Diseño de sistemas que sobreviven

El fin de semana pasado falleció mi padre. Si estuviera leyendo esto, probablemente se quejaría de que estoy haciendo la situación más filosófica de lo necesario. Tenía una visión bastante práctica de la mortalidad y yo tiendo a estar de acuerdo con él. Ambos éramos darwinistas. La mortalidad no es mística, ni poética, y ciertamente no es un mensaje cósmico. Es una certeza biológica. Los organismos dejan de funcionar. Los procesos terminan. La parte difícil de la muerte rara vez es la persona que muere, sino las personas y los sistemas que quedan. Durante la semana pasada, alguien compartió conmigo una frase de la tradición judía: “Que su memoria sea una bendición”. Me gusta la frase porque es menos sentimental de lo que parece a primera vista. Lleva una instrucción práctica: recordar, llevar adelante y hacer útil lo que queda. Esa idea tiene un paralelismo sorprendente en cómo las organizaciones piensan sobre la resiliencia.

El punto único de fallo pasado por alto

Los profesionales de la seguridad dedican mucho tiempo a modelar adversarios. La planificación de la continuidad del negocio se centra en desastres, interrupciones y fallos de infraestructura. Existen equipos enteros dedicados a garantizar que los sistemas sigan operativos cuando falla el hardware o se caen las redes. Sin embargo, uno de los puntos únicos de fallo más comunes en las organizaciones no es técnico ni malicioso. Es la ausencia humana. Un arquitecto clave deja de estar disponible. Un administrador senior se va inesperadamente. Un proveedor desaparece. Alguien simplemente deja de responder al teléfono. En cada caso, la interrupción rara vez proviene de la ausencia en sí, sino del conocimiento que desaparece con la persona. Cuando eso sucede, se pierde algo sutil pero importante: razonamientos no documentados, intenciones arquitectónicas, atajos operativos que solo una persona entendía y decisiones que nunca se escribieron porque “todos los involucrados ya lo sabían”. En las organizaciones, la segunda muerte a menudo ocurre cuando el conocimiento muere con la persona que lo poseía.

Memoria frágil dentro de las organizaciones

Muchos riesgos operativos que parecen técnicos son en realidad formas de memoria frágil. Un proceso no documentado es memoria frágil. Credenciales conocidas por un solo administrador son memoria frágil. Un sistema que solo un ingeniero comprende completamente es memoria frágil. Lo que a veces parece experiencia o eficiencia puede ser, en realidad, una concentración de riesgo operativo. Las organizaciones suelen descubrir esto solo cuando la persona que posee ese conocimiento deja de estar disponible repentinamente. En teoría, la mayoría de los equipos entienden esto. En la práctica, la documentación se pospone, los procesos permanecen informales y el conocimiento se concentra simplemente porque todos los involucrados están ocupados manteniendo las cosas en funcionamiento. Hasta el día en que alguien ya no está.

Lo que realmente significa resiliencia

La resiliencia a menudo se discute en términos técnicos. Los equipos de infraestructura diseñan sistemas distribuidos para que el fallo de un solo servidor no derribe un servicio completo. Los datos se replican entre ubicaciones y los sistemas críticos se construyen con redundancia para que las operaciones puedan continuar cuando fallan componentes individuales. Estos principios son bien entendidos en ingeniería. Sin embargo, las organizaciones no siempre aplican el mismo pensamiento al conocimiento. Cuando la comprensión operativa reside enteramente en la cabeza de una persona, la organización hereda la misma fragilidad que un sistema construido alrededor de un solo servidor sin respaldo. El fallo puede no ocurrir a menudo, pero cuando ocurre, las consecuencias pueden ser desproporcionadas. Los sistemas resilientes asumen que los componentes eventualmente dejarán de funcionar. Las organizaciones probablemente deberían hacer la misma suposición sobre las personas. No porque las personas no sean fiables, sino porque la ausencia es inevitable.

Diseñando para la ausencia

Diseñar organizaciones resilientes, por lo tanto, requiere más que redundancia técnica. Requiere tratar el conocimiento como parte de la infraestructura operativa. Esto significa documentar decisiones y procesos incluso cuando todos los involucrados actualmente los entienden. Significa distribuir el conocimiento operativo entre equipos en lugar de concentrarlo en un solo experto. Significa garantizar que las credenciales, los sistemas y los procedimientos sigan siendo accesibles incluso cuando un individuo no está disponible. Ninguna de estas prácticas es particularmente glamurosa. La mayoría son administrativas más que técnicas. Sin embargo, a menudo son la diferencia entre los sistemas que continúan funcionando y los sistemas que se paralizan cuando desaparecen personas clave. La resiliencia, en este sentido, no se trata de prevenir la pérdida. Eso es imposible tanto en la biología como en las organizaciones. La resiliencia se trata de garantizar que el sistema continúe cuando la pérdida ocurre inevitablemente.

La memoria como infraestructura

“Que su memoria sea una bendición” a menudo se entiende como una reflexión sobre el recuerdo. También puede interpretarse como un principio práctico. Llevar adelante lo que importaba. Hacer que el conocimiento sea utilizable. Asegurarse de que lo que alguien construyó no desaparezca simplemente porque ya no está presente para explicarlo. Las organizaciones que tratan el conocimiento institucional como infraestructura tienden a capear mejor las interrupciones que aquellas que dependen únicamente de los individuos. Sus sistemas continúan funcionando porque la comprensión detrás de esos sistemas se ha compartido, documentado y distribuido.

Una conclusión práctica

Mi padre probablemente me diría que deje de filosofar y vuelva al trabajo. No estaría del todo equivocado. Ninguno de nosotros es permanente. Pero los sistemas que construimos pueden sobrevivirnos si se diseñan correctamente. Pasa tiempo con las personas que importan. Y diseña tus sistemas para la ausencia. No es hipotético.