透過風險評分執行安全變更的變更管理員

使用個案概略

受眾:變更負責評估、批准、排程和結束 IT 變更的經理

目標:判斷建議的變更是否安全,以實作並套用與其業務和技術風險相比例的控制

起點:含受影響服務或組態項目的已記錄變更要求、估計實作時段和負責擁有者

成功成果:變更會在適當的視窗中實作、符合其驗證條件、避免或解決已知衝突,並具有已記錄的成果和後續動作。

使用風險資訊決定是否繼續、修訂、重新排程或拒絕要求。針對步驟,使用相關的「說明」主題來完成問卷、設定評分、解決衝突、管理批准和關閉要求。

建立可檢閱的變更

從足夠的詳細資料開始,讓檢閱者評估變更。確認用途、範圍、受影響的服務和組態項目 (CI)、實作步驟、測試計畫、回復方法、擁有者,以及估計開始和結束時間。根據您組織的流程將要求分類為標準、一般或緊急。

如需變更類型及其預期用途的詳細資料,請參閱 IT 服務的變更要求管理。如需建立、關聯、排程和關閉變更要求的步驟,請參閱 使用 IT 服務的變更要求。

使用風險資訊專注在檢閱上

有兩種類型的風險資訊會出現。以規則為基礎的「變更風險評估」會使用在組織中設定的記錄屬性和問卷回應。其會產生「低」、「中」、「高」或「嚴重」的「風險層級」,以及 1–100 的正規分數。請使用管理員設定的問題和加權。

使用「風險層級」和正規分數來聚焦審查,而不是取代判斷。更高的「風險層級」或評分需要更強大的證據、緩解、檢閱和批准。「風險層級」或「評分」愈低,不會讓計畫不完整或未解決的衝突愈安全。如需評估及其工作流程的詳細資料,請參閱變更 IT 服務的風險評估和執行變更 IT 服務的風險評估。

如需有關計算和值的詳細資料,請參閱 如何計算變更要求的風險分數。如果您的組織使用自訂評估邏輯,請向管理員確認設定的行為。

將以規則為基礎的評估與選用的機器學習預估保持分開。「變更風險分數」預測卡片會估計 0–100 級的實作失敗可能性。它不會取代以規則為基礎的「風險層級」,或將新的風險分數寫入變更要求。如果兩種類型的風險資訊都出現,請記錄誰通知批准或變更顧問委員會決定。

批准前解決衝突

檢閱受影響的 CI 及其相依性,然後將估計的實作時段與其他排程的工作進行比較。如果已啟用「變更要求衝突偵測」,則當重疊的變更要求在相同排程期間影響相同的組態項目時,會建立衝突記錄。衝突偵測需要影響的 CI 與變更要求相關聯。「IT 服務行事曆」會個別顯示變更要求、釋出與暫停,讓變更經理能夠在凍結時重新排程工作。

針對每個衝突,決定是否要重新排程要求、變更其範圍、協調工作,或記錄衝突不適用的原因。空白的衝突計數不表示「IT 服務行事曆」是清楚的,因此請個別檢閱行事曆。衝突偵測不會自動封鎖實作。如需衝突條件和可用動作的詳細資料,請參閱 檢閱和解決 IT 服務的變更衝突。

授權並執行變更

將批准強度與證據和風險進行比對。確認必要審查者瞭解影響、緩解、驗證、回復和通訊計畫。針對高風險工作,請透過設定的批准或「變更顧問委員會」流程路由要求,並在實作前記錄決策。

在實作期間,變更履行者會執行批准的步驟、記錄重要差異、測試結果,以及監視服務狀況。如果驗證失敗或風險超過接受的邊界,請根據批准的計畫停止或回復。風險評分不會自動封鎖實作。設定的批准與變更管理工作流程會強制執行決策。

如需有關變更顧問委員會概念和工作流程的詳細資料,請參閱 管理 IT 服務的變更顧問委員會。

驗證、學習和關閉

結束前,請先將結果與測試計畫進行比較、確認服務狀況、捕捉實作成果,並識別剩餘風險。記錄結束程式碼和摘要、更新相關文件,並在實作為部分或失敗時指派修正工作。

當程序或風險保證執行實作後審查時。將預期影響和風險與實際結果進行比較,並使用您學習的內容來改善範本、評估回應、實作作或回復計畫。此旅程在決策和成果可追蹤時成功,而不只是在風險問卷完成時。

確認變更控制已準備就緒

在使用此旅程來評估採用狀況之前,請確認已針對您的變更流程設定「變更要求管理」、「風險評估」、「階段管理」、「變更要求衝突偵測」、「IT 服務行事曆」存取權,以及所需的批准。使用衝突偵測時,請確認受影響的 CIs 與變更要求相關聯,並確認變更管理員、履行者、評估員和批准者擁有必要權限。