen las dos normas, o están pensando en la segunda. Conviene entender cómo se tocan, porque auditarlas sin verlo duplica trabajo y deja huecos justo en el medio.

ISO 20000 incluye la gestión de la seguridad de la información como parte del sistema de gestión de servicios. No es una referencia suelta: es un requisito propio. Y ISO 27001, por su lado, pide controlar los servicios que se entregan y los proveedores que participan.

Lo que comparten de verdad: el control de accesos a los sistemas del cliente, la gestión de cambios, la gestión de incidentes —un incidente de servicio puede ser también un incidente de seguridad, y el criterio para distinguirlos tiene que estar escrito—, la continuidad y la gestión de proveedores.
Dónde quedan los huecos: en el traspaso. El incidente que la mesa de ayuda clasificó como caída de servicio y que era un acceso no autorizado; el cambio aprobado por la vía rápida que abrió un puerto; el proveedor evaluado por disponibilidad pero nunca por seguridad.

Cuando el alcance incluye las dos, la auditoría interna se planifica junta y se audita una vez cada proceso compartido, contra los dos criterios. Sale más barato y, sobre todo, es donde aparecen los hallazgos que cada auditoría por separado no ve.

Si estás evaluando ISO 27001, mira también la auditoría interna ISO 27001. Y si quieres el contexto legal chileno que hoy empuja esto, está en el artículo sobre el peso jurídico de lo que hace TI.

Cuéntanos qué normas tienes en el alcance y cuándo es tu próxima auditoría externa.

Cotiza tu auditoría interna ISO 20000

Si tu caso no es exactamente este

¿Tu sistema de gestión de servicios todavía no está implementado o no está operando? Te recomendamos ver el servicio de consultoría en ISO/IEC 20000, que lo desarrolla y lo deja listo para certificar.

¿Necesitas quien lleve el sistema de forma permanente sin contratar un cargo completo? Está el encargado del sistema de gestión en outsourcing.

¿Prefieres formar a alguien de tu equipo para que haga las auditorías internas en adelante? Está el curso de auditor interno multinorma.

¿Estás certificado en varias normas? En la página de auditoría interna de sistemas ISO puedes ver todas las que auditamos; cuando el alcance incluye varias, entra el especialista de cada una.

Si no tienes claro cuál te corresponde, cuéntanos tu caso y te proponemos el alcance.

Cuéntanos qué servicios tienes en el alcance y cuándo es tu próxima auditoría externa. Con eso te proponemos el alcance, las horas, la fecha y quién va a ser el auditor.