企业IT生产变更管理应流程与风险控制.docxVIP

?

?

企业IT生产变更管理应流程与风险控制

?

?

企业IT生产变更管理是运维流程的重要流程，有效防控变更风险将直接影响业务连续性管理的有效性，变更管理的目标是通过规范生产系统变更实施，减少变更带来的问题，并高效和迅速地处理变更发布、交付需求。变更管理通常包括几个主要步骤：变更流程、变更评审、变更实施、变更效果评估。变更流程主要指建立变更发布计划，并通过线上化流程方式进行变更申请的审批；变更评审主要指围绕降低变更风险，并让变更正常交付涉及的准备工作；变更实施主要指变更计划的现场实施管理，以及变更发布执行涉及的操作；变更效果评估主要指围绕变更管理的执行情况进行数据运营，以持续提升变更管理水平。

1.变更管理概述

数字化转型要求业务能够敏捷响应外部环境是不断变化，能够随着外部环境的变化做出调整，而IT需要快速交付业务的IT需求，支持业务运作的基础设施、应用系统、生产数据等进行变更。变更推动着企业业务发展的同时，也带来实施变更的风险，事实上，企业大部分业务连续性故障都是变更引发。为了解决变更引发的问题，运维需要建立完善的变更管理。变更管理是IT服务管理的一个重要流程，是IT交付核心价值链最后十公里，涉及组织架构、变更前中后流程与协同机制、变更管理流程与发布等涉及的工具平台。?变更管理的目标是通过规范生产系统变更实施，减少变更带来的问题，并高效和迅速地处理变更发布、交付需求?。遗憾的是，很多IT组织认为变更管理是对交付的控制、限制，所以运维组织在推进变更管理时需要从变更风险、标准、效率等多个维度进行宣传与运营。

在变更内容上，生产变更通常针对应用系统与平台支撑类变更。应用系统变更通常是由需求或故障驱动的变更，比如：新的信息系统上线，对现有系统的程序投产、配置变更、业务参数调整、数据维护、补丁升级、账户迁移、系统切换、版本回滚等。平台支撑类变更重点指支持应用系统相关的机房、网络、IAAS平台、PAAS平台，以及操作系统、数据库、中间件等平台软件类变更，比如机房迁移、设备更换、新模块安装、基础平台软硬件升级加固、预防性的维护、增加容量、提高系统性能、安全防范措等。

在变更分类上，需要针对不同信息系统重要级别、连续性要求、系统生命周期阶段等方向，制定不同的变更内容。有些运维组织分为一般变更、重大变更、紧急变更、标准变更四类，不同的变更对就的变更管控方式有所区别。其中，一般变更和重大变更通常称为常规性的变更，这类变更计划性较好，有一些标准化的变更管理机制，一般变更、重大变更通常根据变更内容涉及的信息系统级别、变更涉及改造的风险、变更涉及影响的对象范围等维度进行划分。紧急变更重点针对无法按计划进行管理的变更，比如生产故障的修复、监管紧急要求、紧急业务需求等，紧急变更对交付速度要求比较高，必要时可以先执行后补单。变更管理必然涉及一些管理流程，为了提升一些规律性强、规范性、自动化水平高的变更交付效率，又可以设计出标准变更这种分类，比如敏态下的互联网灰度发布、数据维护、参数调整、补丁升级等。通常针对标准变更的管控，可跳过风险评估阶段，按照预授权定义，实现快速审批，并可以通过自动化水平来提高变更风险的提升，运维组织要建立标准变更的目录清单，做好标准变更的入库审核。

原则上，非紧急变更发布必须先填写记录，不可事后补单；紧急变更发布可通过口头形式审批，但事后必须补单；标准变更发布需经协商确定，每个标准变更需描述变更发布分类、变更发布风险等，以确保在变更发布风险可控的前提下合理调配变更发布管理资源，同时由变更发布流程经理组织定期回顾评审。

2.变更流程

针对一般变更、重要变更、紧急变更、标准变更会有不同的变更流程，比如流程审批的环节、流程交付的信息等。但总的来说变更管理涉及一个主线：变更申请、评审、审批、发布、验证，不同的组织也会在这个主线流程中增加审批后的变更通知，变更中增加准生产环境测试，变更后增加变更跟踪、变更总结等。以下对主线流程进行整理：

（1）?变更申请

变更申请指变更需求方或项目经理对变更进行申请，通常变更申请人在ITSM发起申请，或在研发过程管理系统中发起申请后自动调用ITSM变更流程工单。一个完整的变更申请，通常还应该包括变更背景、变更内容、变更发布手册、回退方案、测试报告、程序或数据变更清单、验证方案等。大型或重要变更申请，可能还需要进行专项的变更风险、合规、安全等方面的管控流程。

（2）?变更评审

变更评审主要是为了降低系统变更投产带来的风险，并让变更如期交付业务。在实际的变更评审中，不同组织会在系统交付生命周期的不同阶段建立相对应的变更评审机制，比如项目立项环节的可用性评审、技术或部署架构可用性评审，设计阶段的非功能性、可运维性评审，上线环节的CAB评审等等（变更评审相关内容后面有专门章节进行介绍）。

（3）