变更管理模块在受控的生命周期中跟踪 ICT 变更：从变更提出之时起，经过测试、批准和实施，直至实施后评审。它为每项变更提供一份统一、可审计的记录：由谁提出、涉及哪些系统和职能、是否有第三方参与、如何进行风险评估和测试、由谁批准，以及出现问题时如何回滚。

ℹ️
您可以在侧边栏的变更管理下找到该模块。列表显示每个变更请求的编号、标题、状态、类型、风险级别和提出日期。点击新建变更即可添加变更，点击任意编号即可打开完整记录。

DORA 下变更管理为何重要

不受控的变更是金融实体发生 ICT 事件最常见的原因之一。DORA（Regulation (EU) 2022/2554）要求您通过有文档记录的流程管理 ICT 变更：评估风险、部署前进行测试、记录批准并制定回滚计划，对紧急变更也要采取相称的严格程度。本模块将这一要求转化为结构化记录，供您向审计师或监管机构展示：每项变更都附有所进行的评估、测试和签批的证据，并关联到其影响的资产和业务职能。

变更列表

主页面列出所有变更请求，最新的排在最前。每一行显示：

列说明
编号便于人工识别的编号，例如 CHG-0001。编号自动分配，在您的组织内唯一。点击编号即可打开记录。
标题描述该变更的简短名称。
状态变更当前所处的生命周期阶段。
类型标准或紧急。
风险已记录的风险级别（低、中或高）。
提出日期提出该变更的日期。

编号依次为 CHG-0001、CHG-0002，依此类推。编号在您首次保存记录时按组织分配，因此您的团队始终有一个稳定的标识符，可在工单、电子邮件和董事会材料中引用。

创建变更

点击新建变更。表单分为四个部分：详情、范围与影响、测试与批准、回滚与实施后评审。只有标题是必填项，因此您可以先快速记录变更，再随着工作推进补充其余内容。点击创建变更请求进行保存。

详情

字段类型说明
标题文本输入框变更的简明名称。必填
提出日期日期提出变更请求的时间。
变更类型下拉选择标准：用于已计划并经过预先评估的变更；紧急：用于为恢复服务或消除紧迫风险而进行的紧急变更。将变更标记为紧急，表示它走的是加急流程，应在事后进行复查。
环境下拉选择本地部署或 SaaS，用于记录受影响系统的运行位置。
状态下拉选择生命周期阶段。随着变更推进，由您手动设置：草稿、已提交、已批准、已安排、进行中、已实施。
请求方类型 + 列表提出该变更请求的分支机构或部门。详见下文。
变更负责人类型 + 列表负责交付该变更的分支机构或部门。详见下文。
描述多行文本框变更的内容及原因。
ℹ️
状态可自由选择，并非强制执行的工作流。系统不会替您推进状态，因此请用它如实反映变更的实际进展。典型路径依次为：草稿、已提交、已批准、已安排、进行中、已实施。

请求方与变更负责人：分支机构或部门

请求方和变更负责人两个字段的用法相同。先选择类型（分支机构或部门），再从对应的列表中选择具体的分支机构或部门：

  • 分支机构取自您的 DORA 信息登记册。当请求方或负责人是登记册中的法律实体或分支机构时，请选择分支机构。
  • 部门即您在设置 › 组中维护的组。当请求方或负责人是内部团队（例如支付部、IT 运维部或信息安全部）时，请选择部门。

系统只保存您所选类型的值，因此一项变更要么归属于分支机构，要么归属于部门，不会同时归属两者。如果列表中没有您需要的部门或分支机构，请先添加：部门必须以组的形式存在于设置 › 组中，分支机构必须已列入信息登记册。

范围与影响

字段类型说明
受影响资产复选框组从您的资产登记册中选择该变更涉及的一项或多项 ICT 资产。这样会将变更与其影响的系统关联起来。
影响关键或重要职能复选框当变更涉及您已归类为关键或重要的职能时，请勾选此项。DORA 对影响这些职能的变更提出了更高的要求。
涉及第三方复选框如果有 ICT 第三方服务提供商参与，请勾选此项。勾选后会显示第三方服务提供商选择器，其中列出您已登记的服务提供商。
已进行风险评估复选框确认已对该变更进行风险评估。
风险级别下拉选择评估得出的级别：低、中或高。
已评估安全影响复选框确认已审查该变更的安全影响。勾选后会显示安全影响说明字段，用于记录您的发现。

测试与批准

字段类型说明
已在 UAT 中测试复选框确认该变更在部署前已在用户验收测试环境中完成测试。
测试结果多行文本框简要说明测试所显示的结果。
需要批准复选框如果该变更需要正式批准，请勾选此项。勾选后会显示批准方和批准日期字段。
批准方类型 + 列表签批该变更的分支机构或部门，选择方式与“请求方”相同。如需记录由 CISO 等角色签批，请选择部门，然后选择相应的组。
批准日期日期获得批准的时间。

回滚与实施后评审

字段类型说明
存在回滚计划复选框确认已有书面计划，可在变更失败时撤销该变更。请将计划本身作为文件附上（参见“附件”）。
已执行回滚复选框如果该变更不得不回滚，请勾选此项。
实施后评审计划日期日期变更上线后您计划对其进行评审的时间。
实施后评审备注多行文本框评审的发现：变更是否按预期生效，以及是否有需要跟进的事项。

附件

打开变更记录，在附件部分上传支持文件，例如风险评估、回滚计划、测试证据或批准邮件。每个文件都会显示其大小、上传人和上传时间，您可以在同一行中下载或移除该文件。

支持的文件类型为 PDF、DOCX、XLSX、CSV、TXT、PNG 和 JPEG，每个文件最大 25 MB。文件在静态存储时按组织分别加密。上传文件需要变更管理的编辑权限。

✅
将风险评估和回滚计划直接附加到记录中，可让证据与其所属的变更保存在一起，这正是审计师打开 CHG-0001 时希望看到的。

编辑和删除变更

点击变更编号打开其记录，然后点击编辑修改任意字段。更新会保存在同一编号下，因此 CHG 编号始终不变。

要删除变更，请打开记录并点击删除。删除操作无法撤销，且仅拥有变更管理管理权限的用户可以执行；只能查看或编辑的用户看不到该按钮。任何拥有编辑权限的用户都可以创建和更新变更，以及上传附件。

⚠️
删除变更会永久移除其记录。如果某项变更具有监管或审计意义，建议保留该变更并更新其状态，而不是将其删除。

场景：核心银行系统的紧急变更

某零售银行的支付授权服务开始间歇性超时。支付部需要对核心银行系统的一个组件进行紧急配置变更。以下是 ICT 变更主管 Nadia 记录这项变更的过程。

1. 提出变更

她点击新建变更，将标题设为“核心银行授权超时热修复”，将提出日期设为今天，将变更类型设为紧急，并将环境设为本地部署。她将状态设为已提交。

2. 指定归属

在请求方中，她选择部门，然后选择支付部。在变更负责人中，她选择部门，然后选择负责交付修复的团队 IT 运维部。

3. 记录范围与影响

她勾选受影响的核心银行资产，勾选影响关键或重要职能，勾选已进行风险评估，并将风险级别设为高。由于没有第三方参与，她不勾选该项。

4. 记录测试与批准

她勾选已在 UAT 中测试并记下测试结果。她勾选需要批准，将批准方设为部门，并选择信息安全部组来代表 CISO 的签批，然后设置批准日期。她将状态改为已批准。

5. 规划回滚并保存

她勾选存在回滚计划，将实施后评审计划日期设为次日上午，然后保存。该变更现在的编号为 CHG-0007。

6. 附加证据

她打开 CHG-0007，在附件部分上传回滚计划文档和风险评估 PDF。修复上线后，她编辑该记录，将状态设为已实施，并添加实施后评审备注，确认超时问题已经消除。

最终形成一份完整、经得起检验的紧急变更记录：评估为高风险、经过测试、由信息安全部批准、在回滚计划已存档的情况下上线，并在事后进行了评审，所有内容都可以通过同一个编号追溯。