IT服务管理手册.doc

IT服务管理手册

样式编号

编制

审核

批准

密级

版本

发布日期

XXXX有限责任公司
变更履历
序
号
版本
更改处·更改内容
更改人/日期
审核人/日期
批准人/日期
1

目录
1. 管理手册说明 5
1.1 公司简介 5
1.2 IT服务管理范围 6
1.3 术语和定义 6
1.4 IT服务管理手册的管理 6
2. 管理体系规定 7
2.1 管理职责 7
2.2 文献规定 9
2.3 能力、意识和培训 10
3. 服务管理规划和实行 11
3.1 计划服务管理 11
3.2 实行IT服务 11
3.3 监视、测量和评审 12
3.4 连续改善 12
4. 新服务或变更服务的策划与实行 13
4.1 制订新服务或变更服务计划 13
5. 服务交付过程 13
5.1 服务级别管理 13
5.2 服务报告 14
5.3 可用性和IT服务连续性管理 14
5.4 IT服务的预算及财务管理 15
5.5 容量管理 16
5.6 信息安全管理 17
6. 关系过程 17
6.1 总则 17
6.2 业务关系管理 18
6.3 供应商管理 18
7. 解决方案流程 19
7.1 背景 19
7.2 事件管理 20
7.3 问题管理 20
8. 控制流程 21
8.1 配置管理 21
8.2 变更管理 22
9. 发布过程 23
9.1 发布管理 23
10. 输出的文献 24
附录一：公司组织架构 25
附录二： 各部门重要工作职责 26
1 公司管理事务部分 26
2 财务部分 27
3 公司市场及销售管理部分 27
4 公司技术管理部分 28
附录三：公司IT服务管理体系关系图 33

发 布 令
XXXX有限责任公司按照ISO/IEC 20230《信息技术服务管理－规范》的规定以及本公司的业务特点，建立与本公司IT服务业务相一致的IT服务管理体系，编制本《IT服务管理手册》。
本手册是公司实行IT服务管理，开展连续改善IT服务质量，不断提高客户满意度活动的大纲性文献，是全体员工必须遵守的原则性规范。为满足不断变化的客户需求及公司IT服务业务的连续、稳定增长，秉承“共创、共赢、共享”的发展理念，在“客户至上、全员参与、创新高效、系统管理、追求卓越”的方针指导下，公司将遵照ISO/IEC 20230的规定，提高公司整体的IT服务质量管理水平、业务能力，以及全体员工的工作技能和服务质量意识。并通过有效的PDCA活动，向客户连续提供满足规定的IT服务。
为了可以更好地贯彻公司管理层在IT服务管理方面的策略和方针，根据ISO/IEC 20230 《信息技术服务管理－规范》的规定，任命 为公司的服务管理者代表，作为本公司组织和实行IT服务管理体系的负责人，直接向公司管理层报告、负责。
管理者代表的重要职责是：
1、按照ISO/IEC 20230 《信息技术服务管理－规范》的规定，组织相关资源，建立、实行和保持IT服务管理体系，不断改善IT服务管理体系，保证其有效性、适宜性和符合性。
2、向公司管理层报告IT服务管理体系的业绩，如：服务方针和服务目的的业绩、客户满意度状况、各项服务活动及改善的规定和结果等。
3、组织ISO/IEC 20230 体系的管理评审，推动内部审核活动。
4、推动公司各部门领导，积极组织全体员工，通过工作实践、教育培训、业务指导等方式不断提高员工对满足客户需求的重要性的认知限度，以及为达成公司服务管理目的所应做出的奉献。

公司总经理：XXXX
1. 管理手册说明
1.1 公司简介

1.2 IT服务管理范围
1.2.1 本公司向客户提供IT服务所需的IT基础设施和IT技术支持服务。
1.2.2 本手册合用于向客户或认证机构证实，本公司具有提供符合客户需求的IT服务能力和服务质量。
1.3 术语和定义
1.3.1 本手册应用ISO/IEC 20230中的术语及定义。
1.3.2 技术服务事业部二级部门服务部简称服务部。
1.4 IT服务管理手册的管理
1.4.1 手册的编制、批准和发布
1.4.1.1 按照公司业务发展战略和客户需求，经公司管理者代表批准，技术服务事业部组织相关人员，结合本公司业务特点，根据ISO/IEC 20230标准的规定编写。
1.4.1.2 《IT服务管理手册》由公司管理者代表批准后发布。
1.4.2 手册的分发
1.4.2.1 技术服务事业部负责手册的发放、更新、管理与存档。
1.4.2.2 公司各部门负责手册的使用和保管。
1.4.3 手册的受控状态
1.4.3.1 书面形式的手册分“有效文献”和“保存文献”两种形式。作为公司平常运营的依据及提供应外部认证机构的手册均为“有效文献”形式。
1.4.3.2 当手册内容变更时，“有效文献”形式的手册应及时予以更新和发放。
1.4.3.3 “有效文献”形式的文献在更新后，如需保存本来的版本，以便于追溯，则应当用“保存文献”的标记予以区分。
1.4.3.4 电子形式的手册由技术服务事业部在工作流转系统中进行管理。
1.4.4 手册的变更
1.4.4.1 因公司战略调整、客户需求或改善活动等引起的手册内容的变更，按公司总经理指示，技术服务事业部组织相关部门对涉及变更的内容进行更新，并经公司总经理批准后发布。
1.4.4.2 更新后的手册，应及时地发放给公司内部原手册持有者，并收回旧版的手册。对电子形式的手册，由技术服务事业部按工作流转系统中的管理规则进行更新和归档管理。
1.4.5 公司内部手册持有者的责任
1.4.5.1 与公司或部门内部的相关人员沟通、学习手册的规定并遵照执行。
1.4.5.2 妥善保管，不得私自更改、曲解手册的内容。不得随意向其他与公司业务无关的第三方传播，如需提供公司以外的第三方参考，应经技术服务事业部提交公司主管副总经理审核后，报公司总经理批准。
2. 管理体系规定
2.1 管理职责
2.1.1 由技术服务事业部总监根据业务发展战略及客户需求，发布和建立适合公司IT服务管理体系的组织架构，组织各部门管理人员定义、维护IT服务管理的角色及职责，并协调、提供开展相关业务所需的各类资源。
2.1.2 公司IT服务管理体系组织架构
参见附录一
2.1.3 各部门重要工作职责
参见附录二
2.1.4 公司IT服务管理职能关系架构图

2.1.4.1 服务管理职能说明
为保证IT服务管理体系的顺利实行，以及实行后得到连续的管理和维护，在现有的组织架构外建立服务管理职能关系架构。IT服务管理职能关系架构，并不替代现有的按技术类别进行的分工，现有的按技术类别进的分工，在将来的IT服务管理体系中仍将发挥其作用。服务部根据IT服务管理程序规定对所有服务协议按照项目进行管理与运营，由项目经理按照服务管理职能关系架构中的规定对项目执行管理。一个完整的服务项目必须包含服务台、事件管理、业务关系管理、信息安全管理、供应商管理和IT财务管理。对于上图虚线框内的的问题管理、发布管理、配置管理、变更管理、可用性和连续性管理、容量管理、服务级别管理以及服务报告可由服务部经理依照与用户签署的服务协议进行选择裁剪。
2.1.4.2 角色分派说明
针对服务部当前组织架构及人员状况，将不再为每一具体流程分派流程经理。为此将13个流程，按其必要限度提成必选流程和可裁剪流程两大模块。由项目经理负责相应流程的实行、管理和控制。对项目组成员重要是组织、协调、安排相应工作任务的完毕，也许并不是由自己去完毕。
2.1.4.2.1 项目经理
² 职责说明：
1）、负责IT服务项目的立项工作，按照服务协议规定负责相应流程的实行、管理和控制。组织、协调、安排项目组成员完毕相应工作任务。
2）、负责从服务台接受事件报告开始，分派相应的职能小组进行事件解决，直至找到问题的主线因素的整个过程的管理和协调。
3）、负责各系统的配置管理、变更和发布控制。
4）、负责系统的可用性规划和管理、负责安排系统连续性的计划和演练，并负责系统容量的规划和监控。
5）、重要负责与用户的沟通，对供应商的管理，以及项目的预/决算的管理。
² 能力规定：
熟悉服务部的各种服务管理流程，具有较强的内部协调能力。

2.1.5 公司IT服务管理体系关系图
参见附录三
2.1.6 由管理者代表授权技术服务事业部总监，按ISO/IEC 20230的规定，负责协调和组织所有与IT服务有关的活动，通过管理和实行各项活动，使IT服务业务的质量得到有效的保持和维护。
2.1.7 技术服务事业部组织制订、批准和发布公司IT服务策略、服务目的，并使其成为公司关注的焦点，成为公司协调、统一、凝聚公司的所有活动和资源的准则，成为建立、实行、保持并改善IT服务管理体系的宗旨。
2.1.1
2.1.2
2.1.3
2.1.4
2.1.5
2.
2.1.5
2.1.6
1. 公司 IT服务策略：
客户至上、全员参与、创新高效、系统管理、追求卓越
2.1.7
2.1.7.1
2. 公司 IT服务目的：
公司通过服务质量改善程序拟定年度服务质量目的
2.1.8 公司的IT服务目的按ISO/IEC 20230的规定，与公司的业务相结合，并通过流程绩效不断提高和改善。
2.1.9 技术服务事业部负责组织相关部门，通过会议、评审、书面报告、培训等方式，及时有效沟通工作，达成IT服务管理目的和连续改善的需求，并在公司中积极贯彻实行IT服务管理的重要性。
2.1.10 技术服务事业部负责组织相关部门按照PDCA的规定，通过对所属业务的规划，适时优化和提供资源以计划、实行、监控、评审和改善IT服务的交付和管理。
2.1.11 管理者代表按照《服务质量改善管理程序》中的计划间隔，由技术服务事业部负责组织相关部门实行IT服务管理体系的内部审核，保证IT服务管体系的有效性与符合性。
2.1.12 管理者代表按照《服务质量改善管理程序》中的计划间隔，组织相关部门执行IT服务管理体系的管理评审，保证IT服务管理体系连续的稳定、充足和有效。
2.2 文献规定
2.2.1 公司的文献管理体系分为A、B、C、D四层，即A层为管理手册、B层为程序文献、C层为工作流程或规定、D层为记录。
2.2.1.1 管理手册 — 描述IT服务管理体系的文献，是全体员工必须长期遵循的法规性文献。
2.2.1.2 程序文献 — 覆盖公司重要业务过程的流程文献，是管理手册的支撑性文献。
2.2.1.3 工作流程或规定— 是开展具体业务工作的规范类、指导性文献，是程序文献的支持性文献。
2.2.1.4 记录 — 在开展具体业务工作过程中产生的记录类文献，重要是为具体工作结果提供各种可追溯性证据。
2.2.2 技术服务事业部负责组织制订《文献和记录管理程序》，明确文献的拟制、批准、发放、变更、存档等管理规定，并监控实行。
2.2.3 技术服务事业部负责组织相关部门，根据公司的业务特点及标准的规定，制订相关的程序文献，经公司管理者代表批准后实行。
2.2.4 根据公司业务特点，在IT服务管理体系运营的初期，由销售部门代表客户按照《服务级别管理程序》的规定，共同签署《服务级别协议》，经公司管理者代表批准后实行。
2.2.5 技术服务事业部负责组织拟制与本部门业务相关的各类C层文献，并按《文献和记录管理程序》的规定对文献和记录的有效性进行管理。
2.2.6 技术服务事业部负责定期组织各部门对文献和记录的有效性和合用性进行评审，按《服务质量改善管理程序》的规定，组织各部门实行改善措施。
2.3 能力、意识和培训
2.3.1 技术服务事业部各级领导应通过工作实践、教育培训、业务指导等方法，培养和增强IT服务管理人员的职业技能，并保证员工在IT服务管理体系规定的范围内结识各自工作的相关性和重要性，以及为达成或实现服务管理目的所应做出的奉献。
2.3.2 技术服务事业部按照《人力资源控制程序》规定实行人员的招聘、培训、岗位规划与绩效评估等工作。
2.3.3 人力资源部根据公司业务发展战略及《劳动人事管理制度》的规定，组织各部门采用人力资源规划、工作分析、岗位设计等方法，保证岗位发展需求及每个与IT服务管理有关的角色在工作中所需的能力。
2.3.1
2.3.2
2.3.2.1 通过检查职位申请者的信息（涉及专业资格）的有效性，辨认申请者的优点、缺陷和潜力。
2.3.2.2 针对所有员工，每年定期评审每个员工的绩效，并组织有关部门采用相应的改善措施。
2.3.4 人力资源部按照《人力资源管理制度》的规定，负责维护部门员工适当的教育、培训、技能和经验的记录，与IT服务相关的各部门负责定期对培训、绩效等结果进行评价、分析和报告。
3. 服务管理规划和实行
在开展IT服务管理的活动中，PDCA原理贯穿于IT服务管理体系的所有流程，其中：
P（计划） — 根据客户规定和公司策略建立目的和流程。
D（实行） — 实行流程。
C（检查） — 根据策略、目的和规定对过程和服务进行监控、测量，并报告结果。
A（改善） — 采用措施以连续改善流程的性能。
3.1 计划服务管理
3.1.1 服务部向客户提供三大服务项目：常驻现场技术服务、定期巡检技术服务、征询规划设计服务。XXXX公司为不断满足市场需求和公司自身发展需要，将在未来将原有的三大技术服务内容重新规划和设计，细化成六大服务内容：基础设施服务、运维服务、专业技术服务、IT安全服务、征询设计评估服务、培训服务。从而实现在坚持原有行业内的服务的基础上向行业外扩展的计划。
3.1.2 服务部根据公司IT服务管理职能关系架构图中的所分派的职责并依据条款4-9中所规定的服务管理过程向客户提供IT服务。
3.1.3 相关部门根据管理评审的结果及结论，结合本部门的工作实际，由技术服务事业部组织相关部门对当前与本部门相关的IT服务工作的改善需求、以及公司业务发展策略、技术动态、政策法规规定、下一年度IT服务工作的安排进行规划，制订本部门的年度工作计划，并按公司内控制度制订相应的部门年度费用预算。
3.2 实行IT服务
3.2.1 技术服务事业部组织相关部门按批准后的公司年度计划，对计划周期内的工作任务、目的、绩效规定进行分解，组织各部门制订各自的年度工作计划和费用预算，并进行跟踪、检查。
3.2.2 相关部门年度工作计划、年度费用预算应与已批准的本部门年度工作计划、预算一致，如有变更，引起预算的变化，应上报技术服务事业部按照相关流程审批、执行。
3.2.3 技术服务事业部负责组织IT服务项目的立项工作，并按照项目管理规定对项目计划周期内的工作任务、目的、绩效规定进行分解，制订项目实行计划和费用预算，并进行跟踪、检查。
3.3 监视、测量和评审
3.3.1 服务部负责收集、汇总、整理IT服务项目的平常服务数据。
3.3.2 服务部经理负责组织IT服务项目，按各项目阶段性工作计划、费用预算的内容，以及IT服务管理的规定，收集与IT服务相关的信息，监控、测量和评审与本业务相关的服务规划规定、已有的SLA符合规定的限度。IT服务项目在运营中，应监控、测量和评审的内容为：
3.3.1.1 既定的IT服务目的的达成限度。
3.3.1.2 客户满意度。
3.3.1.3 资源运用。
3.3.1.4 服务实行的趋势。
3.3.1.5 严重不符合。
3.3.3 技术服务事业部按照《服务质量改善管理程序》的规定，组织IT服务管理体系的管理评审活动，以保证IT服务规定得到有效的实行和维护。
3.4 连续改善
3.4.1 服务部每年至少进行一次服务管理体系的有效性评估，评估通过内部审核的方式进行。
3.4.2 在评估中发现的任何不符合标准的活动都应当采用纠正措施予以改善，对于发现的潜在问题应当予以控制。
3.4.3 服务部在内部审核后，应进行管理评审，管理评审的内容涉及：各流程的执行状况报告，存在问题及改善建议，内部审核结果，相关方的反馈以及其他也许影响体系运营的要素。
3.4.4 服务部按管理评审的规定，拟定服务改善的测量、报告和沟通流程和内容。监控IT服务运营中出现的不符合项，组织相关部门实行、验证改善活动。任何不符合ISO/IEC 20230-1：2023标准的活动都应被纠正。
3.4.5 对于内部审核、管理评审或其他活动中所发现的不符合项或潜在不符合项，应按照《服务质量改善管理程序》规定进行及时纠正。
4. 新服务或变更服务的策划与实行
4.1 制订新服务或变更服务计划
4.1.1 销售部门负责与客户沟通，服务部配合，收集客户对现有SLA的满意度水平。分析、整理客户新的或变更服务的规定，及时反馈客户的改善需求。
4.1.2 当出现新服务或变更服务时，服务部根据《服务策划管理程序》的规定，组织实行IT服务策划和实行工作。
4.1.3 服务部组织对新服务或变更服务策划结果的验证、确认，验证通过后按《服务策划管理程序》实行。
4.1.4 服务部应报告新服务或变更服务按计划实行所达成的结果，服务部按《发布管理程序》，执行实行发布评审，比较实际结果与盼望结果的一致性。
5. 服务交付过程
5.1 服务级别管理
5.1.1 服务部负责与相关部门沟通，制订公司的《服务目录》。服务目录应定义所有服务，并包含服务名称、服务目的或标准、联系接口、服务提供时间和例外、安全面的考虑和安排。
5.1.2 《服务目录》是公司所提供的服务内容的汇总，公司与客户签署SLA时应参考《服务目录》。
5.1.3 公司应当根据当前的服务能力对《服务目录》进行更新与维护。
5.1.4 根据公司的战略规划、资源规定及客户需求，服务部在与销售部门和其他相关部门沟通、拟定SLA时，应考虑：可接受连续损失服务的最大周期、可接受降级服务的最大周期，服务恢复时，可接受降级服务级别。
5.1.5 销售部门代表客户，与服务部签订《服务级别协议》。应明确：服务规定和盼望服务工作量特性的协议、服务目的协议、服务级别实现、工作量的测量和报告，以及服务目的不能完毕的分析与说明。
5.1.6 《服务级别协议》包含以下内容：服务的简述、术语表、客户职责、服务部门职责和义务、服务目的、服务时间、工作量限制（最大及最小工作量），支持和相关服务、影响和优先级描述、授权细节，及授权人员联系信息、有效期或SLA变更控制机制（包含升级和告知流程）、服务中断采用的纠正措施，计划和协调中断，涉及告知事件及频率、沟通的简述，涉及报告、投诉程序、在SLA中规定条款的例外情况。
5.1.7 商务部应依据与客户签订的SLA以及《供应商管理程序》的规定，组织签署与供应商之间的支持协议（或协议）。
5.1.8 当出现重要业务变更时，销售部门应及时与技术服务事业部沟通，按原流程重新组织相关部门，调整、修订《服务级别协议》，并作为服务改善计划的输入。
5.2 服务报告
5.2.1 服务部应就向客户提交的服务报告的内容、报告周期与客户协商并达成一致。
5.2.2 服务部拟制内部服务报告，对计划间隔内的客户服务状况、问题趋势、服务数据、SLA目的实现等进行汇总、记录和分析，组织召开月度服务质量分析会议，形成会议纪要后发放。
5.2.3 服务报告重要涉及的内容：执行服务级别目的的绩效，违反SLA、安全管理规定等的不符合项和结论、工作量特性，如，数量、资源运用、报告重要事件、变更、定期趋势信息、客户满意度分析。
5.2.4 当出现有关IT服务系统配置项的变更时，服务部应按《变更管理程序》的规定执行。
5.2.5 服务报告应及时、清楚、可靠和简明，便于分析、决策和有效沟通。
5.3 可用性和IT服务连续性管理
5.3.1 服务部应按照《可用性与IT服务连续性管理程序》的规定，拟制《可用性与IT服务连续性计划》，根据客户业务优先级、服务级别协议和评估的风险，按设计的工作量计划维护有效的服务能力，并与《服务级别协议》的目的保持一致。应考虑：
5.3.1.1 IT服务连续性计划考虑对服务和系统组成的关系。
5.3.1.2 应清楚的分派调用IT服务连续性计划的责任，并清楚的计划对每个目的采用措施的责任。
5.3.1.3 备份服务恢复所需的数据、文献、软件、任何设备和必要员工，在重大服务失败或劫难时，保持快速有效。
5.3.1.4 在远程的安全地点，所有IT服务连续性文献应存储和维护至少一份，与其他必要的设备保存在一起。
5.3.1.5 定期开展IT服务连续性计划的测试。
5.3.1.6 使员工理解调用、执行计划的角色与职责，并能访问IT服务连续性文献。
5.3.2 服务部每年末组织对《可用性与IT服务连续性计划》进行评审，并根据业务需求的变化及时调整计划的内容和目的，保证从普通到重大服务失效的任何环境下都能满足与客户协商的规定。
5.3.3 当业务环境发生重大变化时，服务部应重新组织评审、修订《可用性与IT服务连续性计划》。并通过能力管理和配置管理活动，评价所有服务组成的有效性，预知也许的、潜在的问题，并采用防止措施。
5.3.4 对《可用性与IT服务连续性计划》中内容和目的的变更，服务部应及时组织相关部门按《变更管理程序》的规定进行评估、验证和确认，保证变更的效果及满足SLA的规定。
5.3.5 服务部应定期对可用性信息进行测量和记录，未计划的不可用应被调查、评估，并采用适当的纠正或防止措施。可用性活动涉及：
5.3.5.1 监控和记录服务的可用性。
5.3.5.2 服务准确的历史数据。
5.3.5.3 与SLA中定义需求相比较，以辨认不符合SLA有效目的的事项。
5.3.5.4 记录不符合项，并组织评审。
5.3.5.5 考虑、评估供应商的影响。
5.3.5.6 预计未来的可用性。
5.4 IT服务的预算及财务管理
5.4.1 技术服务事业部应根据国家的有关法律法规和财务政策，及《IT财务管理程序》的规定，根据公司的业务策略（涉及产品策略、销售策略、服务策略等），组织拟制、审核本部门的总体性和阶段性的IT服务费用预算及成本标准。
5.4.2 技术服务事业部根据公司业务发展战略、公司现有的SLA规定，及本部门业务的特点，按部门工作计划的内容，组织拟制本部门阶段性的费用预算计划，经财务部汇总、报批后实行。
5.4.3 在预算期间出现的服务变更引起的预算变化，相关部门应按《IT财务管理程序》的规定执行预算变更申请。
5.4.4 在对《服务级别协议》进行评审时，服务部应根据公司策略，评估实现服务目的和需求的成本，并根据拟定的服务级别协议跟踪成本的变化。
5.4.5 服务部应在服务变更时，计算服务变更成本，并通过《变更管理程序》进行批准。
5.4.6 服务部应根据预算编制跟踪财务变化，并对超过预算规定的变化，提前向技术服务事业部提出预警信号。
5.5 容量管理
5.5.1 技术服务事业部负责现有IT服务系统容量水平的规划，根据《容量管理程序》的规定，制订《容量管理计划》，应在计划中描述业务需求，涉及：
5.5.1.1 当前和预计的容量和性能需求。
5.5.1.2 针对服务升级所定义的时间表、阈值和成本。
5.5.1.3 评估预期的服务升级、变更请求、新技术和技术能力的效果。
5.5.1.4 预计外部变更的影响，如法律影响等。
5.5.1.5 对数据和流程进行预先分析。
5.5.1.6 定义监控服务容量、调整服务性能和提供充足容量的方法、程序和技术。
5.5.1.7 为达成SLA所规定的服务级别目的和业务需求所应具有的资金条件。
5.5.2 服务部协助收集、记录当前IT基础设施的实际性能和预期规定的运营信息，以支持服务业务的开展。
5.5.3 技术服务事业部应根据服务特点、服务量、服务报告和客户业务等信息，组织对《容量管理计划》进行评审，并保存评审相关的纪录。
5.5.4 当出现临时的新增或变更服务时，技术服务事业部应根据《容量管理程序》的规定，及时对《容量管理计划》的相关内容进行评估和更新。
5.6 信息安全管理
5.6.1 根据公司业务及SLA规定，服务部组织制订信息安全管理策略、目的，并负责辨认、分类信息安全资产，涉及：
5.6.1.1 提供服务所需要的信息安全资产目录。
5.6.1.2 根据信息安全资产对服务的重要性以及所规定的保护级别对信息安全资产进行分类，并指派相应的安全负责人。
5.6.2 服务部对信息安全资产实行安全风险评估，并应考虑以下因素：
5.6.2.1 特性（例如软件漏洞、运营错误、通信失败）。
5.6.2.2 发生的也许性。
5.6.2.3 潜在的业务影响。
5.6.2.4 信息安全政策目的，满足客户特定安全需要以及所采用的法规条例。
5.6.2.5 历史经验。
5.6.3 服务部制订《信息安全管理规范》，描述相关风险的控制，及运营和维护控制的方式。
5.6.4 服务部应规定信息安全管理的权限，在访问信息系统和服务时，应基于已定义的所有必要安全需求的正式协议。
5.6.5 在服务变更实行之前，服务部应组织相关部门按照《变更管理程序》的规定评估对信息安全影响。
5.6.6 服务部每月对信息安全信息进行汇总、分析，拟制《信息安全评估报告》。重要包含：
5.6.6.1 信息安全策略的有效性。
5.6.6.2 信息安全事件的趋势。
5.6.6.3 改善服务的计划。
5.6.6.4 信息、资产和系统的访问控制。
6. 关系过程
6.1 总则
6.1.1 供应商和客户的关系管理可采用正式协议形式约束。
6.1.2 销售部门按《业务关系管理程序》的规定明拟定义供应商和客户的角色、范围和职能，通过协议、沟通、培训等方式保证实行和参与服务提供的各方：
6.1.2.1 理解并满足业务需求。
6.1.2.2 理解能力和约束条件。
6.1.2.3 理解职责和责任。
6.2 业务关系管理
6.2.1 服务部按照《业务关系管理程序》的规定，牵头并定期组织销售部门，开展服务管理评价活动，讨论、报告服务范围、SLA、协议或业务需求的变化，及性能、成绩、结果和措施计划，并形成会议纪要。
6.2.2 当服务目的、服务需求、支持协议、业务等发生新增、变更或撤消时，服务部应按《服务策划管理程序》的规定，提出并评估服务范围和SLA的改善方案，由服务部组织实行。
6.2.3 服务部与客户建立有效的互动、沟通关系，以便及时了解客户的需求或重大变更，并依据需求进行响应。根据《客户满意度管理规定》，定义、收集、分析客户满意度数据和信息，监控客户满意度的趋势。
6.2.4 技术服务事业部根据《业务关系管理程序》中的客户投诉管理流程，负责收集、记录、分析客户投诉的记录，辨认投诉的发展趋势和存在问题，保证服务的连续性目的的实现。
6.3 供应商管理
6.3.1 商务部按《XXXX公司内控手册》中《供应商管理业务程序》的规定，对供应商提供的IT服务的过程进行管理，完善供应商管理制度和采购规范，建立和维护公司《合格供应商名单》。并保证：
6.3.1.1 供应商了解其对本公司承担的责任。
6.3.1.2 服务规定满足协议约定的服务级别和范围。
6.3.1.3 管理变更。
6.3.1.4 记录与相关各相关方的业务交流。
6.3.1.5 了解所有供应商的业绩并采用相应改善措施。
6.3.2 商务部负责组织相关部门对供应商提供服务的所满足的需求、范围、服务级别、接口和沟通流程等进行评审并达成一致，按公司正式授权，组织签署与供应商之间的支持协议或供货协议。重要包含：
6.3.2.1 服务、角色、责任的定义。
6.3.2.2 服务范围。
6.3.2.3 协议管理流程、授权级别和协议结束计划。
6.3.2.4 相关支付条款。
6.3.2.5 约定报告的内容和服务成果记录。
6.3.3 与供应商签署的支持协议或供货协议应保证与本公司向客户提供服务的SLA相关联，并一致。
6.3.4 商务部负责拟制公司《合格供应商名单》，并负责《合格供应商名单》的维护和管理。
6.3.5 当公司与供应商的支持协议或供货协议需要修订或变更时，商务部应重新组织相关部门进行协议评审，在评审中应讨论和明确对本公司SLA影响和变更，并按照《变更管理程序》的规定实行。
6.3.6 商务部按《供应商管理程序》的规定，对公司合格供应商进行季度评价和年度评审，监督、记录供应商对本公司SLA的贯彻情况，拟制《供应商合作分析报告》，将评估的结果及时反馈给相关供应商，并组织进行相关调整和改善。
6.3.7 商务部应组织管理与供应商之间的协议冲突，并在支持协议或供货协议中明确。假如争议无法通过正常途径解决时，应交由更高级别的解决途径。
6.3.8 商务部应保证所有协议冲突被记录、调查、解决并正式关闭。
7. 解决方案流程
7.1 背景
7.1.1 事件和问题管理作为独立的流程管理，事件管理关注的是服务恢复，而问题管理考虑的是辨认并消除事件隐患。
7.1.2 事件或问题解决的时间安排应考虑以下因素：
7.1.2.1 优先级。
7.1.2.2 现有技能。
7.1.2.3 资源规定。
7.1.2.4 解决方案的效果和成本。
7.1.2.5 实行解决方案所需时间。
7.2 事件管理
7.2.1 服务部服务台按照《事件管理程序》的规定，根据事件的影响和紧急限度拟定事件解决优先级别，并基于优先级别拟定解决事件的目的。其中应涉及：
7.2.1.1 接受请求、记录、优先级分派、分类。
7.2.1.2 一线事件解决或转移。
7.2.1.3 考虑安全事件。
7.2.1.4 事件跟踪和生命周期管理。
7.2.1.5 事件验证和关闭。
7.2.1.6 一线客户联系。
7.2.1.7 事件升级。
7.2.2 事件报告方式涉及电话、拜访、传真或者电子邮件，所有事件应在服务台正式记录，并可检索和分析。
7.2.3 服务部对升级的事件提供解决方案，协助服务台关闭事件。
7.2.4 服务部负责对升级的技术问题提供解决事件的技术支持，协助服务台解决未知错误。
7.2.5 技术服务事业部组织建立事件知识库，以保证服务台人员可访问经常更新的知识库。知识库中涉及技术专家、以前事件、相关问题、已知错误、配置管理数据库（CMDB）、检查清单等有助于恢复服务的各种信息。
7.2.6 对重大事件的解决，服务部按《服务台工作指导手册》的规定执行。
7.2.7 服务台应在证实事件已经解决并且服务已经恢复的时候，事件才干最终关闭。
7.3 问题管理
7.3.1 服务部根据《问题管理控制程序》对问题因素的预先辨认、分析、管理直至关闭，以减少对业务的影响。
7.3.2 服务部根据平常检查、测试、事故数量和类型的趋势分析等纠正措施，辨认潜在问题。所有被辨认的问题都应当得到记录。
7.3.3 在问题得到解决后，服务部将相关信息应加入问题知识库，服务部同时应升级所有相关文献，如用户指南和系统文献。
7.3.4 记录对服务或问题管理流程的改善，并作为服务改善计划的输入。
8. 控制流程
8.1 配置管理
8.1.1 服务部应根据《配置管理程序》的规定，评估所有与IT服务相关的重要资产和配置项，辨认、定义、维护IT服务和基础设施的组件，明确配置项之间的关系、属性和作用，定义命名规范、版本号，制订和实行《配置项分类定义表》，以保证有效管理IT资产和配置。被管理的配置项重要涉及：信息系统和软件（涉及第三方软件）的发布、相关系统文档、例如规定规范、设计、测试报告、发布文档、每个应用环境配置基线、或描述应用环境、标准硬件组成和发布、备份和电子资料库、如最终软件库（DSL）、配置管理包或工具、许可证、安全组件、如防火墙、服务相关文档、例如服务级别协议、活动程序、务支持设施、例如机房电源。
8.1.2 服务部根据配置项之间的关系、属性、状态类别、重要限度和优先级，拟定配置管理数据库的范围、分解的层数、具体的限度，完毕配置管理数据库的构建，拟制《配置管理数据库初始化表单》，形成配置基线，并和公司的服务目的、与公司的SLA保持一致。
8.1.3 服务部制订《配置管理计划》，并每年末进行更新。重要涉及：配置管理的范围、目的、策略、标准角色和责任、配置管理流程定义服务和基础设施中配置项，配置控制变更，记录和报告配置项情况，证实配置项的完整性和对的性责任、可检索、可审计的规定，例如出于安全、法律、规章或业务目的、配置控制（访问、保护、版本、开发、发布控制）、交互控制流程，及信息接口和发布、资源管理规划和建立，以便使资产和配置受控，并维持配置管理系统，如培训活动、与配置相关的供应商管理规定和活动。
8.1.4 服务部在配置管理过程中应监控配置项的整个生命周期，保证只有被授权且可辨认的配置项才被接受，并记录从接受到销毁的全过程；没有被认可的变更请求，不能添加、修改、替换或删除配置项。
8.1.5 服务部应保存有效的配置记录，以反映配置项状态、位置和版本的变化，并通过各种状态监控配置项的变更，例如订购、接受、测试、使用、变更、拆卸、取消。配置项的更新信息应作为配置管理计划和变更管理的输入。
8.1.6 为保护系统、服务和基础设施的完整性和安全性，配置项信息应被保存在一个安全环境。应：保护其不受未授权访问、变更或破坏、提供灾害后恢复方法、对受控软件、测试产品和支持文档等备份的恢复进行限制。
8.1.7 配置评审程序应包含缺陷记录、执行纠正措施和报告结果。
8.1.8 服务部应定期拟制《配置项管理报告》，报告应涉及：配置项最新版本、配置项的位置和软件重要版本的位置、互相依赖关系、版本历史。在任何时候都可核对配置项以下内容：服务配置项或系统、变更、基准线、开发或发布、版本或变量。
8.1.9 服务部应定期组织相关部门实行配置认可和审核活动，并检查是否有充足的资源以支持：保护物理配置和公司的知识资本、保证公司控制其配置、原件和许可证、保证配置信息是准确、可控、可见。
8.1.10 服务部应保证变更、发布、系统或环境符合其协议约定或事先约定的规定并且配置记录是准确的。
8.1.11 在审核中出现的缺陷或不符合项应被记录、评估和改善。
8.2 变更管理
8.2.1 服务部根据公司业务需要或客户需求，制订《变更计划》。应考虑：清楚定义变更的范围、使业务增值的变更才干被认可，例如商业的、法律的、规章的、法令的、根据优先级和风险为变更安排时间、在变更实行中验证配置项变更、需要时监控并改善变更实行时间。
8.2.2 服务部在组织、开展变更时，还应在变更计划中对具体实行进行说明：发起、记录和分类、评估变更对服务、客户和发布计划的影响、紧急限度、成本、收益和风险、假如没有成功时可以恢复或修订、备案，如变更请求与受影响的配置项、更新后的实行和发布计划版本、根据变更的类型、大小和风险，得到变更负责方的认可或拒绝、由负责变更组件的团队负责人进行实行、测试、验证、取消、结束和评审、时间安排、监控和报告、与事件、问题、其它变更和配置项记