Blameless postmortem não é sobre ser gentil

Quando um sistema falha em produção, a primeira pergunta que costuma surgir é: quem fez isso? Ela é compreensível. Atribuir responsabilidade pode dar a impressão de resolução, mas é a abordagem menos eficaz para prevenir futuros incidentes..

A tese deste texto é que a cultura de culpa torna os sistemas mais frágeis, e que postmortems sem culpa, sustentados por segurança psicológica, não são uma gentileza com o time. São uma prática de engenharia.

O erro humano é sintoma, não causa

Depois de um incidente, tudo parece óbvio. O chamado viés retrospectivo faz com que julguemos decisões passadas com informações que só surgiram depois. No momento da ação, porém, quem errou tinha contexto incompleto, pressão de prazo e ferramentas que não alertaram para o risco.

O pesquisador Sidney Dekker sugere mudar a lógica: o erro humano não explica uma falha; ele precisa ser explicado. Um relatório que conclui com "falha humana" parou no ponto onde a investigação deveria começar. A pergunta útil não é por que alguém errou, mas por que aquela ação parecia sensata na hora. Se pareceu sensata para uma pessoa, provavelmente parecerá para outra.

O custo invisível da punição

Quando errar gera punição, as pessoas aprendem uma lição, mas não a desejada. Elas aprendem a esconder. Quase-incidentes deixam de ser relatados, ajustes feitos às pressas não são comentados e riscos conhecidos ficam sem dono. A cultura de culpa não reduz os erros, reduz a visibilidade deles, o que é muito pior.

É aqui que entra o conceito de segurança psicológica, popularizado por Amy Edmondson: a crença compartilhada de que ninguém será punido ou humilhado por admitir um erro, fazer uma pergunta ou discordar. Não se trata de evitar conflito. Times psicologicamente seguros discutem mais, não menos, porque ninguém tem medo de levantar a mão.

As evidências mostram o mesmo. O Projeto Aristotle, um estudo do Google sobre equipes eficazes, descobriu que a segurança psicológica é o fator mais importante, mais que o talento individual. As pesquisas do DORA, no livro Accelerate, ligam culturas onde a informação é livre e falhas são investigadas a um melhor desempenho na entrega de software.

Sistemas complexos não têm uma única causa

Richard Cook, em How Complex Systems Fail, argumenta que sistemas complexos convivem permanentemente com falhas latentes. Eles se mantêm de pé graças a múltiplas camadas de proteção e ao esforço constante das pessoas que os operam. Um incidente grave raramente nasce de um único ponto: surge quando várias pequenas fragilidades se alinham ao mesmo tempo.

Por isso, a busca por "a causa raiz" costuma ser enganosa. Ela sugere que existe uma única coisa a corrigir, quando na prática existem diversos fatores contribuintes: processos que dependem da memória de alguém, validações ausentes, alertas lentos, pressão por prazo. Apontar uma pessoa encerra a análise antes de chegar a eles. Olhar para o sistema transforma cada incidente em uma lista concreta de melhorias.

Essa mudança passa também pela linguagem. Dizer que "alguém esqueceu um passo" coloca a falha numa pessoa. Dizer que "o processo não verificava esse passo" coloca a falha onde ela pode ser corrigida.

Sem culpa não significa sem responsabilidade

Uma objeção comum é que, sem culpa, ninguém assumiria responsabilidade. No entanto, a intenção não é tratar todos os erros da mesma forma. Dekker defende uma cultura justa, que diferencia entre erro honesto, comportamento arriscado que se tornou normal na equipe, e negligência consciente. Apenas esta última justifica consequências individuais, sendo menos frequente do que a cultura de culpa sugere..

O que muda é a direção da responsabilidade. Na cultura de culpa, ela olha para trás e pergunta quem vai pagar. Na cultura sem culpa, ela olha para frente e pergunta o que vai mudar e quem vai cuidar disso. As pessoas continuam responsáveis, só que pela melhoria, e não pela punição.

Conclusão

Nada disso se sustenta sem a liderança. Segurança psicológica leva anos para ser construída e pode ser destruída em uma única reunião, bastando que alguém seja punido depois de ouvir que o postmortem seria sem culpa. O exemplo mais forte vem de cima: um líder que admite os próprios erros dá ao time permissão para fazer o mesmo.

Times que não têm medo de errar não erram menos. Eles aprendem mais rápido com cada erro, e é isso que, ao longo do tempo, separa sistemas que ficam mais frágeis a cada incidente daqueles que ficam mais fortes. Na próxima vez que a produção cair, a pergunta certa não é quem quebrou, mas o que o nosso sistema ainda não sabe proteger.

Referências

• How Complex Systems Fail, de Richard Cook.
• Blameless PostMortems and a Just Culture, de John Allspaw.
• Postmortem Culture: Learning from Failure, do livro Site Reliability Engineering (Google).
• The Fearless Organization, de Amy Edmondson.
• Just Culture, de Sidney Dekker.
• Accelerate, de Nicole Forsgren, Jez Humble e Gene Kim.