Nota informativa ISO/IEC 20000-1 Il processo di valutazione Generalità Queste Note Informative per il Cliente hanno lo scopo di introdurre le fasi principali del processo di valutazione LRQA riferito alla valutazione e certificazione ISO/IEC 20001, IT Service Management. Per il rilascio del certificato sono normalmente previste due visite di verifica ispettiva. Queste due visite sono denominate: Stage 1 [Riesame Documentale e Pianificazione della Visita di Valutazione Iniziale] e Stage 2 [Valutazione Iniziale]. In seguito all emissione del certificato, e per verificare il mantenimento del sistema, si effettuano le visite di sorveglianza. Durante tutte le fasi, l approccio definito per i valutatori LRQA è indirizzato a fornire valore aggiunto attraverso un comportamento aperto, di costante aiuto, e l adozione di un supporto pratico per la certificazione del Sistema di Gestione. Le date di visita, i tempi di inizio e fine, il gruppo di valutazione, la durata ed il piano di verifica, saranno comunicati e concordati con il cliente, prima dell inizio delle verifiche. Scopo ed elegibilità Questo schema di certificazione si applica alla gestione della fornitura di servizi IT per i clienti interni e/o esterni. Non si applica a prodotti o servizi, eccetto laddove la fornitura costituisca gestione del servizio IT, conseguentemente, lo schema è applicabile alle organizzazioni di ogni settore industriale che desiderino la certificazione dei loro servizi IT per conformita alla norma ISO/IEC 20000-1. Il documento itsmf Scoping Guidelines identifica l elegibilità. Questa dipenderà dal livello di controllo della gestione che una organizzazione ha sui processi ISO/IEC 20000-1. Per essere elegibile per la certificazione rispetto lo schema ISO/IEC 20000-1, l organizzazione deve dimostrare di avere il controllo della gestione di tutti i processi inclusi nello standard ISO/IEC 20000-1. Copia del itsmf Certification Scheme Scoping Guidelines può essere scaricata da www.bs15000certification.com/publications. Nota importante: Se il nostro valutatore dovesse giudicare che l organizzazione non sia elegibile, la verifica sarà interrotta. Stage 1 Riesame della documentazione e pianificazione della visita di valutazione Finalità Questa visita viene eseguita per: verificare se i processi di gestione ed i documenti richiesti dalla norma siano stati definiti e siano applicati al fine di poter effettuare la verifica di stage 2 raccogliere le informazioni circa l organizzazione, processi e attività per definire il piano di verifica dello stage 2 confermare lo scopo, i requisiti del gruppo di valutazione e le tempistiche per la visita di stage 2 rispondere ad eventuale domande sul nostro servizio confermare che avete il controllo della gestione dei processi ISO/IEC 20000-1 e che lo scopo soddisfa i criteri di elegibiltà itsmf. La visita identificherà ogni carenza o mancanza del sistema che necessiti di azioni correttive prima della successiva visita di valutazione. Esecuzione della visita La visita inizia con una riunione d apertura del gruppo di verifica con i rappresentanti del vertice aziendale durante la quale il valutatore illustrerà il processo di verifica e richiederà le informazioni iniziali sull organizzazione e concorderà il programma della visita. LRCR253431-2 page 1 of 6 09 Dec 2013
Il valutatore procederà quindi a : verificare se il sistema e i servizi siano elegibili per la certificazione verificare lo scopo del sistema di gestione verificare l impostazione e come sia stato documentato il sistema per conformità alla norma e congruità con lo scopo di certificazione proposto effettuare la visita della vs sede, laddove appropriato predisporre un piano dettagliato per la visita di stage 2 preparare il rapporto di verifica che includa sia gli aspetti positivi rilevati che l indicazione di eventuali situazioni che richiedano attenzione prima che la visita di stage 2 venga effettuata; Per vostra guida, il rapporto identificherà il grado potenziale che avrebbero i rilievi negativi se confermati al termine della visita di stage 2 Il valutatore avrà necessità di analizzare: Politica di gestione del servizio Ruoli e responsabilità principali Attività condotte nel sito: il valutatore, laddove necessario visiterà la vs sede per: - confermare i processi ed i servizi ricoperti dal sistema di gestione del servizio IT - identificare i controlli attuali e le relative prestazioni, e - valutare lo stato di implementazione del sistema per consentire l effettuazione della visita di stage 2 Miglioramento continuo: il valutatore esaminerà gli obiettivi della gestione del servizio IT e la loro congruità con la politica. Si assicurerà che: - gli obiettivi siano definiti e supportino il miglioramento continuo - sia stata effettuata una pianificazione appropriata per raggiungere gli obiettivi, - la misurazione ed il reporting delle prestazioni sono stati gestiti Accorgimenti operativi: il valutatore verificherà che siano state definite le le procedure per la gestione dei processi del servizio Monitoraggio e misurazione: il valutatore verificherà l esistenza di una appropriata serie di processi di misurazione e monitoraggio, inclusi i programmi di verifiche interne ed i relativi rapporti e riesaminerà come il sistema di gestione sta funzionando, incluso il progresso degli obiettivi. Il valutatore verificherà le procedure, come esse sono progettate per soddisfare i requisiti seguenti: Documentazione del sistema di gestione Azioni correttive e preventive Verifiche interne Processo di riesame della Direzione, incluso il riesame delle registrazioni. La visita si conclude con una riunione di chiusura durante la quale viene presentato il rapporto finale e presi accordi per la visita di valutazione iniziale, inclusi gli aspetti relativi alla sicurezza e ad eventuali necessità logistiche. Stage 2 Verifica di implementazione Finalità della visita Durante questa visita, il valutatore si dedica alla verifica dell applicazione del Sistema di Gestione. Lo scopo della verifica è di confermare che: politiche, obiettivi, controlli e procedure vengano implementati efficacemente esista un processo sistematico dedicato al miglioramento continuo stiate gestendo i processi in modo efficace il sistema di gestione soddisfi tutti i requisiti dello standard. Esecuzione della visita La verifica di valutazione viene svolta secondo il piano di verifica preparato durante la visita di Stage 1. I membri del gruppo di valutazione, accompagnati da vs personale in qualità di guida al fine di agevolare lo svolgimento della verifica e di testimoniare per eventuali rilievi identificati, verificheranno tutte le aree applicabili al sistema. La valutazione eseguita durante la visita di Stage 2, normalmente include un incontro iniziale con coloro che rappresentano il vertice aziendale e che dispongono di relative responsabilità nei confronti del Sistema di Gestione. LRCR253431-2 page 2 of 6 09 Dec 2013
Il gruppo di valutazione LRQA preparerà un rapporto che includa, come minimo, rilievi e considerazioni relativi a: follow-up dei rilievi emessi durante la visita di stage 1 attività, prodotti e servizi identificati in accordo allo scopo di valutazione un giudizio sull efficacia del sistema di gestione nell applicazione alla politica inclusi il miglioramento continuo e la soddisfazione dei clienti i progressi fatti verso il raggiungimento degli obiettivi l applicazione del sistema ed il mantenimento delle relative registrazioni l implementazione delle attivitá di monitoraggio e misurazione per valutare le prestazioni del Sistema di Gestione ed il raggiungimento degli obiettivi; coinvolgimento ed impegno, da parte del top management, per il Sistema di Gestione; l efficacia delle verifiche ispettive interne, delle azioni correttive e preventive e del riesame della direzione. Saranno effettuati degli incontri giornalieri dedicati alla presentazione e discussione di quanto rilevato, con il rappresentante della direzione e possibilmente alla presenza del personale coinvolto. Il grado d ogni rilievo rimane provvisorio fino a quanto la visita non sarà completata. La visita termina con una riunione di chiusura durante la quale si presentano i rilievi, e ci si accorda sulle eventuali successive attività inerenti il processo di valutazione. Un rapporto completo viene consegnato al rappresentante della direzione. Laddove non si siano rilevate Non Conformità, sarà emessa la raccomandazione per l approvazione allo standard di verifica. Il rapporto sarà soggetto a riesame tecnico da parte di personale LRQA indipendente dal gruppo di verifica. Se dovessero invece essere emesse Non Conformità maggiori, dovrà essere effettuata una ri-verifica positiva (detta di follow-up) del completamento delle relative azioni correttive. Il Responsabile del gruppo di valutazione LRQA concorderà con l organizzazione la tempistica e le modalità del follow-up. Nel caso di emissione di Non Conformità minori dovrà essere presentata una proposta di azione correttiva al gruppo di valutazione e da questi confermata la validità prima della emissione della raccomandazione. Contenuti dei rapporti Il metodo di rapporto per tutte le visite è simile. Il rapporto include la descrizione di quanto verificato e di quanto riscontrato, i commenti sul sistema sia positivi che negativi, le aree che richiedono attenzione da parte della Direzione, valutazioni sull efficacia del sistema e sui progressi riscontrati. Le non conformità rilevate sono descritte nell elenco dei rilievi (Finding Log); si riporta qui di seguito la relativa definizione ed il conseguente impatto sulla certificazione: Non Conformità maggiore una carenza del sistema che sta gia danneggiando l efficacia del sistema ed i relativi risultati mette a rischio la capacità di gestire il sistema richiede un contenimento immediato richiede un immediata analisi delle cause ed un azione correttiva. L emissione di una Non Conformità maggiore non consente il rilascio del certificato fino a quando non siano state completate, verificate ed accettate le azioni correttive. Se viene emessa a seguito di una verifica di sorveglianza può costituire il primo passo per la sospensione o cancellazione del certificato. Il Valutatore concorderà la tempistica le modalità per la riverifica da effettuarsi di norma entro tre mesi. Non Conformità minore Una debolezza in un processo o in una procedura ovvero una situazione che se non controllata potrebbe ragionevolmente divenire una inefficienza del sistema. Richiede un analisi delle cause ed una azione correttiva. Se emessa in una verifica per il rilascio del certificato: Fase 2, rinnovo, o variazione, non ne consente l emissione fino a quando LRCR253431-2 page 3 of 6 09 Dec 2013
l organizzazione non abbia definito, pianificato e comunicato a LRQA una proposta di azione correttiva ed LRQA non l abbia riesaminata e ritenuta accettabile. Nel caso di emissione in una visita di sorveglianza, e la successiva visita sia pianificata entro sei mesi, la verifica dell azione correttiva e del suo completamento sarà effettuata nella visita successiva. In caso di intervallo superiore tra le verifiche, dovrà essere trasmesso a LRQA l analisi e la proposta di azione correttiva ed i tempi previsti di completamento che dovranno essere approvati dal valutatore. Il completamento dell azione correttiva sarà comunque verificato nella successiva visita. Tenete copia di tutti i nostri rapporti per 3 anni. In circostanze eccezionali, potremmo chiedervi copia dei precedenti rapporti. Visite di sorveglianza Finalità della visita Una volta ottenuta la certificazione del Sistema di Gestione, LRQA procederà all esecuzione di un programma di Visite di Sorveglianza, che sono normalmente previste ogni 6 mesi. L obiettivo delle Visite di Sorveglianza consiste nel verificare che il Sistema di Gestione approvato, continui a: essere mantenuto, essere applicato e produrre risultati di miglioramento continuo. Sono inoltre considerate le eventuali implicazioni alle modifiche del sistema, delle attività, delle tecnologie o dei servizi e la continuita della conformità con i requisiti di certificazione. Esecuzione della visita I temi per la visita di sorveglianza dovrebbero normalmente essere stati concordati con voi al termine della visita precedente. I temi saranno confermati durante la riunione di apertura della visita. I temi scelti ci permetteranno di verificare: rapporti di verifiche interne e riesame della direzione progressi nel raggiungimento degli obiettivi di gestione del servizio gestione delle azioni correttive e preventive inclusa la soddisfazione cliente ed i reclami le modifiche al sistema e la relativa efficacia la gestione dei cambiamenti relativi a responsabilità e autorità del personale direttivo. Uso dei loghi LRQA e itsmf, saranno inoltre verificate il completamento delle azioni correttive alle non conformità emesse. In caso di emissione di Non Conformità minori durante la visita, e la successiva visita è programmata entro 6 mesi, la verifica per la chiusura sarà effettuata nella visita successiva, diversamente dovranno essere concordate le modalità di follow up per la chiusura. In caso di emissione di Non Conformità maggiore durante la sorveglianza dovrà essere programmata una visita di sorveglianza speciale per la verifica del completamento delle azioni correttive (normalmente entro 3 mesi). L emissione di una Non Conformità maggiore costituisce la prima fase per la sospensione o la cancellazione del certificato. Rinnovo del certificato Pianificazione della verifica di rinnovo Il certificato di approvazione ha validità triennale. La verifica di rinnovo della certificazione deve essere effettuata prima della scadenza e programmata con adeguato anticipo tenendo conto dei tempi necessari all organizzazione per il completamento di azioni correttive su eventuali Non Conformità maggiori emerse nonchè dei tempi necessari per il riesame tecnico e per eventuali approfondimenti da completarsi entro la scadenza del certificato in corso. Il processo di pianificazione del rinnovo, effettuato di norma nel corso dell ultima visita di sorveglianza prima del rinnovo, prevede tre fasi: riesame delle prestazioni, anteprima, pianificazione. LRCR253431-2 page 4 of 6 09 Dec 2013
Riesame delle prestazioni Questa attività consiste nell analisi delle prestazioni del sistema dell ultimo triennio come ad esempio: verifica dell andamento dei reclami e degli altri indicatori di prestazione. miglioramenti della documentazione di sistema progetti di registrazione dei miglioramenti spunti derivati dalle verifiche andamento dei rilievi LRQA elementi di gestione specifici di ISO/IEC 20000-1 inclusa la pianificazione della gestione del servizio e relativa attuazione. Il valutatore LRQA identificherà eventuali potenziali rischi nel sistema corrente per lo sviluppo delle strategie ed il raggiungimento degli obiettivi. Anteprima Lo scopo dell anteprima è quello di allineare le attività di verifica con le strategie e gli obiettivi dell organizzazione Il valutatore utilizzerà il colloquio con l alta Direzione per comprenderne le aspettative a lungo termine come ad esempio elementi strategici per l attività e rischi operativi correlati, aspetti legati alla concorrenza, modifiche inerenti sia l organizzazione interna che l ambiente esterno etc. Il valutatore LRQA definirà attraverso l intervista se queste aspettative, obiettivi e strategie avranno impatto sul sistema o i clienti della vostra organizzazione. La fase di anteprima sarà utilizzata per individuare ulteriori tematiche da utilizzare nella verifica di rinnovo e nel successivo ciclo triennale di certificazione. Pianificazione L ultima fase consiste nella pianificazione del rinnovo; il valutatore provvederà a: identificare ogni aspetto del sistema che non sia stato adeguatamente considerato nel corso delle sorveglianze e ne pianificherà il riesame utilizzare le informazioni ottenute durante il riesame e l anteprima per supportare la pianificazione se appropriato, considerare come dedicare maggiore attenzione ai temi identificati (incluso il miglioramento continuo) individuare le aree, reparti, processi e attività da verificare concordare per ogni elemento da includere la durata della verifica in relazione al livello di rischio per l attività identificare il miglior utilizzo di risorse per evitare duplicazioni considerare il tempo necessario per la redazione e la presentazione del rapporto riassumere le decisioni nel piano di verifica. Sarà inoltre riservato parte del tempo disponibile per la discussione dei risultati con i responsabili delle aree coinvolte nella verifica. Conduzione della verifica di rinnovo La verifica di rinnovo è simile ad una visita di Fase 2. In aggiunta sarà effettuato un riesame della della documentazione di sistema per assicurare che: continui ad essere adeguata all organizzazione si sia mantenuta conforme con i requisiti di certificazione e con lo scopo di approvazione, incluso il miglioramento continuo. Modifiche alla certificazione Per qualsiasi estensione o riduzione del sistema certificato è necessario effettuare una richiesta formale di variazione. LRQA analizzerà la richiesta considerando - incrementi o modifiche delle competenze del gruppo di valutazione - estensione o riduzione della durata della verifica e se del caso emetterà apposito contratto. LRQA effettuerà una verifica documentale separata nel caso la variante comporti una integrazione al vostro sistema documentale. La verifica di variazione sarà condotta come una verifica di Fase 2 sebbene non venga normalmente predisposto in anticipo un apposito piano di verifica LRCR253431-2 page 5 of 6 09 Dec 2013
Nel caso la verifica non sia stata preceduta da una verifica documentale dedicata, parte del tempo sarà riservato per l analisi delle modifiche alla documentazione pertinente e per concordare il piano di verifica delle attività addizionali. La verifica di variazione può essere effettuata con una visita dedicata aggiuntiva o può essere abbinata ad una delle verifiche gia programmate di sorveglianza o di rinnovo. Durante la riunione di chiusura, il valutatore LRQA consegna un rapporto di visita e concorda un piano per la visita successiva. Campionamento Un importante punto da ricordare è che l assenza di non conformità rispetto aree o attività non implica necessariamente che una non conformità non esista. L attività di valutazione è basata su tecniche di campionamento tanto più ristretto quanto minore è il tempo a disposizione e statisticamente esiste sempre la possibilità che alcuni fatti non vengano riscontrati durante la visita di valutazione. Questa condizione dovrebbe essere considerata dall organizzazione stessa in merito ai risultati delle sue verifiche interne. Riservatezza Nessuna delle informazioni ottenute da LRQA circa l organizzazione, inclusi i contenuti del rapporto, saranno divulgati a terzi senza il consenso dell organizzazione, ad eccezione di quanto necessario per motivi di accreditamento. Ulteriori informazioni Per qualsiasi ulteriore informazioni sull argomento e sui servizi offerti vi preghiamo di contattare direttamente i nostri uffici tramite il sito web, oppure via e-mail all indirizzo lrc-milan@lrqa.com. Abbiamo prestato attenzione per assicurare che questa Nota Informativa fosse accurata al tempo della sua emissione, tuttavia poichè i requisiti su cui il documento si basa possono variare, in caso di dubbio vi preghiamo di contattare LRQA Italy per assicurarvi che sia l ultima versione di questo documento. LRCR253431-2 page 6 of 6 09 Dec 2013