ISO/IEC 20000-1:2018 — 서비스 관리 시스템 요구사항을 조항 대응표와 인증 심사 준비로 옮기기

개념

지침과 요구사항의 차이

레슨 1에서 ITIL은 지침, ISO/IEC 20000-1은 요구사항 표준 이라고 했다. 이 차이가 실무에서 어떻게 나타나는지부터 보자.

ITIL은 "인시던트 우선순위를 영향과 긴급도로 매기면 좋다"고 안내한다. ISO/IEC 20000-1은 대략 "인시던트는 기록되고 분류되고 우선순위가 매겨지고 해결되어야 한다"는 식으로 충족 여부를 판단할 수 있는 요구 를 적는다. 어떻게 매길지는 조직이 정하지만, 정했다는 것과 그대로 했다는 것을 증거로 보여야 한다.

모듈 32에서 KOLAS가 시험소의 품질시스템을 17025 요구사항으로 평가하는 구조를 봤다. ISO/IEC 20000-1은 같은 구조를 IT 서비스 제공 조직 에 적용한다. 모듈 32 레슨 2의 문서 4층, 레슨 5의 내부심사·경영검토가 이 표준에서 거의 그대로 반복된다.

조화 구조 — 4~10장은 다른 경영 시스템 표준과 같은 뼈대

2018판은 ISO 경영 시스템 표준들이 공유하는 상위 구조(조화 구조) 를 따른다. 2011판에서 크게 달라진 점이다.

47장과 910장은 ISO 9001(레슨 5)과 뼈대가 같다. 그래서 두 표준을 함께 운영하는 조직은 이 부분을 하나의 체계로 통합 할 수 있다. 서비스 관리 고유의 내용은 거의 8장에 몰려 있다.

7장에 지식 이 들어 있다는 점을 보자. 레슨 3에서 알려진 오류 기록과 해결 방법 문서가 첫 접촉 해결률을 올린다고 했는데, 그 지식 관리가 요구사항 수준으로 올라와 있다.

8장 운영 — 여섯 묶음

8장은 하위 조항이 가장 많고, 인증 심사 시간의 큰 몫을 차지한다.

(8.3의 공급자 관리 하위 조항 번호는 해설 자료마다 표기가 달라 괄호로 두었다. 대응표를 만들 때는 원문 조항 번호로 확정한다.)

8.2.3 서비스 수명주기에 관여하는 당사자 통제 는 실무에서 자주 놓친다. 운영의 일부를 외부 공급자나 사내 다른 조직이 맡더라도, SMS의 책임은 서비스 제공자에게 남는다. 외주 운영사가 인시던트를 처리하면, 그 처리가 요구를 충족하는지를 제공자가 통제하고 증거로 보여야 한다.

8.5.1 변경 관리와 8.5.3 릴리스·배포 관리가 레슨 3의 변경 위험 평가와 QA의 접점이다. 표준은 변경의 위험 평가, 승인, 시험, 되돌리기(롤백) 계획, 구현 후 검토 같은 요소를 요구한다. 레슨 3의 위험 평가표가 그대로 이 조항의 증거 가 된다.

ITIL 프랙티스와 조항의 대응표

ITIL을 쓰는 조직이 ISO/IEC 20000-1 인증을 준비할 때 가장 먼저 만드는 산출물이 대응표 다. 모듈 32 레슨 2의 조항 ↔ 문서 추적표 와 같은 발상이다.

| 조항 | 요구 요지 | 대응 ITIL 4 프랙티스 | 우리 절차서 | 기록(증거) | 담당 | 공백 |
|---|---|---|---|---|---|---|
| 8.6.1 | 인시던트 기록·분류·우선순위·해결·종료 | 인시던트 관리, 서비스 데스크 | PR-OPS-03 | ITSM 도구 인시던트 레코드 | 운영1팀 | — |
| 8.6.3 | 문제 식별·원인 분석·알려진 오류·해결 | 문제 관리 | PR-OPS-05 | 문제 레코드, 알려진 오류 DB | 운영기획 | 선제형 문제 기록 없음 |
| 8.5.1 | 변경 위험 평가·승인·시험·롤백·검토 | 변경 지원 | PR-CHG-01 | 변경 레코드, 위험 평가표 | CAB 간사 | 변경 후 검토 기록 30% 누락 |
| 8.2.6 | 구성 항목 식별·기록·통제 | 서비스 구성 관리 | PR-CFG-02 | CMDB | 인프라팀 | 시험 환경 구성 미등록 |
| 8.3.3 | 서비스 수준 합의·모니터링·보고 | 서비스 수준 관리 | PR-SLM-01 | SLA 보고서 | 서비스기획 | — |
| 9.2 | 내부심사 | 지속적 개선, 측정·보고 | PR-QMS-07 | 심사 보고서 | 품질팀 | 연간 계획 미수립 |

"공백" 열 이 인증 준비의 작업 목록이다. ITIL 프랙티스를 잘 운영하는 조직도 이 표를 만들면 공백이 드러난다. 대개 네 가지다.

1. 선제형 활동의 기록 부재 — 반응형 인시던트는 도구에 쌓이지만 선제형 문제 관리는 기록이 없다
2. 검토 단계 누락 — 변경 후 검토, 인시던트 종료 후 확인
3. 구성 범위 불일치 — CMDB에 운영만 있고 시험 환경·재해복구 환경이 없다
4. 경영 시스템 층 부재 — 47장·910장. 프랙티스는 있는데 목표·내부심사·경영검토가 없다

네 번째가 ITIL만으로는 채워지지 않는 부분이다. ITIL은 서비스 관리를 잘하는 법 을 알려 주지만, 표준은 그것을 경영 시스템으로 관리하고 있음 을 요구한다.

문서화 정보 — 무엇이 반드시 있어야 하는가

해설 자료들이 정리한 요구 문서화 정보의 대표적인 예는 이렇다.

2018판은 2011판보다 절차서를 문서로 요구하는 곳을 줄이고 조직에 유연성을 줬다. 그래서 "절차서가 몇 개 있어야 하는가"보다 "요구되는 기록이 있고, 그 기록이 정한 방식대로 일했음을 보여주는가" 가 심사의 초점이 된다. 모듈 32 레슨 4에서 원자료가 주장을 증명한다고 한 원칙이 여기서는 ITSM 도구의 레코드로 나타난다.

2024년 개정 — 기후 행동

ISO/IEC 20000-1:2018에는 2024년 개정 1(Amd 1:2024) "기후 행동 변경" 이 발행되었다. ISO 경영 시스템 표준 전반에 같은 취지의 개정이 들어간 흐름이다. 요지는 조직의 상황(4장)을 파악할 때 기후 변화가 관련 이슈인지 판단하고, 이해관계자가 기후 관련 요구를 가질 수 있음을 고려 하라는 것이다.

실무 영향은 크지 않지만 심사에서는 확인된다. 4장 이슈 분석 기록에 기후 관련 검토가 했는지, 했다면 결론이 무엇인지 한 줄이 있어야 한다. 해당 없다고 판단했더라도 그 판단의 기록이 증거다.

내부심사·경영검토 — 모듈 32에서 이미 배웠다

9장의 내부심사와 경영검토는 모듈 32 레슨 5와 거의 같은 설계를 쓴다.

레코드 표본 심사 가 ITSM에서 특히 효과적이다. 이번 분기 P1 인시던트 전건과 일반 변경 무작위 20건을 뽑아, 레슨 3의 상태 흐름·위험 평가표 요구대로 기록되었는지 본다. SLA 보고서의 달성률을 레코드에서 다시 계산해 일치하는지 확인하는 것은 반나절짜리 작업이지만, 보고서 산식의 오류를 가장 확실하게 찾는다.

인증 심사 흐름

ISO 경영 시스템 인증은 대체로 같은 흐름을 따른다.

준비       적용 범위 확정 → 대응표·공백 해소 → 내부심사 1회 이상 → 경영검토 1회 이상
1단계 심사  문서·준비 상태 확인 (범위, 방침, 절차, 내부심사·경영검토 실시 여부)
2단계 심사  현장에서 실제 운영이 요구대로 되는지 기록·인터뷰로 확인
인증        부적합 시정 확인 후 인증서 발행
사후 심사   통상 매년
갱신 심사   통상 3년 주기

1단계에서 가장 흔한 지적은 적용 범위의 모호함 이다. "IT 서비스 전체"로 잡으면 모든 서비스의 증거가 필요해진다. 처음 인증은 핵심 서비스와 조직으로 범위를 좁히고, 사후·갱신 심사에서 넓히는 것이 현실적이다. 모듈 31 레슨 1에서 의뢰 범위와 제외 범위를 정하던 판단과 같다.

2단계에서 QA 경력자가 가장 잘하는 일은 증거 대조 다. 인터뷰에서 설명한 절차와 도구의 레코드가 일치하는지, 보고서 수치가 레코드에서 재계산되는지. 심사원이 하는 일을 먼저 해 두면 2단계가 짧아진다.

실무에서 왜 필요한가

공공·금융 IT 운영 사업의 제안 요청서에는 ISO/IEC 20000-1 인증 보유가 가점이나 자격 요건으로 자주 들어간다. 인증은 한 번 받고 끝나지 않고 매년 사후 심사가 있으므로, 운영 조직 안에 표준을 읽고 증거를 관리하는 사람 이 계속 필요하다.

대응표를 만드는 능력은 인증 여부와 무관하게 쓸모가 있다. ITIL 프랙티스를 도입했다고 말하는 조직도 대응표를 그려 보면 검토 단계와 경영 시스템 층이 빠진 경우가 많다. 그 공백은 인증 심사에서 드러나기 전에 운영 사고로 먼저 드러난다. 변경 후 검토가 없으면 실패한 변경의 교훈이 쌓이지 않고, 경영검토가 없으면 SLA 미달이 반복돼도 자원 배분이 바뀌지 않는다.

QA 경력자에게 이 표준은 이미 익숙한 구조다. 모듈 32의 17025 체계를 공부했다면, 조항만 다를 뿐 문서 체계·기록·내부심사·경영검토·시정조치 의 설계를 그대로 옮길 수 있다.

실습 과제

과제 1 — 대응표 여덟 줄 (25분)

본문 대응표 형식으로 8.2.6, 8.3.3, 8.4.3, 8.5.1, 8.5.3, 8.6.1, 8.6.3, 8.7.2 여덟 조항에 대한 대응표를 작성한다. 본인 조직이 있다면 실제 절차서·기록으로, 없다면 가상의 운영 조직으로 채운다. 공백 열을 비우지 않는다 — 공백이 없다고 판단한 줄은 근거 기록을 링크한다.

과제 2 — 적용 범위 문장 (10분)

직원 200명 규모 SaaS 기업이 처음 인증을 받으려 한다. 서비스는 결제형 SaaS 본 서비스, 사내 인사 시스템, 고객 지원 챗봇 셋이다. 첫 인증의 적용 범위 문장을 쓰고, 제외한 서비스와 그 이유, 다음 심사에서 넓힐 계획을 적는다.

과제 3 — SLA 보고서 재계산 심사 (20분)

지난달 SLA 보고서에 "P2 복구 목표 달성률 96%"가 있다. 이 수치를 레코드에서 재계산하는 내부심사 절차를 설계한다. 표본 방식, 재계산 산식(레슨 3의 보류 정지·업무 시간 규칙 반영), 불일치 발견 시 부적합 판정 기준을 포함한다.

과제 4 (선택) — 기후 행동 개정 대응 기록 (10분)

4장 조직의 상황 분석 기록에 넣을 기후 관련 검토 한 단락을 쓴다. 데이터센터 전력 사용, 고객사의 탄소 보고 요구 가능성, 재해(폭염·홍수)에 따른 연속성 영향을 검토하고 결론을 적는다.

자가 체크리스트

• 지침(ITIL)과 요구사항 표준(ISO/IEC 20000-1)의 차이를 예로 설명할 수 있다
• 조화 구조 4~10장의 제목과, 서비스 관리 고유 내용이 8장에 몰려 있다는 것을 안다
• 8장 운영의 여섯 묶음과 대표 하위 조항을 말할 수 있다
• 8.2.3 당사자 통제가 외주 운영에서 의미하는 바를 설명할 수 있다
• 변경 관리·릴리스 관리 조항에서 QA 증거가 어디에 쓰이는지 안다
• ITIL 프랙티스와 조항의 대응표를 만들고, 흔히 드러나는 네 가지 공백을 말할 수 있다
• 요구되는 문서화 정보의 대표 예와 2018판의 문서 요구 완화 방향을 안다
• 2024년 기후 행동 개정의 요지와 심사에서 확인되는 증거를 안다
• 내부심사에서 레코드 표본 심사와 보고서 재계산이 효과적인 이유를 설명할 수 있다
• 인증 심사 흐름(1·2단계·사후·갱신)과 첫 인증 범위를 좁히는 이유를 안다

흔한 실수

ITIL을 도입했으니 표준을 충족한다고 본다. 경영 시스템 층(목표·내부심사·경영검토·시정조치)이 따로 필요하다.

절차서 수를 늘리는 데 집중한다. 2018판의 초점은 요구된 기록과 그 기록대로 일했다는 증거다.

외주 운영을 적용 범위에서 빼면 끝난다고 본다. 서비스에 관여하는 당사자 통제 책임은 제공자에게 남는다.

CMDB에 운영 환경만 등록한다. 시험·재해복구 환경의 구성 차이가 변경 위험을 만든다.

SLA 보고서를 레코드와 대조하지 않는다. 산식 오류는 재계산으로만 드러난다.

첫 인증 범위를 조직 전체로 잡는다. 증거 부담이 커져 인증이 늦어진다. 핵심 서비스부터 시작한다.

기후 행동 개정을 무시한다. 해당 없음이라도 검토 기록이 있어야 한다.

참고 자료

• ISO/IEC 20000-1:2018 — Service management system requirements (ISO)
• ISO/IEC 20000-1:2018/Amd 1:2024 — Climate action changes (ISO)
• ISO 20000-1 Requirements Explained: Clauses 4-10 — 8장 하위 조항과 문서화 정보 (Glocert)
• Overview of ISO 20000:2018 structure and requirements (Advisera)
• Changes to ISO/IEC 20000-1:2018 (ANSI Blog)
• 이 커리큘럼 안: 모듈 31 레슨 1 「범위 정의」, 모듈 32 레슨 2·4·5 「문서 체계」·「원자료」·「내부심사·경영검토」, 모듈 37 레슨 3 「변경 위험 평가표」