Hay una cosa en el banco que antes siempre me pareció un poco inconveniente.
El cajero todavía tiene dinero.
Pero es solo una parte muy pequeña.
Para manejar valores más grandes, los empleados necesitan esperar por la caja fuerte o por los próximos pasos de confirmación.
Al principio, pensé que esto era solo un proceso para retrasarlo todo.
Más tarde, lo entendí.
Lo que el banco está protegiendo no es el dinero en el mostrador.
Sino el límite de cuánto puede verse afectado el sistema si algo realmente sale mal.
El sistema no coloca todo el patrimonio en el lugar más conveniente.
Ubica de forma proactiva la parte más importante en una capa de protección aún más profunda.
Es cuando el Protocolo Newton empieza a tener sentido para mí.
Lo notable no fue cómo el sistema reacciona a los riesgos.
Fue cómo el riesgo ya queda limitado por la arquitectura, antes incluso de que ocurra cualquier incidente.
Un sistema autónomo no se vuelve confiable solo porque maneja bien los incidentes.
Se vuelve más confiable cuando, desde el principio, su arquitectura hace que un error sea difícil de convertir en una gran pérdida.
No es solo una capa de protección.
Es una elección de diseño.
Newton acepta agregar capas de control y renunciar un poco a la conveniencia.
A cambio, cuando ocurre lo inesperado, el alcance de los daños ya está limitado de antemano, en lugar de dejar que el sistema lo gestione después.
Un sistema confiable no empieza reaccionando al riesgo.
Empieza diseñando para que, incluso cuando el riesgo ocurra, las consecuencias se queden en el nivel más bajo posible.