组织应要求外部供方对其直接和次级外部供方进行控制。