Resumo

  • A decisão de 15 de junho de 2003 distribuiu quatro funções da AFRINIC entre quatro países: incorporação e administração em Maurício, coordenação e execução de treinamento em Gana, operações técnicas e infraestrutura na África do Sul e backup e recuperação de desastre no Egito. Foi uma escolha real de anticoncentração física e funcional, depois ratificada por unanimidade pelo Conselho.
  • A distribuição não dividiu a autoridade corporativa. Os registros posteriores mostram uma única pessoa jurídica mauriciana, um Conselho, um diretor executivo, departamentos pertencentes à mesma organização, gestão a partir de Maurício e a intenção de a AFRINIC assumir a administração e o financiamento de todas as localidades após a incubação.
  • A topologia técnica descrita em 2005 tinha aplicações centrais e banco de dados no CSIR, na África do Sul, uma réplica já identificada em Johannesburgo, outras réplicas planejadas e uma cópia de recuperação prevista no Egito. Sem mapas de credenciais, contratos, objetivos de recuperação e testes de restauração, cópias em vários lugares não provam continuidade independente.
  • A melhor defesa do modelo é forte: uma instituição pequena podia obter especialização, instalações e redundância sem multiplicar pessoas jurídicas, tesourarias e comandos concorrentes. Ainda assim, comando coerente também pode ser um domínio comum de falha. A avaliação correta separa instalações, pessoas, dados, chaves, contratos, dinheiro, lei e decisão, em vez de chamar qualquer mapa multinacional de descentralização completa.

O mapa nasceu como uma divisão de funções, não de soberanias

Em 15 de junho de 2003, durante uma reunião da AFRINIC realizada em Kampala em conjunto com a AfNOG, propostas de hospedagem foram apresentadas e uma reunião subsequente buscou consenso entre representantes do Conselho, do grupo de trabalho e dos proponentes. Para entender a arquitetura resultante, basta registrar esse antecedente imediato. A mecânica da seleção, os incentivos oferecidos aos proponentes e o desenho do processo de concorrência são outro assunto. O ato relevante aqui é o desmembramento de um pacote institucional que poderia ter ficado em um único lugar.

O consenso separou quatro funções. O centro administrativo, que incluía incorporação legal, gerente de negócios e secretaria, foi destinado a Maurício. O centro de treinamento, encarregado de coordenar e executar a capacitação da AFRINIC, foi destinado a Gana. O centro de operações técnicas, incluindo hardware e instalações de infraestrutura, foi destinado à África do Sul. A instalação de backup e recuperação de desastre para as operações técnicas foi destinada ao Egito. O Conselho depois votou por unanimidade para ratificar esse arranjo, segundo o anúncio contemporâneo publicado em 23 de junho.

Não há, no conjunto documental disponível, uma resolução numerada e assinada, uma ata completa ou uma chamada nominal dos votos. A unanimidade registrada é, portanto, o que o anúncio do próprio Conselho afirma, não mais do que isso.

Essa precisão importa porque “quatro países” pode sugerir muito mais do que o ato efetivamente fez. Ele distribuiu funções privadas de uma organização em formação. Não criou quatro registros regionais. Não atribuiu a nenhum Estado um quinhão de autoridade sobre recursos numéricos africanos. Não deu ao anfitrião da base de dados a propriedade dos registros, nem ao anfitrião do backup o poder de decidir políticas, nem ao coordenador de treinamento uma competência de alocação. A geografia indicava onde determinadas tarefas e instalações deveriam estar; não transferia soberania, jurisdição continental ou poder coercitivo.

A ratificação também não encerrou o desenho. O anúncio dizia que termos de referência revisados seriam emitidos para cada função, permitindo aos anfitriões preparar planos detalhados de implementação e concluir o financiamento. Esses termos ainda seriam discutidos com os proponentes. Assim, a escolha das localidades ocorreu antes do fechamento público das especificações funcionais, das obrigações e do custeio. A distinção entre decidir “onde” e comprovar “como” é central: o primeiro ato sobrevive no registro contemporâneo; os documentos que teriam transformado a alocação em compromissos verificáveis não estão disponíveis.

O valor anticoncentração do mapa era intuitivo e concreto. Uma única edificação não teria de comportar sede, equipe técnica, infraestrutura central, treinamento e recuperação. Diferentes instituições locais poderiam oferecer conhecimento, instalações e apoio durante a fase de construção. Uma interrupção física numa cidade não atingiria necessariamente todas as funções ao mesmo tempo. O alcance institucional também se ampliava: a capacidade de treinamento não ficava anexada por necessidade à sede administrativa, e a recuperação era pensada fora do país do núcleo técnico.

Esses são benefícios plausíveis do próprio desenho, sem necessidade de afirmar que foram integralmente realizados.

Mas um mapa de endereços não responde à pergunta mais difícil: quem podia agir quando algo desse errado? Se a energia faltasse num prédio, havia outro sistema capaz de assumir? Se uma credencial privilegiada fosse comprometida, as cópias em outros países tinham domínios administrativos separados? Se o Conselho ou o diretor executivo ficasse indisponível, alguém num local remoto possuía delegação válida para operar? Se um contrato de hospedagem terminasse, equipamentos, dados e licenças eram portáveis? Se a sede perdesse acesso ao banco ou à capacidade de assinar, a dispersão física preservava a organização?

Nada disso decorre automaticamente de quatro pontos no mapa.

A distribuição foi real, mas a corporação continuou una

Os documentos posteriores mostram que parte do plano saiu do papel. Uma apresentação de transição de junho de 2004 relatou um escritório em Maurício, um centro de operações técnicas no CSIR, na África do Sul, e a transferência de pessoal técnico para esse país em janeiro daquele ano. O mesmo material descreveu uma entidade incorporada com atividades em quatro localidades. A apresentação traz um erro evidente ao datar a seleção de Kampala como “May 2203”, ou maio de 2003. O anúncio contemporâneo do Conselho e o pedido final de reconhecimento apontam para junho de 2003; por isso, 15 de junho é a data que deve governar a narrativa.

Em fevereiro de 2004, a AFRINIC foi incorporada em Maurício como uma única entidade sem fins lucrativos. Esse fato interessa aqui apenas como parte da arquitetura de convergência. Não é preciso transformar este estudo numa história do direito mauriciano nem reabrir os motivos da escolha do país. O ponto transversal é mais simples: as operações podiam estar dispersas, mas os quatro locais não eram quatro pessoas jurídicas. Havia uma sede e um centro corporativo.

O pedido final de reconhecimento, elaborado em março de 2005, torna a tensão explícita. Ao mesmo tempo que descreve funções e infraestrutura distribuídas, o documento afirma que a AFRINIC era administrada a partir de um único local em Maurício. Sua estrutura organizacional colocava os membros acima de um Conselho, o Conselho acima de um diretor executivo responsável pela gestão cotidiana e, abaixo desse executivo, departamentos pertencentes à mesma organização.

Operações técnicas e serviços de registro estavam reunidos num departamento; finanças, administração e recursos humanos, em outro; comunicações, relacionamento com membros e treinamento, em outro. A colocação de uma atividade num país diferente não a transformava numa organização separada.

A distribuição de pessoal confirmava a realidade operacional, mas também os limites da autonomia local. No estágio descrito em 2005, a sede em Maurício contava, ou deveria contar, com o diretor executivo, um assistente administrativo e um gerente financeiro. A África do Sul tinha um engenheiro e um hostmaster ligados à transição técnica. Não há informação equivalente sobre quadro permanente em Gana ou no Egito. Também não há contratos de emprego, linhas locais de supervisão, escalas de plantão, substituições, sucessão ou delegações de emergência.

Sabemos onde alguns papéis estavam; não sabemos que poderes independentes acompanhavam essas pessoas.

O financiamento exibe a mesma combinação de dispersão e convergência. Instituições ligadas aos quatro países ofereceriam apoio durante uma incubação, reduzindo a carga inicial sobre uma organização pequena. O pedido dizia que, após dois anos, a AFRINIC esperava assumir toda a gestão administrativa e financeira das quatro localidades, sustentada pelas taxas dos membros. A intenção, portanto, não era manter quatro centros financeiros autônomos, mas usar contribuições distribuídas durante a partida e depois consolidar o custeio na corporação.

Não há valores, cronogramas de subsídio, garantias, contas bancárias, limites de aprovação ou prova de que a transferência tenha ocorrido no prazo e nas condições esperadas.

Esse desenho não deve ser julgado pela falsa escolha entre “centralizado” e “descentralizado”. A instituição separou instalações, funções, alguns grupos de pessoal e relações de apoio. Ao mesmo tempo, unificou personalidade jurídica, governança, comando executivo, departamentos e horizonte financeiro. Em certas superfícies, a convergência era deliberada e talvez desejável; em outras, o registro não permite saber se houve separação suficiente. Uma análise honesta precisa aceitar classificações diferentes para superfícies diferentes.

Na personalidade jurídica e na responsabilidade corporativa, a classificação é convergente: uma entidade mauriciana e uma sede. Na governança e no comando cotidiano, também: membros, um Conselho e um executivo. No emprego, havia distribuição física e convergência corporativa. No financiamento, o apoio inicial era parcialmente disperso, com intenção de convergir para gestão e receita da própria AFRINIC. No treinamento, a entrega foi atribuída a Gana, enquanto o lugar da função dentro do departamento de comunicações e treinamento mantinha conexão com o centro organizacional.

Na política e nas decisões sobre recursos, o ato de junho não criou poder independente para anfitrião algum.

O núcleo sul-africano e a diferença entre cópia e continuidade

A descrição técnica do pedido de 2005 permite enxergar como o desenho buscava reduzir falhas de instalação. As aplicações centrais e o banco de dados estavam no centro de computação do CSIR, na África do Sul. Havia um local de replicação identificado na UUNET South Africa, em Johannesburgo. O documento também falava de outra réplica com balanceamento de carga planejada em outro provedor sul-africano e em Maurício. A redação e o estado de conclusão dessas réplicas adicionais não são inteiramente claros; elas devem permanecer como planos, não como infraestrutura comprovadamente concluída.

O Egito aparecia como o principal local de recuperação de desastre e backup fora do local. O pedido dizia, em linguagem de futuro, que toda a infraestrutura seria replicada ali. Isso comprova uma intenção arquitetural e uma atribuição funcional; não comprova data de conclusão, capacidade de escrita, independência administrativa ou teste bem-sucedido. Entre o escritório de Port Louis e a rede central sul-africana, o documento relatava uma VPN, embora a construção gramatical não permita fixar com segurança todos os detalhes do seu estado.

Não sabemos se essa ligação tinha diversidade de operadoras, caminhos alternativos, administração fora de banda ou chaves custodiadas separadamente.

Há ainda uma afirmação de rotação de backups e replicação entre vários locais. O acesso ao banco de dados e à infraestrutura seria restrito a pessoas autorizadas. A AFRINIC dizia ter assinado acordos de segurança e procedimentos de acesso com a UUNET e com o centro de computação do CSIR. Essas afirmações são relevantes: mostram que acesso físico e autorização estavam no radar.

Porém, os instrumentos não constam do registro, e a simples existência declarada de procedimentos não revela quem guardava credenciais de administrador, como ocorria a revogação, se havia autenticação multifator, dupla aprovação, registros de auditoria ou contas de emergência.

O problema técnico fundamental é que replicação distribui dados, mas pode também distribuir o mesmo defeito. Uma cópia protege contra determinadas falhas de hardware somente se puder ser usada. Ela não protege por si só contra uma gravação errada propagada para todas as réplicas, uma credencial comum comprometida, uma falha compartilhada de software, uma instrução corporativa inválida ou a incapacidade de decidir qual estado é legítimo. Uma réplica de leitura não equivale a um sistema capaz de assumir escrita. Um servidor num segundo país não equivale a um domínio administrativo independente.

Um backup não é recuperação enquanto ninguém demonstrar que pode restaurá-lo dentro de um objetivo definido.

Por isso, os dados ausentes não são detalhes técnicos decorativos. Não há objetivo de ponto de recuperação, objetivo de tempo de recuperação, atraso de replicação, política de retenção, garantia de imutabilidade, teste de restauração, exercício de desastre ou relatório de incidente. Não há informação sobre líder do banco, quórum, autoridade de escrita, tratamento de dados defasados ou isolamento contra corrupção lógica. Não há matriz de credenciais, custódia de chaves raiz, separação de funções, procedimento de quebra de vidro ou autonomia por país.

Sem esses elementos, pode-se dizer que havia um desenho de redundância; não se pode afirmar que existia failover independente e testado.

Também seria incorreto concluir o oposto e chamar o modelo de fracasso. A ausência de registros públicos não prova que controles nunca existiram. Não prova que a instalação egípcia não tenha sido montada, que restaurações jamais tenham ocorrido ou que as equipes não possuíssem procedimentos internos. Ela estabelece um teto de auditoria: o leitor não pode ir além do que os documentos permitem. O veredito não é “não havia resiliência”, mas “a independência da resiliência não está demonstrada”. Essa diferença preserva a incerteza sem conceder ao relato institucional o status de auditoria.

Quatro relações de apoio e um vínculo contratual que não se deixa reconstruir

O pedido final ligava a administração e a gestão a uma associação de provedores de Maurício, com apoio do ministério local; o suporte técnico ao departamento sul-africano de comunicações, com o CSIR; a recuperação e a replicação de dados ao ministério egípcio de comunicações; e a coordenação de treinamento à GH-NIC, em Gana. O arranjo é coerente com uma estratégia de incubação: em vez de construir cada capacidade do zero, a AFRINIC buscaria recursos existentes em instituições especializadas.

Mas a situação jurídica desses apoios não pode ser reconstruída com segurança. O mesmo pedido diz que um acordo de incubação havia sido concluído com três organizações de apoio, lista quatro relações vinculadas a países e afirma que acordos formais seriam assinados em breve com cada uma. Não é possível decidir, com base nessa redação, se a contagem de três foi um erro, se algumas entidades foram agrupadas, se um instrumento abrangia mais de uma relação ou se havia graus diferentes de compromisso.

Os acordos de acesso já declarados com UUNET e CSIR parecem ser instrumentos específicos e distintos; eles não podem ser usados para preencher o conteúdo dos acordos gerais ainda descritos como futuros.

Os termos faltantes determinariam muito da verdadeira anticoncentração. Quem era dono do hardware? Quem arcaria com reposição e seguro? Que lei regia cada contrato? Havia nível de serviço, auditoria, indenização e direito de intervenção? O que ocorreria com os dados e equipamentos ao fim do vínculo? O anfitrião tinha obrigação de ajudar na migração? A AFRINIC podia substituir a instalação sem consentimento ou custo proibitivo? Quais obrigações continuavam durante uma disputa?

Sem respostas, multiplicar fornecedores pode reduzir dependência de um único anfitrião, mas também criar várias interfaces vulneráveis a renovação, interpretação e execução.

O mesmo vale para a independência afirmada no pedido. A AFRINIC se descrevia como operacionalmente independente e autônoma das entidades de apoio. Essa é uma declaração do requerente, útil para saber como a instituição apresentava seu modelo. Não é uma verificação externa. A autonomia real dependeria de contratos, propriedade de ativos, autoridade sobre pessoal, orçamento, capacidade de substituir fornecedores, controle de credenciais e acesso aos dados. Quando os documentos que governam essas superfícies não estão disponíveis, a autodescrição não pode preencher a lacuna.

Ainda assim, não há base para presumir má-fé, ocultação, defeito contratual ou inadimplemento. A assimetria de informação é o fato relevante: anfitriões e dirigentes podem ter conhecido detalhes que membros, operadores e pesquisadores hoje não conseguem verificar. Essa limitação enfraquece a capacidade de auditar o desenho, mas não autoriza um julgamento moral. A pergunta correta continua operacional: quais obrigações seriam acionáveis diante da perda de um local, de um fornecedor, de um executivo ou de uma fonte de recursos?

Gana distribuiu capacidade, não comando do registro

A função de Gana precisa ser creditada pelo que era, sem ser inflada. O anúncio do Conselho definiu o centro de treinamento como responsável por coordenar e implementar a capacitação da AFRINIC. O pedido posterior associou essa função à GH-NIC e colocou treinamento dentro do departamento que também tratava de comunicações e relacionamento com membros, trabalhando em proximidade com os serviços de registro. Separar a entrega de treinamento da sede e do centro técnico podia ampliar conhecimento regional, criar outro grupo de relações e reduzir dependência de uma única equipe.

Esse benefício é diferente de continuidade técnica. Um programa de capacitação pode fortalecer operadores e a própria instituição ao longo do tempo, mas não assume automaticamente o banco de dados durante uma pane. Também é diferente de autoridade de política. A atribuição não dava a Gana poder para alocar recursos, decidir eleições, controlar orçamento corporativo ou comandar os demais centros. O registro não contém acordo do centro, instalações, quadro permanente, currículo, autoridade de aprovação, volume de atividades ou métricas de resultado.

Portanto, a função deve ser tratada como distribuição de entrega e formação de capacidade, com implementação e impacto não mensurados.

Essa distinção evita dois erros simétricos. O primeiro seria desprezar treinamento por não ser failover. A construção de competência pode reduzir dependências humanas e ampliar a base de operação, ainda que seu efeito apareça em prazos diferentes dos de uma réplica técnica. O segundo seria chamar a presença de uma função em Gana de descentralização do poder do registro. A documentação não sustenta isso. Treinamento, redundância de sistemas, continuidade jurídica e continuidade de governança são produtos distintos; reuni-los sob um único rótulo esconde mais do que explica.

Quais domínios de falha foram realmente encurtados

No nível de edifício, o desenho reduziu parcialmente a concentração. Sede, núcleo técnico, réplica e recuperação foram associados a instalações diferentes. Mas o núcleo e a única réplica explicitamente existente no pedido estavam ambos na África do Sul. A conclusão da réplica mauriciana e a prontidão do local egípcio não estão demonstradas. Assim, havia mais de um prédio, mas não se conhece a extensão da independência entre todos eles.

No nível de interrupção física de um país, a intenção de redução é clara e o desempenho não é testado. Distribuir funções entre quatro países e colocar recuperação fora da África do Sul podia limitar um incidente local. Contudo, nenhum registro mostra quanto serviço continuaria, quem acionaria a mudança ou se o Egito conseguiria operar sem dependências técnicas sul-africanas e decisões corporativas mauricianas. A fronteira nacional, sozinha, não prova diversidade de energia, operadoras, fornecedores, credenciais ou controle.

No nível da pessoa jurídica e da lei da sede, a concentração permaneceu. Servidores em vários países não criaram uma corporação substituta, outro Conselho, uma tesouraria alternativa ou um empregador capaz de assumir o serviço. No nível de incapacidade do Conselho ou do executivo, o registro também não mostra mitigação. Não há delegação de emergência, sucessão documentada ou poder local autônomo que contorne paralisia corporativa. Isso não significa que nenhuma regra interna tenha existido; significa que ela não está comprovada aqui.

No financiamento, houve diversificação temporária e opaca. Vários apoiadores podiam absorver parte dos custos iniciais, mas não conhecemos valores, garantias, condições ou fundos de contingência. A meta de assumir as despesas com receita dos membros restabeleceria uma fonte corporativa comum. Um modelo pode ser financeiramente coerente e ainda exposto a um único orçamento, conta, processo de aprovação ou queda de arrecadação.

No hardware e no banco de dados, réplicas reduziam algumas falhas físicas. Nada, porém, demonstra proteção contra corrupção lógica. Se o mesmo erro fosse copiado, a multiplicidade de servidores preservaria o erro. No domínio de credenciais, a classificação é desconhecida. No domínio de conectividade, também: sabe-se da VPN e da conexão entre localidades, não de caminhos alternativos. No domínio humano, uma equipe pequena estava fisicamente separada entre sede e operação técnica, mas sucessão, rotação, capacitação cruzada e cobertura fora do horário permanecem desconhecidas.

Essa leitura granular evita que “anticoncentração” vire elogio automático. O desenho reduziu algumas dependências, deixou outras deliberadamente comuns e pode ter escondido outras atrás de interfaces não documentadas. A unidade correta de análise não é o país colorido no mapa, mas a capacidade de continuar uma função quando cada insumo falha: local, energia, rede, fornecedor, pessoa, contrato, dinheiro, credencial, dado e decisão.

O melhor argumento a favor da arquitetura

É fácil impor a uma instituição nascente um padrão retrospectivo que talvez a impedisse de nascer. A AFRINIC estava sendo construída para atender uma região ampla com recursos e competências escassos. Criar quatro corporações autônomas, quatro tesourarias, quatro cadeias de comando e quatro bases com poder próprio teria elevado custos, multiplicado conflitos e ameaçado a consistência de um registro que depende de unicidade. Um conjunto de decisões contraditórias sobre os mesmos recursos seria pior do que uma infraestrutura central tecnicamente bem protegida.

O modelo de 2003 oferecia uma resposta pragmática. Uma única entidade forneceria responsabilidade identificável. Um Conselho e um executivo manteriam direção coerente. Maurício abrigaria a pessoa jurídica e a administração; a África do Sul ofereceria ambiente técnico e pessoal especializado; Gana coordenaria capacitação; o Egito criaria distância para recuperação. Instituições existentes subsidiariam capacidades durante dois anos, quando a AFRINIC ainda não podia financiá-las integralmente, e a receita dos membros sustentaria a operação depois. O próprio anúncio tratava controle de custos e eficiência operacional como restrições.

Centralizar comando e distribuir execução pode ser um bom desenho.

Essa defesa prova que a arquitetura não deve ser descartada como decoração. Funções, pessoas e instalações distintas têm valor. Quatro centros soberanos também teriam criado riscos de captura nacional, disputa de titularidade, registros incompatíveis e responsabilidade difusa. A alternativa mais madura não é necessariamente pulverizar a autoridade corporativa, mas manter uma responsabilidade central enquanto se tornam portáveis e independentes os caminhos de serviço essenciais.

O argumento, porém, não resolve a auditoria. Uma única entidade responsável pode ser também um único ponto jurídico e financeiro de falha. Um comando coerente pode ser também a única fonte de autorização num desastre. Réplicas coordenadas podem ser consistentes e, ao mesmo tempo, compartilhar credenciais e corrupção. Apoio de anfitriões pode economizar recursos e criar dependência contratual. É preciso testar cada superfície, não escolher por princípio entre unidade e distribuição.

O melhor parâmetro contrafactual é uma pessoa jurídica única com contratos substituíveis, propriedade e portabilidade claras, credenciais divididas, backups isolados, autoridade de emergência documentada e failover exercitado. Esse modelo preservaria responsabilidade corporativa sem confundir responsabilidade com dependência absoluta. O registro disponível não mostra se a AFRINIC alcançou esse ponto. Ele mostra a intenção geográfica e funcional, partes da implementação e uma quantidade decisiva de controles não documentados.

Um registro privado continua sendo um escriturário e coordenador

A AFRINIC presta uma função importante: manter registros precisos, coordenar unicidade e oferecer continuidade administrativa para recursos numéricos. A importância operacional não a converte em governo. Nem a incorporação em Maurício, nem o banco de dados na África do Sul, nem o apoio de um ministério no Egito, nem a coordenação de treinamento em Gana criaram soberania continental. A região de serviço não é uma entidade política que tenha delegado poder legislativo ou policial.

Registros descrevem e coordenam uma realidade operacional; não fabricam propriedade. Hospedar um banco de dados não dá ao anfitrião título sobre aquilo que as linhas representam. Administrar uma entrada não autoriza confiscar recursos, punir operadores, processá-los ou usar o registro como instrumento de coerção econômica. O Conselho adotou uma decisão corporativa, não uma lei africana. Os participantes de uma reunião alcançaram um consenso institucional, não consentimento soberano de um continente.

Essa fronteira também disciplina o uso das fontes oficiais. O anúncio do Conselho comprova que o Conselho relatou um ato e sua ratificação. O pedido de reconhecimento comprova a arquitetura, os planos e as alegações que o requerente apresentou. A página histórica comprova a maneira como a instituição resume retrospectivamente sua dispersão. Nenhum desses documentos, por ser oficial, demonstra legitimidade além do seu escopo, recuperação efetiva ou poderes que uma entidade privada não recebeu.

Outras organizações podem pesquisar, defender interesses, reunir participantes e representar membros que as autorizem. Isso não as torna operadoras do registro, do RPKI, de WHOIS ou RDAP, de eleições, recursos, custódia ou continuidade. A pluralidade de vozes é compatível com uma camada administrativa estreita precisamente porque crítica, representação e operação são papéis diferentes. Manter essa separação impede que o debate sobre resiliência seja usado para inventar uma nova autoridade privada.

O efeito prático para operadores é mais sóbrio do que a retórica de soberania. Eles dependem de registros previsíveis e de processos contínuos, embora uma indisponibilidade de servidor de registro não signifique automaticamente que os pacotes parem de circular. O risco aparece nos caminhos de coordenação, atualização, comprovação e dependência institucional. Por isso importam continuidade, portabilidade, limites de discricionariedade e saídas funcionais. A proteção adequada vem de controles verificáveis, não da expansão do mandato de quem mantém o livro.

O que o arquivo público permite concluir

A decisão de junho de 2003 foi uma arquitetura anticoncentração significativa no nível de localidades e funções. Ela evitou que toda a construção institucional fosse entregue a um único pacote anfitrião. Distribuiu ambientes de trabalho, apoio especializado e objetivos operacionais. A implantação posterior confirma uma sede mauriciana, uma operação técnica sul-africana e uma topologia que contemplava réplicas e recuperação fora do núcleo. O relato histórico atual preserva a descrição de operações dispersas.

Ao mesmo tempo, a AFRINIC permaneceu uma corporação. Personalidade jurídica, Conselho, executivo, departamentos e plano financeiro convergiam. Gana não recebeu poder de política. O Egito não recebeu comando corporativo. A África do Sul não adquiriu propriedade sobre os recursos por hospedar sistemas. Maurício não se tornou fonte soberana de autoridade africana. Distribuição funcional não significou fragmentação institucional, e não precisava significar.

O limite da conclusão está nos documentos ausentes. Faltam termos de referência revisados, planos detalhados, financiamento final, acordos abrangentes com os anfitriões, inventário e titularidade de ativos, matriz de credenciais, topologia de rede, objetivos de recuperação, testes de restauração, delegações de pessoal, resultados de treinamento e prova da transferência após dois anos. Também faltam registros de incidentes que mostrem como o desenho reagiu sob pressão. A tensão entre três organizações de apoio, quatro relações e contratos ainda por assinar precisa permanecer visível.

Portanto, o modelo pode ser descrito como anticoncentração relevante, porém incompleta e não totalmente auditável. Ele separou lugares, tarefas e alguns recursos de incubação. Manteve o comando corporativo unificado. Se também separou os verdadeiros domínios técnicos, contratuais e humanos de falha é uma questão que o arquivo público não resolve. A prudência não diminui a escolha dos fundadores; apenas impede que a geografia receba crédito por controles que só documentos e testes poderiam provar.