A Pixar consertou seu backup defeituoso em vez de culpar a pessoa que apagou Toy Story 2

Durante a produção de Toy Story 2, em 1998, um comando de exclusão do Unix executado a partir do diretório errado propagou-se pela rede da Pixar e apagou cerca de 90% dos arquivos do filme — modelos de personagens, cenários, animação, dois anos de trabalho — em minutos. Quando a equipe de recuperação recorreu ao próprio sistema de backup do estúdio, criado especificamente para evitar exatamente esse cenário, descobriu que ele vinha falhando silenciosamente havia cerca de um mês; a rede de segurança destinada a capturar essa falha havia ela própria falhado sem que ninguém percebesse.

A resposta organizacional instintiva a um desastre tão caro é descobrir quem o causou — quem digitou o comando torna-se a pessoa que um estúdio sob enorme pressão financeira e de cronograma precisa responsabilizar, tanto para satisfazer a liderança acima quanto para sentir que o problema foi tratado. A Pixar tinha essa mesma pressão e o mesmo alvo fácil disponível.

O filme só pôde ser recuperado porque a diretora técnica supervisora Galyn Susman, trabalhando em parte de casa após ter um bebê, mantinha sua própria cópia informal e não autorizada dos arquivos de produção em seu computador doméstico — colegas dirigiram até lá para buscar a máquina e a usaram para reconstruir o trabalho perdido.

Eliminou a busca por culpados para que as pessoas se sentissem seguras para revelar o backup não autorizado que salvou o filme, e depois consertou o sistema defeituoso em vez de punir o gatilho.

Não buscar culpados removeu o incentivo para esconder informações, de modo que o backup não autorizado de Galyn Susman foi revelado e usado para a recuperação.

Concentrar-se em correções sistêmicas abordou a falha real — o backup silenciosamente defeituoso — em vez de apenas remover um indivíduo.

Uma cultura sem culpa incentiva as pessoas a oferecerem voluntariamente soluções alternativas e quase-acidentes, o que pode expor sistemas defeituosos antes que causem desastres.

Quando ocorre uma falha custosa, resista ao impulso de encontrar um bode expiatório; em vez disso, trate-a como um problema sistêmico e corrija a causa raiz, o que incentiva as pessoas a trazerem à tona quase-acidentes.

Toy Story 2 foi totalmente recuperado e entregue no cronograma original; o estúdio reconstruiu sua infraestrutura de backup com testes automatizados, armazenamento distribuído e restrições de acesso a comandos destrutivos, em vez de em torno da conduta de qualquer pessoa específica.