Otomatisasi yang berjalan mulus selama enam bulan tetap akan gagal pada suatu titik. Yang membedakan usaha yang tenang dari usaha yang panik bukan seberapa jarang kegagalannya, melainkan apakah rencananya sudah disiapkan sebelum kegagalan pertama datang. Catatan ini menyusun rencana itu.
Kegagalan berisik adalah yang langsung terlihat: alur berhenti, ada pesan galat, ada notifikasi masuk. Ini jenis yang paling mudah ditangani justru karena ia mengumumkan dirinya. Orang tahu ada yang salah dan tahu kapan mulai salahnya.
Kegagalan diam jauh lebih mahal. Alur tetap berjalan, tetap menghasilkan keluaran, tetapi keluarannya salah. Faktur terkirim dengan angka yang keliru selama tiga minggu. Data pelanggan masuk ke kolom yang tertukar. Tidak ada yang berhenti, jadi tidak ada yang bertanya. Kerusakannya baru ketahuan waktu ada pihak luar yang mengeluh, dan pada titik itu perbaikannya sudah melibatkan permintaan maaf, bukan sekadar perbaikan teknis.
Konsekuensi praktisnya sederhana: jangan hanya memantau apakah alur berjalan. Pantau juga apakah keluarannya masuk akal. Dua hal itu berbeda, dan yang kedua jauh lebih sering diabaikan.
Pertama, siapa yang tahu duluan. Kalau jawabannya "pelanggan", rencananya belum ada. Harus ada seseorang di dalam yang menerima sinyal sebelum dampaknya keluar.
Kedua, bagaimana cara mematikannya. Setiap alur otomatis butuh tombol berhenti yang bisa ditekan orang yang tidak membangunnya. Kalau mematikan alur memerlukan orang yang paham teknis dan orang itu sedang cuti, alurnya belum siap produksi.
Ketiga, bagaimana pekerjaannya diteruskan manual. Otomatisasi menggantikan cara lama, dan cara lama biasanya dilupakan dalam beberapa bulan. Kalau alur mati dan tidak ada yang ingat cara manualnya, kegagalan teknis berubah jadi kegagalan operasional.
Urutan ini disusun supaya kerusakan berhenti dulu, baru dipahami. Godaan terbesar saat alur gagal adalah langsung mencari penyebabnya, dan itu justru memperpanjang kerusakan.
Langkah pertama: hentikan alurnya. Bukan diperbaiki, dihentikan. Selama alur masih jalan, jumlah data yang harus dibereskan terus bertambah.
Langkah kedua: tentukan sejauh mana dampaknya sudah menyebar. Berapa banyak catatan yang tersentuh, sejak kapan, dan apakah ada yang sudah keluar ke pihak ketiga. Pertanyaan terakhir yang paling menentukan bentuk penanganannya.
Langkah ketiga: pindah ke jalur manual supaya pekerjaan tetap berjalan. Ini yang sering dilewati karena semua perhatian tersedot ke perbaikan teknis, padahal pekerjaan tidak berhenti hanya karena alurnya berhenti.
Langkah keempat, dan baru sesudah tiga langkah di atas: cari sebabnya.
Karena mencari sebab butuh waktu yang tidak bisa diperkirakan. Kadang lima menit, kadang dua hari. Menempatkannya di awal berarti menggantungkan seluruh operasi pada durasi yang tidak diketahui.
Ada juga alasan psikologis. Orang yang membangun alur cenderung ingin membuktikan alurnya tidak salah, dan dorongan itu memperlambat pengambilan keputusan untuk mematikannya. Menetapkan urutan di muka menghilangkan perdebatan itu saat semua orang sedang tegang.
Sebagian besar kegagalan alur otomatis bukan karena logikanya salah, melainkan karena sesuatu di luar berubah. Penyedia mengubah format datanya. Kolom di spreadsheet digeser seseorang. Nama produk diganti. Kuota harian tercapai. Sertifikat kedaluwarsa.
Bedanya penting karena perbaikannya berbeda. Kegagalan logika diperbaiki sekali dan selesai. Kegagalan karena perubahan di luar akan terjadi lagi, dan yang perlu dibangun bukan tambalan melainkan pemeriksaan yang menangkapnya lebih awal.
Pertanyaan penyaringnya: kalau besok hal yang sama berubah lagi, apakah alur ini akan patah dengan cara yang sama? Kalau ya, tambalannya belum cukup.
Banyak usaha menulis catatan kejadian yang tidak pernah dibuka lagi. Cirinya mudah dikenali: isinya kronologi teknis yang panjang tanpa satu pun keputusan.
Catatan yang berguna cukup memuat lima hal. Apa yang rusak, sejak kapan sampai kapan, apa dampaknya ke luar, apa yang dilakukan untuk menghentikannya, dan satu perubahan konkret supaya kejadian serupa tertangkap lebih cepat. Lima baris sudah cukup. Yang penting perubahan di poin terakhir benar-benar dikerjakan, bukan dicatat lalu dilupakan.
Standar pemantauan yang dipakai perusahaan besar tidak cocok disalin mentah-mentah. Usaha kecil tidak butuh pemantauan per detik dan tidak butuh piket bergilir. Yang dibutuhkan biasanya cuma tiga: pemberitahuan kalau alur tidak berjalan pada jadwalnya, pemeriksaan jumlah keluaran harian yang wajar, dan satu orang yang bertanggung jawab membacanya.
Pemeriksaan jumlah keluaran adalah yang paling murah dan paling sering dilewatkan. Kalau alur biasanya menghasilkan antara empat puluh sampai enam puluh baris per hari lalu tiba-tiba menghasilkan tiga, itu sinyal yang cukup, dan mendeteksinya tidak butuh perkakas khusus.
Tidak semua kegagalan layak diperbaiki. Alur yang patah sebulan sekali tetapi perbaikannya lima menit, dan dampaknya nol karena tidak ada yang menunggu keluarannya, boleh dibiarkan begitu. Membangun pemantauan canggih untuknya adalah biaya tanpa hasil.
Patokannya: bandingkan biaya menahan kegagalan dengan biaya menanggungnya. Kalau menanggungnya lebih murah, tanggung saja, dan tuliskan bahwa itu keputusan sadar. Yang berbahaya bukan membiarkan, melainkan membiarkan tanpa pernah memutuskan.
Ada anggapan bahwa penanganan kegagalan otomatisasi adalah urusan orang teknis. Dalam usaha kecil anggapan itu justru berbahaya, karena orang teknisnya sering cuma satu.
Yang bisa dan harus dipegang orang non-teknis ada tiga: menekan tombol berhenti, menjalankan jalur manual, dan memberi tahu pihak yang terdampak. Ketiganya tidak butuh pemahaman teknis, dan ketiganya adalah bagian yang paling menentukan besar-kecilnya kerusakan. Perbaikan teknis boleh menunggu; tiga hal itu tidak.
Rencana yang belum pernah dijalankan bukan rencana, baru niat. Cara mengujinya murah: matikan alurnya dengan sengaja di jam sepi, lalu minta orang yang tidak membangunnya menjalankan jalur manual sampai selesai.
Latihan setengah jam ini hampir selalu menemukan satu hal yang tidak terduga. Kata sandi yang cuma diketahui satu orang. Berkas yang ternyata ada di komputer pribadi. Langkah yang tertulis tapi sudah tidak berlaku. Menemukannya saat latihan jauh lebih murah daripada menemukannya saat kejadian.
Kadang jawaban yang benar bukan memperbaiki, melainkan membongkar. Tiga tandanya: alur patah lebih sering daripada dipakai, tidak ada yang berani mengubahnya karena takut merusak bagian lain, atau waktu yang dihabiskan merawatnya sudah melebihi waktu yang dihematnya.
Tanda ketiga paling sering terlewat karena waktu perawatan tersebar dalam potongan kecil dan tidak pernah dijumlahkan. Menjumlahkannya sekali saja biasanya cukup untuk menutup perdebatan.
Setiap kali sebuah alur gagal lalu diperbaiki, ada pengetahuan baru yang lahir: kenapa ia patah, apa yang ternyata diasumsikan keliru, dan bagian mana yang paling rapuh. Pengetahuan itu hampir selalu berhenti di kepala orang yang memperbaikinya.
Tempat menyimpannya sebaiknya menempel pada alurnya sendiri, bukan di dokumen terpisah. Beberapa baris komentar di dalam alur, atau satu catatan pendek di tempat yang pasti dibuka orang berikutnya yang menyentuh alur itu. Dokumen terpisah yang rapi tapi tidak pernah dibuka kalah berguna dibanding tiga kalimat yang menempel di tempat yang tepat.
Ukurannya bukan kerapian, melainkan apakah orang baru bisa memahami alur itu tanpa bertanya. Kalau masih harus bertanya, pengetahuannya belum benar-benar tersimpan, baru dipindahkan sementara.
Reaksi paling umum sesudah alur gagal adalah menambah lapisan pemeriksaan di mana-mana. Niatnya baik, hasilnya sering justru memperburuk: alur jadi lebih rumit, lebih banyak titik yang bisa patah, dan lebih sedikit orang yang berani menyentuhnya.
Aturan yang lebih sehat: satu kegagalan menghasilkan paling banyak satu pemeriksaan baru, dan pemeriksaan itu harus menangkap persis kejadian yang barusan terjadi. Menambah lima pemeriksaan spekulatif untuk kejadian yang belum pernah ada adalah cara paling cepat membuat alur yang sederhana menjadi tidak terpelihara.
Otomatisasi bukan janji bahwa tidak akan ada yang rusak. Ia memindahkan pekerjaan rutin ke mesin dan sebagai gantinya memberi jenis pekerjaan baru, yaitu merawat mesin itu. Usaha yang menerima pertukaran ini sejak awal akan menyiapkan rencana kegagalan bersamaan dengan alurnya, bukan sesudah kejadian pertama.
Ada satu keuntungan yang jarang disebut. Usaha yang sudah menyiapkan rencana kegagalan biasanya berani mengotomatiskan lebih banyak hal, karena taruhannya jadi lebih kecil. Sebaliknya, usaha yang pernah kena kegagalan tanpa rencana sering berhenti total dan kembali ke cara manual untuk semuanya, termasuk untuk pekerjaan yang sebenarnya aman diotomatiskan. Jadi menyiapkan rencana kegagalan bukan sekadar mengurangi kerugian, tapi juga membuka ruang untuk melangkah lebih jauh.
Rencana itu tidak perlu rumit. Satu tombol berhenti yang bisa ditekan siapa saja, satu jalur manual yang pernah dilatih, dan satu orang yang bertanggung jawab membaca sinyalnya. Tiga hal itu sudah menutup sebagian besar risikonya.