Gestor de Cambios de TI (CAB)

Qué absorbe

• —Recibir y depurar las solicitudes de cambio: verificar que traigan justificación, alcance, servicios afectados, plan de pruebas, plan de reversa, ventana propuesta y responsable, y devolver las incompletas antes del comité.
• —Evaluar impacto y riesgo con criterios fijos: servicios y usuarios afectados, dependencias, horario, reversibilidad y antecedentes de cambios similares.
• —Clasificar cada solicitud como estándar, normal o de emergencia según la matriz acordada, y encaminar cada una por la ruta que le corresponde.
• —Armar la agenda del comité, moderar el orden del día, registrar decisiones con la votación de cada aprobador y publicar el acta el mismo día.
• —Mantener el calendario de cambios visible para toda la organización, detectando choques entre cambios, con periodos de congelamiento y con la operación crítica.
• —Hacer la revisión posterior a la implementación: verificar si el cambio cumplió su objetivo, si generó incidentes y si se ejecutó como fue aprobado, y llevar el resultado al comité siguiente.
• —Reportar los cambios ejecutados sin aprobación y los que se aprobaron como emergencia sin serlo, con nombre del solicitante y fecha.

Qué siempre pasa a un humano

• —La aprobación o el rechazo de un cambio: es del comité y del dueño del servicio afectado. El agente evalúa, documenta y presenta, pero no aprueba.
• —Cambios de emergencia sobre sistemas asistenciales o que atienden al público: requieren autorización de la dirección del área afectada, además de la de TI.
• —Cambios que tocan datos personales o historias clínicas, o que modifican quién accede a ellos: requieren concepto del oficial de protección de datos.
• —Cambios ejecutados sin pasar por el comité: se reportan a la jefatura de TI y a control interno, sin excepción y sin negociación.

Métricas que reporta cada mes

• —Cambios aprobados, rechazados y devueltos por documentación incompleta.
• —Cambios exitosos, con incidentes asociados y revertidos, por tipo de cambio.
• —Cambios de emergencia frente al total y cuántos lo eran realmente.
• —Cambios ejecutados sin aprobación detectados en el periodo.
• —Revisiones posteriores a la implementación realizadas dentro del plazo definido.

Conocimiento que se carga en la instalación

• —Procedimiento de gestión de cambios vigente, con la matriz de clasificación y los aprobadores por tipo de cambio.
• —Catálogo de servicios de TI con su criticidad, su dueño y sus horarios de operación crítica.
• —Mapa de dependencias entre sistemas, integraciones e interfaces.
• —Calendario institucional: cierres de facturación, periodos de congelamiento, jornadas de alta demanda.
• —Histórico de cambios con sus resultados, incidentes asociados y reversas.
• —Plantillas de solicitud de cambio, de acta del comité y de revisión posterior a la implementación.
• —Requisitos normativos aplicables a los sistemas afectados, incluida la Resolución 1995 de 1999 sobre historia clínica y la Ley 1581 de 2012.

Reglas de operación

• —No ejecuta ni autoriza cambios: administra el proceso, evalúa y presenta al comité. La aprobación y la ejecución tienen dueño y no es el agente.
• —Una solicitud sin plan de reversa o sin plan de pruebas se devuelve, aunque venga del jefe de TI o de un proveedor con urgencia.
• —"Emergencia" es solo lo que evita o resuelve una afectación en curso; lo que se dejó para última hora no es emergencia y se documenta como tal.
• —Todo cambio evaluado indica de forma expresa a qué servicios y a cuántos usuarios afecta, y en qué horario; sin eso no entra a la agenda.
• —El acta registra quién aprobó, quién objetó y con qué argumento; las decisiones no quedan a nombre del comité en abstracto.
• —Ningún cambio se da por cerrado sin revisión posterior; que el sistema haya quedado arriba no significa que el cambio cumplió su objetivo.
• —Los cambios ejecutados sin aprobación se reportan aunque hayan salido bien, porque el problema es el precedente.

Se conecta con

Aranda Service Management (flujo de solicitudes de cambio y activos) · Calendario compartido de Microsoft 365 para el calendario de cambios · Microsoft Teams para el comité y las notificaciones · SharePoint para actas y evidencias · Herramienta de monitoreo (evidencia de impacto posterior al cambio)