Pixar a réparé son système de sauvegarde défaillant au lieu de blâmer la personne qui avait effacé Toy Story 2

Pendant la production de Toy Story 2 en 1998, une commande de suppression Unix exécutée depuis le mauvais répertoire s'est propagée sur le réseau de Pixar et a effacé en quelques minutes environ 90 % des fichiers du film — modèles de personnages, décors, animation, deux années de travail. Lorsque l'équipe de récupération s'est tournée vers le système de sauvegarde du studio, conçu précisément pour prévenir ce scénario, elle a découvert qu'il échouait silencieusement depuis environ un mois ; le filet de sécurité censé rattraper cette défaillance avait lui-même échoué sans que personne ne s'en aperçoive.

La réaction organisationnelle instinctive face à un désastre aussi coûteux est de chercher qui l'a causé — celui qui a tapé la commande devient la personne qu'un studio sous une énorme pression financière et de planning doit tenir responsable, à la fois pour satisfaire la direction et pour donner l'impression que le problème a été traité. Pixar subissait la même pression et disposait de la même cible facile.

Le film n'a finalement pu être récupéré que parce que la directrice technique superviseuse Galyn Susman, travaillant en partie depuis chez elle après avoir eu un bébé, conservait sa propre copie informelle et non autorisée des fichiers de production sur son ordinateur personnel — des collègues sont allés chercher la machine et l'ont utilisée pour reconstruire le travail perdu.

Écarter la recherche de coupables pour que les gens se sentent en sécurité pour révéler la sauvegarde non autorisée qui a sauvé le film, puis réparer le système défaillant au lieu de punir celui qui avait déclenché l'incident.

Ne pas chercher de coupable a supprimé l'incitation à cacher l'information, ce qui a permis de révéler la sauvegarde non autorisée de Galyn Susman et de l'utiliser pour la récupération.

Se concentrer sur la réparation du système a permis de traiter la défaillance réelle — la sauvegarde silencieusement défaillante — plutôt que de simplement écarter une personne.

Une culture sans blâme encourage les gens à signaler spontanément les contournements et les quasi-accidents, ce qui peut exposer les systèmes défaillants avant qu'ils ne causent des désastres.

Lorsqu'une défaillance coûteuse se produit, résistez à l'envie de trouver un bouc émissaire ; traitez-la plutôt comme un problème systémique et corrigez la cause profonde, ce qui encourage les gens à signaler les quasi-accidents.

Toy Story 2 a été entièrement récupéré et livré selon le calendrier initial ; le studio a reconstruit son infrastructure de sauvegarde avec des tests automatisés, un stockage distribué et des restrictions d'accès sur les commandes destructrices, plutôt qu'autour de la conduite d'une personne en particulier.