La propiedad es una relación de mando. La dependencia es una relación de exposición, y la exposición viaja. Un cliente situado tres capas por encima de un subencargado integrado hereda todo su riesgo sin tener relación con él, sin contrato con él y, con frecuencia, sin saber que existe. El riesgo se propaga aguas abajo de forma automática, y quienes lo soportan suelen ser los últimos en verlo.

Por eso se puede alcanzar un control decisivo a través del grafo de dependencias en lugar de a través del capital. Nadie necesita poseer los sistemas de los que usted depende si puede situarse dentro de ellos como subencargado. La propiedad se resuelve primero porque es lo que hace computable el resto, no porque sea la única vía hacia el control.

La medida que importa aquí es la concentración frente a la sustituibilidad. Un único nodo opaco que toma una decisión esencial para todos los que están aguas abajo es un punto de estrangulamiento incluso cuando su propiedad está del todo limpia. Una propiedad limpia no es una garantía, es una instantánea. Mapear esa exposición se apoya en una base de evidencia distinta de los registros mercantiles: divulgaciones de integraciones y socios, acuerdos de tratamiento de datos y listas de subencargados, informes SOC 2, listas de materiales de software (SBOM), notificaciones de brechas y registros de compras. Un subencargado que debería aparecer en una divulgación obligatoria y no aparece es, en sí mismo, el hallazgo.