事后追溯依赖决策过程的书面留痕
别名: 决策留痕 · decision provenance · retrospective accountability
概念解释
伦理问题多数是事后显形的：上线时无害的默认设置，在用户群体变化后变成伤害；当年合理的阈值，在业务转向后成了系统性偏差。此时唯一能回答「当时为什么这样做」的是决策过程的书面留痕——为什么选这个方案、考虑过什么替代、谁不同意、依据什么数据。记忆不可靠（当事人离开、集体记忆向成功叙事偏移），聊天记录会过期，没有留痕的决策在事后等于没有发生过的决策：伤害无法归因，教训无法沉淀，同样的错在下个项目重新出现。留痕因此不是文书负担，是组织对自己的决策保持可问责状态的唯一方式。
机制
留痕的价值来自三个时间方向的机制。归因：事后审查（事故复盘、监管调查、媒体追问）需要区分「当时可知而未顾」与「当时不可知」——前者是责任，后者是风险，两者的处理方式完全不同；没有书面依据，这个区分只能靠当事人回忆重建，而回忆系统性地向自利方向偏移。学习：跨项目的教训传递依赖可检索的记录，口口相传的教训在组织换血后消失；写下来的「当时为什么否掉了这个方案」是几年后同类讨论里最贵的输入。事前震慑：知道每个决定会被留痕，决策者当下的权衡质量就不同——留痕规则改变留痕前的思考，这是它最强的作用，也是它常被讨厌的原因。
边界
留痕有真实的成本与边界。首先是边际递减：不是所有决定都值得写——按影响人群与不可逆程度分级，关键决策详记，日常小改轻记或不记；全量留痕产生的是没人读的档案海。其次是诚实性陷阱：为应付留痕而写的官方理由（正确的废话）比没有留痕更糟，它污染后续的归因；对策是留「真实的权衡」——包括没把握与勉强，而非美化后的结论。最后是法律边界：留痕在诉讼与监管中可能成为对己不利的证据，法务会倾向少留——这是组织层面的真实张力，需要明确的政策立场（留什么、谁可访问、保留多久）而非回避。
怎么落地
- 定义决策记录的最小模板：问题、备选方案、选择理由、已知风险、反对意见与其处理、复查触发条件，六项一页纸，只对「影响人群或不可逆」级别的决策强制启用。
- 反对意见入档但不署名于结论之外：记录「有人提出 X 顾虑，处理方式为 Y」，使异议可追溯而不把风险转嫁给提出者。
- 留痕放进工具链而非另起文档：合并请求模板、发布评审单里嵌决策字段，写留痕与做决策发生在同一动作里，分离则两者必缺其一。
- 验证：每半年抽一次近期事故复盘，检验「当时的决策依据能否从留痕中还原」——若复盘仍主要依赖当事人回忆补全，说明留痕覆盖了错误的层级，按事故涉及决策的缺口重设分级。