IT變更管理流程

IT變更管理流程目的IT變更管理流程建立的目的是為了保障軟件、硬件、數據、配置、流程等變更在各個階段得到合理的安全控制管理，對變更情況進行跟蹤和記錄。范圍本流程適用于流程、服務器系統(tǒng)、網絡設備、應用程序、數據庫、配置文件變更的管理。定義3.1變更管理變更管理包括變更申請、評估、授權、開發(fā)、測試、審批、部署等變更過程中涉及的一系列控制環(huán)節(jié)的管理。3.2緊急變更緊急變更為因其緊迫性而需要立刻實施，可以口頭或者其它方式獲得允許的授權后才能進行；緊急變更需要在事后補充相應的變更記錄。3.3變更管理小組變更管理小組負責策劃變更步驟，并把變更付諸實施的小組，該小組由IT部和公司相關高層管理領導。變更管理小組為臨時組織，由IT部成員、IT部相關經理或/及總監(jiān)、申請部門的經理或/及總監(jiān)、變更涉及的各負責部門相關經理或及總監(jiān)組成；申請部門屬于變更負責人，IT部門屬于召集人和執(zhí)行人，由IT部門負責系統(tǒng)實現。34變更負責人變更負責人為變更申請部門的經理或相關領導。3.5變更程序變更程序為在變更正式部署前，發(fā)出正式通知，評估變更的影響和部署變更的過程及相應的日程安排等。3.6回退計劃回退計劃為變更計劃的一部分，包括一系列的處理步驟，在變更失敗時，可以依照

這一系列的步驟使信息系統(tǒng)恢復到變更前的狀態(tài)。3.7變更類型變更類型定義應用系統(tǒng)或數據庫變更變更對象為應用系統(tǒng)程序或數據庫的結構、內容等?；A架構或配置文件變更變更對象為基礎架構相關信息資產（包括服務器、網絡設備等）或信息資產相關配置文件或配置信息（包括信息資產屬性如IP地址、MAC地址、信息資產編碼、存放位置等）3.8系統(tǒng)影響等級系統(tǒng)影響等級定義系統(tǒng)嚴重影響（第1級）涉及的用戶多，且商業(yè)服務可能會遭受較大的影響。變更可能會中斷網絡或及應用程序，例如關鍵服務器操作系統(tǒng)的升級、關鍵應用軟件的實施、可能會影響財務報表數據的變更、新業(yè)務系統(tǒng)的實施、關鍵補丁程序的分發(fā)，網絡設備配置重大變更或硬件升級，以及DDN線路變更等。涉及的用戶較少，且商業(yè)服務可能會遭受中等程度的影響。變更可能會導致可預系統(tǒng)中等影響（第2級）見的部分網絡或應用程序中斷，例如新業(yè)務模塊的實施、非關鍵服務器操作系統(tǒng)的升級，以及網絡設備的輕微變更等。涉及的用戶很少，且商業(yè)服務可能會遭受很低程度的影響。變更可能會中斷部分系統(tǒng)低影響（第3級）網絡服務或某個服務器，例如執(zhí)行一些新的財務相關的報表功能的開發(fā)、進行網絡打印機的配置變更，以及窗體的變更等。沒有用戶或服務會受到影響。例如進行應用程序和標準配置變更、非關鍵補丁程系統(tǒng)零影響序的分發(fā)密碼重新設定等不需要停木1時間的變更執(zhí)行一些新的非財務相關的（第4級）/JHJ?J，/、、LLiHJ—1—，J/1爐、、」11■ij一1jb報表和程序寺。HJ|JHJ 、Jzb1J rJj\HJIt/、」JJ11—1/.9系統(tǒng)影響等級系統(tǒng)影響等級審批層級實施批準執(zhí)行批準系統(tǒng)嚴重影響（第1級）IT總監(jiān)和申請部門總監(jiān)或CFO IT總監(jiān)和申請部門總監(jiān)或CFO系統(tǒng)中等影響（第2級）系統(tǒng)低影響IT相關系統(tǒng)及應用的經理、總監(jiān)和申.請部門經理IT相關系統(tǒng)及應田的經壬理和申請部IT相關系統(tǒng)及應用的經理、總監(jiān)和申請部門經理IT相關系統(tǒng)及應田的經壬理和申請部門經（第3級）系統(tǒng)零影響（第4級）h/〔口大爾紈及以用ny工工王和中昭口p門經理IT網絡管理員、IT應用管理員、IT開發(fā)人員或IT業(yè)務程序統(tǒng)管理員h/〔口大爾紈及以用ny工工王和中用口pi門^工理IT相關系統(tǒng)及應用的經理4.職責和權限闡述本制度/流程涉及的部門（角色）職責與權限。4.1變更審批人的職責和權限變更審批人仔細閱讀變更申請人提交的變更描述文檔，根據業(yè)務需要，分析變更的合理性、必要性、重要性及變更風險，并作相應的審批。4.2變更執(zhí)行人的職責和權限撰寫變更描述文檔，確定變更的影響范圍、實施范圍和預期結果，以及變更失敗的回退計劃。嚴格按照變更描述文檔所述，按時按序執(zhí)行變更步驟和相應驗證步驟，如變更步驟失敗則執(zhí)行回退計劃。在所有變更步驟執(zhí)行完畢后，變更執(zhí)行人通知受影響部門和變更申請人。5.內容5.1應用系統(tǒng)或數據庫變更管理流程5.1.1 變更申請的提交和批準流程a） 變更管理程序起始于一個正式的變更申請；b） 變更申請可由各個方面提出，包括最終用戶或IT部內部人員等；c） 變更申請的提出需要變更申請人填寫《IT變更申請表》，變更申請人在填寫時應根據變更類型和系統(tǒng)影響等級確定變更的影響等級以及變更的類型，并記錄在變更申請中；d） 變更的申請要經過變更申請人所在部門領導、變更對象負責部門領導、信息技術部領導的審批，具體審批層級需要根據系統(tǒng)影響等級和系統(tǒng)影響等級審批層級來共同判定；e） 對變更申請進行審批時，如果認為變更影響等級設定不合適，則通知變更申請者對申請信息進行調整，并重新發(fā)送至相應申請審批人員進行審批；f） 所有變更必須填寫申請，留存記錄并及時歸檔整理；g） 變更管理小組可能會對申請者的變更申請進行評估，根據評估結果可能需要適當調整變更申請，變更方案需由變更負責人最終確認。變更管理小組評估內容可包括：變更實施的成本；ii.變更實施所需資源；ii.變更的培訓需求；變更實施的時間安排；對業(yè)務經營現狀的影響；變更可能造成的影響，包括變更實施失敗或產品的支持服務停止等。h） IT相關系統(tǒng)及應用的經理和申請部門經理根據變更影響程度和緊急程度確定變更實施的優(yōu)先級，并計劃實施的日期時間。變更的測試和培訓a） 對于系統(tǒng)影響等級為1級、2級或3級的應用系統(tǒng)或數據庫變更，在變更實施到正式環(huán)境之前，必須進行充分的測試，可能包括模塊測試、集成測試、UAT測試等，測試環(huán)境應與生產系統(tǒng)環(huán)境相一致；b） 測試應考慮實用性、安全性、系統(tǒng)兼容性、用戶友好性，測試應在獨立的測試環(huán)境中完成；c） 測試者應記錄測試環(huán)境、測試方法、測試步驟和測試結果；d） 安裝供應商提供的系統(tǒng)修復補丁等，要求供應商提供測試報告對補丁程序進行說明，包括補丁功能、測試環(huán)境、測試方法、測試步驟和測試結果，以及可能造成的影響；e） 如果需要進行UAT測試，變更申請人必須參與，對變更測試結果是否滿足變更需求進行測試并確認測試結果；f） 如因變更導致系統(tǒng)或功能的使用方法發(fā)生改變，IT經理應提出培訓需求，確保相關人員得到充分的培訓；g） 培訓申請可以由變更申請人提出，由培訓部負責組織，由IT部或外部培訓機構實施培訓。變更前審閱a） 在對信息系統(tǒng)或數據庫實施變更前，必須制定回退計劃，并對原有系統(tǒng)進行備份，回退計劃必須經過測試；b） 如存在以下情況，則應重新對變更進行評估、計劃或推遲變更：變更未得到充分評估、審批；變更計劃或測試不完整；未制定并測試回退計劃；計劃變更的時間安排不合適，可能會對公司一些重要業(yè)務運行造成影響。c）變更實施前，變更執(zhí)行人必須將變更計劃、變更可能造成的影響告知相關的以及可能會受到影響的人員。變更的發(fā)布上線a） 在變更發(fā)布到生產環(huán)境之前，必須對原應用系統(tǒng)或數據庫進行備份，包括數據、屬性信息、參數、過程、配置細節(jié)等，以便發(fā)布失敗時可根據回退計劃恢復到原來的系統(tǒng)；b） 在變更發(fā)布到生產環(huán)境之前，應制定詳細的發(fā)布上線計劃，對發(fā)布上線的每一個步驟進行說明，變更執(zhí)行人根據發(fā)布計劃，執(zhí)行變更的上線發(fā)布操作；c） 變更執(zhí)行人應對發(fā)布上線的時間、過程、結果進行記錄，將執(zhí)行結果記錄在相應《IT變更申請單》當中，并簽字確認；d） 在進行數據轉換時，需對數據庫和數據信息進行核對，確保數據轉換的完整性及準確性；e） 在變更發(fā)布上線過程中或完成后，如果發(fā)生異常情況，變更失敗或未達到預期效果，則需執(zhí)行以下步驟：實施回退計劃，以恢復到變更前的系統(tǒng)狀態(tài)；IT部對變更失敗的問題進行記錄并分析原因；重新調整變更計劃，必要時重新進行測試；變更管理小組召開不定期的會議，總結經驗教訓。f） 在變更發(fā)布上線成功后，變更執(zhí)行人通知申請部門及其他相關部門變更成功。g） 變更成功后，變更執(zhí)行人填寫變更完成報告。