实事求是，也需要环境

上午一场 CTO 的汇报，晚上一个讨论风险的总裁会议，让我从两个位置想了同一件事：作为老板，怎么知道真实情况；作为主管，又该把精力放在什么事情上。

老板们也有自己的不得不。这个世界并不总是按照自己认为的最优解运行。换个位置，掌握的信息、承担的责任、面对的要求都不一样，选择自然也会不同。有些决定，单独看似乎有更好的做法，放回当时的环境里，却未必做得到。

但理解约束，不等于证明每个选择都是最优解。对一个人合理的选择，也未必对组织最有利。如果认真做事的人反复遇到同样的两难，除了问他们为什么这样选，也应该看看，是什么环境让他们这样选。

实事求是，当然需要个人的坚持。但真实信息能不能影响决策，真正有价值的工作能不能得到认可，同样重要。

好消息是怎么变多的

作为老板，接触到的表面信息太多，细节却很难看到。自己也没那么多时间，把每个要求都给大家讲细。上面觉得已经说清楚了，下面觉得已经听明白了，实际理解的未必是一回事。等到汇报时，方向、进度、成果似乎都有了，具体做到了什么程度，还有哪些地方不行，却未必真正弄清楚。

老板的初衷不一定是希望看到大跃进，可能只是希望进展快一点、效果好一点。但这个期待经过层层传递，会不会逐渐变成必须拿出大幅提升的结果？

下面的人也未必有意隐瞒。汇报时间有限，总要筛选内容，把更成熟、更确定、更容易讲清楚的部分放在前面，本来很正常。问题在于，决定一个结论是否成立的限制条件，也可能一起被省略了。

比如，一项能力在几个特定场景下表现不错，概括之后成了这项能力已经成熟；按人工耗时估算出来的等价工作量，传到后来被理解成已经释放了同等人力。每一步似乎都只是简化了一点，最后得到的判断却可能相差很远。

这未必是谁一开始就想要的结果。信息经过一次次筛选，困难和不确定性留在了下面，往上走的越来越像好消息。

所以，避免信息差，并不是要求老板知道所有细节。那不现实，也容易把自己变成每件事的审批人。更重要的是，知道哪些结论必须追问依据，哪些限制不能被省略，以及什么时候该拿几个真实案例核对一下，而不是只看汇总后的数字。

自己怎样回应坏消息，也在其中。希望事情做得更好，与要求事情现在看起来就很好，是两回事。一个人如实说出效果不够好之后，得到的是一起解决问题，还是先被质疑态度和能力，会影响他下一次怎样汇报。

善战者的贡献，如何被看见

晚上讨论风险时，我想到另一个问题：作为主管，是优先把风险控制住，还是优先做更容易被看见的事情？

善战者往往默默无闻。提前识别隐患、补上缺口，事情没有发生，背后的判断和投入很容易被忽略。出了事再冲上去解决，却有明确的问题、紧张的过程和看得见的结果，更容易得到认可。

救火当然有价值，也应该被认可。需要修正的不是对救火的肯定，而是对预防工作的低估。如果救火的人总能被看见，让火烧不起来的人却长期没什么存在感，主管在分配时间和人手时，很难完全不受影响。

这不意味着有人会故意放任风险。更常见的偏移，可能只是那些重要但不紧急、做完也不容易展示的事情，一次次被排到后面。

明星项目也有类似的问题。有名字、有展示、容易讲清楚的成果，更容易获得关注。但明星项目与事后救火不是一回事，明星项目也完全可以解决重要问题。它们在这里的共同点，只是贡献更容易被呈现。不能因为一件事显眼，就认定它是在做样子；也不能因为一件事不显眼，就认定它一定有价值。

“没有出事”本身，并不能证明预防做得好。可能是干预有效，也可能是风险尚未触发。要让预防性工作得到合理评价，仍然需要说明：风险是否真实存在，采取了什么措施，风险路径有没有被切断，效果是否经过验证。不必硬算出一笔“避免了多少损失”的金额，但应该拿得出比“幸亏有我们”更扎实的依据。

真正难的，是让这些证据在评价中有分量。不能一边要求主管把风险兜住，一边又只认可亮眼的项目和事后的救火，然后期待所有人都靠责任心，持续选择那些不容易获得认可的工作。

信息差与评价方式，也就在这里连到了一起。老板按什么评价，会影响主管选择做什么；主管做了什么、强调什么，又构成老板下一轮判断的依据。如果这个过程不断偏向容易展示的成果，最后看到的组织情况，也可能越来越偏。

一个数字，要问到怎么算

傍晚，谭林发来消息，问我们怎么衡量 AI for Security 的投入产出。晚上九点半多，刚下班，给他回了几段语音。最近刚好跟技术老板汇报过这个事。

聊到成本，他说他们内部测算下来，用 AI 完成相当于一人月的工作量，成本大约是1.2万元。我追问了一句：“没懂，是咋换算的？”

他解释，是把 AI 处理的工单换算成人工处理所需的人天，再看对应花了多少 Token 费用。原来跟我们按工单比较 AI 成本和人工耗时的做法差不多，只是我们没有把整体投入统一折算成人月。

这就是一个很具体的信息差。1.2万元是个明确的数字，但只有问到怎么算，才知道它表达的是什么。按人工耗时折算的等价工作量，并不自动意味着实际释放了同等人力。讨论投入产出，还得理解任务边界、完成质量，以及是否需要人工复核。数字算得精确，不代表彼此理解得准确。

我们评价 AI 安全效果，也在面对类似的问题。多少场景接入了 AI，报出了多少漏洞，都是容易统计和展示的成果，但不能直接代替安全结果。除了测评集上的表现，我们还会看 AI 发现的漏洞占比，以及提交的问题最终被确认、修复，还是被驳回。

这些数据更接近实际贡献，但也不能因此把它们当成不会失真的答案。漏洞的重要程度不同，任务的难度不同，统计口径也需要弄清楚。不能只是把一组容易展示的指标，换成另一组指标，然后停止追问。

这次交流让我觉得，减少信息差有时并不需要多复杂的方法。对一个还没听懂的数字，不急着点头，先问一句到底怎么算；对一项看起来不错的成果，再往后追一步，看它最终改变了什么。

自己也是环境的一部分

两场会，加上晚上的这番交流，让“实事求是”这四个字的含金量又提升了一次。

它不只是要求汇报的人说实话，也要求听汇报的人愿意理解限制条件；不只是要求主管做实事，也要求评价工作的人识别那些不显眼的贡献。初衷好，并不能保证管理产生的效果也好。目标怎样传递，坏消息怎样被回应，什么工作得到认可，都会改变人们的选择。

我既是主管，也是老板。对上要承担交付的责任，对下又在提出要求、评价工作、分配资源。环境会影响我，我也在影响别人的环境。理解老板有老板的不得不，主管有主管的难处，不应该成为停止思考的地方。

对我来说，下一次听汇报，更值得追问的不只是做成了什么，还有结论在什么条件下成立，有什么尚未弄清楚。评价工作时，也该多看一眼那些没有惊险故事，却有证据证明价值的贡献。

真实的困难说出来以后，能不能得到讨论；提前处理掉的风险，能不能得到认可。这些具体的反应，比反复要求大家实事求是，更能说明自己到底重视什么。