Неуязвимость. Сбои в сложных системах и что с этим делать

Приветствуем читателей платформы! На прошлой неделе мы открыли новый формат: пересказ основных идей книг по бизнесу, управлению, инвестированию. Статья была посвящена нашей племенной природе и тому, как знания антропологов помогают в исследовании корпоративных процессов. Сегодня мы затронем тему риск-менеджмента.

Немного об авторах

Авторы — Крис Клирфилд и Андраш Тилчик, специалисты в области управления рисками. Крис Клирфилд работал трейдером на бирже и во время финансового кризиса 2007-2008 годов наблюдал крах компаний. Это заинтересовало его проблемой предотвращения ошибок. Андраш Тилчик — учёный, изучающий проблемы излишней сложности систем. Он создал учебный курс "Катастрофические сбои в организациях". Книга написана на основе анализа многочисленных отчетов о сбоях и авариях. Цель — выявить общие причины сбоев и предложить решения, как их избежать. Авторы стремятся донести знания до широкой аудитории: менеджерам, предпринимателям, госслужащим — всем, кто сталкивается с проблемой надёжности сложных систем.

Так почему же системы дают сбои

Современные системы — технические, организационные или социальные — характеризуются всё возрастающей сложностью и взаимосвязанностью. Эти два фактора, согласно концепции Чарльза Перроу, и лежат в основе большинства системных сбоев и аварий.

1. Сложность системы означает наличие множества элементов, связей и взаимодействий между ними, которые трудно полностью отследить и понять.
2. Жёсткая взаимосвязанность подразумевает, что сбой в одной части системы быстро распространяется на другие из-за тесной интеграции элементов.

Таким образом, даже небольшие неполадки могут приводить к серьёзным последствиям и неконтролируемой цепной реакции отказов по всей системе. Эту опасную комбинацию факторов Перроу и назвал зоной нормальных аварий. Сложной систему делает не технологичность. Например, плотины или конвейеры — это сложная технология, но как система они просты: если где-то возникнет сбой, то сразу ясно, где. Сложные системы скорее похожи на паутину, не все связи очевидны и обычно сбой сначала течёт незаметно, а проявляется комплексно.

Нормальные аварии — это катастрофы, вызванные не грубыми просчётами человека, а его естественным взаимодействием со сложными техническими системами, периодически дающими «нормальные» сбои.

Серьёзные инциденты неизбежны даже при наилучшем менеджменте и полном внимании к безопасности, — Ч. Перроу.

В книге приводятся живые примеры того, как незначительные сбои с одной стороны и непрозрачность сложных систем с другой пораждают катастрофы, опасные для жизни и безопасности людей:

• Авария на АЭС Three Mile Island. В 1979 году случилась утечка в одном из энергоблоков. Причин было несколько: бригада рабочих, проводивших техобслуживание незадолго до инцидента, решила, что горящая лампочка-индикатор означает, что клапан закрыт, хотя она значила лишь то, что на него была подана команда “закрыть”. В другой момент индикатор притока охлаждающей жидкости показал, что её слишком много, хотя на самом деле её было достаточно. Воду откачивали, в результате чего случился перегрев.
• Пиар-провал кофейни Starbucks. В 2012 году Starbucks установили большой экран в Лондоне, на котором отображались публикации в Twitter с хештегом, приуроченным к рождественским праздникам. В какой-то момент фильтр контента дал сбой, и на экране начали появляться твиты вроде “Starbucks, давай плати свои налоги”. Незадолго до этого вокруг компании разразился скандал, связанный с уклонением от уплаты налогов. Сбой фильтра быстро стал очевиден пользователям, и рекламная акция превратилась в антипиар.
• Сбой автотрейдинга Knight Capital. В 2012 году недоведённое до конца обновление торгового бота на серверах брокерской фирмы Knight Capital привело к потере 6,5 млрд $ всего за полчаса. Причём проблема была, в общих чертах, в том, что программисты сохранили в коде устаревшую функцию, а в новой версии эта функция использовалась снова, но имела совершенно другой смысл.
• Авария на нефтедобывающей станции Deepwater Horizon в 2010 году. Сложность ситуации на подобных объектах заключается в том, что: а) невозможно непосредственно обследовать место аварии, можно лишь полагаться на косвенные источники информации; б) системы безопасности оказались излишне запутанными: чтобы включить систему тушения пожара на одном участке, надо было нажать 30 кнопок!
• Хакерская атака на почтовую службу Великобритании повлекла за собой хищения денег, ответственность за которые понесли обычные владельцы магазинов. Почтовая служба была настолько уверена в точности автоматических систем, что засудила десятки человек на огромный штрафы и тюремные сроки.

Что делать со сложными системами

В сложных системах, где интуиция часто подводит, существуют инструменты, помогающие принимать более обоснованные решения.

SPIES

Один из таких инструментов — методика SPIES — "Субъективные интервальные оценки вероятностей". Она позволяет избежать излишней самоуверенности в прогнозах, заставляя рассматривать весь диапазон возможных результатов.

В традиционном подходе рассматриваются только две точки — наилучший и наихудший сценарии. Например, прогнозируя срок выполнения проекта, мы можем сказать, что он займет от 2 до 4 месяцев с 90% уверенностью.

Методика SPIES предполагает оценку вероятности сразу для нескольких интервалов значений по всему диапазону возможных результатов. Сначала определяются интервалы, охватывающие все варианты (например, для сроков проекта: менее 1 месяца, 1-2 месяца, 2-3 месяца и т.д.). Затем для каждого интервала оценивается вероятность того, что результат попадёт именно в него.

На основе этих оценок можно построить требуемый интервал уверенности, исключив крайние значения. Такой подход снижает избыточную уверенность и заставляет учитывать маловероятные сценарии. Исследования показывают, что прогнозы по методике SPIES чаще оказываются верными.

Неблагоприятная среда и заранее заданные критерии

Конструирование АЭС Фукусима-1 происходило в условиях, которые психологи называют “неблагоприятной средой”. Авторы книги приводят простой пример: когда вы учитесь готовить суп, вы можете его попробовать. Каждый раз вы будете корректировать свои действия, а ваш “профессионализм” — расти. Но в регионе, где строилась АЭС, цунами не было давно, что не позволило оценить риски здраво.

Другое исследование показало, что судьи, выносящие решения о досрочном освобождении заключённых, также не могут “научиться”, ведь статистика доходит до них со значительной задержкой. В результате они принимают больше благосклонных решений после обеденного перерыва. Неужели сытость — критерий для принятия таких решений?

Подобная проблема возникла в Канаде при попытках диагностировать перелом лодыжки. Рентген — дорогостоящая и вредная процедура, поэтому врачи зачастую не отправляли пациентов на него. В 1990-х специалисты наконец изобрели “Оттавские правила определения перелома лодыжки”, в которых учитывается всего 4 критерия: боль, возраст, возможность наступить на ногу, хрупкость костей. В результате врачи cмогли на одну треть снизить количество необходимых рентгеновских снимков и при этом не пропустить ни одного действительно сложного случая перелома.

В книге описан кейс молодой пары, выбирающей дом для покупки. После того, как они безрезультатно объездили 50 зданий, они составили список критериев, ранжированных по значимости. Это позволило учесть важное и не поддаться общему впечатлению и эмоциональным обсуждениям. В итоге они купили дом, который получил меньше индексов “+1”, но по наиболее важным критериям обошёл другие, на первый взгляд, более удачные варианты.

Этот подход можно использовать на собеседованиях: некоторые люди обладают харизмой и ярким характером, однако это затмевает их недостатки по важным критериям. Тогда заранее заготовленный список параметров позволит оценить кандидата комплексно.

Наихудший сценарий

Методика "пре-мортем" — это ещё один полезный инструмент для принятия решений в сложных системах. Суть его в том, чтобы заранее, до начала проекта или какого-либо действия, мысленно смоделировать ситуацию его провала. То есть нужно представить, что проект или событие уже произошли и закончились неудачей.

Это позволяет выявить конкретные причины, которые могут привести к такому результату. Люди начинают активнее искать потенциальные риски и угрозы, вместо того чтобы просто пытаться их избежать.

Кроме того, перспективный взгляд в прошлое усиливает способность находить объяснения событиям. Эксперименты показывают, что при моделировании результата люди называют больше конкретных причин, чем когда просто строят прогнозы.

"Пре-мортем" повышает мотивацию команды, заставляя думать о реальных проблемах, а не только хвалить свой план. Этот метод применим как для крупных проектов, так и в личной жизни при важных решениях. Вот пример использования методики "пре-мортем" в личной жизни.

Джил Блум, менеджер в высокотехнологичной компании, столкнулась с выбором между двумя работами. Ей предложили новую должность в команде некоего Роберта, а также перейти в команду другого менеджера, Мэри.

Чтобы принять верное решение, Джил вместе с мужем провела "пре-мортем" для каждого варианта. Они представили, что через год на каждой из работ у Джил возникли проблемы и она чувствует себя несчастной.

Затем супруги записали конкретные причины, которые могли привести к таким последствиям — особенности стиля управления начальников, корпоративная культура в коллективах, возможности реализации инициатив Джил.

Эти факторы риска, выявленные с помощью "пре-мортема", стали критериями для сравнения альтернатив. В итоге Джил выбрала работу в команде Мэри, где риски оказались меньше по важнейшим для неё параметрам.

Заключение

Книга, о которой мы говорим, гораздо шире и пестрит большим количеством примеров и практик. В статье мы лишь обозначили проблематику: сложность современных систем затрудняет возможность своевременного определения места поломки и оперативной починки. Среди инструментов, которые могут помочь, авторы выделяют: субъективные интервальные оценки вероятностей, создание заранее заданных критериев, методика “пре-мортем”. Если вас заинтересовала тематика книги, то мы настоятельно рекомендуем прочитать её.

Также напоминаем, что ещё больше о риск-менеджменте вы сможете узнать из первых уст специалистов на IV Большом слёте Кайдзен-клуба, который пройдёт в Баку 26-28 августа. С подробностями ознакомьтесь по ссылке: IV Большой Слёт.

Комментарии