Ontem estava tudo muito bem

Numa quarta-feira, num país europeu, um industrial do agroalimentar recolhe vários milhões de unidades de um produto corrente. A contaminação comprovada diz respeito, na melhor das hipóteses, a alguns lotes. Recolhe-se tudo — não porque tudo esteja contaminado, mas porque ninguém sabe o quê.

O mais perturbador não é a recolha. É o dia anterior à recolha. No dia anterior, todos os indicadores estavam no verde. Anos sem incidente maior. Auditorias conformes. Uma confiança sólida, alicerçada num longo historial.

Esta cadeia não era sólida. Era não testada — e a diferença entre as duas é o tema deste artigo, porque um homem passou a vida a aprofundá-la.

O problema do peru

Nassim Taleb classifica as coisas em três famílias, e a terceira não tinha nome antes dele. O frágil quebra com os choques: o vidro, o castelo de cartas. O robusto resiste-lhes: a rocha, indiferente. E o antifrágil alimenta-se deles: o músculo, que precisa do esforço para crescer; o sistema imunitário, que precisa da exposição para aprender. A pergunta a fazer a qualquer sistema não é, portanto, «tem bom desempenho?» mas «o que lhe fazem os choques?».

Para mostrar porque é que esta pergunta é habitualmente tão mal colocada, Taleb conta a história de um peru. Durante mil dias, um criador alimenta-o, protege-o, cuida dele. No milésimo dia, o peru dispõe de mil pontos de dados que demonstram, com uma significância estatística esmagadora, a benevolência da espécie humana. A sua confiança atinge o auge exatamente na véspera da consoada.

A lição ultrapassa o galinheiro: a ausência de acidente não é prova de segurança. Às vezes é apenas um contador a correr. E a opacidade é uma máquina de fabricar perus: uma cadeia cujo interior não se vê produz exatamente o mesmo sinal tranquilizador que uma cadeia saudável — anos de calma, auditorias verdes, nada a assinalar. Até ao dia em que. A calma de um sistema opaco não informa sobre nada, exceto sobre a paciência daquilo que nele se acumula.

O que a otimização vende sem o dizer

Porque são as cadeias alimentares modernas perus de competição? Porque são otimizadas — e a otimização, no sentido de Taleb, é uma troca da qual só se mostra uma coluna.

Cada progresso de eficiência — o fluxo tenso, a fonte única mais barata, a massificação dos lotes, o stock zero — retira algo ao sistema: folga, margem de manobra, redundância, tempo. O ganho é visível todos os dias, em cêntimos por unidade, num painel de controlo. O custo, esse, é invisível — até ao dia em que chega, inteiro, de repente: a fonte única falha, o lote massificado contamina tudo aquilo em que tocou, o fluxo tenso propaga a rutura em horas.

É preciso dizê-lo sem moral, porque não a há: otimizar não é uma falta. É uma troca — robustez por eficiência — e essa troca pode ser perfeitamente razoável. O problema talebiano está noutro lado: a troca está escondida. Numa cadeia opaca, ninguém pode dizer quanta fragilidade foi vendida, nem a que preço, nem onde se alojou. Nunca se compra uma cadeia frágil com conhecimento de causa. Compra-se uma cadeia sobre a qual ninguém consegue dizer se o é — o que, no momento de pagar, dá ao mesmo, e no momento de quebrar, custa bem mais.

Quebrar em pequeno: a aviação contra o prato

Porque eis o ponto que a palavra «antifragilidade» faz perder quando se reduz a um slogan de resiliência: um sistema não ganha com o erro por magia. Só ganha se o erro ensinar — e um erro só ensina se for atribuível: ligado a um lugar, um momento, um gesto, uma causa.

O caso escolar está no céu. A aviação comercial é, estatisticamente, a atividade mais segura em que um ser humano pode participar — e tornou-se assim precisamente por isso: cada incidente, mesmo menor, mesmo sem consequências, é registado, rastreado, atribuído, analisado, e depois reinjetado em todo o sistema. Um motor que tosse sobre um oceano modifica procedimentos em cinco continentes. A caixa negra de um avião é o exato inverso da caixa negra no sentido corrente: só existe para ser aberta a cada falha. A aviação é antifrágil porque industrializou a aprendizagem pelo erro — cada pequeno choque torna o sistema mais seguro do que no dia anterior.

A cadeia alimentar, essa, quebra às cegas. O erro não atribuível não pode ensinar; só pode propagar-se. Então torna-se recolha maciça — recolhe-se tudo porque não se sabe o quê — a recolha torna-se perda seca, a perda torna-se comunicação de crise, e ninguém aprende nada: a mesma falha voltará sob outro nome, noutra fileira, no ano seguinte. Incidentes, os dois sistemas terão sempre. A diferença é o que fazem com eles.

É aqui que a rastreabilidade muda de natureza. Não é uma ferramenta de controlo, nem um suplemento de conformidade: é a condição da aprendizagem — o que permite a uma cadeia quebrar pequeno, cedo, localmente, em vez de quebrar grande, tarde, por toda a parte. Uma cadeia legível transforma os seus incidentes em informação. Uma cadeia opaca transforma-os em catástrofes.

A fragilidade dos outros

Resta a pergunta que Taleb coloca a qualquer sistema, e que se tornou o título do seu último grande livro: quem arrisca a própria pele? Por outras palavras: a fragilidade escondida, alguém a carrega — quem?

Nunca quem a criou. É a propriedade mais sombria da opacidade, e não exige nenhuma má-fé para funcionar: quem retira a folga do sistema embolsa o ganho em cêntimos, visível e quotidiano; quem come carrega o risco, invisível e diferido; e entre os dois, sendo os elos indistintos, ninguém é identificável — logo ninguém é responsável. A opacidade é uma máquina de transferir a fragilidade para quem nada decide. Não há culpado nesta transferência. Há uma estrutura, e a estrutura basta.

A prova inverte o sentido da transferência. Quem inscreve a sua prática num registo aberto faz uma coisa que a calma estatística nunca fará: expõe-se. O seu gesto é datado, situado, atribuível — verificável por qualquer pessoa, incluindo no dia em que algo corre mal. Provar é comprometer-se. E é exatamente isso que torna o seu sinal credível, quando tantos outros nada custam a emitir: a promessa que não compromete o seu autor só vale a tinta do rótulo.

É preciso então ir até ao fim da lógica, porque tem uma consequência económica: o que compromete merece salário. Quem coloca a própria pele em jogo — que assume o risco de ser verificado — presta um serviço a toda a cadeia: torna-a capaz de aprender, seguráve, digna de confiança. Um sistema bem construído remunera esse serviço, tal como remunera tudo o que reduz a sua fragilidade. Um sistema mal construído cobra-o — e depois espanta-se por ninguém provar nada.

Reencenemos a recolha do início, numa cadeia legível. Quarta-feira, 9h: alerta sobre um lote. 11h: três lotes identificados, o seu percurso exato reconstituído, os pontos de venda em causa notificados — a retirada é cirúrgica, não maciça. Sexta-feira: a causa é remontada até ao seu elo, o procedimento corrigido, a correção propagada. O incidente ocorreu; o sistema está melhor do que antes do incidente.

O objetivo nunca foi uma cadeia que não quebra. Não existe — e prometê-la é fabricar o próximo peru. Uma cadeia opaca quebra em silêncio, e depois de repente. Uma cadeia legível quebra pequeno — e aprende.

—

Nassim Nicholas Taleb: o problema do peru é exposto em O Cisne Negro (2007); a tríade frágil/robusto/antifrágil em Antifrágil (2012); a questão da exposição ao risco em Skin in the Game (2018, trad. Jogar a Própria Pele). O exemplo da aviação como sistema aprendente deve muito a ele, assim como a décadas de cultura de retorno de experiência na aeronáutica civil.