Systeme entwerfen, die uns überdauern

Letztes Wochenende ist mein Vater gestorben. Wenn er das hier lesen würde, würde er sich wahrscheinlich beschweren, dass ich die Situation philosophischer mache als nötig. Er hatte eine ziemlich praktische Sicht auf die Sterblichkeit, und ich neige dazu, ihm zuzustimmen. Wir waren beide Darwinisten. Sterblichkeit ist nicht mystisch, nicht poetisch und schon gar keine kosmische Botschaft. Sie ist eine biologische Gewissheit. Organismen hören auf zu funktionieren. Prozesse enden. Der schwierige Teil des Todes ist selten die Person, die stirbt, sondern die Menschen und Systeme, die zurückbleiben. In der vergangenen Woche teilte mir jemand einen Satz aus der jüdischen Tradition mit: „Möge seine Erinnerung ein Segen sein.“ Ich mag den Satz, weil er weniger sentimental ist, als er zunächst erscheint. Er trägt eine praktische Anweisung in sich: erinnere dich, trage weiter und mache das, was übrig bleibt, nützlich. Diese Idee hat eine überraschende Parallele dazu, wie Organisationen über Widerstandsfähigkeit nachdenken.

Der übersehene Single Point of Failure

Sicherheitsexperten verbringen viel Zeit damit, Angreifer zu modellieren. Business Continuity Planning konzentriert sich auf Katastrophen, Ausfälle und Infrastrukturausfälle. Ganze Teams existieren, um sicherzustellen, dass Systeme weiterlaufen, wenn Hardware ausfällt oder Netzwerke zusammenbrechen. Doch einer der häufigsten Single Points of Failure in Organisationen ist weder technisch noch böswillig. Es ist menschliche Abwesenheit. Ein wichtiger Architekt wird unzugänglich. Ein leitender Administrator verlässt das Unternehmen unerwartet. Ein Lieferant verschwindet. Jemand hört einfach auf, ans Telefon zu gehen. In jedem Fall kommt die Störung selten von der Abwesenheit selbst, sondern von dem Wissen, das mit der Person verschwindet. Wenn das passiert, geht etwas Subtiles, aber Wichtiges verloren: undokumentierte Begründungen, architektonische Absichten, operative Abkürzungen, die nur eine Person verstand, und Entscheidungen, die nie aufgeschrieben wurden, weil „alle Beteiligten es bereits wussten“. In Organisationen tritt der zweite Tod oft ein, wenn Wissen mit der Person stirbt, die es innehatte.

Zerbrechliches Gedächtnis in Organisationen

Viele operative Risiken, die technisch erscheinen, sind tatsächlich Formen von fragilem Gedächtnis. Ein undokumentierter Prozess ist fragiles Gedächtnis. Anmeldeinformationen, die nur einem Administrator bekannt sind, sind fragiles Gedächtnis. Ein System, das nur ein einziger Ingenieur vollständig versteht, ist fragiles Gedächtnis. Was manchmal wie Expertise oder Effizienz aussieht, kann in Wirklichkeit eine Konzentration von operativen Risiken sein. Organisationen entdecken dies normalerweise erst, wenn die Person, die dieses Wissen besitzt, plötzlich nicht mehr verfügbar ist. Theoretisch verstehen die meisten Teams das. In der Praxis wird die Dokumentation aufgeschoben, Prozesse bleiben informell und Wissen bleibt konzentriert, einfach weil alle Beteiligten beschäftigt sind, die Dinge am Laufen zu halten. Bis zu dem Tag, an dem jemand nicht mehr da ist.

Was Widerstandsfähigkeit wirklich bedeutet

Widerstandsfähigkeit wird oft in technischen Begriffen diskutiert. Infrastrukturteams entwerfen verteilte Systeme, damit der Ausfall eines einzelnen Servers einen gesamten Dienst nicht zum Erliegen bringt. Daten werden an verschiedenen Standorten repliziert und kritische Systeme werden mit Redundanz aufgebaut, damit der Betrieb fortgesetzt werden kann, wenn einzelne Komponenten ausfallen. Diese Prinzipien sind im Ingenieurwesen gut verstanden. Organisationen wenden jedoch nicht immer das gleiche Denken auf Wissen an. Wenn operatives Verständnis ausschließlich im Kopf einer Person lebt, erbt die Organisation die gleiche Fragilität wie ein System, das um einen einzelnen Server ohne Backup aufgebaut ist. Der Ausfall tritt möglicherweise nicht oft auf, aber wenn er eintritt, können die Folgen unverhältnismäßig sein. Resiliente Systeme gehen davon aus, dass Komponenten irgendwann ausfallen werden. Organisationen sollten wahrscheinlich die gleiche Annahme über Menschen treffen. Nicht weil Menschen unzuverlässig sind, sondern weil Abwesenheit unvermeidlich ist.

Gestaltung für Abwesenheit

Die Gestaltung widerstandsfähiger Organisationen erfordert daher mehr als technische Redundanz. Es erfordert die Behandlung von Wissen als Teil der operativen Infrastruktur. Das bedeutet, Entscheidungen und Prozesse zu dokumentieren, auch wenn alle derzeit Beteiligten sie verstehen. Es bedeutet, operatives Wissen auf Teams zu verteilen, anstatt es in einem einzigen Experten zu konzentrieren. Es bedeutet sicherzustellen, dass Anmeldeinformationen, Systeme und Verfahren auch dann zugänglich bleiben, wenn eine einzelne Person nicht verfügbar ist. Keine dieser Praktiken ist besonders glamourös. Die meisten von ihnen sind eher administrativ als technisch. Doch sie sind oft der Unterschied zwischen Systemen, die weiter funktionieren, und Systemen, die ins Stocken geraten, wenn Schlüsselpersonen verschwinden. Widerstandsfähigkeit bedeutet in diesem Sinne nicht, Verluste zu verhindern. Das ist sowohl in der Biologie als auch in Organisationen unmöglich. Widerstandsfähigkeit bedeutet sicherzustellen, dass das System weiterläuft, wenn Verluste unvermeidlich eintreten.

Gedächtnis als Infrastruktur

„Möge seine Erinnerung ein Segen sein“ wird oft als Reflexion über das Gedenken verstanden. Es kann auch als praktisches Prinzip interpretiert werden. Trage weiter, was wichtig war. Mache Wissen nutzbar. Stelle sicher, dass das, was jemand aufgebaut hat, nicht einfach verschwindet, nur weil er nicht mehr da ist, um es zu erklären. Organisationen, die institutionelles Wissen als Infrastruktur behandeln, überstehen Störungen weitaus besser als diejenigen, die sich allein auf Einzelpersonen verlassen. Ihre Systeme funktionieren weiter, weil das Verständnis hinter diesen Systemen geteilt, dokumentiert und verteilt wurde.

Ein praktisches Fazit

Mein Vater hätte mir wahrscheinlich gesagt, ich solle aufhören zu philosophieren und wieder an die Arbeit gehen. Er hätte nicht ganz Unrecht. Keiner von uns ist von Dauer. Aber die Systeme, die wir bauen, können uns überdauern, wenn sie richtig konzipiert sind. Verbringen Sie Zeit mit den Menschen, die wichtig sind. Und entwerfen Sie Ihre Systeme für die Abwesenheit. Es ist nicht hypothetisch.