Lecciones y controles

Una lección se vuelve control cuando cambia lo que el sistema puede hacer, no lo que se le pide. En los casos de agentes, los controles que funcionan comparten tres rasgos: actúan antes del efecto y no después, viven fuera del modelo (un permiso, una regla, una confirmación, un ámbito) y atacan la causa y no la instancia. No es «borrar esta nota», es «que una nota no pase de un cliente a otro».

Un control que depende de que el modelo obedezca una instrucción de su prompt puede servir como capa adicional, pero no cuenta como control de una acción irreversible: el modelo puede no seguirla, y un texto inyectado puede pedirle lo contrario. Tampoco cuenta como preventivo un tablero que muestra lo ocurrido la semana anterior: es detección, y llega tarde para una purga.

La primera prueba de un plan de controles es de cobertura: cada causa del análisis tiene al menos un control que la corta de raíz. Se hace con una tabla cruzada de causas y controles, y una causa sin control preventivo sigue abierta aunque el plan parezca completo.

Ojo con los controles que dicen cortar una causa y solo tratan un síntoma: corregir el dato concreto del caso, o pedirle al modelo que no lo repita, se anota en la tabla como si cubriera la causa, y no la cubre.

Los controles propuestos después de un incidente vienen de personas con presión y con poco tiempo, y entre ellos suele aparecer el más barato de todos: escribirle al modelo lo que no debe hacer. Se reconoce porque su descripción habla de lo que el modelo tiene que recordar, decidir o evitar, y no de lo que el sistema le impide.

Ese control no se descarta, pero se saca de la columna de controles que cubren una causa.

Una acción del post-mortem está cerrada cuando hay evidencia de que el control funciona: una consulta con fecha, una prueba con su resultado, una configuración con su versión. Un estado «cerrada» sin evidencia es una declaración de quien la cerró, y la junta va a leer ese estado como un hecho.

Por eso, antes de presentar el plan, se reabre toda acción cerrada sin evidencia y se pide la prueba a su dueño.

La junta no necesita la tabla entera: necesita saber si el plan cubre los tres incidentes, qué falta y qué está de verdad hecho. Con lo que encontraste, el plan tiene una causa sin control y varias acciones sin prueba. Presentarlo como terminado lo convierte en una promesa que el próximo incidente desmiente.