La dépendance est transitive d'une manière dont la détention ne l'est pas
La détention est une relation de commandement. La dépendance est une relation d'exposition, et l'exposition voyage. Un client situé trois couches au-dessus d'un sous-traitant intégré hérite de tout son risque sans avoir de relation avec lui, sans contrat avec lui et, fréquemment, sans savoir qu'il existe. Le risque se propage vers l'aval automatiquement, et les parties qui le portent sont d'ordinaire les dernières à le voir.
C'est pourquoi un contrôle décisif peut être atteint par le graphe de dépendances plutôt que par le capital. Nul n'a besoin de posséder les systèmes dont vous dépendez s'il peut s'installer à l'intérieur en tant que sous-traitant. La détention est résolue en premier parce que c'est elle qui rend le reste calculable, non parce qu'elle serait la seule voie vers le contrôle.
La mesure qui compte ici est la concentration au regard de la substituabilité. Un nœud opaque unique qui prend une décision essentielle pour tous ceux situés en aval est un point d'étranglement, même lorsque sa détention est parfaitement saine. Une détention saine n'est pas une garantie, c'est un instantané. Cartographier cette exposition s'appuie sur une base de preuves différente des registres du commerce : déclarations d'intégrations et de partenaires, accords de traitement des données et listes de sous-traitants, rapports SOC 2, nomenclatures logicielles, notifications de violation et registres d'achats. Un sous-traitant qui devrait figurer dans une déclaration obligatoire et qui n'y figure pas est lui-même le constat.