Afhankelijkheid werkt door op een manier die eigendom niet kent
Eigendom is een gezagsverhouding. Afhankelijkheid is een verhouding van blootstelling, en blootstelling reist mee. Een klant die drie lagen boven een ingebedde subverwerker zit erft al het risico daarvan, zonder enige relatie ermee, zonder contract ermee en vaak zonder te weten dat die bestaat. Risico plant zich vanzelf naar beneden voort, en de partijen die het dragen zien het meestal als laatste.
Daarom is beslissende zeggenschap te bereiken via de afhankelijkheidsgraaf en niet alleen via eigendom. Niemand hoeft de systemen te bezitten waarop u leunt als hij er als subverwerker in kan zitten. Eigendom wordt eerst vastgesteld omdat het de rest berekenbaar maakt, niet omdat het de enige route naar zeggenschap is.
De maatstaf die hier telt is concentratie tegenover vervangbaarheid. Eén ondoorzichtig knooppunt dat een kernbesluit neemt voor iedereen verder in de keten is een knelpunt, ook als het eigendom volkomen zuiver is. Zuiver eigendom is geen garantie, het is een momentopname. Die blootstelling in kaart brengen vraagt een andere bewijsbasis dan handelsregisters: meldingen over integraties en partners, verwerkersovereenkomsten en subverwerkerslijsten, SOC 2-rapporten, softwarecomponentenlijsten, meldingen van inbreuken en inkoopgegevens. Een subverwerker die in een verplichte melding zou moeten staan en er niet in staat, is zelf de bevinding.