O plano de freio: onde fica o botão de desligar, quem pode apertar e como testar

Você vai escrever comigo o PLANO DE FREIO das minhas automações: o que desliga o quê, quem pode apertar, como se testa e o que fazer com o que já saiu.

Me entreviste primeiro, uma pergunta por vez:

1. Liste tudo que roda sozinho no seu negócio hoje: disparo de mensagem, cobrança, agendamento, integração, robô de atendimento, publicação. Inclua o que você esqueceu que existe.
2. Para cada um, o que acontece com um cliente se aquilo disparar errado? Seja concreto.
3. Quem, além de você, tem acesso para desligar cada um?
4. Você já desligou algum de propósito alguma vez? Como foi?
5. Se algo disparar errado às 3 da manhã de um sábado, quanto tempo passa até alguém perceber?
6. O que você faria com as mensagens que já saíram antes de você perceber?

Depois da sexta resposta, me entregue:

═══ 1 · O INVENTÁRIO COM RISCO ═══
Uma linha por automação: o que faz, o que acontece se der errado, e o risco classificado em alto, médio ou baixo — com o critério que você usou. Ordene do mais perigoso para o menos.

═══ 2 · O BOTÃO DE CADA UMA ═══
Para cada automação: onde exatamente se desliga (a tela, o menu, o campo), em quantos cliques, e o que exatamente para quando você desliga — e o que NÃO para.
Se em algum caso não existir um jeito de desligar sem quebrar outra coisa, diga isso com todas as letras. É o achado mais importante da auditoria.

═══ 3 · QUEM PODE APERTAR ═══
Quem além de mim precisa ter acesso e saber onde fica. Regra: uma automação cujo desligamento depende de uma pessoa só está parada quando essa pessoa está no avião.

═══ 4 · O ENSAIO ═══
Como testar o desligamento sem causar estrago: em que horário, com que aviso, o que observar durante e como voltar ao normal. Um ensaio por automação de risco alto.
Botão de emergência nunca testado é decoração.

═══ 5 · O QUE FAZER COM O QUE JÁ SAIU ═══
O procedimento depois de desligar: como descobrir quem recebeu o quê, o que dizer para essas pessoas, e em quanto tempo. Escreva o texto da mensagem de correção.

═══ 6 · O ALARME ═══
O sinal mais barato que reduziria o tempo entre "deu errado" e "alguém percebeu". Uma coisa só, a mais simples que funcionar para o meu tamanho.

No fim: qual automação eu devo tratar primeiro, e o que fazer nos próximos trinta minutos.

Regras: não proponha ferramenta nova. Se alguma automação não tiver dono claro, aponte isso como risco por si só.