O Poder do CTO: Knight Capital – Os 45 minutos que custaram US$ 440 milhões

Em 1º de agosto de 2012, a Knight Capital, então a maior operadora de ações dos Estados Unidos, perdeu mais de 440 milhões de dólares em cerca de 45 minutos por causa de um erro na instalação de um software. Um técnico deixou de copiar o código novo para um dos oito servidores do sistema de envio de ordens. O servidor desatualizado ativou uma função antiga, abandonada havia anos, e disparou mais de 4 milhões de ordens. A empresa precisou de um resgate de 400 milhões de dólares e foi vendida em menos de um ano.

O caso é o exemplo mais citado de como uma falha de processo técnico pode destruir uma empresa, e de por que o CTO responde não só pelo código, mas pela forma como ele chega à produção.

O que era a Knight Capital?

Uma empresa que operava ações em nome de clientes. Antes do incidente, respondia por 17,3% das negociações da Bolsa de Nova York e por 16,9% das da Nasdaq, o que a tornava a maior operadora de ações dos Estados Unidos.

O negócio dependia de software. As ordens dos clientes passavam por um roteador automático, chamado SMARS, que as distribuía ao mercado.

O que deu errado?

Uma sequência de três falhas, cada uma inofensiva sozinha:

1. 2005: a Knight mexeu em um trecho do código do roteador, o que deixou defeituosa uma função antiga chamada Power Peg. A função não deveria mais ser usada, mas foi mantida no sistema.
2. Fim de julho de 2012: para participar de um novo programa da Bolsa de Nova York, o Retail Liquidity Program, a empresa instalou código novo no roteador. O novo código reaproveitou um sinalizador que, no passado, ativava o Power Peg.
3. A instalação foi incompleta: um técnico não copiou o código novo para um dos oito servidores.

Em 1º de agosto, as ordens com o sinalizador reaproveitado chegaram ao servidor desatualizado. Para ele, o sinal significava “ative o Power Peg”. E, como o código que registrava as ordens concluídas havia sido alterado em 2005, o servidor nunca as marcava como cumpridas e continuava enviando novas.

Qual foi o tamanho do estrago?

Nos primeiros 45 minutos depois da abertura do mercado:

• 212 ordens de clientes geraram mais de 4 milhões de ordens no mercado;
• a empresa negociou mais de 397 milhões de ações, de 154 papéis diferentes;
• acumulou bilhões de dólares em posições que não queria;
• perdeu mais de 440 milhões de dólares antes de impostos (a SEC, regulador do mercado americano, cita mais de 460 milhões).

A conta por minuto ajuda a entender a escala. Com 460 milhões de dólares em 45 minutos, a empresa perdeu cerca de 170 mil dólares por segundo.

O efeito chegou ao mercado. Os preços de 148 empresas listadas na Bolsa de Nova York foram afetados. As ações da Wizzard Software, por exemplo, subiram de 3,50 para 14,76 dólares.

Havia sinais de alerta?

Havia. Segundo a SEC, antes da abertura do mercado em 1º de agosto, um sistema interno enviou 97 e-mails automáticos a um grupo de funcionários. As mensagens mencionavam o roteador e um erro. A empresa não agiu.

Noventa e sete avisos automáticos é o tipo de volume que costuma virar ruído. Quando um sistema gera alertas demais ou alertas mal escritos, as pessoas aprendem a ignorá-los, e o aviso que importa se perde entre eles.

O que aconteceu com a empresa?

Ela não sobreviveu sozinha. A sequência:

• 1º de agosto de 2012: a ação caiu 33% no dia, para 3,39 dólares. No dia seguinte, 75% do valor de mercado havia desaparecido.
• 5 de agosto: a empresa levantou cerca de 400 milhões de dólares com meia dúzia de investidores liderados pela Jefferies, que comprou 125 milhões e se tornou a maior acionista.
• Dezembro de 2012: a Knight aceitou ser comprada pela Getco. A fusão foi concluída em julho de 2013.
• 16 de outubro de 2013: a SEC aplicou multa de 12 milhões de dólares, na primeira ação baseada na regra de acesso ao mercado (Rule 15c3-5), de 2010.

Que falhas a SEC apontou?

Três, todas de processo:

• a empresa “não tinha controles e procedimentos adequados para instalação e teste de código” no roteador de ordens;
• não tinha procedimentos escritos suficientes para orientar os funcionários na resposta a incidentes técnicos;
• não revisava de forma adequada a eficácia dos próprios controles.

Nenhuma delas é um erro de programação. O código novo funcionava. O que falhou foi a forma de colocá-lo no ar, a convivência com código morto e a resposta aos alertas.

O que o caso Knight ensina a quem quer ser CTO?

Ensina que código abandonado é risco. A função Power Peg não deveria mais ser usada e continuava no sistema. Remover o que não se usa é tarefa sem glamour e protege a empresa do tipo de combinação que destruiu a Knight.

Ensina também que a instalação é parte do produto. Publicar código em produção precisa ser um processo automatizado, verificado e reversível, que não dependa de alguém lembrar de copiar arquivos em oito servidores. O CTO responde por esse processo tanto quanto pela qualidade do que é escrito. Formação, trajetória e remuneração da função estão na página de CTO (Diretor de Tecnologia) do Guia de Carreiras.