장애를 반복하는 조직의 공통점, 처벌이 만드는 침묵의 경제학
새벽 세 시에 알람이 울리고 결제 API가 삼십 분째 오류를 뱉는 팀, 다음 날 아침 회의에서 팀장이 던지는 첫 질문 하나로 그 조직의 미래가 갈립니다. “누가 배포했죠”로 시작하는 조직과 “왜 이 배포가 막히지 않았을까요”로 시작하는 조직은 겉보기엔 같은 장애를 겪었지만, 몇 달 뒤 완전히 다른 장애 이력을 쌓게 됩니다. 이 글은 그 갈림길이 왜 생기는지, 그리고 어느 쪽으로 조직을 밀어야 같은 장애를 두 번 겪지 않는지를 다룹니다.
결론부터 말하면 이렇습니다. 장애를 반복하는 조직은 사람이 부주의해서가 아니라, 처벌이 정보의 흐름을 끊기 때문에 반복합니다. 블레임리스 문화는 친절한 태도나 도덕적 선택의 문제가 아니라, 조직이 자기 자신의 실패로부터 정보를 뽑아낼 수 있느냐 없느냐를 가르는 정보 시스템 설계의 문제입니다. 이 관점을 받아들이면 포스트모템 회의를 어떻게 진행할지, 문서를 어떻게 쓸지, 액션 아이템을 어떻게 관리할지가 전부 하나의 원칙으로 정리됩니다. 정직한 보고가 개인에게 손해가 되지 않도록 시스템을 설계하는 것입니다.
글의 핵심 개념을 형상화했습니다.
처벌이 정보를 죽이는 방식
장애가 터졌을 때 가장 값진 자원은 돈도 인력도 아니고 정보입니다. 무엇이 실제로 일어났는지, 어떤 신호를 누가 놓쳤는지, 왜 그 순간에 그 판단을 내렸는지. 이 정보 대부분은 오직 한 사람, 그 상황에 있었던 당사자의 머릿속에만 존재합니다. 그리고 그 정보를 조직이 얻는 유일한 경로는 당사자가 자발적으로 말하는 것뿐입니다. 로그나 모니터링 대시보드는 무엇이 일어났는지의 일부만 보여줄 뿐, 왜 그런 판단을 내렸는지는 절대 보여주지 않습니다.
여기서 처벌이 끼어들면 이 유일한 경로가 막힙니다. 사람은 자기 실수를 상세히 보고했을 때 돌아올 결과가 나쁘다는 걸 알면 보고를 최소화하거나, 사실을 자기에게 유리한 방향으로 편집하거나, 아예 그 부분을 언급하지 않습니다. 이건 그 사람의 인성이나 정직성 문제가 아니라 지극히 합리적인 선택입니다. 정직하게 말했을 때 승진 심사에 불리하게 작용하거나 동료 앞에서 망신을 당한다면, 다음번에는 조금 덜 솔직하게 말하는 편이 개인에게는 이득입니다. 이 계산을 하지 않는 사람은 오히려 드뭅니다.
그래서 처벌 중심 조직에서 나오는 포스트모템 문서를 읽어보면 공통된 패턴이 보입니다. 원인 분석이 이상하게 얕은 지점에서 멈춰 있습니다. 담당자가 확인 절차를 누락했다까지만 적혀 있고, 왜 그 확인 절차가 그 사람 한 명의 기억에만 의존하는 구조였는지는 묻지 않습니다. 그 질문을 던지면 결국 시스템 설계의 책임이 드러나고, 그 설계는 대개 팀 전체 혹은 리더의 결정이었기 때문입니다. 개인을 지목하는 게 조직 입장에서 가장 편한 종착점이 되는 이유입니다.
이 현상을 정보의 비대칭이라고 부르는 관점도 있습니다. 장애 당사자는 진짜 원인의 상당 부분을 알고 있지만 처벌이 두려워 전부를 말하지 않습니다. 조사자는 그 절반의 정보로 결론을 내려야 하고, 그 결론은 필연적으로 표면적인 원인에서 멈춥니다. 근본 원인까지 도달하지 못한 포스트모템은 같은 장애가 형태만 바꿔 다시 일어날 씨앗을 남깁니다.
침묵은 왜 복리로 쌓이는가
처벌이 만드는 손해는 그 장애 한 건에서 끝나지 않습니다. 한 번 처벌받거나 공개적으로 질책당한 엔지니어는 다음번에 이상 징후를 발견해도 보고를 주저합니다. 머릿속에서 이거 별거 아닐 수도 있는데 괜히 말했다가 지난번처럼 되는 거 아닐까라는 계산이 자동으로 돌아갑니다. 이 주저함은 그 한 사람에게서 끝나지 않고, 그 사람이 겪은 일을 지켜본 주변 동료에게도 학습됩니다. 조직 전체의 조기 경보 감도가 조용히, 그러나 확실하게 떨어집니다.
문제는 이 감도 저하가 눈에 보이지 않는다는 점입니다. 장애 건수는 당장 늘지 않을 수도 있습니다. 오히려 겉보기엔 조용한 시기가 이어지기도 합니다. 하지만 그 조용함은 문제가 없어서가 아니라, 작은 신호들이 보고되지 않고 조용히 묻히고 있어서인 경우가 많습니다. 진짜 큰 사고로 이어지기 전에 나왔을 사소한 경고들, 반복되는 타임아웃, 살짝 늘어난 지연 시간, 재시도 로직이 조용히 흡수하고 있는 실패들이 아무에게도 보고되지 않은 채 쌓입니다.
이 복리 효과가 무서운 이유는 시간이 지날수록 조직이 자기 시스템의 실제 상태를 점점 더 모르게 된다는 점입니다. 대시보드에 찍히는 숫자와 현장 엔지니어가 실제로 느끼는 불안 사이의 간극이 벌어집니다. 그리고 그 간극이 임계치를 넘는 순간 한 번에 큰 장애로 터집니다. 사후에 돌아보면 그때 그 신호가 있었는데라는 말이 나오지만, 그 신호를 말할 수 있는 문화가 애초에 없었다는 사실은 자주 잊힙니다.
이 악순환을 끊는 방법은 단순합니다. 정직한 보고의 비용을 낮추는 것입니다. 낮추는 방법이 추상적인 캠페인이나 포스터가 아니라, 실제로 회의가 열리는 방식과 문서가 쓰이는 방식이라는 게 다음 두 절의 핵심입니다.
사실과 판단을 분리하는 훈련, 타임라인이 정보 시스템인 이유
포스트모템 문서를 처음 써보는 팀은 대개 두 극단 중 하나에 빠집니다. 너무 짧아서 서버가 죽어서 재시작했다로 끝나는 문서는 다음에 같은 일이 생겨도 아무 도움이 되지 않습니다. 반대로 로그를 통째로 복사해 넣고 관련 없는 배경 설명을 몇 페이지씩 붙인 문서는 아무도 끝까지 읽지 않습니다. 좋은 포스트모템은 이 중간 지점에 있습니다. 읽는 사람이 오 분 안에 무슨 일이 있었는지 파악하고, 필요하면 더 깊이 파고들 수 있는 구조여야 합니다.
이 구조의 핵심은 타임라인이고, 타임라인의 핵심 규율은 사실과 판단을 분리하는 것입니다. 십사 시 이 분에 배포 파이프라인이 새 버전을 반영했다는 사실입니다. 십사 시 이 분에 담당자가 부주의하게 배포했다는 판단입니다. 이 둘을 섞어서 쓰는 순간 독자는 타임라인을 읽는 게 아니라 이미 내려진 결론을 그대로 받아들이거나, 반대로 방어적인 자세로 읽게 됩니다. 어느 쪽이든 학습에는 방해가 됩니다.
사실만으로 이루어진 타임라인이 왜 중요한지는 이 문서가 누구를 위한 것인지 생각하면 명확해집니다. 포스트모템은 그 자리에 있던 사람을 위한 문서가 아니라 그 자리에 없었던 미래의 팀원을 위한 문서입니다. 판단이 섞인 타임라인은 그 판단을 내린 사람의 관점을 강요하지만, 사실만 남은 타임라인은 읽는 사람이 스스로 판단할 수 있는 여지를 남깁니다. 이 여지가 나중에 완전히 다른 각도의 통찰을 만들어내는 경우가 실제로 많습니다.
효과가 없었던 시도를 기록하는 것도 이 원칙의 연장선입니다. 롤백보다 핫픽스를 먼저 시도했지만 효과가 없어서 십 분 뒤 롤백으로 전환했다는 문장은, 그 판단이 사후에 보면 최선이 아니었더라도 그 순간 가진 정보로는 합리적이었을 가능성을 열어 둡니다. 이 기록이 없으면 다음 담당자는 같은 시행착오를 반복하거나, 반대로 그 판단을 내린 사람을 무능하다고 단정하게 됩니다. 둘 다 조직에 도움이 안 됩니다.
결국 타임라인 작성법은 문서 스타일의 문제가 아니라 정보를 오염 없이 다음 사람에게 전달하는 파이프라인 설계의 문제입니다. 사실과 판단을 섞는 순간 그 파이프라인에 잡음이 섞이고, 잡음이 섞인 정보는 다음 의사결정의 품질을 떨어뜨립니다.
문화는 선언이 아니라 회의 시작 삼 분의 행동이다
우리 팀은 블레임리스 문화입니다라는 문장을 사내 위키에 적어 놓는다고 그 문화가 만들어지지 않습니다. 문화는 선언이 아니라 반복된 행동의 축적이고, 그 행동 중 가장 강력한 신호는 포스트모템 회의가 시작되는 첫 삼 분에 나옵니다. 그리고 이 삼 분을 결정하는 사람은 대개 그 방에서 가장 직급이 높은 사람입니다.
리더가 팔짱을 끼고 그래서 누가 이걸 배포했죠로 회의를 시작하면, 그 뒤로 어떤 블레임리스 원칙을 문서로 읊어도 소용이 없습니다. 참석자들은 그 한마디로 이미 방어 태세에 들어가고, 그 순간부터 나오는 모든 발언은 사실 보고가 아니라 자기 보호를 위한 진술이 됩니다. 반대로 효과적인 리더는 회의를 이렇게 시작합니다. 먼저 대응해 주신 분들 고생 많으셨습니다, 이 회의의 목적은 무엇이 시스템을 뚫었는지 이해하는 것이지 누군가를 지목하려는 게 아닙니다. 당연한 말처럼 들리지만 이 말을 실제로 매번 반복하는 리더는 드뭅니다.
반복이 중요한 이유는 한 번 말했다고 팀 전체가 그 원칙을 내재화하지 않기 때문입니다. 특히 새로 합류한 팀원이나 과거 다른 조직에서 비난 문화를 경험한 팀원에게는 이 반복이 매번 필요합니다. 이들에게 침묵은 안전한 디폴트이고, 그 디폴트를 깨려면 리더가 매 회의마다 안전하다는 신호를 새로 보내야 합니다.
리더가 자기 취약성을 먼저 드러내는 것도 강력한 신호입니다. 저도 몇 년 전에 비슷한 실수로 장애를 냈습니다, 그때 배운 건 이거였습니다라고 말하는 리더 아래에서는 팀원들이 자기 실수를 훨씬 편하게 인정합니다. 반대로 리더가 한 번도 자기 실수를 인정하지 않는 조직에서는 실수를 인정하는 행위 자체가 약점을 드러내는 위험한 행동으로 여겨집니다. 리더의 언행이 곧 조직 전체가 학습하는 안전의 기준선이 됩니다.
좋은 의도가 실행으로 이어지지 않는 이유
포스트모템 회의가 아무리 좋은 분위기에서 진행되고 근본 원인을 정확히 짚었다 해도, 그 결과물인 액션 아이템이 실행되지 않으면 그 회의는 시간 낭비로 끝납니다. 오히려 더 나쁜 결과를 남깁니다. 다음 장애가 났을 때 저번에도 이거 고치기로 했잖아요라는 말이 나오는 순간, 포스트모템 자체가 신뢰를 잃습니다. 팀원들은 다음 포스트모템에 참여할 동기를 잃고, 정직하게 말해도 어차피 안 바뀐다는 냉소가 자리 잡습니다.
액션 아이템이 실행되지 않는 데는 몇 가지 반복되는 패턴이 있습니다. 가장 흔한 패턴은 항목이 너무 추상적으로 적히는 것입니다. 배포 프로세스를 개선한다는 문장은 담당자가 봐도 무엇부터 해야 할지 모릅니다. 시작점이 불분명한 작업은 다른 급한 일에 밀려 무한정 뒤로 미뤄집니다. 두 번째 패턴은 담당자가 명확하지 않은 경우입니다. 팀에서 검토한다처럼 팀 전체가 담당으로 지정되면 그 안에서 아무도 자기 일이라고 생각하지 않습니다. 세 번째는 우선순위가 아예 없는 경우입니다. 회의에서 나온 액션 아이템 열 개가 모두 같은 우선순위로 백로그에 던져지면, 눈에 보이는 사용자 가치를 만들지 않는 인프라성 작업일수록 평상시 기능 개발에 밀려 사라집니다.
아래 표는 같은 문제의식을 가진 액션 아이템이 실행되는 문서와 실행되지 않는 문서에서 어떻게 다르게 적히는지를 보여줍니다.
| 항목 | 실행되지 않는 액션 아이템 | 실행되는 액션 아이템 |
|---|---|---|
| 담당자 | 팀 전체 또는 미지정 | 이름 한 명, 최종 책임자 명시 |
| 완료 기준 | 추상적 서술, 측정 불가 | 게이트 우회 시 자동 차단처럼 검증 가능한 기준 |
| 우선순위 | 전체 동일 우선순위, 백로그에 방치 | 심각도 기반 순위, 기한 명시 |
이 표가 보여주는 건 결국 하나입니다. 좋은 의도는 구체적인 구조로 감싸지 않으면 증발합니다. 액션 아이템은 회의가 끝난 순간의 감정이 아니라, 몇 주 뒤 아무도 그 회의를 기억하지 못하는 시점에도 스스로 실행될 수 있는 형태로 적혀야 합니다.
정보 시스템으로서의 조직 설계
지금까지 다룬 네 가지, 정보 비대칭의 메커니즘과 침묵이 복리로 쌓이는 과정, 사실과 판단을 분리하는 타임라인 규율, 리더의 첫 삼 분, 액션 아이템의 구조는 서로 다른 이야기가 아니라 하나의 이야기를 다른 각도에서 본 것입니다. 조직이 자기 실패로부터 배우는 능력은 도덕적 성숙도의 문제가 아니라, 정직한 보고가 개인에게 손해를 끼치지 않도록 설계된 시스템이 있느냐 없느냐의 문제입니다.
이 관점은 실무에 구체적인 함의를 남깁니다. 포스트모템 프로세스를 도입하려는 팀이라면 문화 캠페인부터 시작하지 말고 세 가지 구조를 먼저 점검해야 합니다. 회의를 여는 사람이 매번 어떤 문장으로 시작하는지, 문서 템플릿이 사실과 판단을 구조적으로 분리하도록 강제하는지, 액션 아이템에 담당자와 완료 기준과 우선순위가 기본값으로 요구되는지입니다. 이 세 가지가 갖춰지면 블레임리스라는 단어를 한 번도 입 밖에 내지 않아도 정직한 보고가 자연스럽게 늘어납니다. 반대로 이 세 가지 없이 블레임리스를 선언만 하면, 그 선언은 다음 처벌이 일어나는 순간 즉시 무너지는 얇은 약속에 그칩니다.
결국 장애를 자산으로 바꾸는 조직과 같은 장애를 반복하는 조직의 차이는 사람의 됨됨이가 아니라 설계의 차이입니다. 처벌은 정보를 죽이고, 정보가 죽으면 조직은 자기 시스템을 점점 더 모르게 됩니다. 반대로 정직한 보고가 안전한 시스템은 매 장애를 통해 실제로 더 튼튼해집니다. 이 설계를 먼저 갖추는 조직이 결국 더 적게, 그리고 더 가볍게 넘어집니다.