Etsyの2012年の「非難しないポストモーテム」が障害レビューを業界が模倣する儀式に変えた

Etsyのサイトでは実際に障害や事故が起きており、誰がミスをしたかを見つけて見せしめにするという従来の反応は、正直な説明を地下に追いやり、何も解決しなかった。

事故を犯罪ではなく学習の機会として扱う。すなわち、エンジニアが正直に説明できる非難のないポストモーテムを実施し、個人ではなくシステムを修正する。

Allspawは2012年5月にCode as Craftでこの実践を公開し、「悪いリンゴ理論」を批判して人的エラーをシステム条件の症状と呼んだ。レビューでは事故を許した要因を問い、2017年にはEtsyがそのような振り返りを進行するためのファシリテーションガイドをオープンソース化した。

この投稿は「非難しないポストモーテム」をエンジニアリング文化の標準とする一助となった。この用語は現在、業界全体のインシデント対応の原則に現れており、Etsyのガイドはレビューの進め方を学ぶチームによって今も引用されている。

2012年5月、当時Etsyの技術運用を率いていたJohn Allspawは、同社のエンジニアリングブログで「Blameless PostMortems and a Just Culture」を公開した。この投稿は「悪いリンゴ理論」、すなわちエラーをなくす方法はそれを起こす人々をなくすことだという考えを否定し、「人的エラー」は根本原因ではなく症状であると論じた。

実践は具体的だった。障害や事故の後、Etsyは責任を割り当てることなく何が起きたかをレビューし、行為が寄与したエンジニアが詳細で正直な説明を行えるようにした。Allspawはこのアプローチを「ジャストカルチャー」に結びつけた。これは医療や航空など、正直な報告を罰することがシステムをより危険にする分野から借りた原則である。

2017年、Etsyはさらに進んで、GitHub上でDebriefing Facilitation Guideをオープンソース化し、ポストモーテムを「何よりもまず学習の機会であり、修正の機会ではない」と説明し、振り返り自体をファシリテートする方法を解説した。2012年の投稿はエンジニアリングで最も引用される仕事のアイデアの一つとなり、「非難しないポストモーテム」はEtsyをはるかに超えたチームの語彙に入った。

非難は人々に自分の行動を隠させるため、真の原因が決して表面化しない

人的エラーはシステム条件の症状であるため、個人を修正しても何も解決しない

正直な説明は一つのチームの失敗を全員の教訓に変える

公開ガイドにより、実践は個人の資質ではなく教えられるものになった

個人を非難するとインシデントから学ぶことが難しくなる。人々が自分の行動を正直に説明できるとき、真のシステム上の欠陥が表面化する。そして修正できるのはそれらである。

Etsyはその後数年間でこのアイデアを運用化し、2017年にファシリテーションガイドを公開した（リポジトリは2025年にアーカイブされた）。「非難しないポストモーテム」はGoogleのSREの原則を含め、業界全体のインシデント対応文化の信条となった。そしてAllspawの投稿は今もこのアイデアの正典的な表明として引用されている。