Entre os principais desafios de operar ambientes com centenas de componentes, está uma questão de aparência administrativa, e Rolando Bonaccorsi, executivo de operações e delivery em tecnologia, avalia que a titularidade de cada serviço determina o tempo de resposta mais do que a tecnologia empregada. Falhas em componentes sem um responsável claro se arrastam por horas antes de alguém assumir a condução.
A pergunta parece burocrática até o momento em que o alarme dispara. Quem decide reiniciar, quem autoriza a reversão, quem fala com a área de negócio afetada e quem responde pela correção definitiva são definições que precisam existir antes do incidente, porque formular as quatro perguntas durante a crise custa o tempo mais caro do ciclo de recuperação.
O que significa ter dono de um serviço?
Conforme pondera Rolando Bonaccorsi, titularidade não se confunde com autoria. Quem escreveu o código pode ter mudado de área, saído da empresa ou assumido outra prioridade, e o serviço continua rodando com a mesma criticidade de antes. Dono é a função que responde pelo comportamento atual do componente, independentemente de quem o construiu em algum ponto do passado.
Definir titularidade envolve quatro atribuições concretas. Decisão técnica sobre mudanças, prioridade de correção de falhas, acionamento durante incidentes e prestação de contas sobre indicadores de disponibilidade. Quando as quatro ficam distribuídas entre áreas diferentes sem coordenação explícita, nenhuma delas se reconhece como responsável no momento em que a decisão precisa ser tomada rapidamente. Titularidade bem definida reúne as quatro atribuições sob um mesmo endereço, mesmo que a execução seja distribuída entre times diferentes.
Como um serviço perde o responsável?
A perda raramente é formal. Reestruturações de área, mudança de prioridade e saída de pessoas-chave deslocam atribuições sem que o catálogo de serviços seja atualizado, porque a atualização não é urgente em nenhum dia específico. O registro continua apontando para uma equipe que já não existe com aquele nome ou para um profissional que mudou de função há dois anos.
Componentes de integração são os mais vulneráveis. Uma rotina que move dados entre dois sistemas nasce como parte de um projeto, não pertence com clareza a nenhuma das duas pontas e sobrevive em uma zona cinzenta. Como considera Rolando Bonaccorsi, a camada de integração concentra justamente os incidentes mais demorados por essa razão estrutural.
O que acontece no incidente sem titular?
O primeiro efeito é a convocação ampla. Sem responsável definido, o acionamento chama todas as equipes possivelmente envolvidas, e a sala de crise ganha pessoas que não têm o que fazer naquele momento. A coordenação consome esforço, as hipóteses se multiplicam e a investigação perde foco, com várias frentes verificando aspectos sobrepostos do mesmo sintoma. O tempo gasto apenas para descobrir quem conduz a investigação costuma ser maior que o tempo da correção em si.
Rolando Bonaccorsi, especialista em gestão de operações de TI e excelência em serviços, analisa que o segundo efeito aparece depois do restabelecimento, porque a correção definitiva fica sem destinatário. O incidente é encerrado com solução de contorno; a causa permanece ativa e o mesmo componente volta a falhar semanas depois, com o ciclo inteiro se repetindo.
Dono nominal ou responsabilidade compartilhada
Nomear uma pessoa por serviço resolve o problema de endereçamento e cria outro, já que férias, desligamento e sobrecarga tornam a figura única um ponto frágil. Modelos que funcionam atribuem titularidade a uma equipe, com rodízio interno definido, de modo que o acionamento encontre sempre alguém habilitado a decidir sem depender de disponibilidade individual. A equipe responde pelo serviço, e a escala interna define quem atende em cada janela.
No entendimento de Rolando Bonaccorsi, a condição mínima é que o catálogo de serviços reflita a estrutura vigente e seja revisado a cada mudança organizacional. Registro desatualizado produz a pior combinação possível, porque gera a sensação de que existe responsável definido enquanto o acionamento real encontra caixa de entrada sem leitura.
Vale conferir no catálogo de serviços quantos componentes críticos ainda apontam para equipes que mudaram de nome, porque a revisão costuma explicar os incidentes mais longos do último trimestre.
