Hay una cosa en el banco que antes siempre me pareció un poco inconveniente.

El cajero todavía tiene dinero.
Pero es solo una parte muy pequeña.
Para manejar cantidades mayores, los empleados deben esperar por la caja fuerte o por los siguientes pasos de confirmación.
Al principio, pensé que eso era solo un proceso para retrasarlo todo.
Más tarde, lo entendí.
Lo que el banco está protegiendo no es el dinero en el mostrador.
Sino el límite de cuánto puede verse afectado el sistema si algo realmente sale mal.
El sistema no coloca todo el patrimonio en el lugar más conveniente.
Posiciona proactivamente la parte más importante en una capa de protección aún más profunda.
Es cuando el Protocolo Newton empieza a tener sentido para mí.
Lo que me pareció notable no fue cómo el sistema reacciona a los riesgos.
Fue cómo el riesgo está limitado ya por la arquitectura, incluso antes de que ocurra cualquier incidente.
Un sistema autónomo no se vuelve confiable solo porque maneja bien los incidentes.
Se vuelve más confiable cuando, desde el inicio, su arquitectura hace que un error sea difícil de convertirse en una gran pérdida.
No es solo una capa de protección.
Es una elección de diseño.
Newton acepta agregar capas de control y renunciar a un poco de conveniencia.
A cambio, cuando ocurre lo inesperado, el alcance de los daños ya está limitado de antemano, en lugar de dejar que el sistema lo maneje después.
Un sistema confiable no comienza reaccionando al riesgo.
Comienza diseñando para que, incluso cuando el riesgo ocurra, las consecuencias se limiten al menor nivel posible.