Excel to nie system — kiedy arkusz przestaje wystarczać

Różnica między arkuszem a systemem nie polega na liczbie funkcji. Polega na tym, że system ma pojęcie stanu niedozwolonego. Odrzuca wartość spoza słownika, blokuje usunięcie rekordu powiązanego z innym, zapisuje autora i moment każdej zmiany. Arkusz takiego pojęcia nie ma. Każda wartość jest w nim równie poprawna, każde nadpisanie równie legalne, każde usunięcie równie ciche.

To nie jest wada Excela, tylko jego zasada konstrukcyjna — i źródło jego przewagi na wczesnym etapie. Konsekwencja pojawia się później: arkusz nie informuje, że coś poszło nie tak. Błąd nie objawia się jako komunikat, lecz jako decyzja podjęta na nieprawdziwych danych. W przypadku Public Health England trwało to osiem dni.

Regulator opisał ten problem wprost już w 2008 roku, kiedy brytyjski FSA nałożył na tamtejsze spółki Credit Suisse karę 5,6 mln funtów. Nie chodziło o błędną formułę. W uzasadnieniu napisano, że sposób ewidencjonowania transakcji w części zajmującej się instrumentami CDO był złożony i nadmiernie oparty na dużych arkuszach z wieloma wpisami. Skutkiem był brak przejrzystości, który utrudniał skuteczny nadzór, zarządzanie ryzykiem i kontrolę. Nieprawidłowa wycena części pozycji pozostała nierozpoznana przez około pięć miesięcy. Zarzutem nie był błąd. Zarzutem był brak możliwości jego zauważenia.

Najlepiej udokumentowany dorobek badawczy w tym obszarze stworzył Raymond Panko z University of Hawaii. Kolejne audyty arkuszy używanych operacyjnie prowadzą do tego samego wniosku: błąd zawiera zdecydowana większość plików. Konkretne odsetki bywają podważane, bo próby były małe, a metody niejednolite. Zgodny jest jednak kierunek, a sam Panko podsumował go najkrócej: pytanie nie brzmi, czy w arkuszu jest błąd, tylko ile błędów w nim jest i jak są poważne.

To zaskakuje tylko pozornie. Bazowy współczynnik błędu człowieka przy prostych, ale nietrywialnych czynnościach poznawczych wynosi od 1 do 5 procent. Dotyczy to pisania, liczenia i tworzenia linii kodu — w badaniach laboratoryjnych i w organizacjach tak samo. Kilka procent na komórkę brzmi niegroźnie, ale te ułamki się składają: przy tysiącu formuł szansa, że wszystkie są poprawne, spada niemal do zera. Arkusz z kilkoma tysiącami formuł jest programem o kilku tysiącach linii, tyle że bez testów, recenzji i historii zmian.

Doświadczenie niczego tu nie zmienia. Panko i Sprague porównali błędy studentów, słuchaczy MBA bez praktyki oraz słuchaczy MBA z ponad 250 godzinami pracy przy budowie arkuszy. Różnice okazały się nieistotne. Najbardziej niewygodny jest jednak inny wynik. W eksperymencie, który przeprowadzili Panko i Halverson, uczestnicy oceniali prawdopodobieństwo, że zbudowany przez nich arkusz zawiera błąd, średnio na 18%. Błędnych było 86% tych arkuszy. Autorzy arkuszy nie tylko popełniają błędy — systematycznie zaniżają szansę, że je popełnili. Badano wprawdzie studentów w laboratorium, ale nadmierna pewność siebie należy do najlepiej potwierdzonych zjawisk w naukach o zachowaniu i nie omija ekspertów.

Cenę tej pewności zapłaciła TransAlta. W 2003 roku kanadyjski producent energii zawyżył oferty na kontrakty przesyłowe, bo przy kopiowaniu danych w pliku ofertowym przesunęły się wiersze. Odpis wyniósł 24 mln dolarów. Prezes spółki przyznał, że błędu nie wychwycono podczas końcowego sortowania i porządkowania ofert — czyli w trakcie kontroli, która miała go wychwycić. „Sprawdzajmy uważniej” nie jest mechanizmem kontrolnym. Jest założeniem, którego badania nad błędem ludzkim nie potwierdzają.

Powszechne przekonanie mówi, że arkusz przestaje wystarczać wtedy, kiedy urośnie. To mylące. Plik liczący 200 wierszy bywa dawno za granicą, a plik na 200 tysięcy — wciąż po bezpiecznej stronie. Granicę wyznacza rola, nie rozmiar. Public Health England przekroczyło ją nie w dniu, w którym szablon się zapełnił, tylko wtedy, gdy plik stał się rejestrem dla całego kraju. Limit wierszy niczego nie spowodował — ujawnił coś, co było prawdą od miesięcy. Arkusz pozostaje narzędziem analizy dopóty, dopóki odpowiada na pytanie. Przekracza granicę w momencie, w którym zaczyna przechowywać stan procesu, od którego zależą inni: stany magazynowe, status zamówień, naliczenie prowizji, terminy, uprawnienia.

Trzy pytania pokazują, co się przy tym oddaje. Czy plik robi swoje, kiedy nikt go nie otworzył? Czy da się ustalić, kto, kiedy i na jakiej podstawie zmienił konkretną wartość, bez pytania kogokolwiek? Czy o błędzie informuje narzędzie, czy człowiek, który akurat go zauważył?

Arkusz przegrywa wszystkie trzy — z konstrukcji, nie z zaniedbania. Rozstrzyga więc nie wynik, tylko jego cena. Przy pliku, w którym liczy się wariant na jutro, cena wynosi zero. Przy pliku, od którego zależą inni, firma nie używa już arkusza. Utrzymuje system — nieudokumentowany, bez właściciela, bez testów i bez gwarancji.

Wbrew zapowiedziom sprzed dekady arkusze nie ustępują pola. W badaniu AFP z 2025 roku wzięło udział 362 specjalistów finansowych z całego świata. Arkusze przy planowaniu wykorzystuje 96% z nich, przy raportowaniu 93% — codziennie lub co tydzień. Z ankiety AutoRek z tego samego roku wynika, że w 90% organizacji arkusze pozostają integralnym elementem operacji finansowych.

W swojej klasie arkusz nie ma konkurencji. Jednorazowe wyliczenie, symulacja wariantu, pytanie, na które odpowiedź jest potrzebna dziś — tutaj koszt zmiany wynosi zero, a czas oczekiwania nie istnieje. Żaden system tego nie zastąpi i nie powinien.

Decyzja nie brzmi więc „zostawić czy wyrzucić”, tylko „na której warstwie ma pracować”. Proces należy tam, gdzie istnieje walidacja, historia zmian i kontrola dostępu. Arkusz jest miejscem, w którym zadaje się temu procesowi pytania.

Zwykle pyta się w tej sytuacji, czy arkusz jeszcze wystarcza. Odpowiedź nic nie wnosi, bo arkusz działa zawsze — na tym właśnie polega problem. Rozstrzyga pytanie postawione inaczej: gdyby ten arkusz był błędny, skąd byśmy się o tym dowiedzieli?

Jeżeli szczera odpowiedź to „zadzwoniłby klient”, „wyszłoby przy zamknięciu roku” albo „ktoś by w końcu zauważył”, decyzja została już podjęta — tyle że nie przez firmę, lecz przez rachunek prawdopodobieństwa. Arkusz nie przestaje wystarczać w dniu, w którym pojawia się w nim błąd. Przestaje wystarczać w dniu, w którym zaczyna od niego zależeć decyzja, a nikt w firmie nie potrafi odpowiedzieć, czy błąd już w nim jest.