Jeszcze wczoraj wszystko szło jak najlepiej

W pewną środę, w jednym z krajów europejskich, producent z branży spożywczej wycofuje z rynku kilka milionów sztuk popularnego produktu. Potwierdzone skażenie dotyczy w najlepszym razie kilku partii. Wycofuje się wszystko — nie dlatego, że wszystko jest skażone, lecz dlatego, że nikt nie wie, co.

Najbardziej niepokojący nie jest sam rappel. Jest nim dzień poprzedzający rappel. Dzień wcześniej wszystkie wskaźniki świeciły na zielono. Lata bez poważnego incydentu. Zgodne audyty. Solidne zaufanie, poparte długą historią.

Ten łańcuch nie był solidny. Był nieprzetestowany — a różnica między tymi dwoma stanami jest tematem tego artykułu, bo pewien człowiek poświęcił jej całe życie.

Problem indyka

Nassim Taleb dzieli rzeczy na trzy rodziny, a trzecia nie miała nazwy, zanim jej nie nadał. Kruche pęka pod wpływem wstrząsów: szkło, domek z kart. Odporne im się opiera: skała, obojętna. A antykruche żywi się nimi: mięsień, który potrzebuje wysiłku, by rosnąć; układ odpornościowy, który potrzebuje ekspozycji, by się uczyć. Pytanie, jakie należy zadać każdemu systemowi, nie brzmi więc „czy jest wydajny?”, lecz „co robią z nim wstrząsy?”.

By pokazać, dlaczego to pytanie zwykle stawia się tak źle, Taleb opowiada historię indyka. Przez tysiąc dni hodowca go karmi, chroni, pielęgnuje. Tysięcznego dnia indyk dysponuje tysiącem punktów danych, które z miażdżącą istotnością statystyczną dowodzą życzliwości gatunku ludzkiego. Jego zaufanie osiąga szczyt dokładnie w wigilię świąt.

Lekcja wykracza poza podwórko: brak wypadku nie jest dowodem bezpieczeństwa. Czasem to tylko licznik, który tyka. A nieprzejrzystość jest maszyną do produkowania indyków: łańcuch, którego wnętrza nie widać, wysyła dokładnie ten sam uspokajający sygnał co łańcuch zdrowy — lata spokoju, zielone audyty, nic do zgłoszenia. Aż do dnia, w którym. Spokój nieprzejrzystego systemu nie informuje o niczym poza cierpliwością tego, co się w nim nagromadziło.

Co optymalizacja sprzedaje bez słowa

Dlaczego nowoczesne łańcuchy żywnościowe są indykami klasy mistrzowskiej? Ponieważ są zoptymalizowane — a optymalizacja, w rozumieniu Taleba, jest transakcją wymiany, z której pokazuje się tylko jedną kolumnę.

Każdy postęp w wydajności — dostawy just-in-time, tańsze pojedyncze źródło zaopatrzenia, masowanie partii, zerowy zapas — odbiera systemowi coś: luz, zapas swobody, redundancję, czas. Zysk widać codziennie, w groszach na jednostkę, na desce rozdzielczej wskaźników. Koszt natomiast jest niewidoczny — aż do dnia, w którym pojawia się cały, naraz: jedyne źródło zawodzi, masowa partia skaża wszystko, czego dotknęła, przepływ just-in-time rozprzestrzenia przerwę w ciągu kilku godzin.

Trzeba to powiedzieć bez moralizowania, bo moralizować tu nie ma czego: optymalizowanie nie jest błędem. Jest wymianą — odporności za efektywność — i ta wymiana może być całkowicie rozsądna. Problem talebowski leży gdzie indziej: ta wymiana jest ukryta. W nieprzejrzystym łańcuchu nikt nie potrafi powiedzieć, ile kruchości sprzedano, po jakiej cenie ani gdzie się osadziła. Nigdy nie kupuje się kruchego łańcucha świadomie. Kupuje się łańcuch, o którym nikt nie potrafi powiedzieć, czy jest kruchy — co w chwili płacenia wychodzi na to samo, a w chwili pęknięcia kosztuje dużo więcej.

Pękać po trochu: lotnictwo kontra talerz

Oto bowiem punkt, który umyka, gdy słowo „antykruchość” spłaszcza się do sloganu o odporności: system nie zyskuje na błędzie za sprawą magii. Zyskuje na nim tylko wtedy, gdy błąd uczy — a błąd uczy tylko wtedy, gdy da się go przypisać: powiązać z miejscem, chwilą, gestem, przyczyną.

Podręcznikowy przykład rozgrywa się w powietrzu. Lotnictwo komercyjne jest statystycznie najbezpieczniejszą działalnością, w jakiej może uczestniczyć człowiek — i stało się takie właśnie w ten sposób: każdy incydent, nawet drobny, nawet bez konsekwencji, jest rejestrowany, śledzony, przypisywany, analizowany, a następnie z powrotem wprowadzany do całego systemu. Silnik, który zakrztusi się nad oceanem, zmienia procedury na pięciu kontynentach. Czarna skrzynka samolotu jest dokładnym przeciwieństwem czarnej skrzynki w potocznym sensie: istnieje wyłącznie po to, by ją otwierać przy każdej awarii. Lotnictwo jest antykruche, ponieważ uprzemysłowiło uczenie się na błędach — każdy drobny wstrząs czyni system bezpieczniejszym niż dzień wcześniej.

Łańcuch żywnościowy natomiast pęka po omacku. Błąd, którego nie da się przypisać, nie może uczyć; może się jedynie rozprzestrzeniać. Staje się więc masowym wycofaniem — wycofuje się wszystko, bo nikt nie wie co — wycofanie staje się czystą stratą, strata staje się komunikacją kryzysową, a nikt niczego się nie uczy: ta sama usterka wróci pod inną nazwą, w innej branży, za rok. Incydenty będą się zdarzać w obu systemach zawsze. Różnica polega na tym, co się z nimi robi.

To tu identyfikowalność zmienia naturę. Nie jest narzędziem kontroli ani dodatkiem do zgodności: jest warunkiem uczenia się — tym, co pozwala łańcuchowi pękać po trochu, wcześnie, lokalnie, zamiast pękać wielko, późno, wszędzie. Czytelny łańcuch przekształca swoje incydenty w informację. Nieprzejrzysty łańcuch przekształca je w katastrofy.

Kruchość innych

Pozostaje pytanie, które Taleb zadaje każdemu systemowi i które stało się tytułem jego ostatniej wielkiej książki: kto stawia na szali własną skórę? Innymi słowy: ukrytą kruchość ktoś dźwiga — kto?

Nigdy ten, kto ją stworzył. To najmroczniejsza właściwość nieprzejrzystości i nie potrzebuje ona żadnej złej woli, by działać: ten, kto usuwa luz z systemu, inkasuje zysk w groszach, widoczny i codzienny; ten, kto je, ponosi ryzyko, niewidoczne i odroczone; a pomiędzy nimi, skoro ogniwa są nierozróżnialne, nikogo nie da się zidentyfikować — więc nikt nie jest odpowiedzialny. Nieprzejrzystość jest maszyną do przenoszenia kruchości na tych, którzy niczego nie decydują. Nie ma winnego tego transferu. Jest struktura, i struktura wystarcza.

Dowód odwraca kierunek tego transferu. Ten, kto wpisuje swoją praktykę do otwartego rejestru, robi coś, czego statystyczny spokój nigdy nie zrobi: naraża się. Jego gest jest datowany, umiejscowiony, przypisywalny — możliwy do zweryfikowania przez każdego, także w dniu, gdy coś idzie źle. Dowodzić to znaczy się angażować. I to właśnie sprawia, że jego sygnał jest wiarygodny, podczas gdy tak wiele innych nic nie kosztuje w emisji: obietnica, która nie zobowiązuje jej autora, warta jest tyle co atrament na etykiecie.

Trzeba wówczas doprowadzić tę logikę do końca, bo ma ona konsekwencję ekonomiczną: to, co zobowiązuje, zasługuje na wynagrodzenie. Ten, kto stawia własną skórę na szali — kto bierze na siebie ryzyko bycia zweryfikowanym — oddaje przysługę całemu łańcuchowi: czyni go zdolnym do nauki, ubezpieczalnym, godnym zaufania. Dobrze zbudowany system wynagradza tę usługę, tak jak wynagradza wszystko, co zmniejsza jego kruchość. Źle zbudowany system każe za nią płacić — a potem dziwi się, że nikt niczego nie udowadnia.

Odtwórzmy jeszcze raz wycofanie z początku artykułu, tym razem w czytelnym łańcuchu. Środa, 9:00: alarm dotyczący partii. 11:00: zidentyfikowano trzy partie, odtworzono ich dokładną trasę, powiadomiono zainteresowane punkty sprzedaży — wycofanie jest chirurgiczne, nie masowe. Piątek: przyczynę cofnięto aż do jej ogniwa, procedurę poprawiono, poprawkę rozpowszechniono. Incydent miał miejsce; system jest lepszy niż przed incydentem.

Celem nigdy nie był łańcuch, który się nie łamie. Taki nie istnieje — a obiecywanie go to produkowanie kolejnego indyka. Nieprzejrzysty łańcuch pęka po cichu, a potem naraz. Czytelny łańcuch pęka po trochu — i się uczy.

—

Nassim Nicholas Taleb: problem indyka opisany jest w Czarnym łabędziu (2007); triada kruche/odporne/antykruche w Antykruchości (2012); kwestia narażenia na ryzyko w Grze o własną skórę (2018, oryg. Skin in the Game). Przykład lotnictwa jako systemu uczącego się wiele mu zawdzięcza, podobnie jak dziesięcioleciom kultury wyciągania wniosków z doświadczeń w lotnictwie cywilnym.