ISO/IEC 20000-3:2012

NORME ISO/CEI
INTERNATIONALE 20000-3
Première édition
2012-08-15
Technologies de l’information —
Gestion des services —
Partie 3:
Recommandations pour la
détermination du périmetre et
l’applicabilité de l’ISO/CEI 20000-1
Information technology — Service management —
Part 3: Guidance on scope definition and applicability of ISO/IEC
20000-1
Numéro de référence
ISO/CEI 20000-3:2012(F)
©
ISO/CEI 2012
ISO/CEI 20000-3:2012(F)
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/CEI 2012
Droits de reproduction réservés. Sauf indication contraire, aucune partie de cette publication ne peut être reproduite ni utilisée
sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie, l’affichage sur
l’internet ou sur un Intranet, sans autorisation écrite préalable. Les demandes d’autorisation peuvent être adressées à l’ISO à
l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Version française parue en 2013
Publié en Suisse
ii © ISO/CEI 2012 – Tous droits réservés

ISO/CEI 20000-3:2012(F)
Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Respect des exigences spécifiées dans l’ISO/CEI 20000-1 . 1
5 Applicabilité de l’ISO/CEI 20000-1 . 2
5.1 Qui peut utiliser l’ISO/CEI 20000-1? . 2
5.2 Gouvernance des processus opérés par des tierces parties . 3
5.3 Portée de la technologie utilisée pour fournir des services . 4
6 Principes généraux pour la détermination du périmètre d’un SMS .5
6.1 Introduction . 5
6.2 Le périmètre du SMS . 5
6.3 Accords passés entre clients et fournisseur de services . 6
6.4 Paramètres de détermination du périmètre . 6
6.5 Validité de la détermination du périmètre . 7
6.6 Modification du périmètre . 7
6.7 Chaînes logistiques et périmètre du SMS . 8
6.8 Intégration ou alignement avec d’autres systèmes de management . 8
Annexe A (informative) Principaux aspects relatifs au périmètre du SMS, à l’applicabilité et à la
conformité à l’ISO/CEI 20000-1 .10
Annexe B (informative) Détermination du périmètre pour différents scénarios .12
Annexe C (informative) Types d’évaluation de conformité .28
Bibliographie .29
© ISO/CEI 2012 – Tous droits réservés iii

ISO/CEI 20000-3:2012(F)
Avant-propos
L’ISO (Organisation internationale de normalisation) et la CEI (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes nationaux
membres de l’ISO ou de la CEI participent au développement de Normes internationales par l’intermédiaire
des comités techniques créés par l’organisation concernée afin de s’occuper des domaines particuliers
de l’activité technique. Les comités techniques de l’ISO et de la CEI collaborent dans des domaines
d’intérêt commun. D’autres organisations internationales, gouvernementales et non gouvernementales,
en liaison avec l’ISO et la CEI participent également aux travaux. Dans le domaine des technologies de
l’information, l’ISO et la CEI ont créé un comité technique mixte, l’ISO/CEI JTC 1.
Les Normes internationales sont rédigées conformément aux règles données dans les Directives
ISO/CEI, Partie 2.
La tâche principale du comité technique mixte est d’élaborer les Normes internationales. Les projets de
Normes internationales adoptés par le comité technique mixte sont soumis aux organismes nationaux
pour vote. Leur publication comme Normes internationales requiert l’approbation de 75 % au moins des
organismes nationaux votants.
L’attention est appelée sur le fait que certains des éléments du présent document peuvent faire l’objet
de droits de propriété intellectuelle ou de droits analogues. L’ISO et la CEI ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence.
L’ISO/CEI 20000-3:2012 a été élaborée par le comité technique mixte ISO/CEI JTC 1, Technologies de
l’information, sous-comité SC 7, Ingénierie du logiciel et des systèmes.
Cette première édition de l’ISO/CEI 20000-3 annule et remplace la première édition de l’ISO/CEI/TR 20000-
3:2009, dont elle constitue une révision technique pour une harmonisation sur l’ISO/CEI 20000-1:2011.
L’ISO/CEI 20000 comprend les parties suivantes, présentées sous le titre général Technologies de
l’information — Gestion des services:
— Partie 1: Exigences du système de management des services
— Partie 2: Guide pour l’application des systèmes de management des services
— Partie 3: Recommandations pour la détermination du périmètre et l’applicabilité de l’ISO/CEI 20000-1
— Partie 4: Modèle de référence de processus [Rapport technique]
1)
— Partie 5: Exemple de plan de mise en application pour l’ISO/CEI 20000-1 [Rapport technique]
2)
— Partie 7: Guide pour l’application de l’ISO/CEI 20000-1 au cloud computing
— Partie 10: Concepts et terminologie [Rapport technique]
— Partie 11: Guide d’orientation sur la relation entre l’ISO/CEI 20000-1:2012 et les référentiels connexes:
3)
® 2
ITIL [Rapport technique]
1) En cours d’examen en tant que deuxième édition de ce Rapport technique.
2) En cours d’élaboration. ®
3) ITIL est une marque déposée par un service gouvernemental.
iv © ISO/CEI 2012 – Tous droits réservés

ISO/CEI 20000-3:2012(F)
Introduction
L’ISO/CEI 20000-1 spécifie les exigences applicables à un système de management des services (ou SMS,
pour service management system). L’exécution des processus dans un système ou un environnement
de service donné aboutira à des exigences particulières en termes de connaissances, d’outils et
d’informations même si les attributs de processus restent inchangés. L’ISO/CEI 20000-1 ne spécifie pas
d’exigences applicables à la structure organisationnelle, à sa taille et au type d’organisation. Les exigences
de l’ISO/CEI 20000-1 ne dépendent pas de la structure organisationnelle, de la technologie ou du service.
Les processus de gestion des services peuvent s’exécuter en traversant de nombreuses organisations
différentes, des réglementations distinctes et des frontières nationales, et peuvent avoir à franchir
différents fuseaux horaires. Les fournisseurs de services peuvent s’appuyer sur une chaîne logistique
complexe pour la fourniture de services. Les fournisseurs de services peuvent également fournir
un ensemble de services à différents types de clients, qu’ils soient internes ou externes. Une chaîne
logistique complexe peut faire que l’accord sur le périmètre des services à fournir et son application
soit une étape complexe à mettre en œuvre dans le cadre de l’utilisation de l’ISO/CEI 20000-1 par le
fournisseur de services.
La présente partie de l’ISO/CEI 20000 comprend des exemples, des guides et des recommandations. Il
convient de ne pas l’envisager comme une spécification des exigences. Il convient de veiller à ce que les
déclarations de conformité ne soient pas équivoques.
© ISO/CEI 2012 – Tous droits réservés v

NORME INTERNATIONALE ISO/CEI 20000-3:2012(F)
Technologies de l’information — Gestion des services —
Partie 3:
Recommandations pour la détermination du périmetre et
l’applicabilité de l’ISO/CEI 20000-1
1 Domaine d’application
La présente partie de l’ISO/CEI 20000 fournit des recommandations pour la détermination du périmètre,
l’applicabilité et la démonstration de la conformité aux exigences spécifiées dans l’ISO/CEI 20000-1.
Les conseils délivrés dans la présente partie de l’ISO/CEI 20000 aideront le fournisseur de services
à planifier les améliorations sur ses services et/ou à préparer une évaluation de la conformité à
l’ISO/CEI 20000-1.
La présente partie de l’ISO/CEI 20000 aidera également le fournisseur de services à déterminer si
l’ISO/CEI 20000-1 est applicable à ce dernier. Elle illustre la façon de définir le périmètre d’un SMS, quel
que soit le niveau d’expérience du fournisseur de services dans la définition du périmètre pour d’autres
systèmes de management.
Des recommandations sur les différents types d’évaluation de la conformité et les différentes normes
d’évaluation sont incluses.
Les scénarios et exemples présentés couvrent un ensemble de circonstances pratiques communément
rencontrées par les fournisseurs de services.
La présente partie de l’ISO/CEI 20000 sera utile pour les consultants et les évaluateurs. Elle vient compléter
les recommandations pour l’application de l’ISO/CEI 20000-1 contenues dans l’ISO/CEI 20000-2.
2 Références normatives
Les documents ci-après, dans leur intégralité ou non, sont des références normatives indispensables à
l’application du présent document. Pour les références datées, seule l’édition citée s’applique. Pour les
références non datées, la dernière édition du document de référence s’applique (y compris les éventuels
amendements).
ISO/CEI 20000-1:2011, Technologies de l’information — Gestion des services — Partie 1: Exigences du
système de management des services
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions donnés dans l’ISO/CEI 20000-
1 s’appliquent.
4 Respect des exigences spécifiées dans l’ISO/CEI 20000-1
Il convient que le fournisseur de services soit conscient que la démonstration de la conformité n’est
possible qu’en respectant la totalité des exigences spécifiées dans l’ISO/CEI 20000-1. A cette fin, il
convient que le fournisseur de services démontre que:
a) tous les processus mentionnés dans l’ISO/CEI 20000-1 sont documentés,
© ISO/CEI 2012 – Tous droits réservés 1

ISO/CEI 20000-3:2012(F)
b) tous les processus produisent les résultats escomptés,
c) les résultats de la gestion des services sont adaptés pour soutenir les besoins métiers et les
exigences des clients,
d) le SMS est géré de manière à répondre aux exigences de service,
e) la méthodologie appelée «roue de Deming» pour «Planifier-Faire-Vérifier-Agir» (ou méthodologie
PDCA, pour Plan-Do-Check-Act) est utilisée pour mettre en œuvre le processus d’amélioration
continue du SMS et des services,
f) le fournisseur de services assure la gouvernance des processus opérés par des tierces parties.
5 Applicabilité de l’ISO/CEI 20000-1
5.1 Qui peut utiliser l’ISO/CEI 20000-1?
Le Paragraphe 1.2 de l’ISO/CEI 20000-1:2011 décrit l’application de la norme.
Un SMS s’appuyant sur l’ISO/CEI 20000-1 peut être utilisé par des fournisseurs de services aux profils
très variés. L’ISO/CEI 20000-1 peut aussi bien s’appliquer à des fournisseurs de services internes qu’à des
fournisseurs de services externes, à de petits et à de grands fournisseurs, à des fournisseurs de services
commerciaux qu’à des fournisseurs de services non commerciaux. L’applicabilité de l’ISO/CEI 20000-1
est indépendante de la manière dont est fondé le service.
Aucune des exigences mentionnées dans les Articles 4 à 9 de l’ISO/CEI 20000-1:2011 ne peut être exclue
d’une évaluation lorsqu’un fournisseur de services déclare être en conformité avec l’ISO/CEI 20000-1:2011.
Il convient que le fournisseur de services ait un contrôle total du SMS en respectant la totalité des
exigences de l’Article 4 de l’ISO/CEI 20000-1. Le fournisseur de services peut confier à des tierces
parties la responsabilité de respecter les exigences de l’Article 4 de l’ISO/CEI 20000-1. Par exemple, le
fournisseur peut confier à un organisme de conseils la prise en charge du développement du plan de
management des services ou la mise en œuvre d’audits internes.
Le fournisseur de services peut se charger de respecter la totalité des exigences des Articles 5 à 9 de
l’ISO/CEI 20000-1:2011 par une gestion directe, ou d’en confier la gestion à des tierces parties. Les
tierces parties peuvent être:
a) des fournisseurs,
b) des groupes internes,
c) des clients (lorsqu’ils agissent au titre de fournisseurs).
Dans l’ISO/CEI 20000-1:2011, définition 3.35: un fournisseur est défini comme un organisme, ou une
partie d’un organisme, externe à l’organisme du fournisseur de services, qui conclut un contrat avec le
fournisseur de services pour contribuer à la conception, la transition, la mise en œuvre, la fourniture, la
mise à jour, l’amélioration et la gestion d’un ou de plusieurs services ou processus. Dans l’ISO/CEI 20000-
1, le terme «fournisseurs» inclut les principaux fournisseurs désignés, mais pas leurs sous-traitants.
Il convient que les principaux fournisseurs désignés gèrent leurs sous-traitants pour le compte du
fournisseur de services, selon un accord formel.
Un groupe interne est une partie de la même organisation que le fournisseur de services, mais qui n’est
pas sous le contrôle direct du fournisseur de services. Il convient que le fournisseur de services et le
groupe interne aient un accord documenté, spécifiant la contribution du groupe interne aux services
délivrés par le fournisseur de services.
Un client, lorsqu’il agit au titre de fournisseur, est une partie d’un organisme qui reçoit un service, mais
qui contribue également à l’exécution du SMS du fournisseur de services. Par exemple, un client peut
gérer un centre de services et opérer une partie du processus de gestion des incidents et des demandes
2 © ISO/CEI 2012 – Tous droits réservés

ISO/CEI 20000-3:2012(F)
de services. Il convient que la contribution du client soit définie selon les termes d’un accord documenté
passé entre le fournisseur de services et le client (lorsque ce dernier agit au titre de fournisseur).
Chaque fois que des tierces parties sont impliquées, il convient que le fournisseur de services ait la
gouvernance de tous les processus s’inscrivant dans le périmètre du SMS. La présente partie de
l’ISO/CEI 20000 traite de cet aspect en 5.2 pour les processus opérés par des tierces parties. Si la part
de la contribution des tierces parties aux processus n’est que minime, le fournisseur de services ne
rencontrera en principe pas de difficulté à respecter les exigences de l’ISO/CEI 20000-1. Par contre, si
le fournisseur de services confie à des tierces parties la mise en œuvre de la plupart de ses processus, il
peut avoir des difficultés à satisfaire à toutes les exigences de l’ISO/CEI 20000-1.
Un fournisseur de services qui ne respecte pas la totalité des exigences de l’ISO/CEI 20000-1:2011, en
termes de fourniture des services par rapport à des clients externes, peut viser à remplir ces mêmes
exigences en termes de fourniture des services par rapport à sa propre organisation.
Pour un fournisseur de services donné, il peut s’avérer que l’ISO/CEI 20000-1 soit inappropriée et qu’une
autre norme soit plus adaptée. Par exemple, l’ISO 9001 ou une norme ne couvrant que certains aspects
de la gestion des services.
5.2 Gouvernance des processus opérés par des tierces parties
5.2.1 Processus opérés par des tierces parties
Il convient que le fournisseur de services identifie les processus ou parties de processus opérés par des
tierces parties. Il convient que le fournisseur de services garantisse ensuite que les contrats ou accords
documentés comprennent la gouvernance par ce dernier des processus dans le périmètre du SMS qui
sont opérés par des tierces parties. Par exemple, le fournisseur de services est en mesure de vérifier si
une tierce partie suit bien les processus ayant fait l’objet d’un accord.
5.2.2 Responsabilité et adhésion
Il convient que le fournisseur de services démontre qu’il est responsable et participe au respect des
exigences du Paragraphe 4.2 de l’ISO/CEI 20000-1:2011 pour tous les processus. Il convient d’inclure à
cette démonstration tous les processus opérés par des tierces parties. Il convient que le fournisseur de
services ait l’autorité pour améliorer l’adhésion des tierces parties aux processus opérés par des tierces
parties ayant fait l’objet d’un accord.
Il convient que le fournisseur de services soit également en mesure de démontrer l’engagement de la
direction dans le SMS.
EXEMPLE 1 Si un tiers est chargé de résoudre un incident ayant un impact sur le service fourni à un client, le
fournisseur de services reste responsable de la résolution de l’incident auprès du client.
EXEMPLE 2 Imposer à une tierce partie d’utiliser un processus établi par le fournisseur de services et lui imposer
des audits réguliers sur l’utilisation de ce processus, les audits étant effectués par le fournisseur de services.
5.2.3 Définitions des processus et interfaces
Il convient que le fournisseur de services ait le contrôle de la définition des processus opérés par des
tierces parties et des interfaces avec les autres processus dans le SMS. Les preuves d’un tel contrôle
peuvent être les suivantes.
EXEMPLE 1 Le fournisseur de services peut démontrer qu’il peut demander à des tierces parties d’utiliser des
processus particuliers. Par exemple, le fournisseur de services et ses fournisseurs peuvent employer le même
processus de gestion des changements, selon les termes des contrats passés entre le fournisseur de services et
chacun de ses fournisseurs.
EXEMPLE 2 Le fournisseur de services contrôle les processus opérés par des groupes internes selon les termes
d’un accord documenté.
© ISO/CEI 2012 – Tous droits réservés 3

ISO/CEI 20000-3:2012(F)
EXEMPLE 3 Le fournisseur de services peut démontrer qu’il a mené un travail de collaboration avec des
tierces parties pour documenter et approuver les processus de fourniture des rapports de service que les tierces
parties exécutent.
EXEMPLE 4 Documentation, accord et exécution des interfaces et des dépendances du processus de gestion
des changements, opéré par le fournisseur (du fournisseur de services), avec le processus de gestion des
configurations, opéré par le fournisseur de services lui-même.
5.2.4 Performances des processus
Selon les exigences du Paragraphe 4.2 de l’ISO/CEI 20000-1:2011, il convient que le fournisseur de
services contrôle les critères de performances des processus. Il convient que le fournisseur de services
impose également l’adhésion des tierces parties à ses exigences de processus.
EXEMPLE 1 Etablissement des critères de performances des processus, tels que les objectifs de disponibilité
ou le temps nécessaire au traitement d’une demande de service.
EXEMPLE 2 Accès à un ensemble d’enregistrements d’incidents et aux mesures des performances du processus
de gestion des incidents et demandes de services obtenues par un tiers, afin de s’assurer que ce tiers adhère au
processus ayant fait l’objet d’un accord.
5.2.5 Amélioration des processus
Il convient que le fournisseur de services contrôle le plan d’améliorations des processus ainsi que la
priorité donnée aux améliorations en cours. L’identification des opportunités d’amélioration peut être
réalisée par le fournisseur de services ou par une tierce partie.
EXEMPLE 1 Évaluation des propositions d’amélioration pour la gestion des incidents mise en œuvre par un
groupe interne et contrôle de la manière dont ces améliorations seront appliquées. Cela inclut la coordination
entre les améliorations qu’un groupe interne apportera à la gestion des incidents et les autres changements
apportés au SMS du fournisseur de services.
EXEMPLE 2 Le fournisseur de services évalue un ensemble d’améliorations du processus de gestion de la
capacité opéré par un tiers. Le fournisseur de services contrôle également la priorité à accorder à l’allocation
des ressources nécessaires pour atteindre les niveaux escomptés de performances. Le fournisseur de services
est également en mesure de démontrer que les changements ont été approuvés et mis en œuvre pour garantir le
respect des exigences de service.
5.2.6 Gestion des tierces parties
Lorsqu’un fournisseur exécute un processus ou une partie de processus, il convient que le fournisseur
de services gère le fournisseur au moyen du processus de gestion des fournisseurs.
Lorsque des groupes internes ou des clients (lorsqu’ils agissent au titre de fournisseurs) exécutent
des processus ou parties de processus, il convient que le fournisseur de services les gère au moyen du
processus de gestion du niveau de service.
5.3 Portée de la technologie utilisée pour fournir des services
Il convient que le fournisseur de services soit conscient que dans l’ISO/CEI 20000-1:
a) l’applicabilité ne dépend ni de la technologie utilisée pour fournir des services, ni de l’automatisation
des processus du SMS,
b) la technologie utilisée ne modifie pas les exigences de l’ISO/CEI 20000-1,
c) la technologie utilisée peut avoir un impact sur l’outillage et les exigences concernant les données,
aussi bien que sur les compétences du personnel nécessaires pour soutenir les activités des processus.
4 © ISO/CEI 2012 – Tous droits réservés

ISO/CEI 20000-3:2012(F)
6 Principes généraux pour la détermination du périmètre d’un SMS
6.1 Introduction
Le Paragraphe 4.5.1 de l’ISO/CEI 20000-1:2011 fournit les exigences applicables à la détermination du
périmètre du SMS.
Il convient que le fournisseur de services détermine le périmètre du SMS avant de l’établir.
Il convient que la direction du fournisseur de services garantisse que le plan de management des services
est créé et qu’il inclut le périmètre du SMS. Il convient que le SMS et la détermination de son périmètre
soient maintenus à jour. Il convient que la direction soit responsable de l’examen du périmètre du SMS
afin de permettre son efficacité et sa validité continues.
6.2 Le périmètre du SMS
6.2.1 Détermination du périmètre
Il convient que la détermination du périmètre du SMS:
a) soit aussi simple que possible,
b) soit compréhensible sans avoir des connaissances approfondies de l’organisation du fournisseur de
services,
c) comprenne suffisamment d’informations dans l’optique d’une évaluation de la conformité,
d) soit formulée de sorte à ce que toutes les exclusions soient claires,
e) soit indépendante et ne fasse pas référence à d’autres sources.
Voir Annexe B de la présente partie de l’ISO/CEI 20000 pour des exemples de déterminations de périmètre.
6.2.2 Détermination du périmètre et évaluation
Le fournisseur de services peut débattre du périmètre du SMS avec son évaluateur. Le fait de se voir
confirmer que le périmètre proposé est valide, avant d’établir le SMS, peut permettre d’éviter d’établir
de fausses attentes. Un évaluateur peut discuter le périmètre de l’évaluation / de l’audit en tant que
partie du programme d’audit mais il convient qu’il ne délivre pas de conseils portant sur le SMS.
Il convient que le fournisseur de services soit en mesure de démontrer que le périmètre est valide dès le
début d’une évaluation car ce dernier est utilisé dans la planification de l’évaluateur.
Il convient que le fournisseur de services soit conscient que seules les preuves fondées sur le périmètre
du SMS sont prises en considération lors d’une évaluation. Les activités ou services qui ne s’inscrivent
pas dans le périmètre du SMS n’ont pas à satisfaire aux exigences spécifiées dans l’ISO/CEI 20000-1.
Il convient que les exclusions ne soient pas comprises dans la détermination du périmètre mais elles
peuvent contribuer à clarifier la détermination du périmètre.
6.2.3 Limites du périmètre
Lorsque le fournisseur de services inclut une organisation entière ou un périmètre d’activités entier
dans le SMS, la détermination du périmètre peut s’avérer être relativement simple, car le périmètre peut
être déterminé comme englobant la totalité des services offerts par le fournisseur de services.
Si le fournisseur de services n’inclut que certaines de ses activités dans le SMS, il peut s’avérer difficile
de déterminer le périmètre en des termes simples ou d’éviter toute ambiguïté. Une démonstration de la
conformité peut correspondre au respect de toutes les exigences de l’ISO/CEI 20000-1 pour un périmètre
fondé sur un service simple fourni à un seul client. Un tel périmètre ne couvre qu’une petite proportion
de tous les services ou activités proposés par le fournisseur de services.
© ISO/CEI 2012 – Tous droits réservés 5

ISO/CEI 20000-3:2012(F)
Un fournisseur de services peut avoir de nombreux clients et offrir une multitude de services. Par
conséquent, le périmètre du SMS peut inclure les services proposés à plusieurs clients. Si tel est le cas, il
convient que les processus soient cohérents, néanmoins, les procédures utilisées pour fournir les services
à chacun des clients peuvent varier dans les détails. Si un client est identifié dans la détermination du
périmètre, il convient que l’organisation respecte toutes les exigences de l’ISO/CEI 20000-1 pour ce client.
6.3 Accords passés entre clients et fournisseur de services
Le fournisseur de services ne peut pas utiliser les termes d’un contrat ou d’un accord documenté qu’il a
signé/passé avec le client pour restreindre ses obligations à respecter les exigences de l’ISO/CEI 20000-
1. Cette remarque est également valable même si les termes d’un contrat ou d’un accord documenté
limitent les services et processus. De même, les termes d’un contrat ou d’un accord documenté ne peuvent
pas restreindre les obligations d’un évaluateur à obtenir la preuve de la conformité aux exigences de
l’ISO/CEI 20000-1.
6.4 Paramètres de détermination du périmètre
6.4.1 Paramètres requis par l’ISO/CEI 20000-1
Il convient que le fournisseur de services utilise des paramètres pour déterminer le périmètre du SMS
pour lever toute ambiguïté sur ce que le périmètre inclut et exclut.
Il convient que les paramètres incluent au minimum:
a) les unités organisationnelles fournissant des services, par exemple, un seul département, un groupe
de départements ou tous les départements,
b) les services fournis, par exemple, un seul service, un groupe de services ou tous les services, les
services financiers, les services de vente au détail, les services de courrier électronique.
EXEMPLE La détermination du périmètre peut être:
Le SMS de < nom de l’unité organisationnelle du fournisseur de services > qui fournit < les service(s) > .
Il convient de ne pas simplifier le < nom de l’unité organisationnelle du fournisseur de services > dans la
détermination du périmètre par < fournisseur de services > , car de nombreuses organisations incluent
un fournisseur de service et certaines organisations en incluent plusieurs.
6.4.2 Autres paramètres
Il convient que le fournisseur de services prenne en compte d’autres paramètres lorsque des informations
supplémentaires peuvent lever toute ambiguïté dans la détermination du périmètre. L’utilisation de ces
autres paramètres est présentée dans les exemples et à l’Annexe B de la présente partie de l’ISO/CEI 20000.
EXEMPLE La détermination du périmètre peut être:
Le SMS de < nom de l’unité organisationnelle du fournisseur de services > qui fournit < technologie > < service(s) > à
partir de < emplacement du fournisseur de services > à < client > se trouvant < emplacement du client > .
Le fournisseur de services peut utiliser les paramètres dans n’importe quel ordre, qu’il juge approprié.
D’autres paramètres peuvent être utilisés.
La détermination du périmètre d’un SMS peut englober plusieurs clients, sans avoir à les répertorier
explicitement dans une liste, par exemple, en citant tous les services émanant du centre de données se
trouvant à un emplacement désigné ou en citant tous les services de stockage de données.
Il convient que le fournisseur de services n’inclue pas les noms des tierces parties ou des organisations
externes, même si elles contribuent au SMS et aux services.
6 © ISO/CEI 2012 – Tous droits réservés

ISO/CEI 20000-3:2012(F)
6.4.3 Échantillon pour l’évaluation
Si le périmètre inclut plusieurs clients, services ou emplacements, l’évaluateur peut évaluer un échantillon,
qu’il aura sélectionné au vu de son expérience concernant la sélection d’échantillons. Il convient que
la détermination du périmètre inclue tous les clients, services et emplacements s’inscrivant dans le
périmètre du SMS, et non seulement ceux retenus dans l’échantillon.
6.5 Validité de la détermination du périmètre
Il convient que le fournisseur de services s’assure que le périmètre du SMS reste valide après qu’il a
été documenté. Il convient que le fournisseur de services s’assure de cela en menant des examens à
intervalles planifiés pour identifier les divergences. Si le périmètre réel ne correspond au périmètre
déterminé, il convient alors de rectifier la détermination du périmètre. S’il est considéré que la différence
est significative, une réévaluation peut être requise.
Il convient que le fournisseur de services soit conscient qu’une modification importante des services
peut nécessiter une modification importante du SMS. Il convient que le fournisseur de services s’assure
qu’un audit interne évalue si cette modification se traduit ou non par le fait que le SMS ne satisfait plus
aux exigences de l’ISO/CEI 20000-1. Si un SMS est certifié ISO/CEI 20000-1, il convient de notifier à
l’organisme de certification ayant remis le certificat toute modification importante du SMS, car une
réévaluation peut être requise.
Une modification majeure du périmètre du SMS peut signifier que le fournisseur de services ne peut pas
démontrer la conformité aux exigences de l’ISO/CEI 20000-1. Il est également possible de restreindre
le périmètre du SMS en cas de suppression de services. Il est également possible de modifier la
détermination du périmètre selon d’autres paramètres tels que les clients ou les localisations qui sont
ajoutés ou supprimés.
Certaines déterminations de périmètre font référence à un catalogue de services. Cette pratique est
incorrecte si le catalogue de services est modifié et que la détermination du périmètre n’est plus exacte.
Néanmoins, l’utilisation d’un catalogue de services lors de la détermination du périmètre peut s’avérer
utile si le périmètre est complexe. En cas de recours à un catalogue de services, il convient d’apporter
la preuve que les services inclus dans le catalogue sont légitimes dans le cadre du SMS satisfaisant aux
exigences de l’ISO/CEI 20000-1.
Un exemple de détermination de périmètre faisant référence à un catalogue de services est donné ci-dessous.
EXEMPLE La détermination du périmètre peut être:
Le SMS de < nom de l’unité organisationnelle du fournisseur de services > qui fournit tous les services présents
dans < catalogue de services > à < nom organisationnel du client ou nom de l’unité organisationnelle du client > à
partir de < emplacement géographique > .
NOTE Le rôle de l’évaluateur dans le cadre de la recherche de preuves, telles que la détermination du
périmètre, est décrit dans l’ISO/CEI 17021:2011, Évaluation de la conformité — Exigences pour les organismes
procédant à l’audit et à la certification des systèmes de management.
6.6 Modification du périmètre
Le fournisseur de services peut décider de ne démontrer la conformité que pour certaines de ses activités
en fonction de ses besoins métiers. Par exemple, le fournisseur de services peut commencer avec un SMS
qui n’inclut que certains services puis ajouter par la suite d’autres services dans le périmètre du SMS. Il
convient que le fournisseur de services revoit alors aussi bien le SMS que la détermination du périmètre
pour inclure les services supplémentaires.
En cas de révision du périmètre, il peut s’avérer nécessaire de réévaluer le SMS. Tel peut être le cas
même si aucune réévaluation n’avait été planifiée pour le SMS.
Il convient qu’une modification majeure du périmètre du SMS soit gérée comme faisant partie d’un
projet ou d’un programme d’améliorations. Cela peut réduire le risque concernant le service et l’aptitude
du fournisseur de services à démontrer la conformité aux exigences de l’ISO/CEI 20000-1.
© ISO/CEI 2012 – Tous droits réservés 7

ISO/CEI 20000-3:2012(F)
6.7 Chaînes logistiques et périmètre du SMS
6.7.1 Confiance en les tierces parties
Il convient que le fournisseur de services soit conscient que la compréhension de la chaîne logistique
avec ses fournisseurs est fondamentale pour déterminer un périmètre effectif pour le SMS. Le fait d’avoir
confiance en les tierces parties en ce qui concerne la partie du service qu’elles fournissent ne remet pas
en cause la nécessité pour le fournisseur de services de démontrer la conformité à l’ISO/CEI 20000-
1. Il convient que le fournisseur de services tienne compte de la manière dont les relations entre les
organisations dans la chaîne logistique influencent le périmètre du SMS.
6.7.2 Démonstration de la conformité tout au long de la chaîne logistique
Il convient que le fournisseur de services dispose des preuves de la conformité aux exigences du
Paragraphe 4.2 de l’ISO/CEI 20000-1:2011, en ce qui concerne la gouvernance des processus opérés par
des tierces parties. Cette préconisation est décrite en 5.2 de la présente partie de l’ISO/CEI 20000.
Pour les fournisseurs, il convient que le fournisseur de services dispose des preuves de la satisfaction
aux exigences du Paragraphe 7.2 de l’ISO/CEI 20000-1:2011 relatives au processus de gestion des
fournisseurs. Il convient d’inclure comme preuve les contrats correspondants qu’il a passés avec les
fournisseurs.
Il convient que le fournisseur de services dispose des preuves de la conformité aux exigences du
Paragraphe 6.1 de l’ISO/CEI 20000-1:2011 concernant la gestion des groupes internes ou des clients
agissant au titre de fournisseurs. Il convient d’inclure comme preuve l’accord documenté passé avec les
groupes internes ou les clients agissant au titre de fournisseurs.
Il n’est pas nécessaire que les tierces parties de la chaîne logistique soient en conformité avec
l’ISO/CEI 20000-1 pour que le fournisseur de services puisse démontrer la conformité.
Lorsque le fournisseur de services et un tiers, tel qu’un fournisseur, cherchent tous deux à démontrer la
conformité à l’ISO/CEI 20000-1, chacun d’entre eux peut mettre en œuvre son propre SMS et satisfaire
aux exigences de manière indépendante. Lorsque le même processus est utilisé par deux organisations
ou plus, seule une d’entre elles peut démontrer la gouvernance de ce processus. L’autre organisation peut
viser à démontrer la gouvernance du processus pour un usage différent de ce même processus.
Il convient que le fournisseur de services s’assure de l’absence d’ambiguïté concernant les différents
usages du même processus. Il convient que cette vérification passe par des documents et enregistrements
distincts pour chaque usage. Cela peut avoir une influence sur le SMS du fournisseur de services en
termes de planification et d’évaluation au regard de la conformité à l’ISO/CEI 20000-1. Tel peut être le cas
pour les fournisseurs de services ayant plusieurs clients. C’est également le cas pour les organisations
qui reposent sur une chaîne logistique complexe constituée de plusieurs tierces parties, notamment de
plusieurs fournisseurs: fournisseurs principaux désignés et leurs sous-traitants.
Tout comme les exigences du Paragraphe 4.2 de l’ISO/CEI 20000-1:2011, d’autres exigences influencent
le périmètre, l’applicabilité et l’aptitude à démontrer la conformité. Une organisation externe au
fournisseur de services peut avoir accès, utiliser ou gérer des informations ou les services du fournisseur
de services. Dans ce cas, il convient que le fournisseur de services et l’organisation externe mettent en
œuvre les contrôles de sécurité de l’information ayant fait l’objet d’un accord, se référer aux exigences du
Paragraphe 6.6.2 de l’ISO/CEI 20000-1:2011. Dans ce cas, si les contrôles de la sécurité de l’information ne
sont pas exécutés, il convient d’exclure du périmètre du SMS toute contribution de l’organisation externe.
6.8 Intégration ou alignement avec d’autres systèmes de management
Il convient que le fournisseur de services soit conscient que l’ISO/CEI 20000-1 supporte tout alignement et/ou
toute intégration d’un SMS avec d’autres systèmes de management. L’inclusion de la méthodologie PDCA
dans l’ISO/CEI 20000-1 améliore la compatibilité avec d’autres normes sur les systèmes de management.
8 © ISO/CEI 2012 – Tous droits réservés

ISO/CEI 20000-3:2012(F)
Il convient que le fournisseur de services soit conscient qu’il peut y avoir des différences entre le
périmètre du SMS et d’autres systèmes de management. Il convient que le fournisseur de services soit
également conscient que chaque type de système de management a un but différent. Le SMS, l’ISMS et le
QMS traitent chacun d’un domaine d’intérêt non couvert par les deux autres.
Il convient d’intégrer les aspects que les systèmes de management ont en commun pour atteindre de
meilleures efficience, efficacité et cohérence. Par exemple, des exigences relatives à la documentation ou
à des responsabilités de management.
Le fournisseur de services peut déterminer le périmètre de son SMS comme étant géographiquement
ou organisationnellement identique au périmètre d’autres systèmes de management. Par exemple, un
système de management de la sécurité de l’information (ou ISMS, pour Information Security Management
System) fondé sur l’ISO/CEI 27001 ou un système de management de la qualité (ou QMS, pour Quality
Management System) fondé sur l’ISO 9001. Lorsqu’un fournisseur de services détermine le périmètre
d’un système de management intégré conforme à plusieurs normes sur les systèmes de management, la
détermination du périmètre est plus complexe. Il convient de prendre en compte les exigences de chaque
norme de système de management. Par exemple, il convient qu’un système de management conforme à
l’ISO/CEI 20000-1 et à l’ISO/CEI 27001 ne commence pas par «Le SMS…».
© ISO/CEI 2012 – Tous droits réservés 9

ISO/CEI 20000-3:2012(F)
Annexe A
(informative)
Principaux aspects relatifs au périmètre du SMS, à l’applicabilité
et à la conformité à l’ISO/CEI 20000-1
A.1 Généralités
Lors de la détermination du périmètre d’un SMS, notamment du périmètre pour une évaluation
ISO/CEI 20000-1, il convient que le fournisseur de services tienne compte des aspects décrits à la
présente annexe.
A.2 Entités légales multiples
Des organismes tiers de certification peuvent exiger qu’un certificat ISO/CEI 20000-1 ne soit remis qu’à
une seule entité légale, et non à plusieurs entités légales d’un consortium.
A.3 Caractéristiques commerciales
Le service peut être fourni selon des conditions commerciales ou gratuites. La condition commerciale ou non
de la fourniture du service est sans rapport avec l’applicabilité de l’ISO/CEI 20000-1 et le périmètre du SMS.
Il convient que le fournisseur de services ait des politiques et des procédures budgétaires et comptables
pour les actifs utilisés dans le cadre de la fourniture du service. Il n’est pas nécessaire que le fournisseur
de services soit le propriétaire des actifs.
A.4 Noms des processus
Il n’est pas nécessaire d’utiliser les noms de processus donnés dans l’ISO/CEI 20000-1. Les exigences de
l’ISO/CEI 20000-1 ont été centrées sur les processus, leurs contenus, leurs capacités, leurs qualités et
leurs emplois.
Les processus peuvent être combinés ou scindés différemment de ce qui est spécifié dans l’ISO/CEI 20000-
1 à condition que toutes les exigences soient satisfaites. Par exemple, la gestion de la continuité des
services et la gestion de la disponibilité des services peuvent constituer deux processus distincts.
De même, la gestion des changements et la gestion des mises en production et de leurs déploiements
peuvent être combinées pour ne former qu’un même processus.
Le fait d’établir la correspondance entre les noms de processus utilisés et les noms de processus donnés
dans l’ISO/CEI 20000-1 peut faciliter la compréhension des conditions selon lesquelles les exigences
spécifiées dans l’ISO/CEI 20000-1 sont satisfaites.
A.5 Inclusions et exclusions
Il convient de mentionner dans la détermination du périmètre ce qui a été inclus dans le périmètre. Pour
davantage de clarté, il peut être utile de mentionner ce qui est exclu du périmètre.
Il convient que le fournisseur de services satisfasse à toutes les exigences spécifiées dans l’ISO/CEI 20000-
1 pour tout ce qui est inclus dans la détermination du périmètre. Par exemple, il convient de mettre en
œuvre et d’exécuter tous les processus de gestion des services.
10 © ISO/CEI 2012 – Tous droits réservés

ISO/CEI 20000-3:2012(F)
A.6 Autorités et responsabilités
Il convient que le fournisseur de services soit conscient de l’importance d’établir en toute clarté les
autorités et responsabilités.
Il convient que le fournisseur de services conserve la gouvernance et la responsabilité opérationnelle en
ce qui concerne les aspects traités dans l’Article 4 de l’ISO/CEI 20000-1:2011, mais il peut solliciter des
tierces parties pour l’assister.
Il convient que le fournisseur de services opère la majorité des processus définis dans les Articles 5 à 9
de l’ISO/CEI 20000-1:2011.
Il convient que le fournisseur de services s’assure de l’absence d’ambiguïté concernant les autorités et
responsabilités des processus opérés par des tierces
...