تتذكّر معظم البرمجيات ما الذي تغيّر. أمّا تذكّر لماذا سُمح بالتغيير، ومَن أو ما الذي قرّره، وعلى أي دليل استندت إليه القرار، فأمر تفعله برمجيات أقلّ بكثير. وفي هذه الفجوة تتآكل الثقة بهدوء. عادةً ما يستطيع فريق العمليات الإجابة عن “ما هي الحالة الآن”؛ لكنه كثيراً ما يعجز عن الإجابة عن “أرني كيف وصلنا إلى هنا، وأثبت أننا كنّا مُخوَّلين بذلك”.
بُنِيَت Threada بحيث يكون السؤال الثاني قابلاً للإجابة دائماً. فكل إجراء محكوم يترك إيصالاً.
ما الذي يحتويه الإيصال فعلاً
الإيصال ليس سطراً في السجل. فسطر السجل يقول “حدث شيء ما”. أمّا الإيصال فيقول ما يكفي لإعادة بناء قرار والدفاع عنه لاحقاً. في Threada، يسجّل الإجراء المحكوم:
- الفاعل. مشغّل بشري أو مشارك من الذكاء الاصطناعي، يُسجَّل بوصفه أحداث فاعل متمايزة. ولا تتنكّر موافقة الوكيل أبداً في صورة موافقة شخص.
- المدخلات. الـ WorkItem، وكياناته المستخرجة، وهوية مُقدِّم الطلب، وقناة المصدر التي وصل عبرها الطلب.
- الدليل. الاقتباسات، وأثر الاسترجاع، و — حين يكون السياق غير كافٍ — سبب التراجع الصريح. ولا يمكن إنشاء Work من دون اقتباسات أو سبب تراجع مُسجَّل.
- السياسة. أي مجموعة سياسات كانت فاعلة، وبأي إصدار، وما إذا كانت سارية على نطاق المستأجر كاملاً أم محصورة في حزمة (pack) أو سير عمل أو قناة أو مجموعة طالبين بعينها.
- النتيجة. ما إذا كان الإجراء قد اقتُرِح أو وُوفِق عليه أو رُفِض أو نُفِّذ أو نجح أو أخفق — مع الرابط الراجع إلى السجل الخارجي الذي مسّه.
اقرأ هذه الحقول مجتمعةً تحصل على سرد قابل للدفاع عن خطوة واحدة. واقرأها على امتداد دورة حياة الـ WorkItem تحصل على تاريخه الكامل.
قابلية التدقيق وضعاً افتراضياً، لا ميزة تُلصق لاحقاً
الإغراء في معظم الأنظمة هو إضافة التدقيق لاحقاً: تُطلَق الميزة، ثم تُغلَّف بالتسجيل حين يطلب عميل أدلة SOC 2 أو حين يطرق الباب أحد المنظِّمين. هذا الترتيب مقلوب. فالتدقيق المُضاف لاحقاً يكون جزئياً دائماً، لأن النظام لم يُطلَب منه قطّ أن يحمل السياق في لحظة اتخاذ القرار.
تعكس Threada هذا الترتيب. يُصدر وقت التشغيل أحداثاً مُنظَّمة عند كل انتقال ذي معنى — work_item_created وapproval_requested وapproval_decided وaction_proposed وaction_executed وfallback_triggered — لأن فعل إنجاز العمل هو ذاته الفعل الذي يسجّله. فلا توجد خطوة منفصلة لـ”تشغيل التدقيق”، لأنه لا توجد لحظة يحدث فيها العمل خارج السجل.
هذا ما نعنيه حين نقول إن النموذج هو نموذج سجلات-وإيصالات. فالسجل ليس تقريراً تُنشئه؛ بل هو الأثر المتبقّي من إنجاز العمل على الوجه الصحيح.
لماذا تُغيّر الإيصالات طريقة عمل الفِرَق
الإيصال مفيد للمدقِّق في نهاية الربع. لكن قيمته الأهدأ هي للمشغّل في خضمّ يوم ثلاثاء عادي.
حين يحمل كل إجراء دليله وأساسه السياسي، تصبح ثلاثة أمور أيسر:
- تصبح المراجعة سريعة وصادقة. لا يضطر المُوافِق إلى إعادة بناء السياق من ذاكرته أو ملاحقة مُقدِّم الطلب لمعرفة الطلب الأصلي. فالدليل يجلس إلى جوار الإجراء. والثقة وقابلية العكس والوضوح ظاهرة عند نقطة القرار، فيُحسِّن المراجعون لأجل قابلية المراجعة لا السرعة وحدها.
- يصبح التراجع آمناً. ولأن الإيصال يُسمّي إصدار السياسة والمدخلات، فإن التراجع عن إجراء يغدو عمليةً محدَّدة، لا مشروع تنقيب أثري. فأنت تعرف ما الذي تتراجع عنه ولماذا فُعِل.
- تكفّ المساءلة عن كونها خصومة. حين يُجمِّع السجل نفسه بنفسه، لا يكون “مَن وافق على هذا” اتهاماً — بل مجرد حقل. والفصل بين المهام بين أدوار البنّاء والمُوافِق والحوكمة مُطبَّق وظاهر، بحيث تكون مسألة المساءلة قد أُجيب عنها قبل أن يضطر أحد إلى السؤال.
يبقى العمل عالي المخاطر بشرياً، ومُدوَّناً في السجل
لا تعني الإيصالات أن كل شيء مؤتمت. بل تعني أن كل شيء قابل للمساءلة. تتبع الأتمتة عالية المخاطر تسلسلاً صريحاً مع تدخّل بشري — مُقترَح، ثم مُوافَق عليه، ثم قيد التنفيذ — ولا تُنفَّذ تلقائياً إلا حيث تسمح سياسة بذلك صراحةً. ويسجّل الإيصال أي تلك المسارات سلكه إجراء بعينه. فالأتمتة والموافقة ليستا في تنازع؛ بل كلتاهما مجرد خطوتين تتركان أثراً.
والنتيجة نظام يمكنك أن تسلّمه لمدقِّق ولمشغّل جديد بالثقة ذاتها. يرى المدقِّق أن الضوابط صمدت. ويرى المشغّل كيف تعامل الشخص السابق مع الحالة الماثلة أمامه. وكلاهما يقرأ الإيصالات نفسها.
هذا هو الرهان الكامن خلف Threada: أن أرخص وقت لالتقاط سبب السماح بقرار هو اللحظة التي تتخذه فيها، وأن الفريق الذي لا يعمل أبداً خارج السجل هو فريق يستطيع دائماً الإجابة عن السؤال الثاني.