Годзилла против Кинг-Конга. Разрушат полгорода, выясняя кто круче. А вы готовы платить за восстановление? Вот и с рисками так же: либо платите заранее, либо потом, с процентами.

Пре-мортем это не кружок тревожности. Нет такого, что собрались, представили провал, поиграли в апокалипсис, разошлись. Через неделю у людей остаётся только чувство, что они хорошо поработали, а риски при этом живут своей жизнью.

Есть вопрос который важнее всех остальных. Как понять что риск действительно управляемый?

Если у риска есть человек который отвечает конкретно за него, не абстрактная команда. Есть событие или показатель по которому вы поймёте что риск начал реализовываться, а не через месяц по факту аварии. Есть заранее прописанное действие на этот случай, а не «разберёмся по ситуации». То риск «управляемый», а не просто вычурное прилагательное для отчёта.

Конечно пре-мортем не предскажет баг в вендорском софте, который вылезет через год работы. Не предскажет отказ поставщика, регуляторное изменение или человеческий косяк на другом конце цепочки, о котором вы даже не знаете. Если вы это ожидаете, то это просто глупость. Ну или можете и дальше надеяться на авось. Серьёзно, живите с этим спокойно, мне без разницы. Просто дальше пост не для вас.

Пре-мортем не заменяет резервирование, обходные пути и план восстановления из бэкапов. Это вообще разные слои защиты. Пре-мортем ловит то что можно предвидеть заранее и на что можно повлиять до старта. Дублирование и DRP для того чтобы пережить непредвиденное. Одно без другого не работает. Только пре-мортем без резервных путей попросту самообман. Только резервные пути без пре-мортема это дорогая страховка от рисков, половину которых можно было убрать заранее. Бесплатно. Поговорив вовремя с нужными людьми.

Есть и второй эффект который редко замечают. Пре-мортем делает видимым то что обычно не видно вообще. Бизнес считает что оплата зарплаты айтишникам это уже покупка их готовности встать в два ночи и починить всё за час без единого вопроса. А запрос на резервный канал воспринимается как выпрашивание игрушки. На пре-мортеме это меняется. Вы не рассказываете про абстрактные риски, вы показываете конкретно что случится и сколько это будет стоить, если резерва не будет. Это единственный момент когда инженерная логика говорит с бизнесом на языке денег, а не на языке жалоб. Да-да, дорогие инженеры, в этом разговоре у вас сильная стартовая позиция, пользуйтесь.

Однако сам по себе инструмент, без места в процессе, превращается в разовое развлечение для умных. Эдакий элитарный клуб знатоков. Друзя только не хватает. Хрустальная сова и всё такое. Ну вы поняли...

Подсвечу два момента когда пропускать пре-мортем нельзя ни при каком раскладе. Первый — пока решение ещё не принято, договор не подписан и архитектура только на бумаге. Здесь пре-мортем помогает вам аргументировано сказать нет и не входить в проект вообще, если видно что он сгорит. На этом этапе "нет" стоит копейки. Через полгода - стоит контракта. Второй момент - когда изменение касается того что нельзя терять: прод, ядро сети, бизнес-критикал системы. Там где ошибка стоит простоя бизнеса, здравого смысла одного человека уже недостаточно, нужен взгляд нескольких голов сразу. Всё остальное можно фильтровать проще: если цена возможной ошибки меньше часа работы ваших самых дорогих людей, не тратьте на это встречу.

И последнее, без чего всё вышеперечисленное просто фарс. После встречи должны остаться конкретные фамилии, сроки и решения что делаем если сценарий начнёт сбываться. Иначе это тот же пост-мортем, только заранее.

Фамилия напротив риска это не поиск виноватого заранее. Это выдача прав. Если сотрудник отвечает за риск, он получает право требовать бюджет и время. В компаниях где за честное «мы здесь упадём» наказывают, пре-мортем не проживёт больше одной встречи. Хотели как лучше, получилось как всегда.

Собрание кружка тревожников заканчивается тем, что все разошлись напуганными. Пре-мортем заканчивается тем что кто-то знает что делать, если сценарий из вашего кошмара вдруг станет реальностью.