依存は、所有とは違うかたちで連鎖する
所有は指揮の関係です。依存はエクスポージャーの関係であり、エクスポージャーは伝わります。組み込み型の再委託先から3層上にいる顧客は、その再委託先とは何の関係も契約もなく、多くの場合その存在を知らないまま、そのリスクをすべて引き継ぎます。リスクは下流へ自動的に伝播し、それを負う当事者は通常、最後にそれに気づきます。
だからこそ、決定的な支配は、株式ではなく依存関係のグラフを通じて到達できるのです。再委託先としてその内側に入り込めるなら、お客様が頼っているシステムを所有する必要は誰にもありません。所有を最初に解明するのは、それが残りを計算可能にするからであり、支配に至る唯一の経路だからではありません。
ここで重要な尺度は、集中度と代替可能性の対比です。下流のすべてに対して中核的な判断を下している不透明なノードが1つあれば、その所有がまったく清廉であっても、それは要所です。清廉な所有は保証ではなく、ある時点のスナップショットです。そのエクスポージャーをマッピングするには、企業登記とは別の証拠基盤を用います。統合とパートナーの開示、データ処理契約と再委託先の一覧、SOC 2の報告書、ソフトウェア部品表、侵害の通知、そして調達の記録です。義務づけられた開示に現れるべき再委託先が現れていないこと自体が、検出結果になります。