2019年我在一家电商公司做活动运营，把满减券设成“满100减100”，上线17分钟被薅了4300多单，客诉电话打到前台占线。 老板冲过来第一句不是“谁干的”，而是“入口关了没、库存锁了没、公告能不能先发”。 那次之后我才明白，工作失误发生后，前30分钟拼的是止血，不是道歉。 道歉太快有个副作用：所有人以为事情已经结束，但影响面还没查清。 所以我现在处理失误，第一步永远是拉一张“损失清单”，而不是先写检讨。
很多人把工作失误当成道德问题，我觉得更像系统报警。 操作型失误比如发错文件、Excel公式引用错、邮件抄送错人；判断型失误比如估错工期、选错供应商；系统型失误比如权限太宽、审批缺失、没有二次校验。 如果只骂人，下次还会换个人犯同样的错。 我见过最典型的：报价单文件名没有版本号，审批只走一个人，邮件没有延迟发送，结果旧价格发给了客户。 这不是“某个人粗心”，这是流程里没有一个地方能拦住错误。
止血步骤我按分钟算。 0-5分钟：关入口、下架商品、停广告计划、把错误文件移入隔离文件夹，别覆盖原文件。 5-30分钟：查影响面，至少列5个维度——人、钱、时间、合规、声誉。 钱要算订单数、客单价、损失金额、可追回比例；时间要算影响多久、恢复要几小时；合规要看是否涉及个人信息、财务数据、合同。 30-120分钟：沟通，先对上，再对平行，再对外。 给领导的消息别写小作文，就6行：什么事、发现时间、影响范围、已做动作、需要谁、下次更新。
对外沟通有个坑：不要用“我以为”开头。 改成“目前确认的是……”“还在核实的是……”“下一次更新是……”。 客户不关心你内疚不内疚，关心的是订单能不能恢复、钱能不能退、什么时候能解决。 如果是邮件发错，Outlook撤回只对同组织Exchange邮箱比较有效，外发基本撤不回，所以重要邮件我会设5分钟延迟发送。 企业微信、钉钉能撤回也有时间限制，撤不回就补发更正，别删记录。
复盘不是写检讨，是改流程。 24小时内做一次小复盘，7天内把动作落地。 改3个点就够：权限最小化、双人复核、自动化校验。 代码事故用git revert回滚，不要git reset --hard把别人提交冲掉；数据库变更前先mysqldump或pg_dump；Excel用数据验证和条件格式把异常值标红。 我们后来把优惠券系统加了“单人单日最多3张、总预算超5万必须二次审批、上线前测试单验证”三条规则，同类事故没再出现。
小失误和大事故要分开处理。 发错文件名、会议迟到5分钟，补一句“已重发”就行，过度道歉反而消耗信任。 涉及钱、数据、合规、客户，必须30分钟内升级。 一个判断标准：如果24小时后有人可能因此损失钱或丢工作，就是大事故。 我也有过怕被骂拖了2小时才说，结果仓库多发了600件货。 那2小时不是救火，是浇油。
最后说个反直觉的观点：工作失误不是让你证明自己从不犯错，而是让团队看见你能不能把不确定性变成可管理的信息流。 领导不怕坏消息，怕的是惊喜。 你越快给出事实、影响、动作、时间点，别人越敢把重要的事交给你。 我现在还会犯错，只是不会再让错误独自发酵。 先止血，再定责，最后复盘——顺序错了，越努力越乱。