Certificación ISO 20000: qué significa y por qué ITS fue la primera empresa uruguaya en obtenerla
ISO/IEC 20000-1 es la norma internacional que define los requisitos de un sistema de gestión de servicios de TI. Certificarse implica que un auditor externo e independiente verifica que los procesos con los que un proveedor atiende incidentes, aprueba cambios, mide niveles de servicio y mejora su operación están documentados, se aplican en el día a día y producen evidencia. No es una declaración del proveedor sobre sí mismo: es una verificación de un tercero, que se repite todos los años.
ITS obtuvo su certificación inicial el 18 de noviembre de 2009 y la ha mantenido sin interrupciones desde entonces, siempre auditada por el mismo organismo: UNIT, el Instituto Uruguayo de Normas Técnicas, que es el organismo nacional de normalización de Uruguay y su representante ante ISO. Hoy opera bajo la norma UNIT-ISO/IEC 20000-1:2018, con certificado vigente emitido el 8 de octubre de 2024 y válido hasta el 7 de octubre de 2027.
El alcance, con precisión
El certificado ampara a TENVIA S.A. —la razón social de ITS— con domicilio en Av. Luis A. de Herrera 1343 of. 401, Montevideo, y cubre los Servicios de Gestión de Infraestructura detallados en el Catálogo de Servicios de ITS.
Vale detenerse en esto, porque es donde muchos proveedores exageran. Una certificación ISO 20000 no dice «esta empresa es buena»: dice que determinados servicios, definidos en un catálogo concreto, se gestionan bajo un sistema que un auditor verificó. En el caso de ITS, ese alcance son los servicios de gestión de infraestructura.
Qué audita la norma, en concreto
La versión 2018 organiza los requisitos en un sistema de gestión completo: contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Para una empresa que está evaluando a un proveedor, lo que importa es qué mira el auditor cuando llega. En la práctica, revisa:
- Gestión de incidentes y solicitudes. Cómo se registra, clasifica, prioriza y escala cada pedido de un usuario, y si los tiempos comprometidos se cumplen o no.
- Gestión de problemas. Si el proveedor se limita a apagar incendios o investiga las causas de fondo de los incidentes que se repiten.
- Gestión de cambios. Quién autoriza una modificación sobre la infraestructura del cliente, cómo se evalúa el riesgo antes de aplicarla y cómo se vuelve atrás si sale mal.
- Niveles de servicio. Que existan acuerdos escritos, que se midan con datos y que el cliente reciba informes de cumplimiento.
- Continuidad y disponibilidad. Que haya planes probados, no documentos guardados en un cajón.
- Seguridad de la información. Controles de acceso, gestión de las credenciales con las que el proveedor entra a los sistemas del cliente, y tratamiento de incidentes de seguridad.
- Capacidad y gestión de proveedores. Que la operación esté dimensionada y que los terceros que participan también estén controlados.
La certificación no se otorga una vez y queda. Se sostiene con auditorías de seguimiento anuales y una recertificación completa cada tres años —el ciclo actual de ITS va de octubre de 2024 a octubre de 2027—. Si los procesos se abandonan, el certificado se pierde.
No empezamos buscando certificarnos
El proyecto no nació como un proyecto de certificación. En ITS arrancamos con una decisión más modesta: alinear nuestra operación a ITIL para ordenar la forma de trabajar. En algún momento del proceso nos dimos cuenta de que lo que ya estábamos haciendo nos dejaba muy cerca de poder certificar la empresa, y recién ahí encaramos ese paso.
No era un camino transitado. En 2009 no había en Uruguay ninguna empresa certificada en ISO 20000, ni prácticamente referencias locales sobre cómo encararlo: había que definir el catálogo de servicios, escribir los procesos, instrumentar la medición y sostener la operación bajo esas reglas el tiempo suficiente como para que un auditor pudiera verificarla.
Y no fue lineal. Para llegar a la primera auditoría hicimos una cantidad de trabajo extra pensado específicamente para certificar, y en varios frentes nos pasamos. Trabajamos la nomenclatura de los objetos de la CMDB con un nivel de detalle que nunca terminamos necesitando. Escribimos los procedimientos paso a paso sobre las herramientas concretas que usábamos en ese momento, y por eso envejecieron rápido: cada cambio de herramienta dejaba el documento obsoleto. Y para los planes de continuidad operacional diseñamos un mecanismo de Business Impact Analysis mucho más complejo de lo que la operación realmente pedía.
La lección, vista en retrospectiva, es que un sistema de gestión tiene que documentar el proceso y no la pantalla: qué hay que lograr, quién responde y con qué criterio se decide, no en qué orden se hace clic. En paralelo hubo asuntos que al principio consideramos poco relevantes y que terminamos poniendo en el centro de la operación. Ninguna de las dos cosas se ve el primer año: se descubren recién cuando el sistema lleva tiempo funcionando de verdad.
Quince años después el sistema está optimizado y alineado con la actividad diaria. Esa es, en los hechos, la diferencia entre una certificación recién obtenida y una sostenida en el tiempo: al principio se arman procesos para pasar una auditoría, y con los ciclos sucesivos esos procesos se van depurando hasta que son, simplemente, la forma en que se trabaja.
Desde entonces la empresa atravesó además la transición de la versión 2011 de la norma a la 2018, que reorganizó buena parte de los requisitos, y cuatro renovaciones del certificado, todas con UNIT como organismo certificador. La certificación inicial de 2009 y el certificado vigente hasta 2027 son el mismo sistema de gestión, auditado sin interrupciones durante quince años.
Qué cambia esto para un cliente
La diferencia práctica entre un proveedor certificado y uno que no lo está no está en la buena voluntad: está en qué pasa cuando algo sale mal y cuando cambia la gente.
Un proveedor con procesos certificados registra cada pedido, así que se puede saber cuántos incidentes hubo el mes pasado, cuánto tardó cada uno y cuáles se repiten. Tiene tiempos comprometidos por escrito y los mide. Cuando alguien se va del equipo, el conocimiento no se va con esa persona, porque está en el proceso y no en la cabeza del técnico. Y cuando hay que tocar algo crítico, existe una autorización previa y un camino de vuelta.
Para una organización que además tiene que responder a sus propias auditorías —financieras, de casa matriz, o de cumplimiento de la Ley 18.331 de protección de datos personales— contratar a un proveedor certificado simplifica una parte del trabajo: la evidencia de cómo se gestionan sus servicios de TI ya existe y está auditada.
Preguntas frecuentes
¿Qué diferencia hay entre ISO 20000 e ITIL?
ITIL es un marco de buenas prácticas: un conjunto de recomendaciones sobre cómo gestionar servicios de TI, que cada organización adopta como quiere y en la medida que quiere. ISO/IEC 20000 es una norma certificable: define requisitos que se cumplen o no se cumplen, y un auditor externo lo verifica. Se puede trabajar con ITIL sin certificarse en nada. No se puede certificar ISO 20000 sin procesos reales funcionando. En la práctica muchas organizaciones usan ITIL como guía de diseño y ISO 20000 como verificación, y ese fue exactamente el camino de ITS: primero alinearse a ITIL para ordenar la operación, y después certificar lo que ya estaba funcionando.
¿Quién certifica ISO 20000 en Uruguay?
La certificación la emite un organismo de certificación acreditado. En el caso de ITS es UNIT, el Instituto Uruguayo de Normas Técnicas, que es el organismo nacional de normalización de Uruguay y el miembro uruguayo de ISO. También operan en el país organismos internacionales de certificación.
¿Cada cuánto se audita?
El esquema es una auditoría de certificación inicial, auditorías de seguimiento una vez por año y una recertificación completa cada tres años. El certificado vigente de ITS fue emitido el 8 de octubre de 2024 y vence el 7 de octubre de 2027.
¿ISO 20000 no es sobre todo documentación y burocracia?
Al principio, en parte sí. Una organización que se certifica por primera vez suele producir más documentación de la que después realmente usa, y ese exceso recién se corrige en los ciclos de auditoría siguientes. Por eso la pregunta útil no es solamente si un proveedor está certificado, sino desde cuándo: un sistema de gestión con varios ciclos encima ya pasó por la etapa de depuración y quedó ajustado a la operación real, en lugar de convivir con ella. ITS sostiene la certificación de forma ininterrumpida desde 2009.
¿Cómo verifico que un proveedor está realmente certificado?
Pedí el certificado y fijate en tres cosas: la razón social a la que está emitido, el alcance —qué servicios cubre exactamente— y la fecha de vencimiento. Un certificado sin alcance declarado, o vencido, no dice mucho. También podés consultar al organismo certificador, que mantiene registro de las empresas certificadas.
¿Sirve ISO 20000 para una empresa chica?
La norma certifica al proveedor, no al cliente, así que una empresa de cualquier tamaño se beneficia por igual de contratar servicios gestionados bajo esos procesos. Lo que cambia con el tamaño es el alcance del contrato, no la forma de trabajar.
Hablemos
Si estás evaluando proveedores de servicios de TI para tu empresa en Uruguay y querés entender qué implica en la práctica trabajar con una operación certificada, escribinos a info@its.com.uy o llamanos al +598 2623 4347. Podemos mostrarte el certificado y cómo se ven los informes de nivel de servicio que recibe un cliente.