☕ Um Café no Bellacosa Mainframe
Gostou do conteúdo? Ajude a manter o café quente, o COBOL compilando e o mainframe acordado. 😄
☕ Pague um café ao Bellacosa

Translate

Mostrar mensagens com a etiqueta War Room. Mostrar todas as mensagens
Mostrar mensagens com a etiqueta War Room. Mostrar todas as mensagens

sexta-feira, 14 de agosto de 2026

Dunning-Kruger Effect: Doctor Who, COBOL e o Dia em que Três Meses de Experiência Pareciam Mais que Trinta Anos

 

Bellacosa Mainframe e o dunning kruger effect

☕ Um Café no Bellacosa Mainframe

Dunning-Kruger Effect: Doctor Who, COBOL e o Dia em que Três Meses de Experiência Pareciam Mais que Trinta Anos

Uma viagem pela TARDIS dos incidentes para entender por que pouco conhecimento pode produzir muita confiança — enquanto aprender mais frequentemente nos ensina exatamente o tamanho daquilo que ainda não sabemos

09:12.

Segunda-feira.

Café quente.

Produção tranquila.

Talvez tranquila demais.

Nosso jovem programador COBOL havia acabado de completar alguns meses trabalhando com mainframe.

Já conhecia:

IDENTIFICATION DIVISION
ENVIRONMENT DIVISION
DATA DIVISION
PROCEDURE DIVISION

Sabia compilar.

Sabia executar job.

Já tinha resolvido:

S0C7.

S0C4.

Dataset not found.

Um JCL quebrado.

Um SQLCODE -811.

Sentia-se bem.

Muito bem.

Talvez...

bem demais.

Na reunião, um especialista diz:

— Precisamos revisar cuidadosamente essa alteração porque ela mexe em restart, checkpoint e atualização de três arquivos VSAM.

Nosso jovem responde:

— Mas não parece complicado.

O especialista levanta os olhos.

— Não?

— É só ler, alterar e gravar.

Silêncio.

Um DBA olha para o teto.

O operador bebe café lentamente.

O especialista pergunta:

— E se o job cair depois da atualização do primeiro arquivo e antes do segundo?

— Restartamos.

— De onde?

Nosso jovem fica alguns segundos em silêncio.

— Do início?

— E as atualizações já feitas?

— Hmmm...

O especialista continua:

— E se houver commit intermediário?

Silêncio.

— E se o registro no segundo arquivo não existir?

Silêncio.

— E se o restart repetir uma transação já processada?

Mais silêncio.

— E se o programa for rerun sem limpar o checkpoint?

Agora nosso jovem não parece mais tão confortável.

VWORP.

VWORP.

VWORP.

A TARDIS materializa-se perto do quadro branco.

A porta abre.

O Doctor sai.

Olha para nosso aprendiz.

— Você conhece COBOL?

— Sim.

— Muito?

Nosso jovem hesita.

Cinco minutos atrás teria respondido:

“Bastante.”

Agora:

— Estou começando a achar que talvez não.

O Doctor sorri.

— Excelente.

— Excelente?!

— Sim.

— Acabei de descobrir que sei menos do que imaginava.

— Exatamente.

Pausa.

— Esse costuma ser um ótimo começo.

Bem-vindo ao:



Dunning-Kruger Effect

Ou:

Efeito Dunning-Kruger

O fenômeno pelo qual pessoas com conhecimento ou habilidade limitada em determinado domínio podem superestimar sua própria competência, em parte porque ainda não desenvolveram conhecimento suficiente para reconhecer adequadamente os próprios erros, limitações e lacunas.

Em linguagem Bellacosa:

“Quando você sabe pouco, ainda não sabe o suficiente para perceber tudo o que não sabe.”


🧠 Antes de tudo: não transforme Dunning-Kruger em insulto

Essa é importantíssima.

Na internet, “Dunning-Kruger” virou quase sinônimo de:

“Fulano é burro e acha que sabe tudo.”

Isso é uma simplificação ruim.

O fenômeno não diz:

pessoas pouco inteligentes são arrogantes.

Nem:

todo iniciante é excessivamente confiante.

Nem:

todo especialista é humilde.

A ideia é mais interessante.

Para avaliar nossa própria competência, precisamos possuir parte das mesmas habilidades necessárias para desempenhar bem a tarefa.

Ou seja:

às vezes precisamos aprender para descobrir que estávamos errando.


☕ O programador COBOL que descobriu o PERFORM

Primeiro dia.

Você aprende:

       PERFORM 1000-PROCESSAR
       PERFORM 2000-GRAVAR.

Fantástico.

COBOL parece simples.

Depois descobre:

PERFORM THRU.

PERFORM VARYING.

PERFORM UNTIL.

PERFORM TEST BEFORE.

TEST AFTER.

Escopo.

Fall-through.

GO TO perdido no meio.

Alterações feitas em 1987.

COPYBOOK.

REDEFINES.

OCCURS DEPENDING ON.

COMP-3.

E você percebe:

o COBOL que parecia pequeno era apenas a parte que já cabia no seu mapa.


🗺️ O território era muito maior

Isso acontece em praticamente toda área técnica.

No começo:

COBOL = PROGRAMA
JCL = EXECUTAR
DB2 = BANCO
CICS = ONLINE

Depois:

COBOL começa a envolver:

layout;

encoding;

numeric representation;

runtime;

compiler options;

LE;

performance;

compatibilidade.

JCL vira:

catalog;

SMS;

GDG;

DISP;

restart;

JES;

condition codes;

procedures.

DB2 vira:

locking;

isolation;

optimizer;

indexes;

buffer pools;

logging;

utilities;

recovery.

CICS vira:

tasks;

regions;

queues;

storage;

syncpoint;

TOR/AOR;

routing;

recovery.

Conhecimento aumenta.

E junto com ele:

a superfície do desconhecido.


👻 Easter Egg nº 1 — A TARDIS do conhecimento

Companion entra na TARDIS pela primeira vez.

— É maior por dentro!

Doctor:

— Conhecimento também.

— Como assim?

— Quanto mais você entra...

Pausa.

— maior ele fica.

Talvez essa seja uma das melhores metáforas para aprender mainframe.

Você abre a porta esperando uma cabine.

Encontra um universo.


🧠 O problema metacognitivo

Existe uma palavra importante:

metacognição

Basicamente:

capacidade de avaliar o próprio pensamento e conhecimento.

Para perceber:

“Minha solução está errada”

você precisa possuir conhecimento suficiente para reconhecer o erro.

Isso cria um paradoxo.

A pessoa pode cometer erro...

e simultaneamente não possuir as ferramentas mentais necessárias para identificar que cometeu.


☕ COBOL e o PIC errado

Iniciante escreve:

01 WS-VALOR PIC 9(5).

Depois recebe:

123456

Problema.

Veterano pergunta:

— E se passar de 99999?

Novato:

— Não vai passar.

— Por quê?

— Porque nunca vi passar.

Agora encontramos:

Dunning-Kruger;

Availability Heuristic;

Base Rate Neglect;

Optimism Bias.

Tudo numa variável.


🧠 Pouco conhecimento produz modelos simples

No início, seu modelo mental pode ser:

INPUT
↓
PROCESSAMENTO
↓
OUTPUT

Excelente.

Depois aprende que existe:

INPUT
↓
VALIDAÇÃO
↓
NORMALIZAÇÃO
↓
LOCK
↓
PROCESSAMENTO
↓
COMMIT
↓
LOG
↓
QUEUE
↓
DOWNSTREAM
↓
RECONCILIAÇÃO

Quanto mais o modelo cresce:

menos confortáveis ficam frases como:

“É só fazer X.”


☕ Uma palavra perigosa na TI:

“Só.”

“É só alterar o copybook.”

“É só aumentar o parâmetro.”

“É só reiniciar.”

“É só migrar.”

“É só chamar API.”

“É só trocar COBOL por Java.”

O “só” frequentemente indica:

complexidade invisível para quem está falando.

Nem sempre.

Mas merece atenção.


🧠 Dunning-Kruger + Planning Fallacy

Essa combinação é fantástica.

Pessoa conhece pouco o trabalho.

Logo:

não enxerga todas as etapas.

Então estima:

“Duas horas.”

Depois descobre:

copybook;

impact analysis;

testes;

batch;

DB2;

MQ;

regressão;

change;

rollback.

Planning Fallacy aparece porque:

não sabemos nem listar tudo aquilo que precisamos estimar.


📅 “É só uma mudança pequena”

Nosso jovem diz:

— Alterar esse campo leva quinze minutos.

Veterano responde:

— O código, talvez.

— Então?

— Precisamos descobrir quem usa.

E aí começam:

grep;

impact analysis;

programas;

copybooks;

feeds;

arquivo externo;

reconciliação.

Quinze minutos de digitação.

Três dias de engenharia.


🧠 Overconfidence Bias versus Dunning-Kruger

São próximos.

Mas não iguais.

Overconfidence Bias

Confiança excessiva em:

conhecimento;

previsão;

capacidade.

Pode afetar qualquer nível de experiência.

Dunning-Kruger

Destaca especialmente como baixa competência pode dificultar a própria avaliação da competência.

Um especialista também pode ser overconfident.

Mas provavelmente não por desconhecer completamente os fundamentos do domínio.


☕ O veterano arrogante também existe

Trinta anos de COBOL não imunizam ninguém.

Aliás:

experiência pode gerar:

Overconfidence Bias;

Status Quo Bias;

Authority Gradient.

Então não transforme Dunning-Kruger numa arma geracional:

“Júnior não sabe nada.”

Nem:

“Veterano está ultrapassado.”

Ambos são atalhos ruins.


🧠 Conhecimento específico

Uma pessoa pode ser especialista em:

COBOL batch.

E iniciante em:

CICS.

Pode ser senioríssima em:

Db2.

E newbie em:

IA generativa.

Competência não é um nível global.

É contextual.


🎯 Pergunta Bellacosa nº 1

Sempre pergunte:

“Especialista em quê, exatamente?”

Isso reduz generalização.


🧠 Authority Gradient

Agora imagine:

um especialista muito confiante.

Ele diz:

— Isso é simples.

Sala aceita.

Talvez ele esteja falando fora da própria área.

Cargo cria autoridade.

Dunning-Kruger pode ficar protegido pela hierarquia.


👥 Groupthink

Uma pessoa confiante fala primeiro.

Outros pensam:

“Ele parece saber.”

Ninguém questiona.

Agora excesso de confiança individual vira consenso coletivo.

Groupthink amplifica.


🧠 Fluency Effect

Explicações simples e fluidas soam mais verdadeiras.

Pessoa diz com segurança:

“É claramente problema de rede.”

Outra diz:

“Há várias hipóteses; ainda precisamos verificar lock, downstream e saturação.”

Quem parece mais competente?

Curiosamente:

o primeiro.

Mas talvez o segundo saiba muito mais.


☕ A maldição do “depende”

Pergunte a um iniciante:

— Quanto leva?

Resposta:

— Uma hora.

Pergunte a um especialista:

— Depende.

Parece menos confiante.

Mas:

“depende”

pode significar que ele enxerga:

variáveis;

condições;

exceções.

A incerteza bem calibrada é sinal de conhecimento.


🧠 Expertise aumenta nuance

Iniciante:

“Sim.”

Especialista:

“Sim, se A e B forem verdadeiros; caso C exista precisamos fazer D.”

A segunda resposta parece menos elegante.

Mas representa melhor a realidade.


👻 Easter Egg nº 2 — Doctor Who e “depende”

Companion:

— Essa alavanca salva o universo?

Doctor:

— Depende.

— Do quê?

— Da época, dimensão, polaridade, posição das luas e se alguém mexeu no circuito de contenção.

Companion:

— Então você não sabe?

Doctor:

— Pelo contrário.

Pausa.

— Sei o suficiente para não responder rápido.


🧠 Dunning-Kruger + Narrative Bias

Conhecimento pequeno favorece histórias simples.

“Foi o deploy.”

“Foi Db2.”

“Foi operador.”

Uma narrativa clara cria sensação de entendimento.

Quanto mais sabemos:

mais percebemos:

interações.

Narrative Bias gosta do especialista de cinco minutos.

Sistemas complexos geralmente não.


🧠 Representativeness Heuristic

Iniciante vê:

timeout.

Aprendeu:

timeout pode ser Db2.

Pronto:

Db2.

Porque ainda conhece poucos padrões.

Veterano talvez conheça vinte mecanismos que produzem timeout.

Mais conhecimento gera mais alternativas.

Isso pode até parecer indecisão.

Mas é riqueza diagnóstica.


🧠 Confirmation Bias

Pessoa iniciante encontra primeira teoria.

Não sabe quais evidências seriam necessárias para refutá-la.

Então busca confirmação.

Isso reforça sensação de competência.

Aprender método de diagnóstico é tão importante quanto aprender comandos.


☕ Comandos versus raciocínio

Saber:

CANCEL

é fácil.

Saber:

quando cancelar

é outra carreira.

Saber:

START

é fácil.

Saber:

por que iniciar

é engenharia.


🧠 Action Bias

Pouca experiência + muita confiança:

“Restart.”

Especialista:

— Primeiro vamos capturar dump.

Iniciante pode pensar:

“Ele está complicando.”

Na verdade:

o especialista sabe que restart pode destruir evidência.

O conhecimento adicionou cautela.


🧠 Omission Bias também pode aparecer

Novato:

“Melhor não tocar.”

Porque não entende risco.

Ou:

“Pode mexer tranquilo.”

Porque também não entende risco.

Pouco conhecimento não produz sempre ação.

Produz:

avaliação mal calibrada.

Esse é o coração do problema.


🧠 Confidence Calibration

O objetivo não é ser:

confiante

ou:

inseguro.

É ser:

calibrado.

Se você diz:

90% de confiança,

deveria acertar aproximadamente 90% de casos equivalentes ao longo do tempo.

Isso pode ser treinado.


📊 Decision Journal

Antes do diagnóstico:

HYPOTHESIS:
DB2 lock

CONFIDENCE:
80%

Depois:

ROOT CAUSE:
API timeout

Registre.

Depois de 50 casos:

você começa a saber se seus 80% realmente significam 80%.

Isso é maturidade.


🧠 Hindsight Bias tentará trapacear

Depois:

“Eu sabia que talvez fosse API.”

Claro.

Mas antes você escreveu:

DB2 80%.

Logs cognitivos ajudam.


☕ Um SMF da confiança

Seria maravilhoso:

SMF TYPE 999
USER CONFIDENCE RECORD

Campos:

hipótese;

confiança;

resultado.

Nosso ego odiaria.

Nossa engenharia agradeceria.


🧠 Self-Serving Bias entra

Acertou?

“Experiência.”

Errou?

“Caso muito atípico.”

Se isso acontecer sempre:

nunca calibramos.

Self-Serving Bias mantém Dunning-Kruger vivo.


🧠 Feedback é essencial

O fenômeno diminui quando pessoas recebem:

treinamento;

feedback;

experiência.

Porque passam a reconhecer os próprios erros.

Ou seja:

a cura não é:

humilhação.

É:

aprendizado com feedback de qualidade.


☕ Rir do newbie não ajuda

Se alguém pergunta algo básico:

não transforme isso em:

“Como você não sabe?”

Essa cultura incentiva:

fingir conhecimento.

E fingir conhecimento é muito mais perigoso que admitir dúvida.


🧠 Psychological Safety

Equipe madura permite:

“Não sei.”

“Preciso verificar.”

“Nunca fiz isso.”

Essas frases são controles de segurança.

Sim.

“Não sei” pode ser uma ferramenta de alta disponibilidade.


🎯 Pergunta Bellacosa nº 2

Quando não souber:

“Quem sabe mais sobre isso que eu?”

Simples.

Poderosa.


🧠 Authority Gradient inverso

Às vezes alguém em posição elevada evita dizer:

“Não sei.”

Porque acredita que cargo exige certeza.

Isso gera decisões perigosas.

Um líder forte pode dizer:

“Não conheço esse detalhe. Quem conhece?”

Isso melhora sistema.


☕ O especialista que sabe perguntar

Talvez uma das marcas mais fortes da senioridade seja:

não saber tudo.

Mas saber:

onde está dúvida;

quem consultar;

qual evidência procurar.


🧠 Unknown unknowns

Donald Rumsfeld popularizou uma linguagem famosa:

known knowns;

known unknowns;

unknown unknowns.

Em engenharia:

Known known

Sabemos que Db2 pode lockar.

Known unknown

Não sabemos qual thread.

Unknown unknown

Nem sabemos que uma dependência nova entrou no fluxo.

Quanto menos experiente:

maior tendência a não perceber os unknown unknowns.


🧠 O mapa do desconhecido

Especialista talvez não saiba resposta.

Mas conhece categorias de problema.

Isso já é muito.

Novato acha:

mapa = território.

Especialista sabe:

há áreas não mapeadas.


☕ Indiana Jones do mainframe

Novato:

— Já conheço a caverna.

Veterano:

— Você viu a entrada.

Perfeito.


🧠 Curiosity as defense

Uma forma poderosa de combater Dunning-Kruger:

curiosidade metódica.

Pergunte:

  • o que posso estar deixando passar?

  • qual premissa não testei?

  • quem discordaria?

  • qual caso-limite?

  • qual impacto indireto?

Curiosidade reduz certeza prematura.


🎯 Pergunta Bellacosa nº 3

“O que eu precisaria saber para descobrir que estou errado?”

Essa pergunta é ouro.


🧠 Pre-mortem

Imagine:

mudança falhou.

Por quê?

Isso força nossa mente a procurar complexidade que talvez não tenhamos visto.


🧠 Red Team

Dê solução para outro profissional.

Peça:

“Quebre.”

Se você sabe pouco:

talvez não enxergue riscos.

O colega traz repertório diferente.


👥 Pair Programming

Para iniciantes:

excelente.

Não apenas porque alguém corrige.

Mas porque expõe:

formas diferentes de pensar.

Você aprende a ver o que não via.


💻 Code Review

Código:

IF WS-STATUS = 'A'
    PERFORM PROCESSAR
END-IF

Reviewer:

— O que acontece com 'B'?

— Nunca vem.

— Onde está garantido?

Novato:

— Hmmm.

Pronto.

Um pedaço do território apareceu.


🧠 Testes revelam ignorância útil

Teste falha.

Isso é maravilhoso.

Ele mostra:

seu modelo mental estava incompleto.

Teste não “atrapalha” desenvolvimento.

Ele revela discrepância entre:

o que você imaginava

e:

o que o sistema realmente faz.


☕ Um teste vermelho é uma aula barata

Muito melhor que SEV-1.


🧠 Sandbox

Ambiente seguro também combate excesso de confiança.

Experimente.

Quebre.

Veja.

Quanto mais experiência direta:

mais calibrado o modelo.


🧠 Simulações e Game Days

Você acha:

failover leva 3 min.

Teste.

Leva 27.

Excelente.

Melhor descobrir numa terça às 14h que numa sexta às 03h.


🧠 Dunning-Kruger + Planning Fallacy no DR

— Restore é simples.

— Já testou?

— Não.

— Quanto leva?

— Uns 15 minutos.

Restore real:

3 horas.

Planejamento baseado em conhecimento imaginado.


🧠 Fundamental Attribution Error

Depois falha:

“Operador não sabia restaurar.”

Mas gestão também achava que era simples.

Dunning-Kruger pode existir em processos, não apenas indivíduos.


👥 Organizational Dunning-Kruger

Uma organização inteira pode acreditar:

“Somos maduros em DevOps.”

Mas mede:

quantidade de pipelines.

Não:

lead time;

failure rate;

rollback;

observabilidade.

Conhecimento superficial institucional gera confiança alta.


☕ “Temos IA”

Pergunta:

— O que faz?

— IA.

Perfeito exemplo moderno.

Talvez apenas API chamando modelo.

Mas apresentação:

“Agente autônomo enterprise.”

Conhecimento superficial + marketing.


🤖 IA e Dunning-Kruger

Esse é um terreno fascinante.

Pessoa aprende:

prompt.

RAG.

agent.

tools.

Em poucos dias pensa:

“Agora entendi IA.”

Depois chega:

evals;

hallucinations;

security;

prompt injection;

context poisoning;

tool permissions;

distribution shift;

governance;

observability.

A TARDIS abre de novo.

Maior por dentro.


🧠 AI can amplify perceived expertise

Agora temos um problema novo.

Pessoa pergunta à IA.

Recebe resposta sofisticada.

Passa a sentir que entende o assunto.

Mas:

ter acesso a uma boa explicação não é igual a possuir competência operacional.

Você pode copiar JCL perfeito.

Mas consegue diagnosticar quando falhar?

Outra questão.


☕ Copiar não é dominar

//STEP1 EXEC PGM=SORT

Funciona.

Ótimo.

Agora explique:

SORT FIELDS;

SUM;

OUTFIL;

JOINKEYS;

DCB;

space;

performance.

Conhecimento operacional vem depois.


🧠 Automation Bias + Dunning-Kruger

Usuário pouco experiente recebe resposta da IA.

Não sabe identificar erro.

Confia.

Esse é um risco importante.

Quanto menor sua capacidade de avaliar output:

maior necessidade de controles externos.


🎯 Regra Bellacosa para IA

Quanto menos você conhece o domínio, menos deveria tratar a fluência da IA como prova de correção.

Peça:

fontes;

testes;

validação;

especialista.


🧠 Expertise is verification capacity

Uma definição interessante:

ser especialista não é apenas produzir resposta.

É conseguir:

avaliar a qualidade de uma resposta.

Isso importa enormemente na era da IA.


☕ O júnior com Copilot

Copilot gera código.

Compila.

Júnior:

— Perfeito.

Veterano:

— Testou overflow?

— Não.

— Retry?

— Não.

— Thread safety?

— Não.

Ferramenta aumentou produtividade.

Mas pode aumentar confiança antes da competência.

Educação precisa acompanhar.


🧠 Dunning-Kruger não é uma curva universal simples

Aqui uma curiosidade importante.

Na internet existe um gráfico famoso:

CONFIDENCE
   /\
  /  \
 /    \____
          \____
EXPERIENCE

Com nomes como:

“Mount Stupid”;

“Valley of Despair”;

“Slope of Enlightenment”;

“Plateau of Sustainability”.

É divertido.

Mas não é o gráfico original do estudo.

É uma representação popular posterior, muitas vezes usada de forma exagerada.

Bom Easter Egg conceitual:

não transforme o próprio Dunning-Kruger numa simplificação Dunning-Kruger.


😄 Meta-Dunning-Kruger

Pessoa lê um artigo de cinco minutos sobre Dunning-Kruger.

Passa a diagnosticar:

todo mundo.

Talvez seja o exemplo mais engraçado possível.


🧠 O estudo original

O efeito leva o nome de David Dunning e Justin Kruger, pesquisadores que estudaram como pessoas avaliavam suas próprias habilidades em diferentes tarefas.

Uma ideia central dos trabalhos:

algumas pessoas com pior desempenho também tinham dificuldade maior em reconhecer a própria baixa performance.

Mas o tema é estudado, debatido e refinado.

Não use como rótulo médico ou diagnóstico pessoal.

É uma lente sobre calibração.


☕ Bellacosa rule:

Use vieses para revisar decisões, não para insultar colegas.

Vale para toda a série.


🧠 Impostor Syndrome não é o inverso simples

Outro erro popular:

“Dunning-Kruger = incompetente confiante.”

“Impostor syndrome = competente inseguro.”

Realidade é mais complexa.

Confiança e competência variam.

Pessoas experientes podem subestimar ou superestimar.

Não transforme psicologia em Pokémon.


🧠 Expertise can reduce confidence

À medida que você aprende:

descobre exceções.

Isso pode reduzir certeza.

Mas não significa necessariamente baixa autoconfiança.

Um especialista pode dizer:

“Tenho 70% de confiança.”

Isso é melhor que um iniciante dizendo:

“100%.”

Calibração.


🧠 Confidence intervals cognitivas

Em vez de:

“é Db2.”

Diga:

“Db2 é minha hipótese principal, 60%, mas MQ e API continuam abertas.”

Isso mostra qualidade epistemológica.


☕ “Não sei ainda” é diferente de “não sei nada”

Outra distinção importante.

Especialista pode suspender conclusão.

Isso não é fraqueza.

É controle de qualidade.


🧠 Dunning-Kruger + Action Bias

Pouco conhecimento.

Alta confiança.

Incidente.

Ação rápida.

Restart.

Perfeito.

Uma defesa:

gates de mudança baseados no risco, não na confiança de quem fala.


🧠 Second Pair of Eyes

Quanto mais crítico:

review.

Mesmo se especialista diz:

“Tenho certeza.”

Especialmente então.


🧠 Checklists

Pilotos experientes usam.

Cirurgiões experientes usam.

Operadores experientes também deveriam.

Checklist não é muleta de incompetência.

É proteção contra:

memória;

pressa;

excesso de confiança.


☕ Quanto mais experiente, mais você entende por que checklist existe

Provavelmente.


🧠 Runbook as distributed expertise

Um bom runbook permite que conhecimento de vários especialistas esteja disponível no incidente.

Isso reduz dependência do:

“eu acho.”


🧠 Escalation Criteria

Dunning-Kruger pode fazer iniciante não perceber:

quando pedir ajuda.

Defina:

ESCALATE IF:
- data integrity uncertain
- rollback unclear
- security impact unknown
- two failed attempts

Agora não depende do ego decidir.


🎯 Pergunta Bellacosa nº 4

“Qual é o momento em que eu devo parar e chamar alguém?”

Isso deveria ser ensinado desde o primeiro dia.


🧠 Seniority is knowing escalation

Você não precisa resolver tudo.

Profissional maduro sabe:

quando risco ultrapassa competência disponível.


☕ A frase mais cara:

“Deixa comigo.”

Às vezes excelente.

Às vezes prelúdio de War Room.

Pergunte:

— Você já fez isso?

Se:

— Nunca, mas parece simples.

Talvez alguém queira ficar por perto.


🧠 Unknown Skill Boundary

Faça mapa pessoal:

I CAN DO ALONE

I CAN DO WITH REVIEW

I NEED HELP

I SHOULD NOT TOUCH

Isso é poderoso.

Especialmente no início.


💻 Exemplo COBOL iniciante

Posso fazer sozinho

Alteração simples com teste conhecido.

Com review

Mudança em copybook compartilhado.

Preciso de ajuda

Restart complexo.

Não devo tocar sozinho

Reprocessamento financeiro sem conhecer reconciliação.

Excelente.


🧠 Growth means moving boundaries

Com experiência:

coisas migram:

Need Help → Review → Alone.

Mas conscientemente.

Não porque:

“acho que já sei.”


🧠 Deliberate Practice

Só repetir não basta.

Você pode repetir erro por dez anos.

Experiência útil precisa:

feedback;

desafio;

correção.

Isso é prática deliberada.


☕ Dez anos de experiência ou um ano repetido dez vezes?

Frase antiga.

Ainda ótima.


🧠 Normalization of Deviance

Pessoa faz algo errado.

Funciona.

Repete.

Agora:

“Tenho muita experiência nisso.”

Talvez tenha acumulado sobrevivência, não competência.

Outcome Bias + Normalization + Dunning-Kruger.


🧠 Survivorship Bias

Você sempre fez:

restart sem dump.

Nunca deu problema.

Conclusão:

“Não precisa dump.”

Mas talvez teve sorte.

Os casos ruins ainda não apareceram.


🧠 Success can delay learning

Quando erro não produz consequência:

feedback não chega.

Então prática ruim continua.

Curiosamente:

às vezes o fracasso pequeno é professor melhor que o sucesso sortudo.


☕ Sandbox quebrando seu ego com carinho

Esse é o lugar perfeito.

Quebre lá.

Aprenda barato.


🧠 Psychological safety for questions

Novato precisa poder perguntar:

“O que é syncpoint?”

Sem medo.

Senão finge.

Fingimento + produção crítica = aventura.


👥 Mentorship

Mentor bom não diz apenas:

“Faça assim.”

Explica:

“Aqui está o que pode acontecer se fizermos diferente.”

Isso constrói mapa de riscos.


🧠 Teaching exposes complexity

Curiosamente, ensinar também ajuda o especialista.

Quando precisa explicar:

descobre lacunas próprias.

Então:

mentoria combate Dunning-Kruger dos dois lados.


☕ Método Feynman

Tente explicar conceito de forma simples.

Se não consegue:

talvez não entenda tão bem quanto pensa.

Para COBOL:

“Explique por que este programa precisa de checkpoint.”

Se resposta vira fumaça:

estude mais.


🧠 Teach Back

Após treinamento:

peça ao aprendiz:

“Explique para mim como faria.”

Isso revela modelo mental.

Muito melhor que:

“Entendeu?”

Todo mundo responde:

“Sim.”


🧠 “Entendeu?” é uma pergunta quase inútil

Use:

“O que faria se o STEP2 terminasse RC=8?”

Agora testa conhecimento.


🧪 Scenario-based training

Coloque casos:

  • S0C7;

  • file status 35;

  • lock;

  • MQ backlog;

  • restart.

Peça decisão.

Depois feedback.

Isso melhora calibração.


🧠 Learning curve da humildade

Uma jornada saudável:

EU SEI
↓
HMM...
↓
EU NÃO SABIA QUE ISSO EXISTIA
↓
AGORA ENTENDO MELHOR
↓
AINDA TENHO MUITO A APRENDER

Essa última frase pode permanecer para sempre.

E é ótimo.


👻 Easter Egg nº 3 — o Doctor de 900 anos

Companion:

— Você sabe tudo?

Doctor:

— Não.

— Mas você tem centenas de anos.

— Exatamente.

— Não entendi.

— Depois de centenas de anos...

Pausa.

— tive tempo suficiente para descobrir quantas coisas ainda não sei.


🧠 Expertise and uncertainty

Conhecimento real não elimina incerteza.

Ajuda a:

localizá-la.

Essa é uma diferença enorme.

Novato:

não vê risco.

Especialista:

diz onde risco está.


☕ “Não sei” localizado

Ruim:

“Não sei nada.”

Bom:

“Sei que o processamento está correto até o commit; não sei ainda como o restart trata registros após checkpoint.”

Essa é uma dúvida útil.


🧠 Incident Command

Incident Commander precisa valorizar:

declaração de confiança.

Exemplo:

DBA:
Hypothesis: lock
Confidence: 70%

APP:
Hypothesis: API
Confidence: 50%

Isso reduz voz dominante.


🧠 Confidence without evidence

Se alguém diz:

“Tenho certeza.”

Pergunte:

“Qual evidência mudaria sua opinião?”

Se:

“Nenhuma.”

Temos um problema.


🧠 Dunning-Kruger + Confirmation Bias

Pouca competência dificulta reconhecer evidência contrária.

Então precisamos processo que force:

contraprova.


🧪 Falsification question

Antes de executar:

“Se minha teoria estiver errada, o que verei?”

Excelente hábito.


📊 Historical calibration

Quantas vezes sua primeira hipótese estava certa?

10%?

60%?

Dados ajudam.


🧠 Base Rate Neglect

Novato pode achar:

problema raro

porque acabou de aprender sobre ele.

Representativeness.

Availability.

Dunning-Kruger.

O conhecimento recém-adquirido parece explicar o universo.


☕ O “martelo novo”

Você aprende:

deadlock.

Próximas três semanas:

tudo parece deadlock.

Aprende:

memory leak.

Agora tudo é memory leak.

Isso é normal no aprendizado.

Só não promova para RCA sem evidência.


🧠 Law of the Instrument

A famosa ideia:

se tudo que você tem é um martelo, tudo parece prego.

No aprendizado:

a última ferramenta aprendida vira lente universal.

Combina perfeitamente com Recency e Availability.


🧠 Dunning-Kruger organizacional em modernização

Equipe conhece pouco mainframe.

Conclui:

“É só reescrever em Java.”

Outra equipe conhece pouco cloud.

Conclui:

“Cloud não presta.”

Mesma estrutura.

Pouco conhecimento do outro domínio.

Alta certeza.


☕ A fronteira mais perigosa é a que você nunca atravessou

Antes de declarar:

“simples”;

“obsoleto”;

“impossível”,

converse com quem vive ali.


🧠 Cross-domain review

Para decisão mainframe/cloud:

traga especialistas dos dois lados.

Evita:

ignorância unilateral.


🤖 Agentes e hype

Pessoa monta primeiro agente.

Funciona numa demo.

Conclusão:

“Agora podemos automatizar tudo.”

Depois encontra:

tool errors;

permissions;

state;

security;

loops;

cost;

observability.

Demo não é produção.


🧠 Prototype confidence

POC sucesso pode gerar:

overgeneralization.

Pergunte:

  • volume?

  • failure modes?

  • recovery?

  • adversarial inputs?

  • governance?

A maturidade começa depois da demo.


☕ Hello World é extraordinariamente confiável

Até tentar pagar salário com ele.


📋 Checklist anti-Dunning-Kruger

[ ] Tenho experiência real neste domínio?

[ ] Já enfrentei casos de falha, não apenas happy path?

[ ] Que riscos eu talvez nem saiba listar?

[ ] Quem conhece mais esse assunto?

[ ] Minha confiança está apoiada em dados ou sensação?

[ ] Já executei isso em ambiente seguro?

[ ] Sei como rollback funciona?

[ ] Sei como reconhecer que estou errado?

[ ] Que evidência contradiz minha hipótese?

[ ] Estou chamando algo de “simples” cedo demais?

[ ] Minha estimativa inclui trabalho invisível?

[ ] Estou confundindo sucesso passado com competência?

[ ] A IA está me dando confiança sem compreensão?

[ ] Preciso de review?

[ ] Qual é meu limite de escalonamento?

🧪 Como combater o Dunning-Kruger — passo a passo

Passo 1 — Declare nível de experiência

Sem vergonha.

“Primeira vez.”

Ajuda todo mundo.


Passo 2 — Quantifique confiança

Não apenas “sei”.


Passo 3 — Peça review

Principalmente em área nova.


Passo 4 — Use checklists

Memória não é processo.


Passo 5 — Teste em ambiente seguro

Aprenda antes da produção.


Passo 6 — Procure feedback rápido

Erro barato ensina.


Passo 7 — Mantenha decision journal

Calibre-se.


Passo 8 — Procure contraexemplos

Sua regra possui exceção?


Passo 9 — Ensine o que aprendeu

Explicar revela lacunas.


Passo 10 — Atualize o mapa da própria competência

O que agora você sabe que não sabe?


🧠 Competence Map

Crie algo simples:

COBOL
████████░░

JCL
███████░░░

DB2
████░░░░░░

CICS
███░░░░░░░

IMS
██░░░░░░░░

Não precisa ser preciso.

Serve para lembrar:

competência é multidimensional.


☕ Nível 99 em COBOL não dá nível 99 em tudo

Infelizmente não existe multiclass automática.


🧠 Humility is not self-deprecation

Humildade técnica não é:

“Sou ruim.”

É:

“Conheço meus limites e atualizo minha opinião quando chegam dados melhores.”

Isso é força.


🧠 Confidence with escape hatch

Uma frase perfeita:

“Minha melhor hipótese é X, com 70% de confiança. Se Y não aparecer, abandono.”

Isso é profissionalismo.


🧠 Certainty theater

Algumas organizações recompensam:

certeza.

Executivos perguntam:

— Vai funcionar?

Engenheiro:

— Provavelmente.

Parece fraco.

Outro:

— Com certeza.

Parece líder.

Talvez estejamos premiando teatro.


☕ A confiança mais alta da reunião nem sempre mora na pessoa que sabe mais

Essa merece quadro.


🧠 Management needs calibrated language

“Não sei”;

“precisamos testar”;

“70%”;

não deveriam ser penalizados.

Senão organização fabrica excesso de confiança.


🧠 Incentives create fake certainty

Se promoção exige:

“ter resposta”,

pessoas inventam respostas.

Se cultura valoriza:

investigação,

pessoas admitem dúvidas.

Dunning-Kruger pode ser amplificado pelo ambiente.


🧠 Actor-Observer Bias

Quando outro exagera competência:

“arrogante.”

Quando fazemos:

“precisávamos decidir rápido.”

Novamente:

mesma régua.


🧠 Self-Serving Bias

Acertamos depois de dizer:

“tenho certeza.”

“Viu?”

Erramos:

“Era caso raro.”

Precisamos registros.


🧠 Fundamental Attribution Error

Não rotule:

“ele tem Dunning-Kruger.”

Isso é exatamente usar uma categoria psicológica para explicar pessoa.

Muito irônico depois do capítulo anterior.

Melhor dizer:

“A confiança demonstrada parece maior do que a evidência e a experiência disponíveis.”

Comportamento.

Não identidade.


☕ O meme não é diagnóstico

Regra universal.


🧠 Psychological safety + accountability

Se alguém assume tarefa fora da competência sem avisar:

problema.

Mas também pergunte:

era fácil pedir ajuda?

Havia especialista?

Prazo permitia?

Novamente:

pessoa + contexto.


🧠 Mentoring ladder

Para um newbie:

OBSERVE
↓
DO WITH HELP
↓
DO WITH REVIEW
↓
DO ALONE
↓
TEACH

Essa progressão reduz excesso de confiança sem sufocar autonomia.


💻 COBOL apprenticeship

Primeiro:

leia código.

Depois:

alteração pequena.

Depois:

testes.

Depois:

restart.

Depois:

produção crítica.

Não jogue novato num SEV-1 e depois reclame que não sabia.


🧠 Competence needs exposure

Livro ensina.

Curso ensina.

Mas incidentes reais ensinam ambiguidades.

Por isso:

shadowing.

pairing.

labs.

Game Days.


☕ O primeiro S0C7 que você resolve parece magia

No décimo:

você percebe que S0C7 era a porta.

Não a casa.


🧠 Resilience Engineering

Equipes resilientes não dependem de:

indivíduos saberem tudo.

Criam:

redundância de conhecimento;

runbooks;

instrumentação;

escalation;

automação.

Isso reduz dano de avaliações individuais erradas.


🧠 Swiss Cheese novamente

Se um newbie superestima capacidade:

uma barreira deveria ajudar.

Review.

Teste.

Approval.

Canary.

O erro cognitivo de uma pessoa não deveria atravessar tudo.


🧀 Bias também precisa de queijo suíço

Bonito.

Cada viés humano:

inevitável.

Defesas:

processo;

tecnologia;

cultura.

Nenhuma perfeita.

Juntas:

resiliência.


🧠 Continuous Improvement

Depois de incidente:

não pergunte:

“Quem sabia pouco?”

Pergunte:

  • quem tinha quais skills?

  • onde review faltou?

  • treinamento estava adequado?

  • escalation era claro?

  • nossa confiança estava calibrada?

Agora Dunning-Kruger vira melhoria.


🎯 Pergunta Bellacosa nº 5

“Que conhecimento descobrimos que não sabíamos que precisava existir?”

Essa pergunta é belíssima.

É o coração do aprendizado.


📓 Diário do Doctor

Se guardar algumas ideias desta viagem, guarde estas:

Dunning-Kruger Effect descreve situações em que habilidade limitada também dificulta avaliar corretamente a própria habilidade.

Não é sinônimo de burrice ou arrogância.

Pouco conhecimento cria modelos mentais simples e pode esconder complexidade.

Expertise frequentemente aumenta percepção das exceções e das incertezas.

Overconfidence Bias pode ocorrer em qualquer nível; Dunning-Kruger destaca problemas de autoavaliação em baixa competência.

Planning Fallacy pode nascer de não conhecermos todas as etapas do trabalho.

Representativeness e Availability fazem o pouco que conhecemos parecer aplicável a tudo.

Self-Serving Bias pode impedir calibração quando explicamos nossos erros como casos excepcionais.

Feedback, prática deliberada, mentoria, review e testes ajudam a melhorar a autoavaliação.

IA pode aumentar confiança sem aumentar competência equivalente, especialmente quando o usuário não consegue validar a resposta.

“Não sei” e “preciso de ajuda” são controles de segurança.

E principalmente:

O verdadeiro salto de conhecimento não acontece quando você finalmente acha que sabe tudo. Acontece quando aprende a distinguir claramente aquilo que sabe, aquilo que suspeita e aquilo que ainda precisa perguntar.


🕰️ De volta à reunião das 09:12

Nosso jovem começou dizendo:

— É só ler, alterar e gravar.

Uma hora depois, o quadro está cheio:

VSAM 1
VSAM 2
CHECKPOINT
RESTART
COMMIT
RERUN
DUPLICATE PROCESSING
RECOVERY
RECONCILIATION

Ele olha.

— Eu não fazia ideia de que havia tudo isso.

O especialista responde:

— Normal.

— Então eu estava errado?

— Sua solução inicial estava incompleta.

— É a mesma coisa?

— Não exatamente.

Nosso jovem pensa.

— E quanto tempo até eu dominar?

O especialista ri.

— Qual parte?

O Doctor sorri.

— Excelente resposta.

Nosso programador pega o café.

Agora parece menos confiante.

Mas também:

muito mais preparado para aprender.


🔧 Seis meses depois

Nova mudança.

Alguém pergunta:

— Parece simples. Você consegue fazer sozinho?

Antigamente:

“Sim.”

Agora ele responde:

— O código, sim.

— E o resto?

— Preciso revisar restart e impacto no copybook com alguém.

— Não sabe?

— Sei onde estou confortável e onde quero segundo par de olhos.

O veterano sorri.

Essa é uma espécie curiosa de evolução:

ele parece menos confiante porque ficou mais competente.

Na verdade, apenas ficou mais calibrado.


🥚 Easter Egg final

Na manhã seguinte aparece:

BELLACOSA.BIAS(DUNNING-KRUGER)

Dentro:

       IF CONFIDENCE = '100%'
          AND EXPERIENCE = 'LOW'
           PERFORM ASK-MORE-QUESTIONS
       END-IF.

       IF SOMEONE-SAYS 'IT-IS-SIMPLE'
           PERFORM FIND-HIDDEN-COMPLEXITY
       END-IF.

       IF I-DO-NOT-KNOW
           PERFORM ASK-FOR-HELP
           NOT PRETEND-I-KNOW
       END-IF.

Comentário:

* "I DON'T KNOW"
* IS A VALID PRODUCTION CONTROL.

Outro:

* CONFIDENCE IS NOT A SKILL METRIC.

Outro:

* THE MORE YOU LEARN,
* THE BIGGER THE TARDIS GETS.

Mais um:

* A NEW HAMMER
* DOES NOT MAKE EVERYTHING A NAIL.

E naturalmente:

* DALEKS HAVE 100% CONFIDENCE.
* THIS HAS NOT ALWAYS HELPED THEM.

Nosso jovem fecha o membro.

Pouco depois alguém pergunta:

— Você conhece IMS?

Ele sabe alguma coisa.

Já estudou.

Já escreveu pequenos exemplos.

Poderia dizer:

“Sim.”

Em vez disso:

— Conheço o básico de DL/I e alguns conceitos. Ainda não operaria uma situação crítica sozinho.

O colega responde:

— Ótimo. Então vamos chamar a Alice também.

Nenhuma vergonha.

Nenhum teatro.

Nenhuma aventura desnecessária.

Apenas competência real crescendo exatamente onde a falsa certeza diminuiu.

VWORP.

VWORP.

VWORP.

A TARDIS desaparece.

No quadro da War Room fica uma última frase:

O iniciante perigoso não é aquele que sabe pouco. É aquele que não consegue enxergar onde termina aquilo que sabe. E o especialista valioso não é aquele que sabe tudo — é aquele que sabe exatamente quando precisa continuar perguntando.

☕🌀

Next stop: Illusion of Control — quando passamos a acreditar que dashboards, procedimentos, comandos, automações e nossa própria experiência nos dão mais controle sobre o sistema do que realmente possuímos.

quinta-feira, 13 de dezembro de 2012

Moral Hazard: Doctor Who, COBOL e o Dia em que Alguém Assumiu o Risco — Porque Outro Time Pagaria a Conta

 

Bellacosa Mainframe e o moral hazard

☕ Um Café no Bellacosa Mainframe

Moral Hazard: Doctor Who, COBOL e o Dia em que Alguém Assumiu o Risco — Porque Outro Time Pagaria a Conta

Uma viagem pela TARDIS dos incidentes para entender como seguros, contratos, SLAs, terceirização, automações e separação entre decisão e consequência podem incentivar comportamentos mais arriscados em sistemas críticos

08:37.

Segunda-feira.

War Room ainda vazia.

Café recém-passado.

Produção normal.

Na tela, uma proposta de mudança:

CHANGE:
BATCH PAYMENT ENGINE

SCOPE:
14 PROGRAMS
6 COPYBOOKS
3 DB2 TABLES
2 MQ FLOWS

WINDOW:
2 HOURS

Nosso jovem programador COBOL olha.

— Isso tudo em duas horas?

O gerente responde:

— Sim.

— Parece apertado.

— Se atrasar, operações segura.

— E se quebrar?

— Infra faz rollback.

— E se perdermos dados?

— O time de reconciliação corrige.

— E se o fornecedor não responder?

— Temos SLA.

Nosso jovem fica alguns segundos em silêncio.

Interessante.

Para cada risco:

alguém tinha uma resposta.

Mas quase sempre:

a resposta era outra pessoa.

O gerente continua:

— Vamos fazer Big Bang. É mais rápido.

O programador pergunta:

— Quem decidiu isso?

— Nós.

— E quem fica de plantão se der problema?

— Operações.

— Quem reconcilia?

— Financeiro.

— Quem responde ao cliente?

— Atendimento.

— Quem paga penalidade?

— A empresa.

Silêncio.

— Então...

Pausa.

— quem está assumindo o risco?

O gerente olha.

— Nós estamos decidindo.

— Eu sei.

— Então?

— Decidir e carregar a consequência são a mesma coisa?

Antes que alguém responda:

VWORP.

VWORP.

VWORP.

A TARDIS materializa-se ao lado do projetor.

A porta abre.

O Doctor sai.

Olha para o change.

Depois para a lista de times envolvidos.

— Quem escolheu o Big Bang?

— Gestão de projeto.

— Quem fará recuperação se falhar?

— Operações.

— Quem trabalhará madrugada adentro?

— Operações e desenvolvimento.

— Quem recebe bônus se entregar antes?

Silêncio.

— Gestão do projeto.

O Doctor sorri.

— Ah.

— O quê?

— Vocês criaram um sistema em que uma pessoa recebe parte do benefício da decisão...

Pausa.

— enquanto outras pessoas recebem parte maior do prejuízo se a decisão der errado.

Bem-vindo ao:



Moral Hazard

Ou:

Risco Moral

Um conceito econômico e comportamental que aparece quando alguém toma decisões de risco sabendo que não suportará integralmente as consequências negativas dessas decisões.

Em linguagem Bellacosa:

“Se eu ganho quando dá certo e outra pessoa paga boa parte da conta quando dá errado, meu incentivo para ser cauteloso diminui.”


🧠 Moral Hazard não significa “pessoa imoral”

Primeiro cuidado.

O nome pode confundir.

“Moral Hazard” não significa necessariamente:

fraude;

má-fé;

falta de caráter.

Pode existir mesmo quando ninguém está conscientemente tentando prejudicar alguém.

O problema é:

estrutura de incentivos.

Se benefício e consequência estão separados:

o comportamento pode mudar.

Isso é profundamente importante em:

seguros;

finanças;

outsourcing;

cloud;

DevOps;

projetos;

SRE;

segurança;

incidentes.

E naturalmente:

mainframe.


☕ O exemplo clássico do seguro

Imagine que você possui seguro completo para um carro.

Se qualquer dano for integralmente pago por outra entidade, talvez exista menos incentivo econômico para evitar alguns riscos.

Isso não significa que todo segurado vai dirigir perigosamente.

Significa que:

a proteção contra perdas pode alterar incentivos.

Por isso seguros possuem:

franquia;

limites;

condições.

Eles tentam manter:

skin in the game.

Ou seja:

alguma parte da consequência continua com quem toma a decisão.


🧠 Risk Compensation versus Moral Hazard

Eles se parecem.

Mas não são iguais.

Risk Compensation

“Estou mais protegido, então posso me sentir confortável assumindo mais risco.”

Pode acontecer mesmo quando eu continuo pagando as consequências.

Moral Hazard

“Parte importante das consequências cairá sobre outra pessoa, então meu incentivo para reduzir risco diminui.”

A diferença principal é:

quem paga a conta.


☕ Exemplo Bellacosa

Risk Compensation

Equipe recebe rollback automático.

Passa a deployar mais.

Ela ainda sofre os incidentes.

Moral Hazard

Projeto decide acelerar deploy.

Se der certo:

projeto bate prazo.

Se falhar:

operações passa a madrugada corrigindo.

Agora temos:

assimetria de recompensa e consequência.


👻 Easter Egg nº 1 — O botão do Companion

Companion:

— Doctor, posso apertar aquele botão?

Doctor:

— Não.

— Por quê?

— Pode destruir o sistema de contenção.

— E quem conserta?

— Eu.

— Ah.

Ela começa a estender o dedo.

Doctor:

— E é exatamente por isso que você não vai apertar.

Às vezes a melhor governança começa quando quem aperta o botão conhece o custo de apertá-lo.


🧠 Principal-Agent Problem

Moral Hazard aparece frequentemente dentro de um problema maior:

principal-agent problem.

Uma pessoa ou organização — o principal — delega alguma atividade para outra — o agente.

Mas:

os incentivos não são perfeitamente alinhados.

Exemplo:

empresa contrata fornecedor.

Fornecedor recebe por:

entregar mudança.

Empresa suporta:

risco operacional.

Se contrato recompensa:

velocidade,

mas não penaliza adequadamente:

incidentes,

o fornecedor pode racionalmente priorizar:

velocidade.

Não porque seja “malvado”.

Porque:

o sistema de incentivos está ensinando isso.


☕ Outsourcing mainframe

Fornecedor tem KPI:

DELIVERIES / MONTH

Equipe interna mede:

AVAILABILITY
INCIDENTS
DATA INTEGRITY

Fornecedor quer:

entregar.

Operação quer:

não quebrar.

Conflito estrutural.

Se change falha:

fornecedor talvez recebe ticket.

Operação recebe:

telefone às 03:00.

Quem sente mais risco?

Operação.

Quem decidiu escopo?

Talvez fornecedor/projeto.

Moral Hazard possível.


🧠 KPI cria comportamento

Se premiamos:

quantidade de releases,

podemos ter:

mais releases.

Se quem gera releases não sofre custo completo de incidentes:

atenção.

Goodhart entra discretamente.


🧠 Moral Hazard + Goodhart's Law

Métrica:

“entregar projeto no prazo.”

Equipe corta:

testes.

Documentação.

Rollback rehearsal.

Entrega no prazo.

KPI:

verde.

Três semanas depois:

produção quebra.

Quem absorve?

Operação.

Agora a métrica ficou verde...

e o sistema ficou vermelho.


☕ A entrega terminou no Go-Live?

Para projeto:

sim.

Para operações:

talvez tenha começado ali.

Essa diferença é enorme.


🧠 Definition of Done

Uma defesa simples contra Moral Hazard:

Definition of Done precisa incluir consequências operacionais.

Não apenas:

código entregue.

Mas:

  • testes completos;

  • observabilidade;

  • runbook;

  • rollback;

  • suporte;

  • documentação;

  • reconciliação.

Agora benefício e responsabilidade ficam mais próximos.


🧠 “Você constrói, você opera”

A filosofia:

You Build It, You Run It

pode reduzir Moral Hazard porque quem cria também participa da operação.

Não é solução universal.

Mas o princípio é poderoso:

aproxime decisão e consequência.

Quando desenvolvedor sente incidente:

passa a considerar:

logging;

recovery;

monitoring

durante o desenvolvimento.


☕ O código muda depois da primeira madrugada de plantão

Curiosamente.

Depois de um SEV-1 às 03:00:

aquele DISPLAY adicional começa a parecer muito barato.


🧠 Skin in the Game

Expressão útil.

Quem toma risco deveria ter:

alguma exposição ao resultado.

Não punição.

Exposição informacional e operacional.

Exemplo:

arquiteto aprova desenho.

Participa da revisão do incidente.

Projeto entrega.

Continua responsável pelo hypercare.

Fornecedor implanta.

SLA inclui qualidade pós-produção.

Isso reduz distância entre:

decisão

e:

efeito.


🧠 Moral Hazard + Self-Serving Bias

Se dá certo:

“Projeto entregou.”

Se dá errado:

“Operações não estabilizou.”

Self-Serving Bias protege quem recebeu benefício.

Moral Hazard protege estruturalmente porque custo ficou em outro lugar.

Combinação ruim.


🧠 Fundamental Attribution Error

Projeto envia mudança arriscada.

Operação executa.

Falha.

Relatório:

“Operador executou procedimento incorretamente.”

Mas:

por que arquitetura exigia manobra manual sob pressão?

Moral Hazard pode terminar em:

culpa na ponta.


☕ Quem tem a agulha?

A velha regra operacional volta.

Decisão precisa ter:

owner.

Aprovação.

Registro.

Quando incidente ocorre:

não pode desaparecer a cadeia decisória.


🧠 Authority Gradient

Chefe:

— Faça hoje.

Operador:

— Risco está alto.

Chefe:

— Assumo.

Mas depois...

incidente.

Quem está na timeline?

Operador que apertou Enter.

Authority Gradient + Moral Hazard.

Quem dá ordem pode estar distante da consequência imediata.


🎯 Pergunta Bellacosa nº 1

Quando alguém disser:

“Pode fazer.”

Pergunte:

“Quem é o risk owner dessa decisão?”

Não apenas:

quem executa.


🧠 Execution Owner ≠ Risk Owner

Muito importante.

EXECUTOR:
Operations

DECISION OWNER:
Project Manager

RISK OWNER:
Business Service Owner

Agora a organização sabe:

quem tomou decisão;

quem executou;

quem aceitou risco.


🧠 Omission Bias

Às vezes ninguém quer explicitamente assumir risco.

Então decisão fica difusa.

“Vamos seguir.”

Quem decidiu?

Todo mundo.

Logo:

ninguém.

Diffusion of Responsibility aparece.

Moral Hazard institucional.


🧠 Diffusion of Responsibility + Moral Hazard

Se custo será dividido entre:

cinco departamentos,

cada um sente apenas parte.

Então ninguém possui incentivo forte suficiente para prevenir.

Tragedy of the commons começa a aparecer.


☕ Shared platform

Time A consome CPU.

Custo geral pago por infraestrutura.

Então A não otimiza.

Time B faz igual.

Time C também.

Resultado:

capacity problem.

Quem paga?

Empresa inteira.

Isso é um terreno fértil para Moral Hazard.


🧠 FinOps e Moral Hazard

Cloud oferece exemplo perfeito.

Desenvolvedor cria:

máquina enorme.

Benefício:

performance.

Conta:

centro de custo central.

Se equipe não vê custo:

incentivo para otimização diminui.

Showback e chargeback tentam alinhar:

consumo

e:

consequência econômica.


☕ CPU “grátis”

Nada é tão caro quanto recurso que alguém acredita ser grátis.


🧠 Mainframe MIPS/MSU

Mesmo lógica.

Se aplicação consome:

muito CPU

mas custo é abstrato e pago centralmente:

equipe pode não sentir incentivo econômico para otimizar.

Isso não significa:

culpar aplicação.

Significa:

dar visibilidade.


📊 Showback

TEAM A:
CPU CONSUMPTION: X
STORAGE: Y
BATCH WINDOW IMPACT: Z

Não precisa cobrar diretamente.

Só tornar custo visível já muda comportamento.


🧠 Moral Hazard em capacity

Equipe pede:

mais capacidade.

Se é grátis para ela:

por que otimizar primeiro?

Arquiteto:

— Precisamos de 4x mais CPU.

Sysprog:

— Vocês revisaram SQL?

— Não.

— Por quê?

— Upgrade é mais rápido.

Quem paga hardware?

Outro orçamento.

Incentivo desalinhado.


🧠 Moral Hazard + Risk Compensation

Agora combinamos.

Novo seguro:

rollback.

Risk Compensation:

mais risco.

Se incidente for suportado por outro time:

Moral Hazard:

mais incentivo ainda para aumentar risco.


☕ O deploy ousado

Dev:

“Se der problema, operações volta.”

Operations:

“E se o rollback falhar?”

Dev:

“Vocês têm DR.”

Maravilhoso.

Toda camada de proteção vira justificativa para alguém aumentar exposição.


🧠 Swiss Cheese e propriedade das fatias

Um detalhe interessante:

cada time controla uma fatia.

Dev:

teste.

Ops:

rollback.

Security:

controle.

DBA:

recovery.

Se cada um pensa:

“a próxima fatia segura”,

os buracos podem se alinhar.

Moral Hazard pode enfraquecer responsabilidade local.


🧠 Defense in Depth não significa:

“Posso relaxar porque existe outra defesa.”

Significa:

cada camada deve cumprir sua função independentemente.


☕ Cinto + airbag + freio

Não significa:

pode dirigir olhando o celular.

As camadas somam.

Não se substituem emocionalmente.


🧠 Moral Hazard em segurança

Usuário pensa:

“Security tem antivírus.”

Então:

menos cuidado.

Equipe pensa:

“Tem cyber insurance.”

Então:

menos investimento.

Gestor pensa:

“Fornecedor é responsável.”

Então:

menos verificação.

Todas podem ser formas de desalinhamento.


🔐 Cyber Insurance

Seguro pode reduzir impacto financeiro.

Mas talvez não cubra:

reputação;

dados;

operação.

Mesmo economicamente:

franquias;

exclusões.

Não é transferência total de risco.


🧠 Risk Transfer não é Risk Elimination

Você compra seguro.

Risco financeiro parcialmente transferido.

Mas:

incidente continua existindo.

Cliente continua impactado.

Dados continuam vazados.

Logo:

RISK TRANSFER
≠
RISK REMOVAL

☕ “Tem SLA”

Outra frase mágica.

Fornecedor falha.

Você recebe crédito.

Ótimo.

Cliente?

Ainda ficou sem serviço.

SLA transfere parte do custo.

Não restaura disponibilidade retroativamente.


🧠 SLA Credits

Se fornecedor cai 8 horas:

você ganha desconto.

Financeiro sorri.

Operação não.

O crédito pode ser:

insignificante diante do impacto.

Moral Hazard pode surgir se fornecedor sabe:

penalidade máxima

é pequena.


🧠 Contract Design

Contrato precisa alinhar:

incentivos.

Não apenas:

penalidade.

Pode incluir:

availability;

quality;

security;

recovery.

Mas cuidado com métricas demais.

Goodhart continua.


☕ Contrato perfeito também não existe

Se você tentar escrever toda possibilidade:

Need for Control reaparece com 700 páginas.

Balance.


🧠 Moral Hazard no modelo “fixed price”

Projeto fornecedor recebe valor fixo.

Quanto menos gastar:

maior margem.

Empresa quer:

qualidade.

Fornecedor pode ter incentivo para:

reduzir custo.

Isso é normal em contratos.

O design precisa:

aceitação;

quality gates;

SLA.

Não confiar em bondade.

Nem assumir maldade.

Desenhe incentivos.


🧠 Incentive-Compatible Systems

Economia gosta dessa ideia:

criar regras em que agir de forma desejável também seja racional para quem decide.

Em operação:

não dependa de:

heroísmo.

Crie incentivos em que:

qualidade;

segurança;

custo

façam parte da decisão.


☕ Não peça “ownership”

Enquanto recompensa apenas:

velocidade.

Pessoas aprendem pelo bônus.

Não pelo pôster.


🧠 Moral Hazard + Planning Fallacy

Projeto promete:

6 meses.

Se atrasar:

equipe de sustentação recebe pressão.

Quem fez estimativa já pode estar em outro projeto.

Agora custo do otimismo é transferido.

Isso incentiva estimativas agressivas.


📅 Bid otimista

Fornecedor promete:

4 meses.

Ganha contrato.

Depois:

change requests.

Extensões.

Quem paga?

Cliente.

Se penalidade inicial é pequena:

incentivo para bid agressivo.

Um problema clássico de contratos.


🧠 Winner's Curse pode aparecer

Outro conceito interessante:

em licitações, quem faz a estimativa mais otimista pode ganhar.

Depois descobre:

subestimou.

Não é exatamente Moral Hazard.

Mas contratos podem criar ambiente onde:

o vencedor é quem aceita mais risco.

Se parte desse risco será renegociada depois:

Moral Hazard aumenta.


☕ “Ganha primeiro, negocia depois”

Estratégia conhecida.

Nem sempre saudável.


🧠 Moral Hazard em projetos internos

Não precisa fornecedor.

Time de transformação:

recebe bônus por:

migração concluída.

Time legado:

absorve:

incidentes.

Agora incentivo:

migrar rápido.

Não necessariamente:

operar bem.

Inclua:

post-go-live KPIs.


🧠 Hypercare

Manter projeto responsável por algumas semanas após Go-Live:

excelente.

Agora quem tomou decisões sente:

efeitos operacionais.

Isso alinha.


☕ Projeto não termina no HASP395

Acabou o job.

Mas negócio continua.

Boa analogia.


🧠 Moral Hazard e turnover

Pessoa toma decisão de longo prazo.

Vai embora antes da consequência.

Não podemos impedir carreira.

Mas arquitetura precisa:

documentação;

decision records.

Senão:

benefício agora.

Dívida para quem fica.


🧠 Technical Debt como Moral Hazard

Equipe entrega feature rápido.

Recebe crédito.

Debt vai para:

futuro.

Talvez outra equipe.

Isso é um tipo de externalização de custo.


☕ “Depois a gente refatora”

“Depois” normalmente é um time sem nome.


🧠 Present Bias + Moral Hazard

Benefício:

agora.

Custo:

depois.

E talvez para:

outro.

Essa combinação é poderosíssima.

Present Bias já favorece curto prazo.

Moral Hazard reduz peso do custo futuro.


🧠 Sunk Cost

Depois dívida cresce.

Ninguém quer reescrever.

Agora Status Quo.

Os vieses começam a formar uma guilda.


🧠 Externalities

Moral Hazard conversa com:

externalidades.

Uma decisão produz custo para terceiros.

Exemplo:

aplicação dispara consultas pesadas.

Time ganha:

feature.

Db2 sofre:

CPU.

Outros sistemas recebem:

latência.

A aplicação não vê integralmente custo.


☕ “Na minha aplicação está rápido”

Parabéns.

Você terceirizou lentidão para o banco.

Local Optimization encontra Moral Hazard.


🧠 End-to-End Metrics

Antídoto:

medir:

impacto sistêmico.

Não apenas:

métrica local.

Se time é avaliado por:

latência ponta-a-ponta

e:

custo,

incentivo melhora.


🧠 WLM e prioridades

Todo mundo quer:

service class alta.

Se custo de prioridade for coletivo:

cada time pede prioridade máxima.

Se todos são prioridade 1:

ninguém é.

Moral Hazard de recursos compartilhados.


☕ “Meu job é crítico”

Claro.

Todo job é crítico quando perguntamos ao owner.

Por isso precisamos:

governança.


🧠 Tragedy of the Commons

Recursos compartilhados:

CPU;

I/O;

storage;

rede.

Cada time maximiza seu uso.

Custo distribuído.

Resultado:

degradação coletiva.

Não é exatamente Moral Hazard em todos os casos, mas é parente próximo.


🧠 Moral Hazard em War Room

Incident Commander decide:

restart agressivo.

Se der certo:

MTTR cai.

Se der errado:

evidência desaparece;

RCA sofre.

Talvez commander seja medido apenas por:

restore time.

Agora incentivo favorece:

ação rápida.

Action Bias + Moral Hazard.


☕ Métrica de MTTR sozinha

Pode ensinar:

“recupere rápido.”

Mesmo que destrua evidência.

Talvez adicione:

quality of recovery;

recurrence.


🧠 Balanced Metrics

Use:

MTTR.

Repeat Incident Rate.

Data Integrity.

Customer Impact.

Agora incentivo menos unilateral.


🧠 Moral Hazard e bônus

Se bônus depende:

apenas de uptime,

equipe pode:

não registrar incidentes.

Goodhart.

Se depende:

zero security findings,

pode esconder.

Precisamos métricas que:

não tornem verdade inimiga da recompensa.


☕ Se reportar problema reduz bônus...

adivinhe o que acontece com observabilidade.


🧠 Psychological Safety

Se quem admite risco perde:

status,

risco será escondido.

Moral Hazard pode existir na direção oposta:

gestor recebe benefício por dashboard verde

e custo de esconder risco recai no futuro.


🧠 Narrative Bias

Depois do incidente:

“Ninguém poderia prever.”

Mas decision log mostra:

dois engenheiros alertaram.

Agora narrativa tenta externalizar custo.

Decision records combatem.


🎯 Pergunta Bellacosa nº 2

“Quem recebe o benefício se der certo e quem suporta o custo se der errado?”

Talvez a melhor pergunta do capítulo.

Desenhe.


📊 Incentive Map

DECISION:
Big Bang deployment

BENEFIT:
Project — deadline achieved

COST IF FAILURE:
Operations — overtime
Business — lost revenue
Customer — service outage
Support — complaints

Agora Moral Hazard fica visível.


🧠 Risk Ownership Matrix

Outra ferramenta:

RISK:
Data corruption

DECISION OWNER:
Project

RISK OWNER:
Business

EXECUTOR:
Operations

MITIGATION OWNER:
DBA

Muito melhor que:

“todos responsáveis.”


☕ Quando todos são responsáveis...

o alerta já sabe como termina.

Diffusion of Responsibility.


🧠 RACI

RACI pode ajudar:

Responsible.

Accountable.

Consulted.

Informed.

Mas só se realmente usado.

Uma planilha com 300 linhas pode virar Control Theater.

Use de forma pragmática.


🧠 Accountability

A palavra chave.

Moral Hazard diminui quando:

quem decide também responde:

por qualidade;

por custo;

por impacto.

Não no sentido punitivo.

No sentido:

decisão não termina quando benefício foi capturado.


🧠 Accountability ≠ Blame

Precisamos repetir.

Se toda accountability vira punição:

pessoas evitam decidir.

Authority e Omission Bias.

Queremos:

ownership do resultado.

Não caça às bruxas.


☕ Skin in the game sem pele arrancada

Talvez a formulação Bellacosa.


🧠 Moral Hazard em IA

Agora fica especialmente interessante.

Equipe usa agente.

Agente toma ação.

Algo quebra.

Humano diz:

“Foi a IA.”

Fornecedor:

“Usuário aprovou.”

Gestão:

“Ferramenta estava homologada.”

Responsabilidade pulveriza.

Perfeito terreno para Moral Hazard.


🤖 AI Vendor

Fornecedor vende:

automação de mudança.

Benefício:

mais volume.

Se incidente:

cliente suporta.

Contrato talvez limite responsabilidade.

Incentivo precisa ser avaliado.


🧠 AI Agent Permissions

Se agente possui:

DELETE;

DEPLOY;

PAYMENT,

quem assume risco?

Designer?

Owner?

Operator?

Business?

Defina antes.

Não depois do incidente.


🧠 Human-in-the-loop como liability theater

HITL pode virar:

“Humano aprovou, então culpa dele.”

Mas se humano recebeu:

200 approvals;

3 segundos cada;

sem contexto,

isso não é controle real.

É transferência de responsabilidade.

Moral Hazard institucional.


☕ A aprovação humana pode virar para-raios jurídico

Se design é ruim.

Precisamos evitar.


🧠 Meaningful Human Control

Humano precisa:

entender;

ter tempo;

poder rejeitar;

possuir informação.

Se não:

approval é decorativo.


🎯 Pergunta Bellacosa nº 3

“O humano realmente controla a decisão ou apenas assina a responsabilidade?”

Fortíssima.


🧠 Moral Hazard + Automation Bias

Ferramenta recomenda.

Humano confia.

Se errado:

“Modelo falhou.”

Mas a organização escolheu:

delegar.

Precisamos ownership sistêmico.


🧠 Insurers, vendors, cloud providers

Ter contrato não significa:

ter transferido todas as consequências.

Você pode terceirizar:

infraestrutura.

Não:

responsabilidade final perante o cliente.

Muito importante.


☕ “Está na cloud” não significa “é problema da cloud”

Shared Responsibility Model deveria estar tatuado em alguns projetos.

Metaforicamente.


🧠 Shared Responsibility

Cloud provider:

hardware.

Você:

configuração.

IAM.

Dados.

Aplicação.

Se breach:

“a AWS deveria impedir” não basta.

Moral Hazard pode aparecer quando empresa interpreta outsourcing como:

outsourcing de responsabilidade.


🧠 Outsourcing Risk

Você terceiriza:

execução.

Não necessariamente:

accountability.

Contrato ajuda.

Governança continua.


☕ Você pode terceirizar o datacenter

Não pode terceirizar a reputação perante seu cliente.


🧠 Moral Hazard em change windows

Projeto não precisa ficar de plantão.

Então agenda:

mudança sexta 23h.

Ops sofre.

Solução:

quem pede mudança participa do plantão.

Agora decisão sobre horário muda magicamente.

Skin in the game.


😄 Sexta-feira 23h

Antes:

“Melhor janela.”

Depois que project manager precisa ficar:

“Talvez terça 20h seja melhor.”

Incentivos são professores excelentes.


🧠 On-call rotation

Desenvolvedor entra no on-call.

Observabilidade melhora.

Código fica mais recuperável.

Por quê?

Porque consequência ficou próxima.

Não é punição.

É feedback.


🧠 Moral Hazard + Feedback Loops

Quando quem decide recebe feedback tarde ou nunca:

aprendizado fraco.

Aproxime:

feedback.

Isso reduz:

Moral Hazard

e:

Outcome Bias.


🧠 Feedback delay

Feature lançada.

Erro operacional aparece meses depois.

Equipe original já esqueceu.

Decision logs ajudam.

Post-implementation review também.


☕ “Depois do Go-Live”

Deveria existir formalmente.

Não só bolo e foto.


🧠 Post-Implementation Review

30 dias depois:

  • incidentes?

  • performance?

  • cost?

  • manual work?

  • customer impact?

Agora projeto recebe:

consequência real.


🧠 Moral Hazard e budget silos

Time A economiza:

R$100k.

Decisão aumenta custo de infra:

R$500k.

A economiza.

Empresa perde.

Local incentives.

FinOps tenta combater.


☕ Economia local, prejuízo global

Clássico.


🧠 Total Cost of Ownership

Use TCO.

Não apenas:

project cost.

Inclua:

run;

support;

licenses;

capacity;

incidents.

Isso reduz externalização.


🧠 Build vs Run

Projeto barato.

Operação caríssima.

Se procurement olha apenas:

CAPEX,

Moral Hazard na seleção.

Inclua:

OPEX.


🧠 Vendor lock-in

Fornecedor oferece:

entrada barata.

Saída cara.

Benefício inicial.

Custo futuro:

cliente.

Contrato precisa enxergar ciclo.


☕ O almoço “grátis”

Normalmente chega com fatura em outra sprint.


🧠 Moral Hazard e Sunk Cost

Depois de entrar:

custo de sair alto.

Agora fornecedor pode ter poder.

Não é automaticamente Moral Hazard, mas incentivos mudam.

Governança precisa observar.


🧠 Procurement e SLA

Procurement negocia:

preço baixo.

Operação recebe:

serviço ruim.

Procurement KPI:

verde.

Operação:

vermelho.

Separação de benefício e consequência.


🎯 Pergunta Bellacosa nº 4

“A métrica de sucesso de quem decide inclui o custo operacional gerado depois?”

Excelente.


🧠 Moral Hazard na arquitetura

Arquiteto escolhe:

tecnologia complexa.

Projeto fica moderno.

Depois suporte:

escasso.

Arquiteto muda de iniciativa.

Ops fica.

Inclua:

operability review.


🧠 Operational Readiness Review

Antes de produção:

  • quem suporta?

  • skill existe?

  • tooling?

  • backup?

  • recovery?

  • monitoring?

  • cost?

Arquitetura não termina no diagrama.


☕ Caixa bonita com setas não atende pager

Muito menos às 03:00.


🧠 Runbook as Contract

Um bom runbook declara:

quem faz o quê.

Isso reduz:

“achei que o outro time faria.”


🧠 Moral Hazard + Diffusion

Quanto mais dependências:

mais fácil externalizar.

“DBA resolve.”

“Security verifica.”

“Ops monitora.”

No fim:

ninguém é dono do sistema inteiro.

Service ownership ajuda.


🧠 Product / Service Ownership

Uma pessoa ou equipe precisa olhar:

end-to-end.

Não executar tudo.

Mas possuir:

accountability do serviço.

Isso internaliza parte dos custos.


☕ Dono do serviço

Não significa:

faz tudo.

Significa:

não pode dizer “não é meu problema” para cada seta do diagrama.


🧠 Moral Hazard em bancos

Crédito é exemplo clássico.

Quem origina empréstimo pode receber benefício imediato.

Se risco for vendido ou transferido:

pode diminuir incentivo para avaliar cuidadosamente.

Esse tipo de desalinhamento ficou famoso em discussões sobre crises financeiras.

A estrutura importa:

origination versus retention of risk.


🧠 Analogia mainframe

Equipe cria transação.

Outro time processa.

Outro reconcilia.

Outro suporta.

Se criador não absorve custo:

pode gerar complexidade sem sentir.

Service costing ajuda.


☕ Cada interface “gratuita”

Custa:

monitoramento;

teste;

suporte;

incident response.

Torne visível.


🧠 Moral Hazard e observabilidade

Se incident cost é invisível para projeto:

ele não entra na decisão.

Então crie:

cost of incident.

Horas.

clientes.

receita.

Agora feedback econômico.


📊 Incident Cost Allocation

Não necessariamente cobrança financeira.

Mas:

INCIDENT:
4h outage

ENGINEERING HOURS:
96

CUSTOMER IMPACT:
X

REVENUE IMPACT:
Y

Mostre.

Incentivos ficam mais realistas.


🧠 Decision Journals

Antes:

“Big Bang é aceitável porque rollback é sólido.”

Depois:

falha.

Não deixe reescrever:

“Ninguém sabia.”

Registro ajuda accountability.


🧠 Hindsight Bias

Cuidado inverso.

Não julgue decisão apenas pelo resultado.

Se risco era conscientemente aceito e processo foi bom:

resultado ruim não prova irresponsabilidade.

Outcome Bias.

Moral Hazard exige analisar:

incentivo antes.


☕ Uma decisão pode ser arriscada sem ser irresponsável

Se:

risk owner sabe;

benefício justifica;

controles existem.

Muito importante.


🧠 Moral Hazard não é “qualquer risco tomado”

É:

risco incentivado pela separação entre decisão e consequência.

Essa definição evita banalização.


🧠 Risk Appetite

Se business aceita:

10% de risco

por benefício X,

e business também absorve consequência:

não é necessariamente Moral Hazard.

É decisão de risco.


🧠 Moral Hazard aparece quando:

benefício privado/local;

custo coletivo/externo.

Simplificando:

UPSIDE:
ME

DOWNSIDE:
US

☕ A versão corporativa

“Meu bônus, nosso incidente.”

Magnífico e terrível.


🧠 Moral Hazard em liderança

Líder promete prazo impossível.

Se sucesso:

reconhecimento.

Se falha:

equipe “não entregou”.

Incentivo claro.

Por isso metas precisam:

accountability bidirecional.


🧠 Psychological Contract

Se líderes sempre externalizam custo:

equipes deixam de confiar.

Então Moral Hazard também destrói:

cultura.


🧠 Burnout externality

Prazo agressivo.

Gestão recebe entrega.

Equipe paga:

horas;

burnout.

Se custo humano não entra:

decisão parece barata.


☕ Toda estimativa tem alguém dormindo atrás dela

Às vezes literalmente.


🧠 Sustainable Pace

Não é luxo.

É internalizar custo.

Se entrega depende:

sempre de horas extras,

TCO está sendo escondido.


🧠 Moral Hazard + Present Bias

Ganho trimestral.

Custo em seis meses.

Executivo talvez já seja medido por:

trimestre.

Incentivo estrutural para:

curto prazo.

Governança precisa:

métricas de longo prazo.


📈 Long-term KPIs

Reliability.

Debt.

Retention.

Customer trust.

Não apenas:

delivery.


🧠 Moral Hazard em segurança de acesso

Gestor pede:

acesso amplo.

Benefício:

velocidade.

Security assume:

risco.

Se gestor não sente consequência de breach:

pode pedir acesso excessivo.

Least privilege reduz isso por arquitetura.


🔐 Guardrails

Em vez de:

“por favor, peça só o necessário.”

Sistema limita.

Porque incentivo humano pode ser:

“me dê tudo para não depender de ninguém.”


SPECIAL no RACF para resolver ticket pequeno

Talvez um pouco exagerado.

Só um pouco.


🧠 Strong Controls versus incentives

Quando Moral Hazard é forte:

não dependa só de:

boas intenções.

Use:

  • limits;

  • audit;

  • approvals;

  • segregation of duties.

Mas proporcionalmente.

Need for Control continua espreitando.


🧠 Moral Hazard + Need for Control

Descobrimos incentivos ruins.

Resposta:

40 approvals.

Cuidado.

A solução ideal é:

alinhar incentivos e usar guardrails fortes onde necessário.

Não burocracia infinita.


🧠 Incentive alignment > paperwork

Se fornecedor ganha mais quando:

qualidade melhora,

melhor.

Se só adicionarmos:

relatórios,

talvez não mude comportamento.


🎯 Pergunta Bellacosa nº 5

“O comportamento arriscado é racional dentro dos incentivos que nós mesmos criamos?”

Fantástica.

Se sim:

não adianta palestra.

Mude sistema.


🧠 “Treinamento” como solução preguiçosa

Equipe sempre pula etapa porque:

prazo impossível.

Empresa:

“Treinamento de compliance.”

Nada muda.

Porque incentivo continua.

Moral Hazard não é resolvido por PowerPoint.


☕ Incentivo vence cartaz motivacional por nocaute técnico

Quase sempre.


🧠 Mechanism Design

Termo econômico mais avançado:

projetar regras e incentivos para induzir resultados desejáveis.

Em TI:

se você quer:

qualidade,

inclua qualidade no sucesso.

Se quer:

operabilidade,

faça equipe participar do run.

Se quer:

custo eficiente,

mostre custo.


🧠 Error Budgets

SRE outra vez.

Equipe pode inovar.

Mas se reliability cai:

budget acaba.

Agora quem gera risco também encontra limite.

Excelente alinhamento.


☕ Você pode gastar risco

Mas a conta aparece.

Isso é bonito.


🧠 Chargeback / Showback

Uso de recurso fica visível.

Não necessariamente para punir.

Mas para internalizar:

consequência.


🧠 On-call ownership

Mesmo princípio.

Construiu?

Receba feedback.

Isso muda decisões de design.


🧠 Shared KPIs

Dev + Ops:

mesmo SLO.

Agora:

não existe benefício de entregar feature derrubando reliability.

Objetivo compartilhado reduz conflito.


☕ DevOps no sentido profundo

Não é só:

pipeline.

É:

reduzir fronteiras onde um time captura benefício e outro absorve consequência.

Isso encaixa perfeitamente com Moral Hazard.


🧠 Silo incentives

Dev:

delivery.

Ops:

stability.

Security:

zero findings.

Business:

revenue.

Cada silo pode otimizar localmente.

Service-level objectives ajudam criar:

visão comum.


🧠 Moral Hazard e Zero-Risk Bias

Curioso.

Security pode exigir:

zero risco

porque custo da fricção cai no Dev.

Dev pode exigir:

velocidade

porque custo do incidente cai no Ops.

Cada time otimiza:

o que recebe benefício.

Sistema inteiro sofre.


☕ Todo departamento consegue produzir uma solução perfeita

Para o próprio dashboard.


🧠 End-to-End Governance

Pergunte:

como decisão afeta:

cliente;

infra;

security;

support;

finance.

Multi-perspective review.


📋 Checklist anti-Moral Hazard

[ ] Quem toma a decisão?

[ ] Quem recebe o benefício se der certo?

[ ] Quem paga o custo se der errado?

[ ] Esses grupos são os mesmos?

[ ] O executor está assumindo risco decidido por outra pessoa?

[ ] O risk owner está explícito?

[ ] Existe incentivo para aumentar risco?

[ ] O contrato recompensa qualidade, não apenas volume?

[ ] O projeto continua responsável após Go-Live?

[ ] O custo operacional entra na decisão?

[ ] O serviço possui owner end-to-end?

[ ] Existe shared KPI entre Dev, Ops e negócio?

[ ] Estamos usando seguro, SLA ou rollback como licença para assumir risco?

[ ] O humano realmente decide ou só assina?

[ ] Há externalidades para outros times?

🧪 Como combater Moral Hazard — passo a passo

Passo 1 — Mapeie benefício e consequência

Quem ganha?

Quem perde?


Passo 2 — Identifique o risk owner

Nome explícito.


Passo 3 — Aproxime decisão e operação

Hypercare.

On-call.


Passo 4 — Ajuste métricas

Não recompense só velocidade.


Passo 5 — Mostre custos ocultos

Incident hours.

Capacity.

Support.


Passo 6 — Crie shared KPIs

Reliability + delivery.


Passo 7 — Use guardrails técnicos

Least privilege.

Canary.


Passo 8 — Melhore contratos

Alinhe qualidade e resultado.


Passo 9 — Faça post-implementation review

Não encerre projeto no deploy.


Passo 10 — Revise incentivos após incidentes

Pergunte:

o comportamento era previsível dadas as regras?


🧠 O teste do contador de consequências

Uma técnica Bellacosa.

Antes da decisão:

IF SUCCESS:
Who benefits?

IF FAILURE:
Who works overnight?

Who loses money?

Who gets blamed?

Who pays?

Se respostas forem completamente diferentes:

investigue Moral Hazard.


☕ O teste das 03:00

Pergunta simples:

“Quem estará acordado às três da manhã se isso der errado?”

Depois:

“Essa pessoa participou da decisão?”

Se não:

há algo para revisar.


🧠 Moral Hazard e incident ownership

Mudança pedida por:

Business.

Aprovada por:

Project.

Executada por:

Ops.

Falha.

Todos precisam:

participar do post-mortem.

Não apenas Ops.


🧠 Postmortem attendance as feedback

Quem toma risco deveria ver:

consequência.

Isso ajusta modelo mental.


☕ Uma hora de RCA pode economizar muita confiança gratuita

Especialmente depois de sucesso fácil.


🧠 Moral Hazard e Near Misses

Se consequências negativas não materializam:

incentivos ruins podem permanecer invisíveis.

Near miss é oportunidade.

Pergunte:

quem teria pago?

Antes que aconteça.


🧠 Pre-mortem

Imagine falha.

Quem sofre?

Agora externalidades aparecem.

Muito útil.


🎯 Pergunta Bellacosa nº 6

“Se essa decisão desse errado amanhã, alguém que está aprovando hoje mudaria de opinião se tivesse que suportar pessoalmente o custo operacional?”

Excelente teste.


🧠 Moral Hazard na IA generativa

Programador gera código.

Se quebrar:

reviewer pega.

Então pode revisar menos o próprio output.

Copilot aumenta produtividade.

Mas talvez também:

externalize validation.

Reviewer vira filtro.

Moral Hazard micro.


☕ “O code review pega”

Frase perigosa.

Reviewer é barreira.

Não substituto para responsabilidade autoral.


🧠 CI/CD

Testes automáticos pegam.

Então:

menos teste local.

Talvez racional.

Mas se pipeline fica caro e falha mais:

o custo foi transferido.

Observe.


🧠 Quality at Source

Lean gosta de ideia:

qualidade onde trabalho ocorre.

Não empurre defeito para:

QA.

QA não deveria ser:

departamento de encontrar aquilo que Dev decidiu não verificar.


☕ QA não é lavanderia de bug

A camiseta está quase pronta.


🧠 Moral Hazard e handoffs

Toda fronteira organizacional pode:

externalizar custo.

Dev → QA.

QA → Ops.

Ops → Support.

Support → Customer.

Quanto mais handoffs:

mais risco de:

“problema do próximo.”


🧠 Flow Ownership

Mapeie cadeia.

Defeito gerado aqui.

Descoberto ali.

Quanto custa?

Shift-left tenta aproximar detecção da origem.

Além de técnica:

é alinhamento de incentivo.


🧠 Cost of Late Defect

Bug encontrado:

na IDE:

barato.

em teste:

mais caro.

em produção:

caríssimo.

Se criador não vê custo tardio:

Moral Hazard.

Feedback rápido ajuda.


☕ Compilador é um ótimo cobrador instantâneo

Erro na linha.

Pagamento imediato.

Por isso aprendemos.


🧠 COBOL e return codes

Programa devolve:

RC.

Chamador precisa:

tratar.

Não empurre erro silenciosamente.

Um RC=00 falso é quase:

Moral Hazard codificado.

Você captura benefício:

“job verde.”

Próximo step recebe:

dados errados.


💻 Exemplo

Ruim:

IF FILE-STATUS NOT = '00'
   DISPLAY 'ERRO'
   MOVE 0 TO RETURN-CODE
END-IF

Operação vê:

sucesso.

Erro vai adiante.

Melhor:

IF FILE-STATUS NOT = '00'
   DISPLAY 'ERRO'
   MOVE 12 TO RETURN-CODE
END-IF

Agora consequência volta para:

quem precisa decidir.


🧠 Greenwashing operacional

Job verde.

Negócio vermelho.

Se time é medido por:

RC=00,

pode haver incentivo para:

suprimir falhas.

Não faça.


$HASP395 ... CC 0000

Não é absolvição espiritual.

Dados precisam estar corretos.


🧠 Error Handling and accountability

Erro precisa chegar:

ao lugar correto.

Não ser:

absorvido silenciosamente

para manter dashboard bonito.


🧠 Moral Hazard + Normalization of Deviance

Equipe empurra problema downstream.

Funciona.

Repete.

Outro time corrige manualmente.

Agora workaround vira serviço invisível.

Origem não sente custo.

Perfeito Moral Hazard.


☕ Maria corrige toda manhã

Enquanto sistema oficial acredita:

“processamento automático.”

Maria é arquitetura.

Mas não aparece no diagrama.


🧠 Manual Reconciliation

Se downstream sempre conserta:

upstream pode relaxar.

Então contabilize:

rework.

Mostre para origem.


📊 Rework Metrics

SOURCE SYSTEM A:
Errors generated: 400/month
Manual correction: 70h

Agora custo deixa de ser invisível.


🧠 Moral Hazard e observabilidade organizacional

Não basta monitorar CPU.

Monitore:

externalized work.

Incidents created by change.

Support tickets.

Rework.

Isso revela incentivos ruins.


🧠 Blame is not incentive alignment

Você pode culpar time.

Nada muda.

Se métrica e orçamento continuam iguais:

comportamento racional persiste.

Mude estrutura.


☕ Se sistema recompensa errado

não espere comportamento certo por patriotismo corporativo.


🧠 Leadership lesson

Uma boa pergunta de liderança:

“Que comportamento nosso sistema de metas está incentivando?”

Não:

“Por que as pessoas fazem isso?”

Isso conecta:

Moral Hazard;

Fundamental Attribution Error;

Actor-Observer Bias.


🧠 People respond to systems

Não deterministicamente.

Mas incentivos importam.

A melhor cultura não depende de:

santos.

Depende de:

regras razoáveis.


🧠 Ethics matters too

Claro.

Moral Hazard não elimina ética individual.

Uma pessoa pode agir corretamente mesmo com incentivo ruim.

Mas engenharia organizacional não deve depender:

exclusivamente

de heroísmo moral.


☕ Sistemas críticos gostam de pessoas boas

Mas preferem pessoas boas com bons controles.


🧠 Moral Hazard e Resilience

Resiliência pode paradoxalmente criar Moral Hazard.

Se Ops sempre salva:

projetos começam a confiar:

“Ops dá jeito.”

O heroísmo operacional vira seguro gratuito.

Perigoso.


🧠 Hero Culture

Operações salva.

Recebe aplauso.

Mas sistema nunca melhora.

Por quê?

Porque capacidade heroica absorve custo.

Deixe custo ficar visível.


☕ O sysprog que salva tudo

Pode estar involuntariamente subsidiando processo ruim.

Essa dói.


🧠 Remove hidden subsidies

Não pare de ajudar.

Mas registre:

quantas intervenções.

Quanto esforço.

Mostre.

Agora investimento em prevenção ganha business case.


🧠 Moral Hazard e staffing

Equipe pequena absorve tudo.

Outros times assumem:

“eles resolvem.”

Até turnover.

Agora risco explode.

Bus Factor.


🧠 Skills as Shared Risk

Se só uma pessoa sabe:

custo da dependência deve aparecer.

Não deixe:

“tem fulano”

virar mitigação permanente.


☕ “Fala com João”

Não é arquitetura HA.


🧠 Moral Hazard e decision rights

Quem possui direito de decisão deve possuir:

accountability proporcional.

Se não:

risco desalinhado.


🧠 RAPID / DACI

Frameworks de decisão podem ajudar.

Não precisamos decorar siglas.

Princípio:

quem decide precisa estar claro.

E:

quem aceita risco precisa estar claro.


🧠 Stop-the-Line Authority

Qualquer pessoa detecta risco crítico:

pode parar.

Isso reduz Moral Hazard hierárquico.

Porque executor não precisa aceitar risco imposto sem voz.


☕ Toyota encontra TARDIS

Puxou Andon.

Parou linha.

Doctor aprovaria.


🧠 Psychological Safety again

Se júnior diz:

“isso é arriscado”

e é ignorado,

risk owner precisa estar explícito.

Caso contrário:

decisão vira:

“todo mundo concordou.”

Groupthink.


📋 Bellacosa Moral Hazard Decision Card

DECISION:
________________________

UPSIDE:
________________________

WHO RECEIVES UPSIDE?
________________________

DOWNSIDE:
________________________

WHO BEARS DOWNSIDE?
________________________

RISK OWNER:
________________________

EXECUTOR:
________________________

ROLLBACK OWNER:
________________________

Simples.

Poderoso.


🧠 Accountability Triangle

Podemos imaginar:

DECISION
   /\
  /  \
BENEFIT — CONSEQUENCE

Quanto mais afastados:

mais Moral Hazard possível.


🧠 Alinhe o triângulo

Quem decide:

entende benefício.

Entende consequência.

Participa da revisão.

Isso melhora decisões.


☕ Decisão sem consequência é teoria

Consequência sem poder de decisão é ressentimento.

Excelente.


🧠 Governance madura

Boa governança tenta evitar:

dois extremos.

Extremo 1

Ninguém pode decidir.

Need for Control.

Extremo 2

Quem decide nunca paga consequência.

Moral Hazard.

O equilíbrio:

autonomia com accountability.


🧠 Guardrails + Ownership

Permita:

decidir dentro de limites.

Mas resultado:

continua pertencendo ao serviço.

Essa talvez seja uma das melhores formas.


🧠 Product Teams

Equipes end-to-end reduzem:

handoffs.

Externalidades.

Não eliminam.

Mas diminuem fronteira Dev/Ops.


☕ “Não é meu problema”

Quanto menos vezes essa frase cabe na arquitetura:

melhor.


🧠 Moral Hazard + Zero-Risk Bias + Risk Compensation

Nosso trio recente:

Zero-Risk Bias

“Quero eliminar risco.”

Risk Compensation

“Agora estou protegido, posso arriscar mais.”

Moral Hazard

“E parte do custo nem será meu.”

Agora imagine:

rollback;

seguro;

SLA;

Ops heroico.

Pode surgir:

overconfidence institucional.


🧠 Illusion of Control entra novamente

“Se falhar, temos mecanismos.”

Talvez.

Mas:

quem paga cada falha?

E:

quantas falhas estamos dispostos a gerar?


🧠 Risk Budget com Owner

Erro budget é útil porque:

permite risco.

Mas deixa:

limite visível.

Se time consome:

para.

Isso internaliza.


☕ O risco finalmente recebeu extrato bancário

Bonito.


🧠 Moral Hazard e regulatory bailout

Em finanças, Moral Hazard é frequentemente discutido quando instituições acreditam que poderão ser resgatadas se decisões arriscadas produzirem perdas sistêmicas.

A lógica:

se upside fica com a instituição

e downside extremo pode ser socializado,

incentivo pode mudar.

No mainframe corporativo:

escala menor.

Mas estrutura parecida:

benefício local, custo coletivo.


🧠 “Too Important to Fail”

Sistema crítico.

Todos sabem:

se falhar, organização inteira mobiliza.

Então projeto pode inconscientemente pensar:

“Alguém resolverá.”

Quanto mais crítico:

mais recursos de salvamento.

Paradoxalmente:

pode aumentar tolerância a risco.


☕ O sistema VIP

Sempre tem vinte especialistas disponíveis.

Então ninguém investe em automatizar recuperação.

Até um dia:

não estão.


🧠 Heroic Backstop

Especialista veterano vira:

seguro informal.

Novatos arriscam mais porque:

“se der ruim, chama ele.”

Risk Compensation + Moral Hazard.

Treinamento precisa:

usar mentor,

não depender dele como airbag humano.


🧠 Controlled Escalation

Escalar é certo.

Mas preserve:

responsabilidade por aprender.

Depois:

review.

Não apenas:

“o sênior resolveu.”


🎯 Pergunta Bellacosa nº 7

“Estamos tratando a competência de alguém como uma proteção gratuita que nos permite manter um processo ruim?”

Excelente.


🧠 Moral Hazard e root cause

RCA deveria perguntar:

“Que incentivos tornaram esta decisão razoável?”

Não apenas:

“quem errou?”

Se time sempre faz change grande porque:

só mudanças grandes recebem atenção executiva,

incentivo estranho.


🧠 Organizational Economics

Todo processo tem:

economia.

Tempo.

Status.

Bônus.

Fricção.

Pessoas respondem.

Mainframe não existe fora da organização.


☕ O JCL roda em z/OS

Mas a decisão de rodá-lo roda em seres humanos.


🧠 Step-by-step anti-Moral Hazard em uma War Room

Antes da mudança

Defina:

owner.

Risco.

Conseqüência.

Durante

Executor pode parar.

Depois

Owner participa do resultado.

Após incidente

Revise incentivos.

Simples.


🧪 Exemplo completo

Mudança:

DB2 schema.

Benefício:

projeto entrega.

Risco:

rollback difícil.

Decisão anterior:

projeto decide.

Ops executa.

Melhoria:

DECISION OWNER:
Application Service Owner

RISK ACCEPTANCE:
Business

EXECUTION:
DBA

HYPERCARE:
Dev + DBA + Ops

SUCCESS KPI:
Business + Reliability

Agora:

benefício e consequence closer.


🧠 Moral Hazard não desaparece

Nenhum desenho alinha tudo perfeitamente.

Mas podemos:

reduzir.

Dar visibilidade.

Criar accountability.


☕ Zero Moral Hazard

Cuidado.

Zero-Risk Bias está ouvindo.


🧠 Curiosidade: o termo

A expressão “moral hazard” vem de longa tradição em seguros e economia.

Historicamente, havia preocupação de que proteção contra perdas pudesse alterar comportamento.

Com o tempo, o conceito se tornou central em:

economia da informação;

contratos;

finanças.

Hoje é útil para pensar qualquer situação onde:

a exposição à consequência muda os incentivos de quem toma risco.

Inclusive nossa querida War Room.


🧠 Information Asymmetry

Outro ingrediente:

quem toma decisão pode saber mais sobre:

risco

do que quem paga.

Exemplo:

fornecedor conhece limitação.

Cliente não.

Se contrato não exige transparência:

Moral Hazard aumenta.


☕ O famoso:

“Isso nunca aconteceu.”

Pergunta:

“Nos testes de vocês?”

Informação importa.


🧠 Observability between organizations

SLA sem telemetria compartilhada:

disputa.

Fornecedor:

“não foi conosco.”

Cliente:

“foi.”

Shared metrics ajudam.


🧠 Moral Hazard e black boxes

Quanto menos visível processo do fornecedor:

mais difícil alinhar.

Contratos precisam:

auditability.

Mas sem virar Need for Control infinito.


🧠 Trust but verify

De novo:

confiança.

Auditabilidade.

Incentivos.

Três elementos.


📓 Diário do Doctor

Se guardar algumas ideias desta viagem, guarde estas:

Moral Hazard ocorre quando quem assume um risco não suporta integralmente suas consequências.

Não significa necessariamente falta de ética; frequentemente é um problema de desenho de incentivos.

Risk Compensation fala da mudança de comportamento quando percebemos mais proteção; Moral Hazard acrescenta a questão de quem paga o downside.

Benefício local e custo coletivo são um sinal clássico.

SLAs, seguros, rollback, fornecedores e times de suporte não eliminam risco; podem transferir parte da consequência.

Outsourcing de execução não é outsourcing automático de accountability.

Projetos deveriam continuar ligados ao resultado após o Go-Live.

Shared KPIs entre Dev, Ops e negócio ajudam a reduzir externalização de custos.

On-call, hypercare, showback e post-implementation reviews aproximam decisão e consequência.

HITL pode virar teatro de responsabilidade se o humano não tiver tempo, informação ou poder real para decidir.

Accountability não é culpa.

E principalmente:

se quem decide recebe a recompensa e quem executa, suporta ou corrige recebe a maior parte do prejuízo, não espere que palestras sobre responsabilidade consertem o problema — mude os incentivos.


🕰️ De volta às 08:37

O gerente ainda quer:

Big Bang.

Nosso jovem pergunta:

— Se fizermos, quem fica no hypercare?

— Operações.

— Só?

— Bem...

— Quem definiu o escopo?

— Projeto.

— Então projeto fica também?

Silêncio.

O Doctor olha para o gerente.

— É uma excelente pergunta.

O gerente pensa.

— Tudo bem. Projeto fica.

— E quem aprova risco?

— Business owner.

— E rollback?

— DBA e aplicação juntos.

— Agora podemos fazer Big Bang?

Nosso jovem responde:

— Agora podemos discutir Big Bang com as pessoas que realmente carregarão o resultado.

Isso muda a conversa.


🔧 A decisão muda

Depois de revisar:

impacto;

rollback;

staffing,

decidem:

não fazer Big Bang.

Dividem:

3 waves.

Canary.

Hypercare conjunto.

Por quê?

Curiosamente:

quando as pessoas que capturavam o benefício também começaram a enxergar e carregar o custo...

o apetite por risco mudou.

Não precisou sermão.

Só:

incentivo alinhado.


🥚 Easter Egg final

Na manhã seguinte aparece:

BELLACOSA.BIAS(MORAL-HAZARD)

Dentro:

       IF DECISION-OWNER NOT = RISK-OWNER
           PERFORM CHECK-INCENTIVES
       END-IF.

       IF BENEFIT-GOES-LOCAL
          AND COST-GOES-GLOBAL
           PERFORM ALIGN-ACCOUNTABILITY
       END-IF.

       IF SOMEONE-SAYS
          'OPS-WILL-FIX-IT'
           PERFORM INVITE-THEM-TO-HYPERCARE
       END-IF.

Comentário:

* MY UPSIDE.
* YOUR DOWNSIDE.
* BAD DESIGN.

Outro:

* OUTSOURCING
* DOES NOT DELETE
* ACCOUNTABILITY.

Outro:

* SLA CREDIT
* DOES NOT RESTORE
* LOST TIME.

Mais um:

* WHO DECIDES?
* WHO PAYS?

E naturalmente:

* DALEKS PREFER
* OTHER SPECIES
* TO PAY THE DOWNSIDE.

Nosso jovem fecha o membro.

Horas depois alguém propõe:

— Podemos cortar os testes finais. Se der problema, QA pega.

Ele responde:

— Talvez QA pegue.

— Então?

— Quem ganha o prazo economizado?

— Nós.

— E quem recebe o retrabalho?

Silêncio.

— QA.

— Então antes de cortar...

Pausa.

— vamos descobrir se estamos realmente removendo trabalho ou apenas mandando nossa conta para o próximo time.

A mudança continua.

Os testes também.

Mais tarde, outra automação permite remover parte deles com segurança.

Desta vez:

dados justificam.

Não terceirização silenciosa de risco.

VWORP.

VWORP.

VWORP.

A TARDIS desaparece.

No quadro da War Room fica uma última frase:

Uma organização aprende de verdade quando quem escolhe o risco não consegue simplesmente despachar a consequência para outra fila.

E talvez Moral Hazard possa ser resumido em uma pergunta muito simples:

“Se você tivesse que pagar integralmente a conta dessa decisão, ainda escolheria a mesma coisa?”

Se a resposta mudar...

há algo importante escondido no desenho do sistema.

☕🌀

Next stop: Principal-Agent Problem — quando quem toma uma decisão em nome da organização possui objetivos, informações e incentivos diferentes daqueles de quem realmente depende do resultado.


Vagner Renato Bellacosa, IBM Champion e especialista em IBM Mainframe
IBM Z17 SYSTEM ONLINE
Sobre o autor

Vagner Renato Bellacosa

IBM Champion 2026 • Especialista em IBM Mainframe

Vagner Renato Bellacosa trabalha com IBM Mainframe desde 1988 , é IBM Champion e especialista em COBOL, CICS, Db2, z/OS e IBM Z. Compartilha experiências profissionais, conhecimento técnico, história da computação e práticas do universo mainframe para aproximar novas gerações das tecnologias que sustentam empresas, bancos e governos ao redor do mundo.

IBM Champion IBM Z COBOL CICS Db2 z/OS Mainframe desde 1988
GitHub LinkedIn
Inicializando conteúdo...