Construir uma instituição para sistemas que não podem falhar

Duas empresas podem se descrever com as mesmas palavras — engenharia, segurança, sistemas críticos — e ser coisas diferentes. Uma é capacidade de execução alugada por projeto: entra, entrega o que foi pedido, sai, e o que aprendeu sai junto. A outra é uma instituição: o que aprendeu num trabalho está disponível no seguinte, inclusive para quem não estava lá.

A diferença não está no tamanho nem no discurso. Está no que sobrevive ao fim do contrato. A Carta de Fundação respondeu por que existimos; esta trata do que estamos construindo e de como pretendemos ser medidos. São três afirmações, e nenhuma delas é confortável: julgamento técnico ou se acumula na organização ou evapora com as pessoas; a recusa é parte do que entregamos, e não uma cortesia ocasional; e a medida certa de uma instituição técnica chega tarde demais para servir como argumento de venda.

O que uma instituição acumula

O que se acumula não é código, e não é metodologia. Metodologia costuma ser o que sobra quando alguém tenta escrever o julgamento e ele não cabe. O que se acumula é a capacidade de reconhecer uma forma: perceber, na primeira semana, que a migração à frente tem a mesma estrutura de outras quatro, que o ponto provável de ruptura é o mesmo de sempre, e que a discussão que a equipe está tendo sobre tecnologia é, no fundo, uma discussão sobre quem vai responder por um dado. Esse reconhecimento é caro de adquirir e barato de perder.

Uma instituição existe para que ele não fique preso a uma pessoa, e isso impõe obrigações sem glamour. Escrever a razão junto com a decisão, enquanto a razão ainda é óbvia para quem escreve. Manter um vocabulário só, para que engenharia, segurança e capital descrevam o mesmo sistema com as mesmas palavras em vez de três sistemas imaginários. E publicar posições em público, como esta, porque um texto publicado é uma posição que pode ser cobrada — inclusive por nós, contra nós, quando a prática mostrar que estava errada.

Recusa é parte do trabalho

Há duas recusas, e elas não pesam o mesmo. A primeira é recusar um trabalho: acontece antes de tudo, é visível e custa uma proposta. A segunda é recusar dentro do trabalho — dizer, já contratado, que aquilo que foi pedido não deve ser feito, ou não daquela forma, ou não antes de outra coisa. Essa é a difícil, porque contraria quem está pagando num momento em que já existe cronograma, e porque quase nunca se prova: o incidente que ela evitou não acontece e, portanto, não aparece.

A capacidade de dizer não é a única prova de que o sim significa alguma coisa.

A recusa tem uma condição estrutural: só recusa quem não depende do próximo contrato para continuar existindo. Isso faz do formato da empresa, antes de qualquer outra coisa, uma decisão sobre a qualidade do julgamento que ela vai conseguir sustentar. Preferimos crescer devagar, com custo fixo baixo e sem meta que só possa ser cumprida dizendo sim, porque a alternativa é conhecida e não depende de má-fé: uma organização que precisa do trabalho encontra sempre uma justificativa técnica para aceitá-lo. Ninguém mente nesse processo. O julgamento simplesmente se ajusta à necessidade, e quem se ajusta é o último a notar.

Como uma instituição técnica se mede

As medidas usuais medem atividade: número de pessoas, número de projetos, número de menções. Todas continuam subindo enquanto a qualidade cai, e é exatamente por isso que são populares. A medida que nos interessa é outra e é desconfortável, porque é feita de perguntas que só podem ser respondidas depois, de preferência por quem não somos nós:

• —O trabalho continua de pé sem nós? Um sistema que depende de quem o construiu não foi entregue; foi emprestado.
• —Ele pôde ser mudado depois, por outra equipe, sem que a mudança exigisse coragem?
• —As decisões continuam explicáveis quando quem as tomou não está na sala?
• —O que escrevemos há um ano ainda se sustenta — e o que não se sustenta foi corrigido em público, no mesmo lugar em que foi afirmado?

Nenhuma dessas perguntas se responde no dia da entrega, e esse é o incômodo central de construir com horizonte longo: a medida certa chega tarde, e nunca chega a tempo de ganhar uma concorrência. Enquanto ela não chega, o que resta é aplicar antecipadamente o mesmo critério a cada decisão pequena, inclusive quando ninguém está olhando. Isso é, na prática, a definição operacional de integridade técnica — e é a única parte do assunto que não depende de tempo.

Dez anos não é figura de linguagem

Dez anos é o intervalo aproximado em que nada do contexto original permanece. A plataforma mudou, o fornecedor mudou de produto ou de dono, a regra de negócio virou exceção e voltou a ser regra, o volume não é o mesmo e as pessoas que sabiam por que aquilo era assim estão em outras empresas. O que sobrevive a esse intervalo é exatamente aquilo que foi tornado explícito, e nada mais. Por isso o teste dos dez anos não é uma previsão sobre o futuro: é um teste de explicitação, aplicável hoje, a esta decisão, nesta reunião, por quem estiver nela.

Construir para dez anos não é prever dez anos. É recusar fazer, hoje, o que só funciona enquanto as pessoas de hoje estiverem aqui.

Não temos resultados a exibir e não vamos fabricar nenhum. O que existe hoje é o que este site publica: as posições que sustentamos, as condições sob as quais aceitamos entrar e um modo de trabalhar que pode ser verificado por quem trabalhar conosco. Uma instituição não se anuncia — acumula-se —, e a única coisa honesta a fazer no início é declarar com que régua queremos ser medidos depois, quando já houver o que medir. Esta carta é essa régua.