Сегодня слово «устойчивость» использует, кажется, каждый институт. Оно встречается в национальных инфраструктурных стратегиях, в регуляторных документах Евросоюза, в корпоративной отчётности о рисках, в стратегических планах — от центральных банков до университетов. Такое единодушие выглядит как согласие: устойчивость желательна, её нехватка опасна, институтам следует её наращивать. Но это согласие почти никогда не превращается в процедуру. Никто толком не может сказать, как проверить — применительно к конкретному институту, в конкретный момент, — присутствует устойчивость или нет.

Дело не в мелкой терминологической неточности, а в структурном разрыве. Термин, который любой институт готов себе приписать, но который нельзя доказательно у него отнять никакой согласованной процедурой, перестаёт работать как диагностическая категория. Он превращается в форму самоописания — в утверждение о системе, а не в свойство, которое можно против этой системы проверить. В академической литературе слово по-прежнему несёт точный смысл: экология, инженерия надёжности и исследования социально-экологических систем годами уточняли, что именно под ним понимать (Holling 1973; Walker et al. 2004; Folke 2016). Но разрыв между этой академической строгостью и тем, как термин используется в институциональной практике, со временем не сократился, а вырос. Организация может назвать себя устойчивой в стратегическом документе, и это утверждение окажется никак не опровержимым — в том числе для самой организации.

Здесь работает знакомая логика, свойственная любому управленческому понятию, пережившему подобный дрейф. Требование, сформулированное как желаемое свойство, но без спецификации того, что считать его выполнением, а что — нарушением, рано или поздно начинает удовлетворяться декларацией, а не реальной структурой. Это не обвинение в недобросовестности. Это то, что закономерно происходит, когда язык управления обгоняет собственную операционализацию: институты не становятся менее устойчивыми оттого, что лукавят на этот счёт, — они становятся менее устойчивыми оттого, что ни у кого, включая регулятора, совет директоров или собственное руководство института, нет процедуры, которая отличила бы институт, реально выстроивший устойчивость, от института, который лишь произнёс это слово.

Центральное различие, вокруг которого строится это эссе, — между простым присутствием разговора об устойчивости и действующей устойчивостью: структурой, которая реально повела бы себя иначе под нагрузкой, чем сопоставимая структура, этой устойчивости лишённая. У этого различия есть близкий родственник в другой области — в анализе того, чем формальное присутствие человека в контуре принятия решений отличается от его реальных полномочий (Krasovski 2026a). Ловушка в обоих случаях устроена одинаково, хотя предметы никак не связаны между собой: управленческое требование задаётся через видимый, легко проверяемый признак — присутствие человека в контуре, декларацию об устойчивости, — тогда как содержательное свойство, ради которого это требование вводилось, остаётся неспецифицированным, а значит непроверяемым, а значит вполне может отсутствовать даже там, где формальный признак налицо.

Отсюда следует не риторическая параллель, а методологическое обязательство. Если мандат удалось отделить от присутствия и задать структурно — через набор параметров, показывающих, где именно на спектре реальной власти находится система, — то же самое должно быть возможно и для устойчивости. Именно эту операцию и предстоит проделать: перевести устойчивость из разряда декларируемых свойств в разряд диагностируемых структур, специфицированных достаточно точно, чтобы положение конкретного института можно было не просто провозглашать, а находить, оспаривать и пересматривать.

Начинать не приходится с чистого листа. Три более ранних текста уже разметили значительную часть территории, и каждый передаёт эссе часть аргумента, который здесь предстоит довести до конца.

Первый показал, что институциональная хрупкость — это не отказ в привычном смысле слова: не следствие плохих решений и не результат непредвиденных потрясений, а свойство, которое возникает из самой сложности (Krasovski 2025a). Институты по мере роста накапливают взаимозависимость, процедурную плотность и взаимосвязанность — и это накопление систематически съедает именно тот запас, который позволил бы институту выдержать следующий удар. Хрупкость, согласно этому анализу, чаще оказывается побочным продуктом успеха, чем симптомом плохого управления: система, отлаженная под гладкую работу в известных условиях, теряет по ходу дела именно ту избыточность и структурный запас прочности, которые понадобились бы ей в условиях, каких она не предвидела. Там же описана динамика, разворачивающаяся, как только система переходит в состояние так называемого системного перегрева, — момент, когда поступающая сложность обгоняет способность её перерабатывать, — включая появление самоорганизующихся альтернатив и возможный последующий переход в качественно иную конфигурацию.

Второй текст предложил рядом с этим диагнозом позитивную модель (Krasovski 2025b). В нём показано, что устойчивость в условиях ускоряющихся перемен невозможно обеспечить одной лишь технологической способностью — более точным прогнозированием, более совершенной автоматизацией, лучшим моделированием рисков, — потому что технология улучшает предвидение, но сама по себе не производит того согласованного поведенческого ответа, которого это предвидение требует. Под технологическим и институциональным слоями обнаружился третий, культурный: культурная стабилизация — механизмы, поддерживающие общие ожидания и предсказуемость поведения без принуждения. Отсюда родилась практическая модель — треугольник устойчивости, в котором культурная стабилизация, институциональная адаптивность и технологическая прогностическая способность работают как три взаимно усиливающих и друг без друга неполных компонента.

Третий текст взял этот диагноз и эту модель и задался вопросом: как должен быть устроен институт архитектурно, чтобы им соответствовать (Krasovski 2025c)? Ответ потребовал перестать мыслить институт как застывшую бюрократическую конструкцию и увидеть в нём реконфигурируемый протокол взаимодействия — а из этого уже выводился набор принципов проектирования: модульность, прозрачность, культурная синхронизация, технологическая нейтральность. Принципы, позволяющие институциональной структуре подстраивать собственные рабочие параметры по ходу изменения условий, вместо того чтобы каждый раз, когда унаследованные допущения перестают работать, проходить через дорогую и медленную структурную замену.

Вместе три этих текста складываются в связную последовательность: диагноз того, почему институты становятся хрупкими; модель того, что их стабилизирует; архитектура, позволяющая закладывать эту стабильность с самого начала. Чего ни один из них не даёт — и не пытался дать, — так это способа взять конкретный, названный по имени институт и понять, где он на самом деле находится относительно всего перечисленного. Первый текст объясняет хрупкость как общую динамику сложных систем, но не предлагает процедуры, которая позволила бы считать степень уязвимости конкретного института с его реальной структуры. Второй называет три необходимых компонента устойчивости, но не говорит, насколько сильна или слаба культурная стабилизация у данного института прямо сейчас и по какому наблюдаемому признаку это вообще можно было бы понять. Третий задаёт принципы, которым институт должен соответствовать, — но не даёт способа проверить, соответствует ли им реально существующий институт, в какой мере и в чём именно нет.

Именно этот пробел призвано закрыть настоящее эссе. Нужно не ещё одно, четвёртое по счёту описание устойчивости в общих словах, а диагностический инструмент: небольшое число структурных параметров, заданных достаточно строго, чтобы их можно было считать с реального института, а не декларировать о нём, — и вместе с ними способ называть конкретные типы отказа, возникающие там, где отдельные параметры отсутствуют, ослаблены или сознательно подавляются. Дальше эссе разрабатывает этот инструмент напрямую, начиная с различия — между прочностью, избыточностью и устойчивостью в собственном смысле, — которое обыденное словоупотребление раз за разом позволяло стирать до одного нерасчленённого понятия.

В большинстве институциональных и политических контекстов «устойчивость» употребляется так, будто это одно-единственное свойство, которым система либо обладает, либо нет. За таким словоупотреблением скрыто различие, присутствовавшее у истоков термина и постепенно стёршееся по мере его популяризации. Это не терминологическая придирка. От него зависит, что именно институт реально строит, когда добросовестно намеревается «стать более устойчивым», — и, как покажет дальнейшее изложение, институты, смешивающие эти три переменные, обычно строят совсем не то, что имели в виду.

Различие пришло из экологии — из работы, которая старше почти всей нынешней литературы об устойчивости в управленческом дискурсе. Основополагающий анализ Холлинга 1973 года развёл понятия стабильности и устойчивости как два разных свойства экологических систем, и это различие с удивительной точностью переносится на институциональную почву. Стабильность — это склонность системы возвращаться к единственному равновесию после возмущения, тесно связанная со способностью вообще сопротивляться смещению из этого состояния. Устойчивость — это способность поглощать возмущение и перестраиваться, сохраняя при этом по существу ту же функцию, структуру, идентичность: свойство, которое измеряется не тем, насколько система избегает перемен, а тем, насколько она способна их пережить, не переставая быть узнаваемо собой. Главное — и до сих пор недооценённое — открытие Холлинга состоит в том, что эти два свойства не просто различны, а способны работать друг против друга. Система, настроенная на максимизацию стабильности — сопротивляющаяся смещению, гасящая колебания, надёжно возвращающаяся к известному состоянию, — может тем самым процессом снижать собственную устойчивость, потому что механизмы, подавляющие мелкие колебания, заодно подавляют и то разнообразие реакций, которое понадобилось бы, чтобы пережить крупное.

У этого открытия есть прямой институциональный аналог, на который диагноз институциональной хрупкости уже опирался, не называя его прямо (Krasovski 2025a). Институт может быть прочным — то есть устойчивым к известной, предвиденной категории удара — именно за счёт механизмов, которые одновременно и неизбежно снижают его способность выдержать удар непредвиденный. Прочность здесь — институциональный двойник стабильности Холлинга: способность выдержать конкретное, заранее смоделированное возмущение без структурных изменений. Плотина, рассчитанная на паводок раз в сто лет, прочна именно по отношению к такому паводку. От этого она не становится устойчивой к тому классу возмущений, которые инженерный расчёт вообще не предусматривал, — землетрясению, конструктивному дефекту, обнаружившемуся лишь под нагрузкой, изменению землепользования выше по течению, меняющему саму природу паводка. Прочность по самой своей конструкции привязана к конкретной угрозе. Устойчивость, если понимать её правильно, — нет.

Избыточность занимает третье, отдельное место, и теория нормальных аварий объясняет, почему её нельзя смешивать ни с одним из двух других понятий. Анализ сложных технологических систем, предложенный Перроу, показал: избыточность — наличие резервных мощностей, параллельных путей, буферного запаса — сама по себе устойчивости не производит, потому что вступает во взаимодействие со второй переменной, жёсткостью связей между компонентами системы, и это взаимодействие способно сделать сочетание более опасным, а не менее (Perrow 1984). В слабо связанной системе избыточная мощность ведёт себя ровно так, как подсказывает интуиция: сбой в одном узле локализуется, резерв принимает нагрузку, дальше ничего не распространяется. В жёстко связанной системе избыточность, напротив, способна ускорять и маскировать отказ, а не сдерживать его: каждый дополнительный компонент — это дополнительные взаимодействия, а каждое дополнительное взаимодействие — ещё один способ возникнуть непредвиденному сочетанию сбоев, способному обогнать способность любого отдельного оператора или института понять, что система вообще сейчас делает. Перроу назвал такую конфигурацию — где сложность и связность сходятся так, что отказ становится не просто возможным, а на достаточном временном горизонте практически неизбежным, — нормальной аварией: исходом, встроенным в саму структуру системы, а не порождённым каким-то опознаваемым отдельным промахом.

Теперь три переменные можно сформулировать с той точностью, которая понадобится дальше. Прочность — это сопротивление конкретному, заранее предвиденному возмущению, достигаемое упрочнением системы против известных параметров этого возмущения. Избыточность — это наличие буферной или резервной мощности, чей эффект на общую безопасность системы условен: полезен при слабой связности, потенциально вреден при жёсткой, — и оценивать его в отрыве от структуры связности, в которую он встроен, бессмысленно. Устойчивость в собственном смысле — это способность поглотить возмущение, превосходящее то, что предусматривали меры прочности, и перестроиться после этого, сохранив базовую функцию; способность, зависящая не от отсутствия возмущений и даже не столько от буферной мощности, сколько от разнообразия и доступности альтернативных конфигураций, которые система может принять, когда её основной режим работы уже отказал.

Практический смысл в том, чтобы держать эти три переменные раздельно, состоит в следующем: большинство сегодняшних институциональных инициатив «по устойчивости», если присмотреться, на деле являются инициативами по прочности. Они выявляют конкретную, уже пережитую категорию отказа и вкладываются в то, чтобы упрочить институт против её повторения. Это не упрёк таким инициативам на их собственных условиях — упрочнение против известной и повторяющейся угрозы сплошь и рядом оказывается разумным и соразмерным ответом. Ошибка здесь не практическая, а понятийная: называя устойчивостью то, что на деле является прочностью против названной угрозы, институт создаёт видимость гораздо более широкой способности, которой на самом деле не располагает.

Это и есть тот концептуальный клин, на котором держится весь дальнейший разговор. Если устойчивость нельзя свести к прочности, а избыточность нельзя оценивать в отрыве от связности, то любой инструмент, претендующий на диагностику институциональной устойчивости, обязан задавать — раздельно, не смешивая друг с другом — параметры, отвечающие за каждую из этих переменных, и связи между ними. Прежде чем перейти к такой спецификации — она станет предметом Движения IV, — нужен ещё один шаг: точно определить, что именно диагностируется, когда мы оцениваем положение института относительно этих переменных, и чётко очертить, чем такая диагностика быть не должна. Необходимость этой оговорки продиктована историей почти буквально того же понятия в совершенно другой области, к которой мы сейчас и обратимся.

Различие, установленное в предыдущей главе — между прочностью, избыточностью и устойчивостью в собственном смысле, — позволяет точно сформулировать, что именно предлагается измерять. Не то, «устойчив ли институт»: такая формулировка сразу трактует устойчивость как бинарное свойство — либо есть, либо нет. Вместо этого вводится профиль устойчивости: непрерывное, наблюдаемое положение конкретного института по ограниченному набору структурных параметров, в определённый момент и при определённых рабочих условиях.

Три особенности этого определения требуют немедленного внимания, потому что каждая расходится с привычным разговором об устойчивости и каждая имеет значение для всего дальнейшего.

Первая особенность — непрерывность. Профиль не делит институты на устойчивые и неустойчивые. Он размещает институт сразу по нескольким независимым осям — точно так же, как в анализе делегированной власти конфигурация «человек-машина» размещается вдоль непрерывного спектра реальных полномочий, а не классифицируется грубо, «человек в контуре» или нет. Диагноз, дающий только бинарный вердикт, уже выбросил именно ту информацию, которая нужна управляющему органу: не вопрос о том, преодолел ли институт некий порог, а вопрос о том, какие конкретно структурные параметры сильны, какие слабы — и, что особенно важно, действительно ли слабые параметры — это именно те, по которым институт с наибольшей вероятностью получит удар.

Вторая особенность — привязка к моменту и к условиям. Профиль устойчивости — не фиксированная черта, сопоставимая с уставом или юридическим статусом. Это снимок, сделанный при определённом сочетании внутренней структуры и внешнего давления, и он способен смещаться — порой заметно — по мере того, как меняется то или другое. Институт, показывающий сильный профиль в условиях постепенных, предвиденных перемен, вполне может показать совсем иной профиль, как только темп или характер возмущения выйдет за границы диапазона, на который была рассчитана его структура. Это не слабость инструмента, а верность самому явлению: диагностика, дающая один и тот же ответ независимо от контекста, вообще не описывала бы устойчивость, ведь устойчивость, как показало ещё различие Холлинга, определяется именно тем, как система ведёт себя за пределами предвиденного диапазона, а не тем, какое впечатление она производит, пока туда не попала.

Третья особенность — и самая существенная — состоит в том, что профиль намеренно многомерен, а не сведён к одному числу. Институт вполне может одновременно демонстрировать сильную позицию по одному параметру и слабую по другому, и профиль устроен так, чтобы сохранять эту неровность, а не сглаживать её усреднением. Финансовый институт способен обладать серьёзной избыточностью — обширными капитальными буферами, разнообразными источниками финансирования, — и при этом иметь слабую наблюдаемость: ни его регуляторы, ни его собственное руководство толком не понимают, как коррелируют между собой риски, которые эти буферы призваны поглощать. Свести оба показателя в единую оценку означало бы получить нечто среднее и ничем не примечательное. Оставить их порознь — значит увидеть институт, выглядящий безопасным на бумаге и уязвимый именно в том измерении, которое эта бумага не учитывает. Это не умозрительное опасение: далее речь пойдёт о случае, где именно такое сочетание оказалось решающим.

Профиль устойчивости, таким образом, — не рейтинг и не претендует им быть. Это скорее структурированный снимок текущего положения системы по нескольким по-настоящему независимым осям: описание того, где институт находится сейчас, а не приговор о том, чем он является. То, что порождает это положение, — лежащая в его основе структурная конфигурация, — вопрос отдельный, к которому мы перейдём под названием архитектуры устойчивости. Здесь воспроизводится то же отношение, что и в анализе делегированной власти между градиентом делегирования и определяющей его архитектурой: профиль — это снимок, архитектура — это структура. Одна и та же архитектура в зависимости от условий работы будет со временем давать разные положения профиля — именно поэтому анализ лежащей в основе архитектуры несёт куда более прочную диагностическую ценность, чем любой отдельно взятый, сколь угодно тщательный снимок профиля.

Прежде чем переходить к самой архитектуре и её параметрам, нужно прямо разобрать один более тонкий вопрос. История уже даёт конкретное и поучительное предупреждение о том, что происходит, когда подобный диагностический инструмент создают, а затем применяют неправильно.

Соблазн, от которого этот подход обязан себя защитить, отнюдь не умозрителен. У него есть задокументированный прецедент в недавней истории измерения институционального риска, и этот прецедент достаточно близок к нынешнему случаю, чтобы назвать его прямо, а не намекать на него.

Самый наглядный пример — кредитные рейтинги. Рейтинг задумывался как сжатое суждение по узкому и конкретному вопросу: насколько вероятно, что данный финансовый инструмент окажется неисполненным при заданных условиях, — суждение, выносимое агентством, чьё положение позволяло видеть структуру, недоступную рядовому инвестору напрямую. В самой этой задаче не было ничего, что требовало бы трактовать полученное суждение как фиксированное, общее свойство оцениваемого института, а тем более как замену пониманию структуры, которая это суждение произвела. На практике рейтинг превратился именно в то, что регуляторы прописывали в требованиях к капиталу, именно в тот порог допустимости, которым руководствовались пенсионные фонды и инструменты денежного рынка, и именно в то, на что указывали сами эмитенты ипотечных бумаг высшей категории как на доказательство собственной надёжности в годы перед кризисом 2008 года. Рейтинг был устроен так, чтобы сжать по-настоящему многомерное суждение — о качестве базовых активов, о корреляции между составляющими риска, о допущениях, заложенных в саму модель, — в одну буквенную оценку. И эта оценка затем циркулировала по финансовой системе, делая ровно то, что делают единые числа: подменяя собой структурное понимание, которое она была призвана лишь резюмировать. К тому моменту, когда это стало очевидно, само это сжатие уже превратилось в системную уязвимость, встроенную в регуляторные требования к капиталу по всему миру.

Более общий взгляд на это явление даёт анализ Скотта о тяге крупных административных систем к легкочитаемости — к представлениям, достаточно простым, чтобы их можно было прочитать, сравнить и на их основании действовать в масштабе (Scott 1998). Такие представления закономерно отбрасывают именно ту локальную структурную деталь, от которой зависело, была ли реальность за представлением на самом деле надёжной. Это не изъян, свойственный одним финансам. Это структурная тенденция любой системы, находящейся под давлением необходимости сравнивать, ранжировать или регулировать в масштабе: чем весомее становится единое число, тем сильнее соблазн оптимизировать само число, а не то состояние, которое оно должно было отслеживать. Показатель устойчивости, однажды встроенный в регуляторный порог или в цель совета директоров, становится тем, к чему институты начинают стремиться в отчётности, — а это вовсе не то же самое, что реально обладать этим свойством в большей мере.

Профиль устойчивости, о котором идёт речь, подвержен ровно этому же давлению, и причина вполне понятна: у институтов, регуляторов и рейтинговых агентств есть структурная тяга к единым числам. Единый показатель легче сравнивать между институтами, легче встроить в регуляторный порог, легче уместить в одну строку доклада совету директоров. Все эти удобства реальны. Ни одно из них не является причиной строить инструмент именно так — ведь каждое требует отбросить ровно ту информацию, ту неровность между независимыми параметрами, которая и придаёт профилю его диагностическую ценность. Единая агрегированная оценка не в состоянии отличить институт с умеренной, ровной устойчивостью по всем параметрам от института с превосходной избыточностью и катастрофической наблюдаемостью, хотя для любого института, реально столкнувшегося с возмущением, это совершенно разные профили риска, требующие совершенно разных мер.

Есть и вторая причина сопротивляться агрегации, связанная с отношением между сглаживанием и скрытым риском в условиях неопределённости. Талеб показал, что вмешательства, подавляющие видимую частоту мелких возмущений, часто делают это, концентрируя риск в меньшем числе более крупных и более редких событий, — и система при этом по всем видимым показателям выглядит всё стабильнее именно накануне катастрофического отказа (Taleb 2012). Единый показатель устойчивости — ровно та видимая метрика, которую подобная динамика способна исказить: руководство института, глядя на число с благоприятным трендом, получает все основания расслабиться именно в тех обстоятельствах, где лежащая в основе конфигурация может обменивать частые, информативные, малозначимые сигналы на редкие, неинформативные, катастрофические. У того же явления есть общее системно-теоретическое имя: показатель, который начинают оптимизировать напрямую, со временем отрывается от той реальности, которую был призван отслеживать (Meadows 2008).

Управляющий принцип, вытекающий из всего сказанного и соблюдаемый в этом эссе без исключений, можно сформулировать одной фразой: профиль устойчивости сообщается как набор положений по независимым параметрам и никогда не сворачивается в единый составной индекс. Там, где сравнение между институтами или во времени действительно необходимо, оно проводится параметр за параметром, с явным вниманием к тому, какое именно измерение улучшается, а какое ухудшается, — а не через какую-то единственную цифру, которая неизбежно скрыла бы ровно ту неровность, ради выявления которой этот инструмент и создавался. Инструмент, которым нельзя злоупотребить как средством ранжирования, для наших целей ценнее инструмента, которым можно, — даже если это означает отказ от удобства единого числа.

С определённым профилем и очерченными границами его применения можно переходить к структурной спецификации, которая его порождает, — к семи параметрам архитектуры устойчивости.

Профиль устойчивости описывает снимок: положение, которое институт занимает в данный момент, при данных условиях, по набору независимых параметров. Сам по себе он не объясняет, почему институт оказался именно в этом положении, и не говорит, сохранится ли оно, когда условия изменятся. Для этого нужна другая, более фундаментальная спецификация — не о том, где институт находится сейчас, а о структуре, из-за которой он там оказался.

Это различие — между снимком и порождающей его структурой — не ново для данного направления. Оно воспроизводит, в другой области, отношение между градиентом делегирования и определяющей его архитектурой (Krasovski 2026a). Там градиент показывает, где конкретная конфигурация «человек-машина» находится на спектре реальных полномочий в конкретный операционный момент; архитектура описывает семь структурных параметров — управляющих инициированием действия, подтверждением, отменой, доступом к информации, задержкой, реакцией на отказ и мета-полномочием, — чья конкретная настройка это положение и производит. Здесь работает то же отношение. Архитектура устойчивости института — это полная структурная спецификация того, как этот институт накапливает, распределяет и расходует свою способность поглощать возмущение и перестраиваться. Имея такую спецификацию, можно понимать профиль устойчивости в любой конкретный момент как следствие структуры, а не как изолированный факт об институте.

Практическая ценность этого различия велика, и именно она оправдывает переключение внимания с профиля на архитектуру, которому посвящена оставшаяся часть эссе. Одна и та же архитектура в зависимости от рабочих условий будет со временем давать заметно разные положения профиля. Избыточность института может выглядеть достаточной в условиях постепенных, предвиденных перемен — и оказаться совершенно недостаточной, как только сместится темп или структура корреляции возмущений, которым институт подвержен. Не потому, что сама избыточность изменилась, а потому что одна и та же лежащая в основе способность теперь проверяется против совсем другого требования. Единичный снимок профиля не способен отличить архитектуру, устойчивую в широком диапазоне условий, от архитектуры, которой просто повезло — снимок сделали в благоприятный момент. Анализ архитектуры напрямую — вопрос о том, что случилось бы с данной конкретной конфигурацией параметров при разных правдоподобных нагрузках, а не только о том, как институт работает прямо сейчас, — оказывается поэтому диагностически куда информативнее, чем любой отдельный снимок профиля, сколь угодно тщательно снятый. Это тот же довод, без изменений перенесённый из обоснования, по которому в родственной рамке первичным объектом анализа считалась именно архитектура делегирования, а не порождаемый ею градиент.

Дальше архитектура устойчивости будет специфицирована через семь параметров — от первого до седьмого, — каждый по той же схеме, что использовалась ранее для параметров делегированной власти: переменная, которую параметр захватывает; допустимый диапазон конфигураций; индикатор риска, связанный с каждой из них. Вместе эти семь параметров образуют шаблон, по которому можно прочитать архитектуру конкретного института, и именно из них выводится таксономия отказов, которой посвящено следующее движение, — четыре различных категории отказа устойчивости, каждая прослеживаемая к конкретному сочетанию этих параметров.

Оставшуюся часть этого движения и всё Движение V будут сопровождать два случая — рабочие иллюстрации того, как эти параметры применяются к институтам, которые реально существовали и реально потерпели неудачу. Первый — обрушение электросети Техаса во время зимнего шторма Юри в феврале 2021 года: случай архитектурного отказа в масштабе инфраструктуры, где взаимозависимые физические системы протащили удар через секторальные границы, которые ни один управляющий институт не рассматривал как единое целое. Второй — скандал вокруг системы «Horizon» на почте Великобритании, где неисправная система бухгалтерского учёта производила ложные свидетельства финансовых недостач, а ответственный институт годами подавлял эти свидетельства, отрицал их и вёл на их основании судебное преследование более десяти лет: случай архитектурного отказа уже в масштабе самого института, где механизмом отказа стала не физическая передача удара, а активное разрушение способности института видеть, что на самом деле делает его собственная система.

Эти два случая не имеют между собой ничего общего — ни отрасли, ни физического механизма, ни сопоставимого временного масштаба: один развернулся за несколько дней в одном американском штате, другой растянулся более чем на пятнадцать лет и охватил тысячи небольших почтовых отделений по всей Великобритании. Именно это и делает их структурное схождение значимым. Там, где оба случая активируют один и тот же параметр — а это происходит, каждый раз по-своему, применительно к вопросу о том, что каждый институт вообще мог воспринять о собственном рабочем состоянии, — такое схождение служит доказательством: параметр улавливает нечто структурное в самой природе институционального отказа, а не что-то случайное для конкретной отрасли или эпохи.

Архитектура устойчивости института специфицируется через семь параметров. Каждый определяется по той же схеме, что использовалась для семи параметров архитектуры делегирования: переменная, которую параметр захватывает; допустимые конфигурации; индикатор риска, связанный с каждой. Там, где два опорных случая — Техас и Horizon — проливают свет на конкретный параметр, их прочтение приводится сразу под определением.

Определение. Институт демонстрирует отказ первого типа, когда его структурная конфигурация была оптимизирована — намеренно и зачастую успешно — под работу в известном, ограниченном диапазоне условий, и эта оптимизация как прямое структурное следствие, а не случайный побочный эффект, снизила способность института пережить условия за пределами этого диапазона. Институт отказывает не вопреки своей конструкции. Он отказывает, в самом точном смысле, из-за неё.

Механизм. Здесь работает институциональное выражение того же компромисса между стабильностью и устойчивостью, который в исходном, экологическом смысле описал Холлинг: механизмы, гасящие колебания и надёжно возвращающие систему к известному состоянию, тем же самым действием подавляют разнообразие реакций, необходимое, как только систему сместят за пределы этого состояния. На уровне реальной структуры института это усугубляется описанной выше эрозией избыточности: поскольку конфигурации минимизированной оптимизации часто оказываются видимым, измеримым результатом действительно успешного процесса оптимизации, эрозия устойчивости и видимость институционального улучшения могут долгое время быть неразличимы изнутри самого института.

Почему это трудно заметить. Именно поэтому отказ первого типа — самый распространённый и наименее заметный из четырёх: он полностью совместим с любым обычным индикатором институционального успеха. Эффективность растёт. Издержки падают. Клиенты, регуляторы, акционеры видят институт, выполняющий свою заявленную функцию лучше сопоставимых с ним структур. Ни одна метрика, широко используемая сегодня, не отмечает накопление уязвимости первого типа как цену этого же успеха — потому что сами эти метрики созданы для измерения работы именно в тех ограниченных условиях, под которые и была нацелена оптимизация.

Случай Техаса. Шторм Юри иллюстрирует отказ первого типа в форме, во многом свободной от морального или институционального недобросовестия, которое часто сопровождает разговоры о подобных случаях, — и именно это делает его аналитически чистым примером. Конструкция техасского рынка электроэнергии не была продуктом халатности. В обычных условиях она обеспечивала одни из самых низких цен на электроэнергию на всём континентальном пространстве США — реальный, измеримый успех по тому самому стандарту, под который система была оптимизирована. Резервная маржа около тринадцати процентов и узкий репертуар реакций, ставший следствием намеренной электрической изоляции сети, не были недосмотрами внутри этой конструкции — они были одними из её самых прямых последствий: рыночная структура, настроенная на минимизацию издержек содержания неиспользуемой мощности, той же самой логикой, что даёт ей низкие цены, минимизирует и запас мощности, доступный, когда возмущение выходит за пределы исторического опыта. Успех и уязвимость произвёл один и тот же механизм.

Случай Horizon (вторично). Более узкий пример того же паттерна встречается и на процедурном уровне дела о почтовой службе, хотя основной аналитический вес этого случая приходится на четвёртый тип, разбираемый ниже. Формальные пути обжалования, доступные работникам почтовых отделений — внутренние процедуры разрешения споров и в конечном счёте суды, — существовали и на первый взгляд не были фиктивными. Но окружающая правовая архитектура была настроена вокруг ограниченного и, до этого случая, в общем разумного допущения: что компьютеризированным бухгалтерским записям по умолчанию можно доверять. В том меньшинстве случаев, где это допущение не срабатывало, оно оборачивалось формальным присутствием права на обжалование без реальной возможности им воспользоваться против той самой категории ошибки, которую данная система была способна производить, — след первого типа на уровне окружающей институциональной архитектуры, лежащий под более прямым и куда более тяжёлым механизмом четвёртого типа.

Чем этот тип не является. Стоит сказать прямо, прежде чем переходить к трём оставшимся типам: первый тип — не аргумент против оптимизации как таковой и не утверждение, будто ориентированные на эффективность институты обречены на провал. Это утверждение о конкретном, вполне узнаваемом компромиссе, который производит оптимизация, оставленная без внимания к устойчивости, — и о том, что этот компромисс систематически недооценивается именно потому, что обычные индикаторы успеха института не способны его зафиксировать.

Определение. Институт — или, как покажет этот случай, целая конфигурация институтов, распределённых по нескольким формально разделённым юрисдикциям, — демонстрирует отказ второго типа, когда возмущение, возникшее в одной подсистеме, распространяется через жёстко связанные взаимозависимости в подсистемы, за единый мониторинг которых ни один субъект внутри всей этой конфигурации не отвечал. Дело не в том, что какой-то отдельный институт плохо справлялся со своей функцией. Дело в том, что функция, которую каждый институт выполнял правильно в изоляции, в сочетании с функциями соседей произвела системный результат, который никто из них по отдельности предвидеть не мог.

Механизм. Это прямое институциональное выражение динамики связности, введённой ранее через теорию нормальных аварий и формализованной как параметр R2. Жёстко связанная взаимозависимость, целиком помещающаяся внутри мониторинговой границы одного института, опасна, но заметна: институт может не справиться с её управлением, но хотя бы кто-то в состоянии наблюдать отказ по мере его развития. Жёстко связанная взаимозависимость, пересекающая институциональную границу — где ответственность за восходящий и за нисходящий компонент лежит на разных организациях, разных регуляторах, — устраняет даже эту возможность. Никто не находится в структурном положении, позволяющем видеть последовательность как последовательность, а не как ряд локально рациональных событий внутри собственной, корректно отслеживаемой области.

Случай Техаса. Именно этот механизм — центральный для случая Техаса, и именно поэтому теперь его рассматривают в литературе о рисках катастроф как нечто близкое к каноническому примеру. Последовательность началась с механизма, вполне понятного самого по себе: устойчивые отрицательные температуры снижают работоспособность скважин природного газа, трубопроводов и связанного оборудования, и эта уязвимость была задокументирована уже после сопоставимого, меньшего по масштабу шторма десятилетием ранее. Замерзание газовой инфраструктуры сократило поставки топлива на генерацию, работающую на газе, — а на неё приходилось большинство мощностей штата. Возникший дефицит генерации, усугублённый одновременным скачком спроса, вынудил оператора сети перейти к ротационным отключениям, чтобы избежать неконтролируемого, катастрофического отказа всей электрической системы. Потеря электричества, в свою очередь, вывела из строя инфраструктуру водоочистки и нарушила работу медицинских учреждений. Ни в одной точке этой цепочки ни один регуляторный орган не обладал мониторинговыми полномочиями более чем над одним звеном. Итоговое событие затронуло больше десяти миллионов человек и обошлось Техасу, по оценкам, примерно в сто тридцать миллиардов долларов, — масштаб, отражающий не столько тяжесть исходного погодного явления, сколько число последовательных, пересекающих границы связностей, которые это явление успело активировать, прежде чем кто-либо из институциональных субъектов оказался в положении вмешаться.

Почему дело не в масштабе. Было бы ошибкой читать случай Юри так, будто он всего лишь показывает, что крупные взаимосвязанные инфраструктурные системы при возмущении отказывают в крупном масштабе, — слишком общее утверждение, лишённое диагностической ценности. Конкретный, переносимый на другие случаи урок в другом: связность, породившая каскад, не была скрыта в смысле неизвестности кому бы то ни было. Она была скрыта в конкретном смысле — попала в промежуток между институциональными мандатами, каждый из которых был очерчен вполне разумно, вокруг одной-единственной отрасли.

Определение. Институт демонстрирует отказ третьего типа, когда темп, с которым его формальная структура способна пересматривать себя, устойчиво отстаёт от темпа, с которым повторяются или меняются условия его работы, — так что отказ верно диагностируется, его причина верно устанавливается, даже средство предлагается верно, а весь этот диагностический успех так и не превращается в структурное изменение до того, как то же самое условие отказа повторится снова. Институт не проваливает обучение — он проваливает превращение усвоенного урока в пересмотренную структуру, успевая уложиться в срок до того, как урок проверят заново.

Механизм. Здесь формализуется, как названная и диагностируемая закономерность, динамика, уже описанная в общих чертах в рамках этого направления: технологические и средовые условия обычно эволюционируют заметно быстрее, чем культурные и институциональные структуры, призванные ими управлять, и разрыв между тем, чего среда требует от института сейчас, и тем, что его формальная архитектура реально способна дать, только растёт. Третий тип придаёт этому общему диагнозу конкретную институциональную сигнатуру через параметр R4: конфигурацию, ограниченную бюрократическим процессом, при которой интервал между продемонстрированным отказом и завершением структурного ответа оказывается достаточно долгим, чтобы повторение того же отказа стало реальной возможностью прежде, чем первый случай будет исправлен.

Случай Техаса. Тот же случай, разобранный в двух предыдущих разделах, даёт и здесь самую ясную доступную иллюстрацию — хотя раскрывает другой заложенный в нём механизм. Зимний шторм 2011 года уже вскрыл уязвимость газовой и генерирующей инфраструктуры Техаса к устойчивому экстремальному холоду и породил формальные рекомендации сделать морозоустойчивость обязательной, а не добровольной. Эти рекомендации так и не были исполнены к моменту, когда пришёл шторм 2021 года. Между продемонстрированным отказом и возмущением, обнажившим ту же уязвимость при заметно большем масштабе и цене, прошло ровно десять лет.

Одно событие — две сигнатуры отказа. Стоит отдельно отметить, что одно и то же событие теперь полностью иллюстрирует и второй тип, и третий, — и что это совпадение не случайность выбора примера, а демонстрация того, как эти категории взаимодействуют в реальном институциональном отказе. Механизм второго типа объясняет, как возмущение 2021 года распространилось, уже начавшись, — через несмоделированную связность, пересекающую секторальные границы. Механизм третьего типа объясняет, почему возмущению вообще позволили начаться в той форме, о которой систему, в значимом смысле, уже предупреждали. Ни один механизм не заменяет другой: институт мог бы в принципе устранить свою уязвимость третьего типа, обязав морозоустойчивость сразу после 2011 года, оставив при этом свою уязвимость второго типа полностью нетронутой, — ведь ускоренная реконфигурация стандартов одной отрасли никак не создаёт межотраслевых мониторинговых полномочий там, где их прежде не было. Верно и обратное.

Определение. Институт демонстрирует отказ четвёртого типа, когда его собственная способность воспринимать своё рабочее состояние — и способность тех, кто от него зависит, независимо это состояние проверить, — оказывается разрушена не случайно, а как структурное следствие собственных стимулов института. Так, что формальные заявления института о своей надёжности продолжают действовать и приниматься уже после того, как у института появились внутренние основания знать: эти заявления ложны. Это самый тяжёлый из четырёх типов, и его существующие механизмы управления обнаруживают хуже всего — потому что определяющая его черта не отсутствие информации, а активное, структурно мотивированное подавление информации, которой институт сам располагает.

Механизм. Первые три типа описывают институты, чья структура производит отказ как непреднамеренное, хотя и предсказуемое следствие в остальном рациональных решений: оптимизация, разменивающая устойчивость на эффективность; мониторинговые границы, оставляющие связность несмоделированной; процессы реконфигурации, слишком медленные для тех рисков, которыми они призваны управлять. Четвёртый тип иной по природе. Он возникает, когда наблюдаемость коллапсирует в конфигурацию враждебного затемнения, а задержка обратной связи одновременно коллапсирует в структурное подавление обнаружения, — и это не два независимых сбоя, случайно совпавших, а единый механизм, в котором стремление института сохранить собственную легитимность активно разрушает и его способность увидеть собственный отказ, и способность внешних сторон увидеть его тоже.

Случай Horizon. Именно этот случай, в известном смысле, и стал поводом сформулировать четвёртый тип, и он заслуживает более подробного разбора, чем другие параметры получили выше. Система «Horizon», внедрённая в тысячах отделений почты Великобритании начиная с 1999 года, время от времени показывала недостачи на отдельных отделениях, а институт, как вопрос устоявшейся политики, трактовал эти недостачи как свидетельство кражи или подлога со стороны сотрудников, а не как возможную ошибку самой системы. За более чем десять лет несколько сотен работников почты были подвергнуты судебному преследованию — во многих случаях силами собственной следственной и обвинительной функции почтовой службы — на основании записей, сгенерированных системой, которые, как впоследствии подтвердили суды, действительно были способны производить именно такие ошибочные недостачи. Многие приговоры позже отменили; пострадавшие пережили — в задокументированном множестве случаев — банкротство, потерю бизнеса и тяжёлый, устойчивый психологический ущерб.

Две структурные черты делают этот случай именно отказом четвёртого типа, а не тяжёлым проявлением одного из трёх предыдущих. Первая — уже разобранная конфигурация наблюдаемости: у работников почтовых отделений не было практической возможности независимо проверить транзакционные журналы, а окружающая правовая архитектура возложила доказательственную презумпцию в пользу системы. Вторая — конфигурация задержки обратной связи: внутреннее понимание того, что система способна производить и производит ошибочные недостачи, существовало внутри института на протяжении значительного времени, пока его собственная публичная и юридическая позиция продолжала утверждать надёжность системы. Именно здесь четвёртый тип обретает свою самую отличительную черту и сильнее всего расходится с рассказом третьего типа об институциональной медлительности. Разрыв здесь не был вопросом корректно диагностированной проблемы, ожидающей медленного решения, как в случае с морозоустойчивостью в Техасе. Он годами поддерживался собственной структурой стимулов института: признать ненадёжность системы означало бы признать, что собственное прежнее следственное и обвинительное поведение института — которое он вёл, пользуясь необычным правом преследовать без участия полиции, — привело к неправомерным осуждениям в крупном масштабе. Институт, наиболее способный исправить запись, оказался одновременно институтом, у которого был самый сильный стимул этого не делать. Именно это совпадение положения и интереса — определяющая структурная сигнатура четвёртого типа.

Прямая параллель с инверсией мандата. Этот случай почти без искажений повторяет — хотя и без всякого контекста искусственного интеллекта — тот же механизм инверсии, который был отдельно разобран применительно к автономным системам: систему, приобретающую полномочие оценивать надёжность человека, вместо того чтобы человек оценивал вывод системы (Krasovski 2026a). Вывод «Horizon» по умолчанию считался более достоверным, чем показания под присягой людей, чьё поведение он описывал, — направление оценки было перевёрнуто, и институт, по сути, узаконил эту инверсию.

Почему четвёртый тип наименее заметен. Первый, второй и третий типы оставляют видимый структурный след, который достаточно подробный аудит мог бы в принципе обнаружить заранее: необычно тонкую резервную маржу, немониторируемую межотраслевую связность, десятилетней давности неисполненную рекомендацию. Четвёртый тип не оставляет сопоставимого следа, доступного внешнему аудитору, — именно потому, что его определяющий механизм заключается в том, что институт сам управляет тем, что видно внешним аудиторам. Институт, переживающий отказ четвёртого типа, по самому устройству своему будет выглядеть благополучно по большинству обычных показателей институциональной надёжности всё то время, пока держится подавление. Именно поэтому четвёртый тип определён здесь как наиболее тяжёлая и наименее видимая для управления из всех четырёх категорий: ни один внешний механизм аудита, широко используемый сегодня, не рассчитан на обнаружение того самого условия, при котором стремление института выглядеть надёжным срастается с его же способностью знать, надёжен ли он на самом деле.

Четыре типа отказа, названные выше, видны существующим механизмам управления далеко не в одинаковой степени. Разберём коротко, по категориям инструментов: что каждый способен обнаружить в силу собственной конструкции и чего его собственная архитектура попросту не позволяет увидеть — тем же методом, что использовался для оценки рамок «человека в контуре», Акта ЕС об ИИ и содержательного человеческого контроля против четырёх типов отказа мандата (Krasovski 2026a).

Директива ЕС об устойчивости критических субъектов. Директива (ЕС) 2022/2557 — самый прямой пример для этого сравнения, и её нынешний переходный момент делает сопоставление особенно наглядным: страны-члены должны были включить директиву в национальное законодательство к октябрю 2024 года, национальные стратегии устойчивости — к январю 2026 года, а определение критических субъектов по одиннадцати секторам должно завершиться к июлю 2026 года — срок, наступающий буквально в эти дни. Директива неплохо приспособлена для выявления первого типа: обязательная оценка риска создаёт хотя бы повод институту изучить собственную избыточность. С отказом второго типа сложнее: оценка обязана учитывать межотраслевые взаимозависимости, но сама структура реализации — каждое государство отдельно определяет критических субъектов по секторам — воспроизводит на регуляторном уровне ту же самую границу, которую таксономия называет механизмом второго типа. Способность обнаруживать третий тип ограничена собственным циклом директивы — пересмотр риска требуется не чаще, чем раз в четыре года, и этот срок сам по себе может оказаться реконфигурацией, ограниченной бюрократическим процессом, применительно к возмущениям с похожим или более коротким интервалом повторения. И, что особенно существенно, у директивы практически нет механизма против четвёртого типа: требование сообщать об инциденте обязывает уведомить регулятора о сбое, но ничто в её архитектуре не рассматривает то самое условие, которое иллюстрирует случай «Horizon», — когда собственный интерес субъекта мотивирует его неточно охарактеризовать сбой именно потому, что признание истинной причины скомпрометировало бы его же прежнее поведение.

Стандарты непрерывности бизнеса. Стандарты вроде ISO 22301 работают по модели самооценки и сертификации: институт документирует свою систему, а соответствие проверяется через внутренний и внешний аудит против критериев самого стандарта. Это неплохо приспособлено для выявления первого и отчасти третьего типа — оба касаются документированной способности организации и темпа её обновления. Это плохо приспособлено для второго типа по той же причине, что и директива: аудит, ограниченный периметром одной организации, по построению не способен исследовать связность с соседней организацией, работающей под другой сертификацией и под другими аудиторами. И это близко к структурной слепоте против четвёртого типа — по причине даже более острой: аудит, существенно опирающийся на собственную внутреннюю документацию и самоотчётность организации, исследует именно ту запись, которую институт под давлением четвёртого типа имеет наибольший стимул формировать в свою пользу.

Банковское регулирование капитала. Регулирование, возникшее после кризиса 2008 года, — самый зрелый из всех рассмотренных здесь инструментов регулирования избыточности, требующий конкретных, количественно заданных резервных марж против определённых категорий стресса. Это даёт реальную, хорошо задокументированную способность обнаруживать первый тип. Способность против второго типа имеет конкретное ограничение: разбор одного значимого регионального банковского краха 2023 года пришёл к выводу, что применимая система капитала последовательно добавляла новые факторы риска и коэффициенты, не адресуя должным образом их взаимосвязанность, — кредитный, рыночный, процентный и ликвидный риск регулировались по отдельности со всё возрастающей точностью, а корреляция между ними при конкретном, быстро развивающемся стрессовом сценарии осталась вне того, что мог уловить любой отдельный регуляторный коэффициент. Это сигнатура второго типа в области, далёкой от физической инфраструктуры: связность здесь была не физической, а информационной и поведенческой — паника вкладчиков, ускоренная цифровой передачей тревоги среди концентрированной депозитной базы, — и она распространилась через промежуток между отдельно регулируемыми категориями риска почти так же, как связность газ-электричество-вода распространилась через промежуток между отдельно уполномоченными регуляторными органами в случае Юри.

Британские инициативы алгоритмической прозрачности. Стоит назвать и обратный пример: именно в прямом ответе на скандал с «Horizon» в Великобритании начали появляться инструменты, нацеленные конкретно на параметры наблюдаемости и задержки обратной связи, — стандарт прозрачности алгоритмических систем для государственного сектора, предложения о независимых механизмах разрешения споров по автоматизированным решениям. Это стоит отметить именно потому, что это доказывает: обнаружение четвёртого типа не является структурно невозможным — оно просто не решается ни одной из рассмотренных выше рамок общего назначения проспективно, а возникает пока лишь как точечный, ретроспективный ответ на конкретный, чрезвычайно хорошо задокументированный случай.

Синтез. Закономерность здесь одна и та же во всех четырёх категориях: инструмент хорошо ловит тот тип отказа, который ближе всего к его собственной конструкции, и слеп к тем типам, что лежат вне её. Ни один из рассмотренных инструментов не рассматривает четвёртый тип как заложенную, проспективную черту — только как ретроспективную реакцию после случая масштаба «Horizon».

Обзор предыдущей главы сходится к одному диагностическому выводу: ни один действующий инструмент управления устойчивостью не требует от института документировать своё положение по всем семи параметрам, специфицированным в Движении IV, — и слепые пятна каждого инструмента в точности совпадают с теми параметрами, которых его собственная архитектура попросту не задаёт. Отсюда следует прямое требование: содержательная оценка институциональной устойчивости невозможна без полной спецификации архитектуры устойчивости. Семь параметров задают минимальное аналитическое содержание такой спецификации — утверждение, зеркально и намеренно повторяющее логику эквивалентного аргумента, сформулированного для семи параметров, управляющих делегированной властью (Krasovski 2026a).

Это не технический стандарт — не набор числовых порогов, которые должен проходить институт. Подходящий порог зависит от отрасли, от цены отказа, от конкретных возмущений, которым институт реально подвержен, и его определение — задача отраслевого регулирования, опирающегося на эту рамку, а не задача, которую эта рамка должна решать сама. Это требование аналитической прозрачности. Институт, полностью задокументировавший свою конфигурацию по всем семи параметрам, предоставил информацию, необходимую регулятору, управляющему органу или собственному руководству, чтобы оценить: описывают ли заявления института о своей устойчивости реальную структурную способность — или непроверенное утверждение.

Это особенно важно применительно к четвёртому типу. Недавние предложения, разработанные прямо в ответ на дело «Horizon» — организованные вокруг технической независимости, институциональной независимости и управления допустимостью криминалистических доказательств, — можно читать как отраслевое воплощение того, чего потребовала бы полная спецификация задержки обратной связи и наблюдаемости: независимой проверки стороной, у которой нет институциональной заинтересованности в ответе, именно потому что это два параметра, которые институт под давлением четвёртого типа имеет наибольший стимул исказить в свою пользу.

Собственный график реализации Директивы об устойчивости критических субъектов ставит европейское управление устойчивостью, на момент написания этого текста, ровно в тот момент, когда требование такого рода ещё можно включить в методологии оценки риска, которые страны-члены сейчас дорабатывают, а не встраивать задним числом, когда эти методологии уже зафиксированы в национальном имплементирующем законодательстве.

Любая рамка подобного рода обязана дать честный отчёт о том, чего она не решает. Три ограничения заслуживают прямого упоминания — в том же духе и во многом по тем же причинам, что и ограничения, признанные для родственной рамки, посвящённой делегированной власти (Krasovski 2026a).

Рамка специфицирует формальную структуру, а не неформальную практику. Семь параметров описывают то, что документированная, структурная конфигурация института допускает и ограничивает. Они не улавливают полностью то неформальное организационное давление, которое определяет, как акторы внутри института реально используют предоставленную структурой способность. Институт с хорошо специфицированным R6 — по-настоящему разнообразным репертуаром независимых путей реагирования, формально доступным на бумаге, — вполне может на практике демонстрировать узкую, привычную опору на единственный путь, если организационная культура относится к альтернативам как к непроверенным и рискованным для карьеры. Это не пробел, который семь параметров призваны закрыть, и не следует принимать его за таковой. Там, где это происходит, спецификация R1–R7 остаётся необходимой — институт не может устранить разрыв между формальной способностью и реальной практикой, не зная сперва, какова его формальная способность, — но одной этой спецификации недостаточно, и данное эссе не претендует на обратное.

Рамка не решает, какой порог подходит для какого института. Это эссе намеренно избегало указания числовых порогов для любого из семи параметров, и причина — не упущение, а рамки применения. Что считать адекватной резервной маржой по R1 или приемлемой задержкой обратной связи по R3, зависит от цены отказа в конкретной области — уместный порог для регионального водоканала совсем не тот, что для национальной платёжной системы, хотя оба можно оценивать по одному и тому же шаблону из семи параметров. Устанавливать такие отраслевые пороги — задача отраслевых регулирующих органов, опирающихся на эту рамку, а не задача, которую рамка должна решать сама. Её вклад — общий словарь, на котором такие пороги можно обсуждать и сопоставлять между отраслями, а не сами пороги.

Рамка требует эмпирической проверки, которую это эссе не предоставляет. Семь параметров и построенная на них четырёхтипная таксономия разработаны аналитически и проиллюстрированы двумя задокументированными случаями. Оба случая выбраны и подробно разобраны именно потому, что их публичная документация необычайно обширна, — но два случая, сколь угодно тщательно рассмотренных, не составляют проверенный инструмент. Исчерпывают ли семь параметров все структурные условия, порождающие институциональную хрупкость, действительно ли они независимы друг от друга или некоторые из них правильнее считать производными от других, и повторяются ли четыре названных типа отказа в узнаваемой форме на более широкой выборке институциональных провалов из разных отраслей и эпох, — вопросы, которые это эссе определяет как необходимые следующие шаги, а не как уже решённые.

Мост к более широкой модели управления. Эти ограничения указывают на различие, которое эссе держало в поле зрения с самой первой главы и теперь может сформулировать в завершённом виде. Разработанная здесь архитектура устойчивости отвечает на конкретный и ограниченный вопрос: какие структурные свойства делают любой институт — независимо от того, как в нём распределена власть принятия решений, независимо от того, кто внутри него ею обладает, — более или менее способным поглощать возмущение и реорганизовываться после него, не теряя базовую функцию. В этом смысле она безразлична к модели управления. Жёстко централизованный институт и полностью распределённый институт можно оценить по одним и тем же семи параметрам, и каждый может показать хороший или плохой результат по любому отдельному параметру независимо от того, где он находится на спектре централизации.

Именно здесь эта рамка соприкасается — не сливаясь — с отдельной и более общей моделью управления, разрабатываемой в рамках другого направления под названием эвократия: независимым исследованием того, как само полномочие принятия решений могло бы распределяться и координироваться, — вопросом, отличным от того, которым занималось это эссе. Отношение между ними стоит сформулировать прямо, чтобы не оставить двусмысленности. Архитектура устойчивости отвечает на вопрос, что делает любую структуру прочной. Модель управления вроде эвократии отвечает на вопрос, как устроено принятие решений внутри структуры с самого начала. Эти два вопроса логически разделимы: модель управления можно оценить на её свойства устойчивости, используя именно тот инструмент, что был изложен здесь, и эта оценка не предполагает и не требует никакого конкретного ответа на отдельный вопрос о том, как в ней распределены полномочия. При таком прочтении архитектура устойчивости работает как справочный, диагностический слой — словарь, относительно которого впоследствии можно оценить любую предложенную модель управления, включая, но не ограничиваясь, более распределённую.

Заключение. Это эссе началось с наблюдения над словом. Слово «устойчивость», используемое повсеместно в современном управленческом дискурсе, стало заявлением, которое институты делают о самих себе, а не свойством, которое можно против них проверить. Главы, которые за этим последовали, попытались закрыть этот разрыв: сначала — разделив прочность, избыточность и устойчивость в собственном смысле, три переменные, которые одно слово позволяло сливать в одну; затем — определив профиль устойчивости, достаточно точный, чтобы находить реальное положение института, не сжимая это положение в единую, вводящую в заблуждение оценку; затем — специфицировав семипараметрическую архитектуру, которая производит любой данный профиль; затем — назвав четыре различных закономерности, по которым эта архитектура отказывает, каждая проиллюстрирована на институтах, которые были не гипотетическими, а реальными, и чьи отказы — замёрзшая электросеть и ошибочно доверенная бухгалтерская система, развернувшиеся в совершенно разных временных масштабах и совершенно разных отраслях, — при чтении через одни и те же семь параметров оказались структурно ближе друг к другу, чем можно было ожидать по их внешним различиям.

То, что началось как диагноз чрезмерного использования одного слова, пришло, по внутренней логике собственного аргумента, к инструменту, который можно использовать — несовершенно, и в ожидании эмпирической проверки, необходимость которой этот текст не скрывал, — чтобы задавать любому институту более острый вопрос, чем «устойчив ли он». Вопрос точнее: где именно, по какому из семи измеримых параметров, и против какого рода возмущения он в данный момент неустойчив.