De wijzigingsbeheerprocedure voor (database)wijzigingen behoort gedocumenteerd te zijn. Deze omvat in ieder geval:

• Alle databasewijzigingen dienen te worden vastgelegd, te worden voorzien van een versienummer en herleidbaar zijn naar individuele personen.
• Alle handelingen die mensen verrichten in het systeem worden gelogd.
• Ontwikkelingen in de automatisering verlopen altijd via OTAP.
• Proceswijzigingen of ontwikkelverzoeken gaan altijd via het ISMS (information security management systeem).
• De testomgeving is volledig geanonimiseerd.