问责的黑洞

Accountability Sinks

Accountability engineering in institution design

250bpmMartin Sustrik

发表于2025年4月22日

1990年代，地松鼠一度成为风靡一时的宠物。但它们的风头很快被一桩事件终结：1999年4月，一批从北京出发、搭乘荷兰皇家航空抵达阿姆斯特丹史基浦机场的货运航班，运来了440只地松鼠。由于缺乏必要的进口文件，这批动物无法转运至目的地雅典。可问题是，也没人能纠正错误并把它们送回原地。那该怎么办？很难想象会没有比最终执行的方案更好的选择——面对这场文书风波，机场员工竟将440只地松鼠统统投入工业碎肉机绞碎处理。

……

后来查明，下令销毁这批松鼠的，是荷兰政府农业、环境管理与渔业部。但事后荷航管理层表示，站在事后视角，“这种形式的命令，且没有可行替代方案，是不道德的”。员工的行为在“程序上是正确的”，因为他们确实服从了上级命令，但荷航也承认，他们在执行时“判断失误”。公司董事会对此表示“深切遗憾”，而人们也没有理由怀疑他们的真诚。

……

若试图还原当时的思路，人们似乎假定，毁灭活体动物的决定将是极为罕见的情况，更多是作为威慑手段来敦促人们做好文件，而不是真会对几百只比初生雏鸡大得多的哺乳动物动手。

把员工的行为称作“判断失误”其实很耐人寻味：整个系统里唯一的“安全机制”，竟只是模糊地寄希望于现场执行者，在命令带来可怕后果时，能违抗指令，自行决定不照办。但从未有人明确告知他们：你们有责任从伦理角度审视命令的正当性。现实中，大多数在仓库、作业区工作的人，也根本没被赋予否决政府命令的权力。况且，要一个人99%的时间服从命令，却在那唯一的1%里突然自主判断，既不符合心理常识，也不符合管理现实。

——丹·戴维斯，《不负责任的机器》

⸻

你在机场柜台听到坏消息——比如你被从航班上挤下去了，因为有个常旅客的积分更高。你开始抱怨，强调自己票买得多贵，但对方却摊手说：“我也没办法。”你要求找一个真正能拍板的人，但却被告知“不符合公司政策”。

整个对话最令人不安的是，你逐渐意识到，眼前这个人其实只是个流程的传声筒，只能机械地执行一套由更高层决定的规则。你会感到非常挫败，甚至想发火——可你又很难真正怪罪这个人。航空公司仿佛建造出了一种机制：它可以用一个没有人性的“机构之声”对你说话，而你却只能像个“人”一样回应它。

坏人会把气撒在柜台人员身上；好人则是转身离开，心中憋着无处发泄的愤怒。

——同上

⸻

某家信用卡公司原本会给客户发带名字的塑料卡。每张卡上都会印上客户的姓名。

后来，员工们发现一个问题：卡片设计只能容纳24个字符，而有些客户的姓名超过了这个长度。他们向业务团队反馈了这个问题。

而业务团队的答复是：既然这种情况极少发生，那就别改卡的设计了，遇到这类申请就一律驳回。

所以，即使你信用记录良好，也可能永远拿不到卡，原因却无人告知。也没人负责，也没人可投诉。一个技术性的小故障，就这样被一纸流程掩盖过去。

⸻

研究大屠杀的学者反复强调一点：纳粹之所以能实施大规模种族灭绝，不是靠民众的仇恨，而是靠将这种仇恨纳入形式化的行政流程。

比如，把犹太人从普通人口中分离出来，集中安置，是走向灭绝的关键一步。

在保加利亚，当局并没有将犹太人关进隔离区或劳改营，而是把他们分散送往农村协助农务。一旦分散，就无法执行后续步骤，比如集中上车、运往集中营。

所以“集中”是关键。但负责操作的官员，完全不会觉得自己在“杀人”。他们只是做着日复一日、枯燥乏味的行政工作而已。

这一点在阅读纽伦堡审判材料时格外刺痛人心。几乎没人对任何事负责，每个人都说“我只是在执行命令”。

而事实上，很多被告并非“奉命行事”，而是出于主动。后来发现，德国士兵即便违抗非法命令，也往往只受到轻微惩处。所以，如果他们当时选择退出或设法减轻伤害，未必就会遭重罚。

但纽伦堡审判始终带着一种挥之不去的“任意感”——为什么审这几个人，而不是那几个人？要知道，参与“最终解决方案”的人有数十万。

而当我们再看1960年代的“去纳粹化”审判时，这种感受更甚：

如今，他们甚至要将96岁、甚至百岁老人拉上法庭，只因他们曾在某办公室、某瞭望塔工作过。可如果1965年就照此标准行事，那就要关进30万德国男女，终身监禁，以“协助谋杀”罪。……当年必须收手、压下去，否则社会根本无法重新开始。……

旺湖会议上有一位女秘书，没人想过要审她。可那些骇人听闻的命令，并不是元凶亲自打的字，是这些女秘书打的。

——历史学家戈茨·阿里访谈（原文德语）

乍一看，这似乎只是大型组织才会出现的问题。但实际上，哪怕只有两个人的小环境，也足以演变出同样的荒谬局面。

比如一对情侣总是为了“谁来洗碗”争吵不休。为了避免再起纷争，他们决定轮流每周负责家务。

一开始一切运转良好，直到有一方生病卧床。厨房水槽里碗盘堆积如山，而另一方却并不觉得自己该动手收拾——因为，这周不是自己的轮班时间。没错，锅不在任何人头上。

⸻

这正是 Dan Davies 在其著作《不可问责机器：为什么大型系统做出糟糕决定——以及世界是如何失去理智的》中所称的“问责的黑洞”。

本来依赖人类判断的事情，渐渐被正式流程所取代。最终，没人再做出主动的决定，所有事情只是“按照流程走”。甚至这个流程可能完全由电脑执行，根本无需人工介入。出问题了？没人担责。你想投诉？也找不到对象。每个人的屁股都被程序牢牢兜住。

任何组织中，都存在一种强烈的冲动：用流程来取代人的判断。毕竟，决定本身常常是有争议的，总有人利益受损、心生不满或产生抵触。而引入一个“非个人化”的流程，意味着可以“自动”完成决策，没人需要承担责任，也没人需要为伤害他人而愧疚。

Davies 这本书最重要的贡献，或许就是为这种我们既熟悉又痛恨的现象起了个名字。

而这个名字，恰恰一语道破了核心：流程确实能提升效率，流程一旦制定，就可以反复应用，带来规模效益。

流程也能提升安全性。比如飞行员起飞前逐项检查：飞控是否正常？舱门是否锁好？所有细节一一落实，滴水不漏。

流程还承载着机构的记忆。它们把过去无数次的教训、总结、经验浓缩成一系列指令，执行者即便并不知情，也能受益于前人留下的智慧。

但说到底，在任何官僚体制的深处，流程的真正使命是：推卸责任。它并非为了效率，而是一种“责任管理术”。

⸻

一旦你意识到这一点，便再难忽视。这种感觉，既像是顿悟，也像是溃堤。

如今西方社会普遍的不满情绪，正是源于这种体验：人们愤怒于自己被系统当作齿轮而非人对待。决定不是人做的，而是“流程”。一旦流程背弃了你，你将无处申诉、无人对话、无人负责。

这也是为什么，即便是中产富足的人，也越来越焦虑不安。我们表面上拥有民主，但当无论是政府还是企业，都将“问责”让位给干巴巴的流程时，民主也就只剩一个空壳。

你已无法掌控自己的人生。追求幸福这件事，名存实亡。过去的成绩，甚至也可能被某个没有名字的系统一笔抹消。而一旦发生了这种事，你将无能为力。未来，不再令人期待，而变得令人胆寒。

你开始明白，为何今天的政治动荡会如此之剧烈。

对专家的反感？可以理解——他们往往被视为这些“非人系统”的设计师。对法官的怀疑？合理——他们似乎更忠于程序，而非正义。甚至人们对腐败的容忍度上升，也有了新的解释：确实腐败很糟，但至少那是人做出的决定。是一个有名字、有脸的人，你可以劝说、施压、追责。总好过面对一个冰冷算法。

每一次你打电话被困在语音菜单里，听着同一首曲子反复播放，拼命想接通一个真人时，那种“末日感”就更强了一分。

⸻

不过，我们也不能因噎废食。

首先，如前所述，大多数流程本身是有益的。它们提升效率、保障安全、积累经验。如果彻底废弃流程，社会只会陷入混乱。

其次，降低问责，有时恰恰是为了更大的自由。

比如“终身教职”制度。它让科学家几乎无法被解雇，从而赋予他们追求高风险、非主流研究方向的自由。他们无需向校方管理层汇报、不用按时交出可见成果、也不用为失败而道歉。

同样的模式，也出现在一些成功的研究机构中，比如 Xerox PARC、Bell 实验室、DARPA。你会发现，背后往往有一个关键人物：一位“守门人式”的管理者，刻意把研究人员从功利要求、官僚干预和上级压力中隔离开来。

风投（VC）对创业公司的支持模式也是如此。创始人需要努力拼搏，但若失败了，也没人来追责。风险早已被计入估值之中。风投机构，某种意义上就像 Bell 实验室中的那位“护法”，为创始人与资本之间设下了一道“责任消解墙”。

⸻

2017年10月1日，美国拉斯维加斯发生枪击惨案。上百名中枪者涌入当地急诊室，医院一夜之间陷入危机。但医护团队硬是扛下了这一切——用的是打破一切规定的方式：

当时，一位护士冲到急救车通道，大喊：“Menes！你快进来！里面快撑不住了！”我转向和我一起分诊的护士 Deb Bowerman，说：“你看见我一直在怎么分配病人。你来接手吧。”她回答：“明白。”于是我把整个分诊工作交给了一名护士。教科书上说，最资深的医生必须亲自分诊，但那一刻，我们还能怎么办？

一直以来，护士都需要走到药物自动发放柜（Pyxis）前，按指纹扫描，然后等待。我当下就意识到，这样不行——我们现在立刻就要药。我对药剂师说，把医院所有的 etomidate 和 succinylcholine 都拿来。我还告诉一位创伤护士，我们现在就要所有的 O 型阴性血。血库把所有存血都送上来了。为了提高抢救流程的效率，护士们甚至把药和血液都塞在了口袋里或身边。

就在那时，呼吸治疗师跑来对我说：“Menes，我们没有呼吸机了。”我说：“没关系。”然后要来了 Y 型接头。Dr. Greg Neyman 是我高一届的住院医生，他曾研究过如何在大规模伤亡中共享呼吸机。研究表明，如果两位患者体型和肺容量差不多，就可以把潮气量翻倍，用 Y 型接头连接一台呼吸机，供两人使用。

——节选自《拉斯维加斯急诊室如何在美国史上最惨枪击案中救下数百人》

有位读者评论道：“太牛了！这哥们违反了所有规定。如果他不是个英雄，早就被开除了。”

⸻

我曾经在 Gmail 团队担任 SRE（网站可靠性工程师）。SRE 的职责就是确保系统始终在线，一旦出问题，你就会被叫醒，无论如何都要解决。

让我最意外的是：这个团队几乎没有强制的流程规范。SRE 要对高层负责，保证服务的可用性，但在处理故障时，并不需要遵循任何固定的流程。

当然，我们也使用流程。但这些流程是我们自己选出来的，更像是“建议”而不是“命令”。而且在每次故障之后，除了修复系统本身，改进流程本身也成了响应的一部分。

我们甚至还有一条显性规则：个人 SRE 不该被追责。每一份故障报告——也就是“事后回顾”——都要以特定的方式书写：

无责备的事后回顾（blameless postmortem）是 SRE 文化的核心。为了做到真正无责备，报告必须聚焦于“促成事件发生的各种因素”，而不是指责某个个人或团队的不当行为。真正的无责备态度，是相信所有涉事人员都是出于善意，基于当时掌握的信息做出了最合理的判断。如果组织文化充满指责和羞辱，人们将不再愿意暴露问题，只因害怕被惩罚。

——《网站可靠性工程：Google 如何运行生产系统》

⸻

1991 年 2 月 1 日，一架喷气客机在洛杉矶国际机场与一架小型螺旋桨通勤飞机在跑道上相撞。撞击瞬间造成 12 人当场死亡。小飞机被撞后推进大飞机，撞击油箱后起火爆炸，乘客们试图逃出燃烧的客舱，但并非人人成功，最终死亡人数升至 35 人。

Asterisk 网站上有一篇精彩的文章记录了这次事故：

当时在 LAX 塔台执勤的管制员 Robin Lee Wascher 在事故发生后被暂停职务——这是所有事故之后的标准操作。听说撞击涉及螺旋桨飞机时，她意识到自己可能让 USAir 1493 航班降落在了一条已有飞机占用的跑道上。当主管还在查找是否有通勤飞机失踪时，Wascher 主动走出了指挥室。她回忆起之前几分钟，她曾经指示 SkyWest 5569 航班——一架 19 座的双螺旋桨飞机——“滑行至跑道 24L 并等待”。但她想不起自己是否已给出起飞指令。那架飞机很可能仍在跑道上等待下一步指示时，就被 USAir 的波音 737 从后方撞上。

这是一个毁灭性的认知。但更重要的是她的勇气——她回到指挥室，指着 5569 航班告诉主管：“我相信，USAir 撞上的就是这架飞机。”

Wascher 的失误是不争的事实，结果也确实导致了 35 人的死亡。于是舆论开始追问：她该不该受罚？该不该丢掉工作？她是不是犯了错？

但事情的结局出人意料：Wascher 并没有受到任何惩罚。事故后，她悲痛欲绝地被带离塔台，随后同事们陪她住进酒店，为她守门，防止媒体干扰。几个月后，她在国家运输安全委员会（NTSB）听证会上如实作证，还被给予返回塔台工作的机会——但她拒绝了。最终，没有人因此案被起诉。

你只要听听当时塔台的录音，就能轻易听出她确实下达了冲突的指令。但如果你仅仅把她换掉，根本无法让飞行更安全。因为 Wascher 并不是一个特别差的管制员——她只是一个表现中等、敬业的普通人，那天只是想像往常一样值个班，然后下班回家。

正因如此，她的同事在接受全国媒体采访时不断强调一个基本事实：这事可以发生在任何一个人身上。如果是这样，那事故的真正原因就不在 Wascher 个体，而在 LAX 塔台系统性的运行问题上。

读过调查报告后，你会换一个视角看问题：没有所谓“罪魁祸首”Wascher，有的只是一群在雷达失灵、能见度低、任务繁重等重压之下，依然每天努力防止事故发生的管制员团队。

而 Wascher 的坦诚报告，最终推动了更有意义的改变：比如增设第二套地面雷达、调整干扰视线的灯光、减少主要管制员的杂项任务。这些对飞行安全的提升，远远大于“开除一个人”所能带来的效果。

甚至可以说，如果你惩罚了她，就等于给整个系统注入寒意。其他经验丰富的管制员将不再愿意承担“不可控的责任”，最终只能辞职离开——留下的是一群缺乏经验的人。

⸻

我在 Google 的一些前同事，也参与了“拯救奥巴马医保”网站的行动。这个网站是美国医保法案的关键入口，然而刚上线时却几乎瘫痪。根据 Wikipedia：

HealthCare.gov 网站如期于 2013 年 10 月 1 日上线。尽管当天联邦政府因预算问题部分停摆，HealthCare.gov 仍保持运行。但人们很快发现该网站存在大量技术问题，有估计称上线首周仅有 1% 的用户完成注册。

网站的问题迅速成为媒体与白宫的焦点，甚至惊动总统本人。正如 Jennifer Pahlka 在其著作《重新编写美国》中所说：

如果这个网站失败了，奥巴马最重要的政策也将随之垮台。也就是说，总统最核心的政绩，成败取决于一个网站的可用性。这是美国历史上第一次，总统的第一优先事项，是一个网页的性能表现。

在最高层的支持下，一个核心计划迅速成型：

计划分两步。第一步是组建一支精悍的技术团队，他们具备处理这类问题的经验与能力。通过信得过的关系网络，一批极具实力的技术人火速集结。第二步，是争取 CMS（负责该网站实施的机构）的信任——一个典型的“防外干”机构，对外来技术人员极度警惕。

但 Todd（负责人）明确表态：他们来不是为了追责，而是为了帮忙。这种姿态带来的，不是常见的抵触或防备，而是一次意外的松动：CMS 的人突然意识到，他们获得了一群可以信赖的技术极客。

对他们来说，“如何采购技术服务”是熟悉流程（他们为 HealthCare.gov 签了 60 个合约）；但现在，他们第一次有了真正能读懂代码、解决代码问题的队友。而这，改变了一切。

——同上

再次，“规避问责”带来了意想不到的好处——它像一把刀子划开那团难以化解的内耗迷雾，让原本僵死的系统重新运转起来。

⸻

英国首相鲍里斯·约翰逊在新冠疫情期间的首席顾问多米尼克·卡明斯回忆道：

“在2020年3月那段最混乱的时刻，首相确诊感染新冠的当天，我们在10号首相府开了一个会议，讨论 NHS（英国国家医疗服务体系）的个人防护装备供应问题。

一群人围坐在桌边，说：‘我们订的那些防护物资，夏天之前都运不到。’

我说：‘可接下来三到四周才是疫情高峰期啊。’

他们答：‘很抱歉，多米尼克，但这些物资就是赶不到。’

‘为什么？’

‘因为从中国运过来就是要那么久。’

‘那你们为什么要从中国运？’

‘因为我们一直都是这么做的，从中国运。’

问题是：第一，我们现在就急需；第二，现在所有航班都停飞了，根本没人飞。”

于是我说：“那就立刻给各大航空公司打电话，告诉他们政府要征用他们的飞机，全都飞去中国，装上我们的货，直接飞回来。今天就做这事，马上行动。”

我们真的这么做了。但最后，只有首相能真正切断所有的繁文缛节。他亲自拍板：“忽略那些欧盟的规定，不用管财政部的指导意见，不用管这些那些。我亲自担责，所有后果我来承担。”

首相的“揽责”让公务员们卸下包袱，终于得以抛开教条，动手解决问题。

⸻

最后，让我们来看看“问责黑洞”的终极版本：自由市场。

我们希望政府维持法治，确保合同的履行，确保市场自由运作。但同时我们也明确不希望政府过多干预市场的日常运行，除了监督合规与征税之外。

很多人已经写过：市场就像一个巨型的信息处理器，它吸收整个社会分散的数据，用来优化资源分配。

但鲜有人提到：正是“缺乏问责”这一点，让企业家可以放手一搏、承担巨大风险。如果你的公司失败了，责任只属于你一人，也只追究你一人。你无需小心翼翼。

相比之下，计划经济的崩溃，固然源于它无视供需法则，但更深层的原因可能在于体制内的企业管理层层受控、向上问责，这就使得所有人都极度回避风险。

这导致了什么？哪怕科学家已经有所发现，企业也不敢尝试新技术、不愿改革商业流程，最终陷入经济停滞，动弹不得。

⸻

看到这里，你或许已经开始思考：如何在制度设计中，创造性地嵌入“问责黑洞”。

但在结尾之前，我想提出几个基本观察：

1. 正规流程大体上是有益的，且不会消失。在现代复杂社会中，没有这些流程，一切都会崩塌。
2. 并非所有流程都是问责的黑洞。你自己制定并遵守的流程，出了问题你依然要负责。而那些“上级强加”的流程，才最容易催生“机械执行”，哪怕结果背离初衷。
3. 并非所有问责的黑洞都会导致僵化与遮掩。一些流程的设计既能豁免当事人问责，又不强加固定解法。比如“无责复盘”（blameless postmortems）——它免去了归咎，却释放了解决问题的自由。