企业概况某地方证券公司，IT 科技部门承担交易系统、行情系统、客户业务系统、网上交易终端运维工作。证券行业对 IT 系统可用性要求极高，交易时段系统中断会直接造成重大业务与声誉损失；监管对信息技术运维流程、变更管控、业务连续性有严格监管要求，同步建设 ISO27001 信息安全管理体系。

存在问题

1. IT 运维工作以技术人员经验驱动，缺少标准化服务目录；内部业务部门没有明确的服务级别约定。

2. 交易系统变更风险极高，部分紧急变更流程简化，缺少完整风险评估、回退方案，存在影响开盘交易的隐患。

3. 故障发生后只做应急抢修，缺少问题根源分析，同类小故障反复出现。

4. 软硬件资产配置库不完善，交易相关服务器、中间件、网络设备关联关系梳理不清，故障排查耗时久。

5. 外包厂商较多，第三方运维、软件服务商驻场工作，对外包人员的工作质量缺少常态化监督考核；业务连续性演练形式化，未模拟真实交易故障场景。

体系实施过程

1. 建立 ISO20000 信息技术服务管理体系，划定 IT 科技部门全部运维服务为认证范围，发布 IT 服务方针，输出内部 IT 服务目录。

2. 落实服务级别管理，面向经纪业务、资管等内部业务部门建立内部 SLA，明确交易系统、行情系统可用性指标，定期输出服务达成报告。

3. 严格变更管理，区分常规变更、紧急变更；交易系统重大变更安排非交易窗口执行，必须完成风险评估、审批、回退方案、上线验证；紧急变更事后补全全部审批记录。

4. 落地事件‑问题管理：交易相关故障定义为最高优先级；故障处置完成后，重复发生故障转入问题管理开展根因分析，输出纠正预防措施。

5. 完善 CMDB 配置管理库，梳理交易链路全部软硬件资产及依赖关系；建立第三方 IT 供应商全周期管理，对外包服务商按月度开展服务质量评价。

6. 针对开盘中断、行情故障开展实战化业务连续性演练；执行内审、管理评审，与 ISO27001 整合运行，满足金融监管审计要求。

实施效果顺利获取 ISO20000+ISO27001 双体系证书；交易系统非计划停机事件大幅下降；变更引发的业务风险得到有效管控；故障排查效率显著提升；运维流程满足证券行业监管审计检查，降低合规风险。

案例小结金融证券行业推行 ISO20000，核心是严控变更风险、保障交易业务连续性、强化外包服务商管控。不能仅做纸面流程，演练、变更、事件处置必须贴合真实交易业务场景，同时对接行业监管要求。