De wijzigingsbeheerprocedure voor (database)wijzigingen behoort gedocumenteerd te zijn. Deze omvat in ieder geval:
- Alle databasewijzigingen dienen te worden vastgelegd, te worden voorzien van een versienummer en herleidbaar zijn naar individuele personen.
- Alle handelingen die mensen verrichten in het systeem worden gelogd.
- Ontwikkelingen in de automatisering verlopen altijd via OTAP.
- Proceswijzigingen of ontwikkelverzoeken gaan altijd via het ISMS (information security management systeem).
- De testomgeving is volledig geanonimiseerd.