Read the book: «Архитектор среды»

Представьте совещание, которое выглядит безупречно.

Команда собралась принять важное решение: запустить продукт, перестроить процесс, выйти на новый рынок. На столе – не тезисы на салфетке, а полный комплект. Аналитическая записка на сорок страниц. Финансовая модель с тремя сценариями. Карта рынка. Макеты интерфейса. План на двенадцать недель. И, для надежности, заранее заготовленные ответы на пять самых вероятных возражений. Все это собрано не за месяц работы отдела, а за два вечера – одним человеком и его ИИ.

Материал хорош. Настолько, что спорить не о чем. Логика сходится, цифры аккуратны, слайды чистые. Кто-то задает неудобный вопрос – на него мгновенно находится ответ, тоже аккуратный. Решение принимают единогласно, с тем приятным чувством, что будущее наконец-то стало управляемым.

Проходит полгода. Продукт тихо сворачивают.

Не было скандала. Не было катастрофы. Не нашлось даже виноватого – а это, как мы увидим, само по себе диагноз. Просто выяснилось, что безупречный план отвечал на неправильный вопрос, а реальность, в отличие от модели, отказалась подыгрывать.

Это не история про слабую команду или плохой ИИ. Команда сильная, ИИ современный. Это история про новый тип ошибки, у которого пока нет общепринятого имени. Мы будем называть его идеальной ошибкой: решение, которое выглядит умно, звучит убедительно, технически реализуемо – и при этом системно не попадает в реальность.

Идеальная ошибка коварнее обычной. Обычную ошибку видно: что-то сломалось, кто-то недосчитал, проект упал. Идеальная ошибка проходит все проверки качества и все равно не создает ценности. Ее невозможно поймать на уровне исполнения, потому что на уровне исполнения все хорошо. Ее можно поймать только на уровне смысла – а смыслом в большинстве организаций отдельно никто не занимается.

Эта книга – о том, откуда берется идеальная ошибка, почему именно сейчас она стала массовой и что с ней делать тем, кто строит организации, продукты и среды в эпоху, когда думать помогают машины.

Сдвиг, который никто не заказывал

Чтобы понять идеальную ошибку, нужно заметить тихий, но фундаментальный сдвиг – сдвиг в экономике мышления.

Еще недавно произвести вариант было дорого. Чтобы получить прототип, нужны были недели разработки. Чтобы получить аналитическую записку – аналитик, время и деньги. Чтобы получить дизайн – дизайнер. Дороговизна производства работала как естественный фильтр: до стадии воплощения доходили только те идеи, в которые кто-то готов был вложить дефицитный ресурс. Плохие идеи отсеивались не потому, что кто-то мудро их отбраковывал, а потому, что на все подряд просто не хватало рук. Узким местом было производство. И вся управленческая культура XX века – планирование, нормирование, контроль, KPI – выстроена вокруг этого узкого места: как произвести больше, быстрее, с меньшими потерями.

Сегодня производить стало почти бесплатно. Текст, код, интерфейс, записку, прототип, сценарий можно породить быстрее, чем команда успевает понять, зачем ей это нужно. Фильтр дороговизны исчез. И вместе с ним исчез скрытый механизм, который раньше отсеивал слабые идеи бесплатно, сам собой.

Тут и происходит то, чего никто не заказывал. Когда производство почти ничего не стоит, дефицитом перестает быть производство – дефицитом становится суждение. Способность отличить правильный вопрос от неправильного. Нужный вариант – от просто красивого. Сигнал – от убедительного шума.

Сместился сам главный вопрос. Раньше он звучал так: «Как сделать больше и быстрее?» Теперь он звучит иначе: «Как понять, что вообще стоит делать?» Раньше мы боролись за то, чтобы получить ответ. Теперь – за то, чтобы не принять красивый ответ за правильный.

Это смещение легко проговорить и трудно прожить. Целые профессии, привычки и системы мотивации заточены под старый вопрос. Человек, годами учившийся быстро производить, и организация, годами вознаграждавшая скорость и объем, не перестраиваются от того, что кто-то на совещании произнес слово «суждение». Они продолжают делать то, что умеют, – только теперь с многократным ускорением. А ускорять можно и движение к обрыву.

Короткая история о том, как мы сюда пришли

Стоит коротко проследить путь – не ради хронологии, а чтобы убедиться, что сдвиг настоящий, а не очередная волна хайпа, которую можно переждать.

Первый шаг случился в конце 2022 года, когда генеративные модели впервые научились производить связный, осмысленный текст на естественном языке.⁴ Это был настоящий прорыв и одновременно – очень ограниченная вещь. Модель могла информировать, но не действовать. У нее не было памяти между сессиями, она не умела планировать, не могла обращаться к инструментам, регулярно выдумывала факты, и ответственность за любое решение целиком оставалась на человеке. На этой стадии ИИ умел подсказать, но не сделать.

Второй шаг – примерно 2024 год – превратил подсказчика в исполнителя. Появились агентные системы: модель научилась выполнять цепочки задач, удерживать контекст, обращаться к внешним системам. Это сразу подняло продуктивность – и так же быстро обнажило новый предел. Агент исполнял, но не знал главного: как именно в этой конкретной организации принимаются решения, где проходят границы дозволенного, что здесь считается хорошим результатом. Он работал как способный, но чужой джуниор, которого не ввели в курс дела. Не хватало уже не исполнения, а профессионального суждения и знания контекста.

Третий шаг – с 2025 года – закрыл и этот разрыв. Модели рассуждения и «навыки» (закодированные правила того, как именно делается работа) превратили универсального агента в нечто похожее на профессионального цифрового работника, способного выполнять сложные задачи с ограниченным надзором.⁵ За четыре года ИИ прошел путь от «может информировать, но не действовать» до «может действовать почти самостоятельно».

В каждом из этих шагов есть одна и та же логика. Сначала не хватало беглости – ее дали языковые модели. Потом не хватало действия – его дали агенты. Потом выяснилось, что не хватает не действия, а суждения, контекста и памяти. Технология раз за разом закрывала очередное узкое место и обнажала следующее – и это следующее все ближе подбиралось к тому, что мы привыкли считать исключительно человеческим.

В этом, если присмотреться, нет ничего мистического. Каждая производственная революция сдвигала узкое место. Электричество сняло ограничение по мощности. Конвейер – по сборке. Цифровизация – по передаче и хранению информации. Все они высвобождали один дефицитный ресурс – и обнажали следующий. Нынешняя революция сдвинула узкое место внутрь головы: на мышление, отбор, суждение и память. И впервые узкое место оказалось там, куда нельзя просто «нанять еще людей» или «докупить мощностей». Производительность мышления так не масштабируется.

Цена иллюзии

Все сказанное можно было бы оставить красивым тезисом. Но взрослые серьезные люди справедливо не верят красивым тезисам без цифр. Поэтому – цифры.

Первое. Масштабное исследование внедрений генеративного ИИ в компаниях пришло к выводу: подавляющее большинство корпоративных пилотов не дают измеримого эффекта на прибыль и убытки.⁶ Не «дают мало» – не дают измеримого вовсе. И речь не о трех неудачниках, а о проектах в организациях, которые честно вложились в технологию.

Второе. По данным опросов, заметная доля сотрудников – около 40% за месяц – получает от коллег то, что исследователи назвали «workslop»: внешне правдоподобный, но бессодержательный ИИ-контент, который кто-то теперь вынужден вычитывать, перепроверять и переделывать, тратя на разбор каждого такого куска почти два часа.⁷ Технология, которая должна была снять работу, в части случаев производит новую – работу по разгребанию того, что она же и сгенерировала.

Третье, и самое отрезвляющее. Независимое исследование того же сдвига приходит к схожему выводу с другой стороны: ИИ внедрен более чем в 80% компаний, но это уже перестало быть отличием – масштабировать ИИ-агентов хотя бы в одной функции удается не больше чем каждой десятой компании, и лишь единицы получают ощутимый эффект на экономику.⁸ Внедрение стало всеобщим. Эффект – почти нигде.

Сложите три факта вместе, и картина выйдет неуютной. Технология есть почти у всех. Эффекта почти ни у кого. И значительная часть того, что она производит, – аккуратный шум, который кто-то должен разгребать. Если бы дело было в самой технологии, такого расхождения не возникло бы: либо инструмент работает, либо нет. А он работает – и не дает результата. Значит, дело не в инструменте.

И еще одна цифра – о том, почему иллюзию так трудно заметить изнутри. Летом 2025 года исследовательская группа METR провела аккуратный эксперимент: шестнадцать опытных разработчиков решали реальные задачи из собственных проектов, и жребий отправлял каждую задачу либо в режим «с ИИ», либо в режим «без». До начала участники ждали, что ИИ ускорит их примерно на четверть. После окончания они оценили, что он ускорил их на пятую часть. Секундомер показал обратное: с ИИ они работали на 19% дольше.⁹ Выборка небольшая, задачи особые – люди хорошо знали свой код, – и переносить этот результат на всех нельзя. Но одно он показывает ясно: ощущение скорости и скорость – разные величины, и первое ничего не сообщает о втором. Там, где эффект меряют впечатлением, иллюзия воспроизводит себя сама.

Самое важное в этих данных – не вывод «ИИ не работает». Он работает. Важно, где проходит водораздел между теми, у кого получается, и теми, у кого нет. И здесь исследования сходятся в одном: разница не в доступе к технологии, а в том, что с ней делают. Большинство встраивает ИИ в существующие процессы – и получает в лучшем случае локальное ускорение без эффекта на экономику. Прорыв дает не встраивание (augmentation), а переизобретение (reinvention) – перепроектирование самого процесса с учетом новых возможностей.¹⁰

Это различение стоит запомнить, потому что оно объясняет идеальную ошибку лучше любой теории. Если встроить мощный ИИ в старый процесс, вы ускорите старый процесс – вместе со всеми его глупостями, узкими местами и слепыми зонами. Раньше эти глупости были медленными и потому терпимыми. Теперь они стали быстрыми. Команда из начала пролога не зря собрала безупречный комплект за два вечера: инструмент сделал ровно то, что умеет, – многократно ускорил привычный способ принимать решения. Беда в том, что привычный способ принимать решения и был слабым звеном.

Разрыв обучения

Почему же ускорение не превращается в результат? Корень – не в моделях, а в том, что можно назвать разрывом обучения (learning gap): нехваткой самого мышления, практик отбора, проверки гипотез и работы с памятью.¹¹ ИИ не встраивается в мышление сам по себе. Он не приносит с собой умения задавать правильный вопрос, спорить по существу, отличать факт от интерпретации и не повторять закрытых ошибок. Все это по-прежнему должно жить в людях и в том, как устроена их совместная работа. ИИ лишь ускоряет уже существующие паттерны – какими бы они ни были.

Отсюда – главный неудобный закон этой книги, который стоит усвоить раньше всех остальных. ИИ – это усилитель. Он умножает то, что уже есть. Зрелую среду он делает сильнее. Хаотичную – делает более хаотичной. Если в организации мышление, отбор и память были слабыми, инструмент их не починит – он отмасштабирует их слабость и подаст ее в убедительной обертке. Идеальная ошибка – это и есть слабое мышление, усиленное сильным инструментом и потому ставшее неотличимым на глаз от сильного.

У этого закона есть тревожное продолжение на уровне не команды, а целых отраслей. Если организации умеют производить убедительные артефакты быстрее, чем умеют проверять их на смысл, то возникает странная новая опасность: системы начинают производить убедительную бессмыслицу быстрее, чем успевают ее распознавать. Это не сюжет про восстание машин. Это куда более скучный и реальный сценарий – медленное накопление аккуратных, хорошо оформленных, единогласно одобренных решений, которые не попадают в реальность. По одному они незаметны. В сумме они дороже любой громкой катастрофы.

Что это значит для тех, кто строит

Если узкое место сместилось на суждение, то и ответ лежит не там, где его обычно ищут. Бесполезно покупать еще одну модель, если проблема не в модели. Бесполезно «внедрять ИИ», если внедрять его не во что – если под ним нет среды, которая умеет думать.

Ответ – в архитектуре. В том, как устроены мышление, спор, отбор, память и решение вокруг человека и машины. Не «добавить ИИ к тому, что есть», а перестроить условия, в которых ИИ усиливает правильное. Это работа другого уровня и другой профессии – профессии, которую мы будем называть архитектором среды. Архитектор среды не пытается сам принимать каждое решение и не верит, что инструмент примет их за него. Он проектирует условия, в которых хорошие решения рождаются с большей вероятностью, а идеальные ошибки – отлавливаются раньше, чем дойдут до реальности.

Всю книгу можно свернуть в одну формулу:

ИИ ускоряет производство артефактов. Среда ускоряет становление субъектов.

Из нее следует все остальное. Если ИИ ускоряет хаос – значит, среда не собрана. Если среда не оставляет памяти – это не среда, а событие, которое забудется вместе с уволившимся сотрудником. Если вклад людей не виден – среда превращается в иерархию титулов, где громче слышен не тот, кто прав, а тот, кто лучше формулирует. И если человек выпадает из контура смысла и необратимых решений – технология незаметно становится новым идолом, которому поклоняются ровно до первого тихо свернутого проекта.

Дальше в книге два уровня чтения, и они не мешают друг другу. Первый – для человека действия: инженера, продакта, предпринимателя, руководителя. Здесь будут методы, прототипы, протоколы спора, работа с памятью и конкретные инструменты, которые можно применить в понедельник (они сведены в Приложение В). Второй – для архитектора среды: здесь те же методы превращаются в правила, по которым живут уже не команды, а целые экосистемы – со своей памятью, спором, доверием и способностью воспроизводить новых носителей.

Прежде чем спускаться к инструментам, нужно договориться о нескольких вещах. Они не будут повторяться на каждой странице – потому что работают как фон, как правила, по которым собран весь остальной текст. О них – короткая преамбула.

Каркас: сдвиг в одной таблице

Если из всего пролога остается одна мысль – пусть это будет правый столбец. Остальная книга про то, как в нем жить.

Преамбула. Манифест как исполняемая среда

Несколько правил, по которым собрана вся книга. Дальше мы их повторять не будем.

У этой книги есть несколько правил, которые мы сформулируем один раз – и больше повторять не станем.

Обычно в деловых книгах принципы вешают как плакаты: красивая фраза в рамке, под ней все согласно кивают и тут же забывают. Мы хотим обратного. Правила ниже – не лозунги, а исполняемая среда.

Поясним образ. Исполняемая среда – это не текст, который читают, а условия, которые действуют постоянно. В программировании так называют среду, в которой работает код: ее не видно в каждой строке, но именно она определяет, что вообще возможно – какие операции разрешены, как обрабатываются ошибки, что считается корректным. Программист не переписывает эти правила в каждой функции – он на них опирается. Так же устроена и эта книга. Перечисленные ниже принципы – это правила, по которым собран весь остальной текст, и, как мы утверждаем, правила, по которым собирается работающая среда. Они не будут всплывать в каждой главе с пометкой «как мы уже говорили». Они работают как фон. Если в какой-то главе вы поймаете нас на их нарушении – значит, мы ошиблись, и это честная претензия.

Почему один раз, а не «принцип в начале каждой главы»? Потому что повторение убивает. Когда одни и те же формулы возникают на каждой странице, внимание – и человеческое, и машинное – перестает их различать; они становятся белым шумом, который пролистывают. Текст превращается в технический отчет о самом себе. Мы хотим книгу, а не протокол о книге. Поэтому – здесь и один раз.

Шесть правил

ИИ – не герой. Он усилитель, а не источник. Он быстрее собирает варианты, переводит разговор в артефакт, удерживает контекст, ищет противоречия, упаковывает опыт. Но он не получает права заменить субъектность: смысл, критерий, риск и ответственность остаются за людьми и установленными ролями. Везде, где в книге появляется ИИ, действует это ограничение – даже там, где оно не проговорено. Это не осторожность ретрограда. Это инженерное условие: система, в которой машина принимает необратимые решения без человека в контуре, не становится умнее – она становится быстрее в своих ошибках.

Авторство умирает – остается вклад. В среде, где артефакт собирается из множества рук, подсказок и итераций, вопрос «кто автор» теряет смысл. Осмысленный вопрос другой: кто что внес – кейс, термин, ошибку, критическое замечание, рабочий прием. Поэтому мы не делим заслуги, а фиксируем вклады. У этого есть холодное практическое следствие: среда, которая не видит вклада, неизбежно вырождается в иерархию титулов, где громче слышен не тот, кто прав, а тот, кто выше сидит или лучше формулирует.

Открытость проходит через протокол. Раскрыться без правил – это не доверие, а уязвимость, и умные люди это чувствуют, поэтому не раскрываются. Доверие возникает там, где у открытости есть оснастка: что именно раскрываем, кому, с какой защитой, что будет с тем, кто честно признал ошибку или слабость. Открытость без протокола живет ровно до первого случая, когда чью-то откровенность использовали против него. Дальше все замолкают – и среда слепнет.

Память живет в коде и следах решений, а не в головах и архивах. То, что помнят только люди, уходит вместе с людьми. То, что сложено в архив, не всплывает в нужный момент – потому что архив отвечает на вопрос «где это лежит», а не «что теперь делать». Рабочая память устроена иначе: она встроена в процесс, всплывает сама и хранит не только что решили, но и почему – с отвергнутыми вариантами и принятыми рисками.¹² Без этого организация обречена раз за разом всерьез обсуждать то, что уже проверено и закрыто.

Несогласие управляется – его не подавляют и не пускают на самотек. Спор – это встроенный механизм проверки, а не сбой дисциплины и не геройство одиночки. Подавленное несогласие не исчезает, оно уходит в кулуары и мстит на исполнении. Несогласие без управления превращается в бесконечную дискуссию. Между этими двумя крайностями есть узкая работающая полоса: спор как процедура – с ролями, ресурсом и защитой того, кто возражает. Как ее удерживать – отдельный большой разговор книги.

Среда сильнее воли. Поведение задают не призывы, а условия: дефолты, пути наименьшего сопротивления, метрики, роли, границы. Мотивационный плакат висит на стене, ничего не меняя, а лестница в метро работает двадцать лет – потому что плакат обращается к воле, а лестница меняет среду. Это главная ставка книги; все предыдущие правила – ее частные случаи.

Формула и четыре предохранителя

Из этих правил собирается формула, которую мы назвали в прологе и теперь закрепляем как ядро исполняемой среды:

ИИ ускоряет производство артефактов. Среда ускоряет становление субъектов.

И четыре условия, по которым проверяется любая среда – четыре предохранителя, каждый из которых указывает на конкретную поломку:

• Если ИИ ускоряет хаос – среда не собрана. Усилитель работает, собирать нечего.

• Если среда не оставляет памяти – это не среда, а событие. Оно забудется вместе с уволившимся сотрудником.

• Если вклад не виден – среда превращается в иерархию титулов. Истину вытесняет статус.

• Если человек выпадает из контура смысла и необратимых решений – технология становится новым идолом. Ему поклоняются ровно до первого тихо свернутого проекта.

Эти четыре строки – не философия. Это диагностическая таблица, к которой стоит возвращаться каждый раз, когда «у нас же есть ИИ, почему не работает?».

Два этажа

Книга читается в двух этажах, и они не мешают друг другу.

Первый этаж – для человека действия: инженера, продакта, предпринимателя, руководителя. Здесь методы, прототипы, протоколы спора, работа с памятью и инструменты, которые применимы в понедельник. Чтобы пользоваться первым этажом, не нужно верить ни в какую большую доктрину. Достаточно увидеть, что старые способы организации работы перестали давать надежный результат: скорость выросла, артефактов стало больше, а ясности, ответственности и памяти не прибавилось.

Второй этаж – для архитектора среды. Здесь те же методы перестают быть техниками одной команды и становятся правилами, по которым живут уже не команды, а связки сред – со своей памятью, спором, доверием, доступом и способностью воспроизводить новых носителей. На этом этаже у системного архитектора появляется и более точное имя – архитектор полицентрической среды: тот, кто проектирует совместимость и связность многих сред так, чтобы стоимость совместного действия падала, а не росла.

Можно читать только первый этаж и получить рабочий результат. Можно подняться на второй и увидеть, как из тех же кирпичей собираются среды, которые переживают своих создателей. Переход между этажами в каждой главе мы будем отмечать прямо – чтобы было видно, где заканчивается метод команды и начинается архитектура среды.

Минимальная грамматика среды

У второго этажа есть опасность: слова «среда», «экосистема», «федерация», «полицентрическая среда» слишком красивы и потому слишком легко превращаются в туман, которым можно заменить мысль. Чтобы этого не случилось, нам нужен точный язык. Как у инженера есть «балка», «нагрузка», «опора» и «момент» – без поэзии, – так и у архитектора среды должна быть рабочая грамматика. Вот ее минимальный набор:

• узел – то, что действует и принимает решения (человек, команда, сервис, организация);

• связь – то, что соединяет узлы и по чему что-то течет;

• граница – где кончается одна зона ответственности и начинается другая;

• ограничение – то, что узел не может или не должен делать;

• обратная связь – как результат действия возвращается и меняет следующее действие;

• память – что и как среда сохраняет, чтобы не начинать каждый раз заново;

• право решения – кто и что вправе решить и где этот предел;

• поток ресурсов – что движется по связям: деньги, внимание, данные, люди;

• поток доверия – невидимая величина, без которой остальные потоки густеют и встают.

Дальше в книге, говоря о среде, мы будем показывать не «среду вообще», а конкретно: какое ограничение снимается, какая обратная связь строится, какая граница меняется, какая способность среды появляется. Поэтические усилители допустимы – но за каждым из них должна стоять эта механика. Если ее нет, перед вами не архитектура, а лозунг.

Пять несущих понятий

Через всю книгу проходят пять понятий. Мы вводим их сейчас по именам и разворачиваем дальше – каждое в своем месте:

• идеальная ошибка – решение, которое выглядит умно и не попадает в реальность (с него начался пролог);

• дефицит суждения – то, что стало по-настоящему дорогим, когда производство подешевело;

• управляемое несогласие – спор как встроенный механизм проверки;

• исполняемая память – знание, которое влияет на следующий шаг, а не лежит в архиве;

• архитектор среды – тот, кто проектирует условия, а не раздает команды.

Все остальное в книге – уточнения и следствия этих пяти. Если вы держите в голове только их, вы держите доктрину.

Как устроено чтение

Каждая глава идет одним ритмом: вход (где мы называем живую боль), напряжение (где привычное перестает работать), развертка (инструменты и примеры), каркас (короткая схема или чек-лист, который можно сфотографировать и унести) и мост (вопрос, ведущий к следующей главе). Каркас в конце главы – не украшение, а то немногое, что мы просим запомнить; если читать совсем некогда, можно идти по каркасам.

Еще две договоренности. Где у нас нет проверенного примера, мы честно оставляем пометку, – потому что выдуманный кейс хуже честно обозначенного пробела, особенно в книге, которая утверждает, что событийная правда важнее красивой версии. И язык: мы стараемся писать плотно, но не сухо. Там, где уместна ирония, она будет – не ради развлечения, а потому что мысль, над которой можно усмехнуться, лучше запоминается, чем мысль, перед которой положено благоговеть.

Правила заданы. Можно спускаться.

И начнем мы не с искусственного интеллекта и не с управления, а с того, что лежит глубже и старше любых технологий, – с нескольких законов реальности, которые действуют независимо от того, нравятся они нам или нет.

Часть I. Законы реальности

«Оставьте любую систему без внимания – и она не останется прежней»

Прежде чем проектировать среду, стоит честно посмотреть, в каком мире мы ее строим. Этот мир устроен не враждебно, но и не дружелюбно – он безразличен. В нем действуют несколько свойств сложных систем, которые работают независимо от наших намерений, бюджетов и презентаций. Их нельзя отменить голосованием или мотивацией. Их можно либо закладывать в конструкцию, либо платить за незнание – обычно в самый неподходящий момент.

Мы пройдем по четырем. Первое – неумолимое: порядок распадается сам. Второе – контринтуитивное: мир движется скачками, а наша интуиция линейна. Третье – коварное: системы стареют изнутри, обрастая защитой от самих себя. Четвертое – то единственное, с чем можно работать как инженер, а не как жертва: риск. К концу этой части должно остаться ощущение, ради которого она написана: мир не враждебен, но требует другой логики, чем та, к которой нас приучили истории успеха.

Начнем с самого неудобного.

Глава 1. Энтропия: порядок не держится сам

Самая опасная фраза в организации – «у нас все в порядке». Не потому, что она лжет. А потому, что ее почти никогда не проверяли.

Есть ровно один процесс в вашей организации, которому не нужен бюджет, не нужно согласование и не нужно ничье усилие. Он не ждет квартального планирования и не просит расширить штат. Он работает сам, бесплатно, круглосуточно. Это распад.

Все остальное – порядок, дисциплина, культура, качество кода, чистота договоренностей – конкурирует за ресурсы, внимание и волю. Распад не конкурирует ни за что. Он получает свое даром, просто потому что вы отвернулись. И это не пессимизм и не фигура речи, а самый прочный закон, который мы вообще знаем о физическом мире. Его стоит понять буквально, прежде чем переносить на людей.

Дом, который надо топить

Второе начало термодинамики формулируют по-разному, но для наших целей хватит одной бытовой проекции. Представьте дом зимой. Чтобы внутри было тепло, нужно постоянно подавать энергию – топить. Стоит перестать, и дом не останется теплым: он остынет до температуры улицы. Не потому, что кто-то вынес тепло, а потому что тепло само растекается от горячего к холодному, выравнивается и рассеивается. Порядок – тепло, собранное внутри, – требует постоянной работы. Беспорядок – равномерный холод – наступает сам, без чьей-либо помощи.

Физики называют меру этого беспорядка энтропией, а закон – ее неубыванием в замкнутой системе. И здесь нужна честность, которой мы будем держаться всю книгу. Строго говоря, этот закон – про физику, про молекулы и энергию, а не про отделы и регламенты.¹³ Организация – не замкнутая система: в нее можно вливать энергию извне, и прямой перенос формул был бы шарлатанством, которым любят грешить деловые книги. Но аналогия работает не как поэзия, а как точное наблюдение: все, что собрано в порядок усилием, без продолжения усилия начинает растекаться.

Договоренность, о которой перестали напоминать, размывается. Документация, которую перестали обновлять, не просто устаревает – она начинает врать, причем увереннее живого человека, потому что выглядит официально. Команда, в которой перестали проговаривать «как мы здесь работаем», постепенно перестает так работать, и никто не может назвать день, когда это случилось. Никто ничего не ломал. Просто перестали топить.

Тишина двусмысленна

Отсюда первое неудобное следствие. «Все тихо, все в порядке» может означать, что система здорова. А может означать, что датчик дыма молчит, потому что у него давно села батарейка. Эти два состояния выглядят и звучат одинаково – ровно до момента, когда расходятся катастрофически.

Руководитель, который успокаивается от тишины, и руководитель, который от тишины настораживается, – это два разных уровня зрелости. Первый верит отчетам. Второй знает, что отсутствие плохих новостей чаще сообщает не об отсутствии проблем, а об отсутствии канала, по которому плохие новости доходят наверх. Тишина – это не данные. Тишина – это отсутствие данных, которое мы по душевной лени принимаем за хорошие данные.

Запомним это наблюдение: к нему мы вернемся в части о доверии, потому что построить канал, по которому плохие новости доходят быстро и без наказания за честность, – это инженерная задача, а не вопрос хорошего настроения коллектива.

Два способа топить: герой и архитектор

Бороться с распадом можно двумя способами, и разница между ними – одна из главных во всей книге.

Первый способ – герой. Человек, который своей энергией, вниманием и волей лично держит порядок. Он помнит все договоренности, потому что напоминает о них сам. Он ловит ошибки, потому что просматривает все сам. Он – живой источник тепла в доме. Пока он есть и пока у него есть силы, внутри тепло. Способ работает; глупо это отрицать. У него ровно один недостаток: он держится на человеке. Стоит герою заболеть, выгореть, уйти в отпуск или просто устать – и температура падает с той же неумолимостью, с какой остывает любой дом без топки.

Картина знакома до боли. Основатель или сильный руководитель, который лично визирует каждый сколько-нибудь значимый документ, лично держит в голове, кто чем занят, лично является последней проверкой смысла перед любым важным шагом. Система работает как часы – ровно до первого раза, когда он на три дня выпадает из контура. И выясняется, что часов не было. Был он. Без него решения либо застывают в ожидании визы, либо, наоборот, проскакивают без той самой проверки, которая все это время была не процедурой, а одним конкретным человеком. Самый чистый задокументированный пример этого закона пришел, что показательно, не из менеджмента, а из техники – но закон один и тот же. В марте 2016 года один разработчик, поссорившись с реестром пакетов npm, в раздражении удалил оттуда все свои модули. Среди них оказался left-pad – крошечная программа в одиннадцать строк, выравнивающая текст по левому краю. Мелочь, о существовании которой почти никто не знал. Но на эту мелочь, как выяснилось в ту же минуту, прямо или косвенно опирались тысячи проектов по всему миру – включая React, Babel и продукты Facebook, Netflix, Spotify, Airbnb. Как только ее не стало, сборки начали валиться сотнями в минуту, и почти на три часа заметная часть мировой веб-разработки встала.¹⁴ Вопрос, который тогда обошел индустрию, – как могла огромная, живая экосистема рухнуть от исчезновения одной крошечной детали, которую держал один человек? – это ровно вопрос остывающего дома. Сеть казалась прочной; на деле в одном месте она держалась на единственном узле, и никто этого не замечал, пока узел был на месте. У организаций свой left-pad – тот человек, на котором незаметно для всех держится критический контур, и о его незаменимости узнают в тот день, когда он впервые выпадает.

Второй способ – архитектор. Он не пытается лично быть источником тепла. Он встраивает в дом отопление: систему, которая поддерживает температуру без его постоянного присутствия. В организации это значит не «контролировать плотнее», а проектировать механизмы, которые делают распад заметным и обратимым: регулярный пересмотр договоренностей, автоматические проверки вместо ручных, следы решений вместо памяти в одной голове, обратную связь, которая сама подсвечивает, где начало остывать. Архитектор тоже тратит энергию – но один раз, на конструкцию, а не каждый день, на ручное удержание.

Разница не в трудолюбии. Герой может быть выдающимся работником и часто им является – в этом и ловушка. Разница в том, что остается, когда человек отвернется. После героя остается остывающий дом и легенда о том, как при нем все работало. После архитектора остается работающее отопление, которое, как правило, никто не замечает, – а незаметность исправной инфраструктуры мы еще не раз отметим как признак хорошей работы, а не недооцененности.

Нормализация отклонения: как распад прячется за «в прошлый раз обошлось»

У этого закона есть жесткая иллюстрация, которую стоит знать не как страшилку, а как механизм. В январе 1986 года шаттл «Челленджер» разрушился через 73 секунды после старта; непосредственной причиной стали уплотнительные кольца, потерявшие эластичность на холоде. Но интереснее технической причины – организационная. Социолог Дайан Воган, разобрав историю решения о запуске, описала механизм, который назвала нормализацией отклонения.¹⁵

Суть в следующем. Кольца и раньше, в предыдущих полетах, показывали повреждения, которых по проекту быть не должно. Но раз за разом полет проходил успешно – и каждый раз отклонение, не приведшее к катастрофе, тихо переписывалось из графы «опасность» в графу «допустимая особенность, с которой мы летаем». Граница нормы сдвигалась на один щелчок. Потом еще на один. Каждый отдельный сдвиг был мал и в моменте выглядел разумным: вот же данные, в прошлый раз обошлось. Сумма сдвигов оказалась смертельной.

Это и есть социальная энтропия в чистом виде. Не один драматический провал, который можно было заметить и предотвратить, а медленное, незаметное растекание стандарта, где каждый шаг защищен логикой «раньше же работало». Никто не принимал решения снизить безопасность – такое решение встретило бы сопротивление. Безопасность снизилась сама, потому что ее перестали активно удерживать, а молчаливое благополучие приняли за подтверждение, что все в порядке. Тот самый севший датчик, который молчит, и его молчание прочли как «дыма нет».

Механизм универсален и совершенно не требует ракет. Та же нормализация отклонения тихо работает каждый раз, когда команда привыкает к красному показателю, который «всегда такой»; когда «временное» решение живет третий год и уже считается архитектурой; когда исключение, сделанное один раз по уважительной причине, становится негласным правилом. Распад почти никогда не выглядит как распад. Он выглядит как разумная адаптация к обстоятельствам – ровно до момента старта.

Правило, а не мораль

Отсюда – рабочее правило. Порядок не состояние, которого можно достичь и расслабиться. Порядок – это процесс, и у него есть стоимость содержания, которую кто-то платит: либо герой собой, либо архитектор конструкцией. Вопрос зрелого руководителя поэтому не в том, «достигли ли мы порядка». Неудобных вопросов два: какие из наших порядков держатся только на конкретном человеке – и что начнет остывать первым, если он отвернется.

Регулярность важнее героизма. Не потому, что героизм плох, а потому, что героизм не масштабируется и не наследуется, а встроенная регулярность – наследуется и работает в отсутствие автора. Это, по сути, первое практическое проявление главного правила книги, заявленного в преамбуле: среда сильнее воли. Воля героя конечна и уходит вместе с ним. Среда, в которую встроено сопротивление распаду, остается.

Второй этаж. Все сказанное про команду верно и про связку команд – про экосистему. Только там распадается не порядок внутри одной системы, а связность между ними: общий язык, взаимное доверие, совместные договоренности. И подпись у распада та же – он начинается с тишины, которую приняли за согласие. Об этом подробно в части о масштабе; пока достаточно заметить, что закон один на всех уровнях, меняется лишь то, что именно остывает.

Каркас главы: карта точек распада

Если из главы уносить одно, то вот это. Три честных вопроса про вашу систему:

Заполните таблицу честно. Строка, где первый столбец заполнен, а третий пуст, – это и есть ваш будущий остывший дом. Количество таких строк – более точная оценка хрупкости организации, чем любой отчет о том, что все в порядке.

Мост

Но у распада есть свойство, которое делает его еще опаснее и которое мы пока обходили молчанием. Он редко идет плавно. Дом остывает постепенно – а вот мосты рушатся сразу. Системы накапливают незаметное напряжение долго, а отдают его разом. Наша интуиция приучена к плавным процессам и почти слепа к скачкам; именно на скачках она подводит больнее всего. Туда и двинемся: к миру, где вдвое больше усилий не значит вдвое больше результата, а редкое событие решает все.

Глава 2. Нелинейность и хвостовые события

Статистик утонул, переходя реку со средней глубиной по пояс. Среднее – лучший способ уверенно ошибиться насчет мира, в котором есть стремнина.

Старая шутка: человек переходит реку, у которой средняя глубина – по пояс, и тонет. Потому что «средняя» значит, что где-то по щиколотку, а где-то с головой, и решает не средняя глубина, а самая глубокая точка на его пути. Шутка смешная ровно до тех пор, пока не замечаешь, что почти все наши планы, прогнозы и интуиции устроены как этот незадачливый пешеход: они опираются на среднее и слепы к стремнине.

Наша интуиция линейна, и это не дефект воспитания, а свойство биологии. Мы хорошо чувствуем мир, где следствие пропорционально причине: толкнул сильнее – улетело дальше, поработал вдвое больше – сделал вдвое больше. Беда в том, что сложные системы – рынки, организации, технологии, люди – почти никогда не линейны.

Вода кипит не плавно

Линейный мир приятен: вдвое больше удобрения – вдвое больше урожая; вдвое больше людей на задаче – вдвое быстрее результат; чуть больше нагрузки – чуть больше риска. В таком мире можно планировать линейкой. Но в сложных системах следствие не пропорционально причине: до поры почти ничего не происходит, а потом все происходит сразу.

Самый наглядный образ – вода в чайнике. Вы греете ее с 20 до 90 градусов, и внешне меняется мало: чуть теплая, теплая, горячая. Тот же темп, та же логика. Еще немного – и при 100 происходит не «еще горячее», а смена состояния: вода вскипает, становится паром, ведет себя принципиально иначе. Последний градус не похож на предыдущие восемьдесят. Линейный нагрев уперся в нелинейный порог.

Системы полны таких порогов. Команда тянет растущую нагрузку – справляется, справляется, справляется, – а потом один лишний проект, и она не становится «чуть медленнее», а сыплется: люди выгорают, ошибки идут каскадом, ключевые уходят. Технический долг копится незаметно и обслуживается терпимо – до порога, за которым обслуживание долга съедает всю мощность системы. Внешне до последнего «все как обычно». Именно поэтому нелинейность так опасна в паре с энтропией из прошлой главы: распад идет плавно и незаметно, а проявляется скачком. Вы наблюдаете спокойную линию – ровно до обрыва.

Редкое решает все

Из нелинейности следует вещь, которую трудно принять управленческой голове, приученной к квартальным планам: в таких системах редкое решает все. Не частое и среднее, а редкое и крайнее – то, что в статистике называют хвостом распределения. Насим Талеб посвятил этому несколько книг, и, если убрать полемический запал автора, остается простое и проверяемое ядро.¹⁶ Большинство событий в сложной системе малозначимы, а несколько крайних определяют итог. Один кризис перевешивает десять спокойных лет. Один отказ инфраструктуры перечеркивает тысячу безупречных дней. Одна сделка, один человек, одно решение могут весить больше, чем вся «нормальная» деятельность за годы, – причем в обе стороны.

Насколько асимметрично весит хвост, видно на одном конкретном дне. 28 февраля 2017 года инженер Amazon Web Services отлаживал систему биллинга и выполнил рутинную команду, чтобы вывести из работы несколько серверов. В команде была опечатка – и из работы вышло гораздо больше мощностей, чем предполагалось. Отключение каскадом задело подсистемы хранилища S3 в крупнейшем регионе, и на несколько часов «легла» заметная часть интернета: чужие сайты, сервисы и приложения, которые, как внезапно выяснилось, зависели от S3, сами того толком не осознавая.¹⁷ Тысячи дней система работала безупречно. Один хвостовой день – одна опечатка в рутинной операции – стоил несопоставимо дороже, чем вся накопленная безупречность. Вот нелинейность с точки зрения бизнеса: ваш средний день ничего не говорит о вашем худшем дне, а живете вы по худшему.

Одна оговорка, чтобы правило не превратилось в суеверие. Не всякая величина живет по закону хвоста. Где итог складывается из множества мелких независимых вкладов – время рутинной операции, расход канцелярии, обычный рабочий день, – решает типичное, и крайнее тонет в общей массе. Где одно слагаемое способно в одиночку перевесить все остальные – убытки, аварии, выручка от хитов, крупные сделки, – решает хвост. Поэтому, прежде чем применять «редкое решает все», стоит задать один вопрос: может ли здесь одно событие перевесить все остальное вместе? И помнить, что короткая спокойная история ответа не дает: тяжелый хвост как раз и умеет годами не показываться. Терминальный риск при этом убирают в любом случае – это правило каркаса не отменяется.

Асимметрия: чем платят за то, чтобы остаться

Здесь можно было бы впасть в фатализм, но вывод ровно обратный – инженерный. Если редкое решает все, то главный вопрос не «как сделать средний день чуть лучше», а «как устроена моя асимметрия»: что я теряю в худшем случае и что приобретаю в лучшем. Хорошая позиция – та, где потери ограничены, а выигрыш нет. Плохая – зеркальная: выигрыш ограничен (немного сэкономили, немного ускорили), а потери безграничны (поставили на кон существование).

Большинство «оптимизаций» молча двигают систему именно во вторую сторону. Убирают резервы, режут «лишнее», натягивают эффективность – и выигрывают понемногу каждый день ценой того, что один плохой день теперь способен убить. Резерв, дублирование, запас, «бессмысленная» избыточность – это не расточительство и не трусость. Это плата за ограниченность потерь в мире, где потери бывают неограниченными. Пик эффективности и пик хрупкости – часто одна и та же точка; к этому совпадению мы вернемся в главе о риске, пока зафиксируем направление взгляда.

И отсюда – первое правило жизни в нелинейном мире: остаться в игре. Не «максимизировать средний результат», а «исключить исходы, после которых игры для тебя больше нет». В линейном мире проигрыш – это минус сколько-то процентов. В нелинейном проигрыш бывает терминальным: из него не отыгрываются, потому что отыгрываться уже некому. Стратегия, которая в среднем хороша, но с малой вероятностью убивает, – это не хорошая стратегия с маленьким риском. Это плохая стратегия, которая пока не выстрелила. Самый наглядный недавний пример дал дефицит полупроводников 2021 года. Почти весь автопром работал по принципу «точно в срок»: никаких запасов, чипы приходят на конвейер ровно тогда, когда нужны, – образцовая эффективность. И когда поставки чипов внезапно пересохли, эта эффективность обернулась простоем: General Motors срезала выпуск на 278 тысяч машин, Ford урезал мировое производство во втором квартале примерно вдвое, заводы Volkswagen, BMW, Daimler и Renault встали или сбавили ход. По оценке консалтинговой компании AlixPartners, дефицит стоил мировому автопрому порядка 110 миллиардов долларов недополученной выручки за год.¹⁸ А одна компания почти не сбавила темп. Toyota, наученная прежней катастрофой, обязала поставщиков держать запас чипов на два–шесть месяцев вперед и сознательно дублировала поставщиков одной и той же детали. Ее нехватка в Японии составила около двадцати тысяч машин – меньше процента выпуска.¹⁹ «Бессмысленный» запас, лежащий мертвым грузом на складе и в балансе, – главный грех бережливого производства – оказался ровно той страховкой, что удержала Toyota в игре, когда прилетел хвост. Откуда у Toyota эта привычка к запасу – разговор для главы о риске; пока заметим лишь, что эффективные конкуренты экономили каждый день, а Toyota платила за то, чтобы пережить день, который случается раз в десятилетие.

Второй этаж. На уровне экосистемы хвостовые события – это не только собственные кризисы, но и обрывы связей между узлами: ушел ключевой партнер, рассыпалось доверие, на котором все держалось. Связка сред живет по тому же закону: ее устойчивость определяется не средним качеством связей, а прочностью самой слабой в самый плохой момент. Проектируя экосистему, считают не среднюю связность, а ее хвост.

Каркас главы: тест на асимметрию и хвост

Перед любым значимым решением – три вопроса:

Если на третий вопрос ответ «да» – никакой средний выигрыш этого не оправдывает. Сначала убирают терминальный хвост, и только потом оптимизируют среднее. Этот порядок нарушать нельзя: оптимизация на фоне неубранного смертельного хвоста – это и есть «плохая стратегия, которая пока не выстрелила».

Мост

Итак, мир распадается сам (глава 1) и движется скачками (глава 2). Логично было бы ждать, что разумные организации строят себя гибкими, с запасом, готовыми к стремнине. Но происходит обратное: со временем системы становятся все более жесткими, заставленными процедурами, которые когда-то решали живую задачу, а теперь живут сами по себе. Почему защита от ошибок так надежно превращается в защиту от действия – следующая глава.

Глава 3. Бюрократизация: система как памятник себе

Каждая процедура когда-то решала живую задачу. Беда в том, что задача уходит, а процедура остается – и начинает жить ради себя. Это не баг, это свойство сложных систем.

Начнем с неприятного признания: плохие процедуры создают не плохие люди. Их создают хорошие люди, по уважительным причинам, с лучшими намерениями. Кто-то один раз обжегся – добавили проверку. Что-то однажды пошло не так – ввели согласование. Каждый шаг был разумным ответом на реальную боль. А в сумме через несколько лет получается система, где, чтобы поменять цвет кнопки, нужно собрать пять подписей, две из которых принадлежат людям, давно не помнящим, почему их подпись здесь вообще требуется.

Это и есть бюрократизация – не злой умысел, а естественный дрейф любой системы к окостенению. У нее есть точный механизм, и понять его важно, потому что без понимания механизма борьба с бюрократией сама становится новой бюрократией: заводят «комитет по дебюрократизации» – и на этом все.

Храповик: добавить легко, убрать опасно

Механизм называется храповик – деталь, которая крутится только в одну сторону. В организации он работает так: добавить процедуру легко и безопасно, а убрать – трудно и опасно.

Посмотрите с точки зрения карьеры. Вы предлагаете ввести новую проверку. Если она поможет – вы молодец, предотвратили проблему. Если окажется лишней – ну, перестраховались, кто осудит за осторожность. Риск близок к нулю, выгода возможна. Теперь вы предлагаете отменить существующую проверку. Если все пройдет гладко – никто не заметит, отмену контроля не вписывают в достижения. А если после отмены хоть что-то пойдет не так – виноваты будете лично вы, тот самый, кто «убрал контроль». Асимметрия очевидна: добавлять безопасно и похвально, убирать рискованно и неблагодарно. Поэтому процедуры накапливаются и почти никогда не исчезают – не потому, что все нужны, а потому, что у каждой отдельной отмены отрицательный личный баланс риска.

Это заметили задолго до нас. В 1950-х британец Сирил Норткот Паркинсон сформулировал то, что теперь зовут законом Паркинсона: работа занимает все отведенное на нее время. Но интереснее его второе, эмпирическое наблюдение. Разбирая штат британского Адмиралтейства, он показал, что число чиновников в нем устойчиво росло из года в год – даже тогда, когда число кораблей и моряков, которыми они управляли, сокращалось.²⁰ Управляющая надстройка растет по собственной логике, слабо связанной с размером того, чем она управляет. Бюрократия, однажды заведенная, кормит себя сама: чиновники создают работу друг для друга, и каждому для этой работы нужны подчиненные. И это не приговор прошлого века: ровно тот же процесс измерен в современной экономике. Гэри Хамел и Микеле Занини, изучавшие бюрократию по данным статистики труда США, показывают: с 1983 года число менеджеров, супервайзеров и администраторов в американской экономике выросло более чем вдвое, тогда как занятость во всех прочих профессиях – менее чем на сорок процентов.²¹ Управляющая надстройка пухла вдвое быстрее, чем все, чем она управляет, – Адмиралтейство Паркинсона, повторенное в масштабе целой страны. И это не бесплатно: избыточную бюрократию они оценивают примерно в три триллиона долларов потерянного выпуска в год, порядка семнадцати процентов ВВП США.²² А вот как она ощущается изнутри: в их опросе сотрудник крупной компании тратит в среднем около четверти рабочего времени на бюрократические процедуры, и почти четыре пятых отвечают, что бюрократия тормозит быстрые решения.²³ Заметьте, что меряют здесь не результат, а трение: надстройка растет, время на согласования растет – а связь с тем, ради чего все затевалось, теряется. Это и есть храповик в чистом виде: затрат все больше, отдача в лучшем случае прежняя.

Институт, которому невыгодно вылечить проблему

У дрейфа есть форма коварнее простого роста штата, и ее точно схватил Клэй Ширки: институт стремится сохранить ту проблему, решением которой он является.²⁴ Звучит цинично, но это не про злой умысел – снова про логику выживания. Отдел, созданный решить некую проблему, не заинтересован, чтобы проблема исчезла окончательно: вместе с ней исчезнет смысл отдела. Поэтому проблема имеет свойство аккуратно поддерживаться в живом, но не смертельном состоянии – достаточно острая, чтобы оправдывать существование решателя, и недостаточно острая, чтобы кто-то завел другого. Процедура, задуманная как временное лекарство, становится постоянным диагнозом – потому что вокруг нее уже выросла структура, которой этот диагноз выгоден.

Газ к храповику – страх ошибки

У храповика есть педаль газа – страх ошибки. Чем сильнее в организации наказывают за ошибку и чем громче ищут виноватого, тем быстрее она бюрократизируется. Логика прямая: если за ошибку бьют, рациональная стратегия каждого – застраховаться. А застраховаться – значит добавить еще одну проверку, еще одно согласование, еще одну подпись, которая в случае чего разделит ответственность. Так страх ошибки конвертируется в процедуры с поразительной эффективностью.

Организация, которая охотится на виноватых, очень скоро обнаруживает, что у нее все согласовано, все застрахованы, все прикрыты – и ничего не движется. Защита от ошибки незаметно стала защитой от действия. Это прямое следствие того, к чему мы еще придем в главе о доверии: среда, где небезопасно ошибаться, не становится надежнее – она становится медленнее и слепее, потому что люди тратят силы не на дело, а на собственную защиту.

Подпись, которая ничего не стоит

У храповика есть и второй мотор, тише страха. Посмотрите не на число согласований, а на то, сколько стоит одно «нет». Во многих организациях есть узлы – юристы, финансы, безопасность, «эксперт, без которого нельзя», – которые могут остановить дело без срока, без объяснения и без ответственности за задержку. Молчание у них означает запрет, а цену ожидания платит кто-то другой. Держателю такого вето «нет» и «потом» ничего не стоят, а «да» может стоить карьеры – значит, разумно говорить «нет» или молчать. Злого умысла здесь нет: это та же асимметрия, что двигает весь храповик, только собранная в одной подписи.

Лечится это не уговорами быть гибче, а конструкцией. Ограничения задают заранее, а не согласуют каждый шаг; возражение дают с основанием и в оговоренный срок; молчание в срок означает «можно»; каждую остановку записывают – вместе с тем, во что она обошлась. Для обратимых решений этого почти всегда достаточно.

И сразу граница, чтобы не перепутать. В седьмой главе мы увидим обратное правило – право любого остановить процесс, если он видит угрозу, причем остановить немедленно, а объясняться потом, на разборе. Противоречия нет: это два разных права. Аварийная остановка должна быть бесплатной – иначе ею не воспользуются, когда горит. Согласовательное вето должно иметь цену и срок – иначе им будут пользоваться всегда. Беда начинается, когда второе живет по правилам первого.

Очищение как обязательная функция

Если добавление встроено в систему естественно, а удаление – нет, значит, удаление надо встроить искусственно, отдельной обязательной функцией. У живого организма есть не только рост, но и очищение – механизмы, убирающие отмершее. У большинства организаций есть только рост. Очищение в них случается лишь в форме катастрофы: накопившаяся тяжесть процедур доводит до кризиса, и тогда все сносят разом – «реорганизация», «оптимизация», новая структура с чистого листа. Революция дорога, болезненна и, что хуже всего, бесполезна вдолгую: новая структура начнет бюрократизироваться с первого дня по тому же храповику, и через несколько лет все повторится.

Архитектор выбирает другой путь – не революцию, а регулярную генеральную уборку. Не «снести и построить заново», а встроить ритм, в котором процедуры периодически пересматриваются на право на жизнь – так же буднично, как проверяют сроки годности. Разница принципиальна: революция убирает все разом и травматично, уборка – понемногу и регулярно. Революция – это то, что случается, когда вовремя не убирали.

Чтобы уборка не выродилась в произвол («это правило мне не нравится, отменяю»), нужен критерий. Мы называем его живостью процедуры, и сводится он к одному прямому вопросу: какую живую сегодняшнюю задачу решает это правило? Не «зачем его когда-то ввели» – тогда причина была, – а что оно делает прямо сейчас. Если никто в комнате не может ответить конкретно – перед вами кандидат на удаление. Если ответ есть, но звучит как «на всякий случай» или «так положено», – это не ответ, а окаменевшее «в прошлый раз обошлось» из первой главы.

Второй этаж. В экосистеме бюрократизация – это рост стоимости совместного действия: чем больше согласований нужно, чтобы узлы сделали что-то вместе, тем дороже любое общее движение и тем меньше его происходит. Заметьте симметрию с главной задачей архитектора среды, заявленной в преамбуле: его работа – снижать стоимость совместного действия, а бюрократизация есть та же величина, ползущая вверх сама собой. Поэтому дебюрократизация на уровне экосистемы – не борьба с бумагами, а постоянное удержание низкой цены связи между узлами.

Каркас главы: проверка процедуры на живость

Три вопроса к любому правилу, согласованию или ритуалу:

Правило, у которого первый ответ пуст, второй – «скорее всего, ничего», а третий – «да», подлежит удалению не откладывая. Чем больше таких в системе, тем ближе ваша «генеральная уборка» к неизбежной «революции».

Мост

Мы прошли три закона: распад идет сам (энтропия), бьет скачком (нелинейность) и обрастает окостенением (бюрократизация). Все три звучат как приговор – мир, который сам разрушается, сам взрывается и сам каменеет. Но есть четвертое свойство, и оно меняет тон. С риском – в отличие от первых трех – можно работать не как жертва, а как инженер: не устранять его (это невозможно), а проектировать. К этому, конструктивному, и перейдем – им закрывается часть о законах.

Глава 4. Риск как инженерия

Есть три способа относиться к риску: бояться, упиваться и проектировать. Первые два популярны. Работает третий.

Риск нельзя устранить. Это первое, что стоит принять, и это не пессимизм, а условие задачи. Любое действие в неопределенном мире несет риск; бездействие несет его тоже, просто другой. Поэтому вопрос «как избавиться от риска» пустой – на него нет ответа. Осмысленный вопрос инженерный: как устроить дело так, чтобы риск был распределен, ограничен и, в идеале, работал на тебя, а не против.

Три отношения к риску. Первое – страх: избегать, перестраховываться, не высовываться. Оно делает систему хрупкой, потому что мир все равно нанесет удар, а у того, кто только оборонялся, нет ни запаса, ни навыка держать удар. Второе – кураж: риск как адреналин, ставки ради ставок. Оно делает систему глупой, потому что рано или поздно выпадает терминальный хвост из второй главы. Третье – инженерия: риск как материал, с которым работают. Масштабируется только оно.

Парадокс эффективности

Чтобы понять инженерию риска, начнем с неудобного парадокса. Чем эффективнее система, тем она хрупче.

Эффективность – это выжимание лишнего. Ноль простоев, ноль запасов, ноль дублирования, каждый ресурс на пределе. Звучит как идеал управленца – и является им, ровно до первого отклонения от нормы. Система без запаса прочности оптимальна для условий, на которые ее настроили, и беззащитна перед всем остальным. Запас, который выглядел как неэффективность, был платой за устойчивость; убрав его, вы не избавились от издержки – вы обменяли видимую издержку на невидимый риск. И, как водится с невидимым, обнаружите вы его в худший момент.

Это прямое продолжение асимметрии из второй главы. Предельная эффективность – позиция, где выигрыш ограничен (сэкономили на запасах понемногу), а потери безграничны (один сбой останавливает все). Пик эффективности и пик хрупкости – часто одна и та же точка на графике. Поэтому «давайте все оптимизируем» – это, не проговоренное вслух, «давайте станем хрупкими ради экономии».

Антихрупкость: не пережить удар, а усилиться от него

Но есть состояние интереснее простой устойчивости. Устойчивая система держит удар и остается прежней. А бывают системы, которые от удара становятся сильнее. Талеб назвал это свойство антихрупкостью, и важно понять, что это не метафора и не мотивационный лозунг. У него есть точный биологический прообраз – гормезис: умеренный стресс не повреждает, а укрепляет.²⁵ Мышца под нагрузкой не изнашивается, а растет. Кость под давлением становится плотнее. Иммунитет, столкнувшись с патогеном, учится. Во всех этих случаях удар – не угроза, которую надо пережить, а сигнал, на который система отвечает усилением. Уберите нагрузку совсем – мышца атрофируется, кость теряет плотность, иммунитет глупеет. Тепличные условия, которые кажутся безопасными, на деле ослабляют.

Организации устроены так же, хотя признают это реже. Команда, никогда не сталкивавшаяся с трудным клиентом, кризисом или жесткой обратной связью, выглядит благополучной – пока не получит первый серьезный удар, на который нечем ответить. Команда, которая регулярно встречает посильные трудности и учится на них, накапливает не шрамы, а навык. Разница между ними не в количестве проблем, а в том, превращается ли проблема в обучение или просто в ущерб.

Жесткий пример того, как из удара извлекают силу. В 2011 году землетрясение и цунами в Японии разорвали цепочки поставок Toyota – компании, которая, по иронии, сама изобрела «точно в срок», производство почти без запасов. Можно было сделать вывод «нам не повезло» и жить дальше. Toyota сделала другой: перестроила снабжение критических компонентов, обязав поставщиков держать буферные запасы по ряду позиций, включая полупроводники, и завела систему, позволяющую видеть всю глубину цепочки.²⁶ Через десять лет, когда разразился глобальный дефицит чипов 2021 года, Toyota вошла в него подготовленной лучше многих конкурентов – потому что один прошлый удар она конвертировала не в жалобу, а в конструкцию. Это и есть антихрупкость на практике: не «обойти риск», а «выйти из встречи с ним сильнее».

Инструменты: опциональность, резервы, дешевые пробы

Из всего этого складывается инженерия риска – набор приемов, которыми с риском работают, а не молятся на его отсутствие.

Опциональность. Держать открытыми несколько путей, а не ставить все на один, даже самый вероятный. Опцион – это право, но не обязанность; много дешевых прав на будущее лучше одной дорогой ставки. Талеб называет крайнюю форму этого «штангой»: совмещать очень безопасное с очень рискованным, избегая обманчивой середины, – основную массу держать в защите, малую часть пускать на ставки с ограниченным проигрышем и неограниченным выигрышем. Так устроены целые индустрии: венчурный фонд знает, что большинство вложений не вернется, а несколько крайних окупят все, – и сознательно строит портфель под этот хвост, а не против него.

Кейс ТЕХНОНИКОЛЬ

Очень ярко этот инструмент проявляет себя в кризисных ситуациях. В кризисе от руководителя обычно ждут скорости. Чем выше неопределенность, тем сильнее давление: решай немедленно, покажи уверенность, не останавливай движение. Но иногда инженерия риска требует противоположного – на время сохранить решение открытым.

Весной 2022 года ТЕХНОНИКОЛЬ оказался в ситуации, где прежние расчеты быстро теряли силу: зависали платежи и поставки, финансистам приходилось искать новые способы оплаты, логистам – новые маршруты ввоза оборудования. Компания примерно на полтора-два месяца поставила инвестиционные проекты на паузу. Не закрыла их и не отказалась от оборудования – именно приостановила, чтобы понять, в какой среде теперь предстоит действовать. 15 мая было принято решение вернуться к проектам и закупкам; впоследствии практически все приобретенное оборудование удалось ввести в производство. Сама пауза, по оценке компании, финансово оказалась удачной, хотя психологически далась тяжело.

Здесь интересна не удачность конкретного момента – задним числом почти любое решение легко объявить прозорливым. Интересна конструкция самого хода. Компания не пыталась быстрее всех угадать, каким станет новое равновесие, и не уничтожила возможность продолжить начатое. Она купила время, сохранив опцион.

Это еще одна форма инженерии риска: не обязательно иметь пять заранее подготовленных маршрутов. Иногда достаточно не захлопнуть единственную дверь до того, как станет ясно, что находится за ней. Пауза в таком случае – не отсутствие решения, а способ сохранить пространство будущих решений.

Из материалов исследования компании ТЕХНОНИКОЛЬ, организованного МФТИ и КиберЛенинкой

Резервы. Запас, который в спокойное время выглядит неэффективностью, а в кризис оказывается единственным, что держит систему на плаву. Резерв – не трусость и не лень; это купленная заранее устойчивость, цену которой видно только постфактум.

Дешевые пробы. Чтобы учиться на ударах, не обязательно ждать настоящего удара – можно наносить себе маленькие, контролируемые, дешевые. Эксперимент, пилот, проба – способ встретить риск в дозе, которая укрепляет, а не убивает. Организация, тратящая небольшую долю сил на заведомо «лишние» пробы, покупает себе сразу и обучение, и опционы: большинство проб ничего не дадут, а одна-две откроют то, чего не было в плане. Самый известный пример – правило «пятнадцати процентов» компании 3M, заведенное еще в пятидесятых: сотруднику позволяют тратить около 15% рабочего времени на проекты по собственному выбору, не спрашивая разрешения. Из этой щели «необязательного» времени вырос Post-it – клейкие листочки, ставшие в итоге продуктом на миллиарды.²⁷ Google позже перенял идею как «двадцать процентов»: из этих часов родились AdSense, через пару лет дававший около 15% выручки компании, и сервис Google News.²⁸ Популярную легенду при этом стоит поправить: Gmail, который часто приписывают «двадцати процентам», по словам его создателя, к программе отношения не имел – мелочь, но мы условились предпочитать событийную правду красивой версии.²⁹ И две честные оговорки. Первая: и 15, и 20 процентов – не магическое число, а сигнал, что копаться по краям разрешено и за это не накажут; окупается, как и положено опционам, одна проба из многих. Вторая: у Google «двадцать процентов» со временем размылись – по мере роста ими пользовалась меньшая часть инженеров, а давление сроков превращало их в «сто двадцать процентов». Это не отменяет принцип, а уточняет его: дешевые пробы – не разовый жест, а то, что среда обязана держать дешевым и безопасным постоянно, иначе они тихо отмирают.

У дешевых проб есть подделка, которая встречается чаще самих проб, – пилот, которому не дали прав. Команде объявили новый порядок – «решайте сами», – но бюджет, право последней отмены и доступ к данным остались там, где были. Через квартал пилот признают неудачным и делают вывод: модель не работает. На деле ее не проверяли – проверили старое устройство, обернутое в новые слова. «Не проверено» и «опровергнуто» – разные результаты, и организации, которые их путают, хоронят идеи, так и не попробовав их. Отсюда два требования к честной пробе. Она должна быть маленькой по необратимости, а не по полноте: лучше одна команда с полным набором прав, чем десять с половинным. И критерий успеха записывают до запуска, а не после, – иначе «сработало» будет значить то, что захочется увидеть. А когда проба удалась, полезно различить четыре разных факта: изменилось ли устройство, изменилось ли поведение людей, улучшился ли результат и держится ли он, когда пилот закончился и внимание ушло.

Все три приема – про одно: про ограниченность потерь при сохраненном доступе к большому выигрышу. Это и есть инженерная переформулировка риска. Не «избежать» (нельзя), а «сделать так, чтобы плохой исход был ограничен, а хороший – нет».

Второй этаж. Экосистема антихрупка не тогда, когда защищена от потрясений, а когда устроена так, что потрясение одного узла делает связку сильнее: провал становится общей памятью, а не общей травмой. Это переводит в конкретную задачу то, что в преамбуле звучало лозунгом про «хаос как источник развития»: хаос становится источником развития ровно в той мере, в какой среда умеет конвертировать удар в обучение, а не в ущерб. Где этой конвертации нет – там хаос остается просто хаосом.

Каркас главы: инженерная проверка риска

Четыре вопроса к любой системе или решению:

Система, у которой одна слабина, один путь, удары только калечат и от стресса она лишь деградирует, – оптимизирована до хрупкости. Система, у которой слабины подстрахованы, путей несколько, удары переводятся в обучение и часть из них делает ее сильнее, – спроектирована под реальный мир, а не под идеальные условия, которых не будет.

Мост

На этом закрывается часть о законах. Мир распадается сам, бьет скачком, каменеет изнутри – и при этом с риском в нем можно работать как инженер. Но все это – законы, которые действуют не в вакууме, а на людей. А люди ведут себя не так, как им сказали, и даже не так, как сами хотят. Они ведут себя так, как им позволяет среда. Что сильнее – воля человека или архитектура вокруг него, – об этом следующая часть, и ответ в ней будет не в пользу воли.