Il y a une chose dans la banque que je trouvais toujours un peu gênante auparavant.

Le guichet a encore de l'argent.
Mais ce n'est qu'une toute petite partie.
Pour traiter des montants plus importants, les employés doivent attendre le coffre ou les prochaines étapes de confirmation.
Au début, je pensais que ce n'était qu'un processus pour tout ralentir.
Plus tard, j'ai compris.
Ce que la banque protège, ce n'est pas l'argent au comptoir.
Mais plutôt la limite de l'impact sur le système si quelque chose tourne vraiment mal.
Le système ne place pas tous les actifs à l'endroit le plus pratique.
Il positionne de manière proactive la partie la plus importante dans une couche de protection encore plus profonde.
C'est là que le Protocole Newton commence à avoir du sens pour moi.
Ce que j'ai trouvé remarquable, ce n'est pas la façon dont le système réagit aux risques.
C'est la façon dont le risque est déjà limité par l'architecture, avant même qu'un incident ne se produise.
Un système autonome ne devient pas fiable simplement parce qu'il gère bien les incidents.
Il devient plus fiable lorsque, dès le départ, son architecture rend une erreur difficile à transformer en une perte importante.
Ce n'est pas juste une couche de protection.
C'est un choix de conception.
Newton accepte d'ajouter des couches de contrôle et de sacrifier un peu de commodité.
En échange, lorsque l'inattendu survient, l'ampleur des dégâts est déjà limitée à l'avance, au lieu de laisser le système gérer après.
Un système fiable ne commence pas par réagir au risque.
Il commence par concevoir de sorte que, même lorsque le risque survient, les conséquences soient limitées au plus bas niveau possible.