Sachverhalt:
A.
A.a. Am 17. Dezember 2003 stellte die Stiftung Sicherheitsfonds BVG gesetzliche Leistungen für die Destinäre der Vorsorgeeinrichtung der Firma M._ AG sicher. Diese befand sich seit 2004 in Liquidation und wurde 2009 im Handelsregister gelöscht. Die Sicherstellung blieb in der Höhe von Fr. 2'668'405.15 ungedeckt. Die Vorsorgeeinrichtung hatte sowohl der Stifterfirma M._ AG (später U._), die der I._ Holding AG gehörte, als auch dieser Darlehen gewährt, die nicht zurückbezahlt wurden. Beide Gesellschaften wurden inzwischen aus dem Handelsregister gelöscht.
Die Treuhandgesellschaft X._ AG wurde im Juni 1998 gegründet. Am 25. August 1999 verfasste sie erstmals den Kontrollstellenbericht zur Jahresrechnung 1998 der Vorsorgeeinrichtung. Davor zeichnete die Y._ AG resp. die vormalige Z._ AG für den Kontrollstellenbericht verantwortlich. Im Jahr 2004 fusionierte die Y._ AG (seit 2001 W._ AG) mit der V._ AG. Beide Firmen waren im Besitz der Y._ Holding AG und wurden im Dezember 1998 mit Wirkung per 1. Juli 1998 an die X._ AG verkauft. Diese hielt seit Dezember 2000 auch ein Revisionsmandat bei der L._ AG und ab 5. Februar 2003 ein solches bei der U._ in Liq. inne. Zudem war sie von September 1999 bis zur Löschung 2004 Revisionsstelle der I._ Hotel AG.
A.b. Mit Klage vom 14. Juli 2010 forderte die Stiftung Sicherheitsfonds BVG von der X._ AG Fr. 2'668'405.15 nebst 5 % Zins seit 17. Dezember 2003. Sie legte ihr verschiedene Pflichtverletzungen im Zusammenhang mit den Darlehen an die I._-Gesellschaften zur Last. Die X._ AG bestritt in der Klageantwort vom 30. August 2010 vorab ihre Passivlegitimation. In der Folge beschränkte das Sozialversicherungsgericht des Kantons Zürich den Prozess auf dieses Thema und wies die Klage am 23. August 2011 wegen fehlender Passivlegitimation ab.
A.c. Das Bundesgericht hiess die dagegen erhobene Beschwerde der Stiftung Sicherheitsfonds BVG in dem Sinne gut, als es die Sache, unter Aufhebung des angefochtenen Entscheids, an das kantonale Gericht zurückwies, damit es die Passivlegitimation der Beschwerdegegnerin zusätzlich unter dem Blickwinkel einer konkludenten Schuldübernahme beurteile und alsdann über die Klage neu entscheide (Entscheid 9C_754/2011 vom 5. März 2012).
B.
Das Sozialversicherungsgericht des Kantons Zürich stellte fest, es könne kein Wille der Beklagten zur konkludenten Schuldübernahme gemäss Art. 176 Abs. 3 OR ausgemacht werden. Es bleibe somit dabei, dass die Beklagte für den Klageanspruch nicht passivlegitimiert sei. Demgemäss wies die Vorinstanz die Klage ab (Entscheid vom 27. November 2012).
C.
Die Stiftung Sicherheitsfonds BVG führt Beschwerde in öffentlich-rechtlichen Angelegenheiten mit dem Rechtsbegehren, das angefochtene Urteil sei aufzuheben, die Passivlegitimation der Beschwerdegegnerin zu bejahen und die Sache zur weiteren Beurteilung an die Vorinstanz zurückzuweisen. Eventuell sei die Sache zur Vervollständigung des Sachverhalts an die Vorinstanz zurückzuweisen.
Erwägungen:
1.
Die Treuhandgesellschaft X._ AG amtete mit Wirkung ab dem Geschäftsjahr 1998 als Kontrollstelle der Vorsorgeeinrichtung der Firma M._ & Co. AG. Die beschwerdeführende Stiftung Sicherheitsfonds BVG möchte auf die X._ AG Rückgriff nehmen aufgrund von Pflichtverletzungen, die deren Vorgängerin, die Y._ AG, im Zusammenhang mit Darlehen der Vorsorgeeinrichtung begangen haben soll.
1.1. Gemäss Art. 52 Abs. 1 BVG (in der bis Ende 2011 gültigen Fassung) sind alle mit der Verwaltung, Geschäftsführung oder Kontrolle der Vorsorgeeinrichtung betrauten Personen für den Schaden verantwortlich, den sie ihr absichtlich oder fahrlässig zufügen. Danach gehört die Kontrollstelle zum Kreis der Passivlegitimierten ( Kieser, in: Schneider/Geiser/Gächter, Handkommentar zum BVG und FZG, 2010, Art. 52 N 19). Soweit der Sicherheitsfonds BVG Vorsorgeleistungen sichergestellt hat, kann er gegenüber Personen, die für die Zahlungsunfähigkeit einer Vorsorgeeinrichtung ein Verschulden trifft, in die Ansprüche der Vorsorgeeinrichtung eintreten (Art. 56a Abs. 1 BVG; vgl. BGE 130 V 277 E. 2.1 S. 280).
1.2. In seinem Entscheid vom 5. März 2012 schickte das Bundesgericht voraus, dass die Passivlegitimation der Beschwerdegegnerin (X._ AG) nicht durch eine Geschäftsübernahme im Sinne von Art. 181 OR (vgl. BGE 86 II 89) infolge der Übernahme der Aktien der früheren Kontroll- und Revisionsstelle begründet sein kann. Die Beschwerdegegnerin ist auch nicht durcheigenes Verschulden berufsvorsorgerechtlich haftbar geworden, weil sich der Schaden bereits vor der Übernahme der allfälligen Schadensverursacherin (Y._ AG) ereignet hat. Schon aus diesem Grund stellt sich auch nicht die Frage nach einer Haftung aus Konzernvertrauen (Urteil 4A_306/2009 vom 8. Februar 2010 E. 5.1 mit Hinweisen). Weiter liegt keine Garantie zugunsten der Beschwerdeführerin, etwa in Form einer bindenden Patronatserklärung, vor; eine solche Vertragsbeziehung wäre - wie im Übrigen auch eine Schadenersatzforderung wegen "Kundgabe falsche (r) Information" (unterlassener Hinweis auf eine allenfalls haftbare andere Konzerngesellschaft) - auf dem zivilrechtlichen Weg geltend zu machen (vgl. E. 2 und 3 des Urteils vom 5. März 2012).
Zu klären blieb die Frage, ob die strittige Passivlegitimation unter dem Titel einer konkludenten Schuldübernahme im Sinne von Art. 176 OR zu bejahen ist, weil die Beschwerdegegnerin - durch Eintritt in die bestehenden Mandate der Y._ AG - eine fremde berufsvorsorgerechtliche Schuld übernommen hat. Dabei ist der nach dem Aktienkauf sichtbar manifestierte rechtsgeschäftliche Wille der Beschwerdegegnerin massgebend, wie ihn die Beschwerdeführerin nach dem Vertrauensprinzip verstehen durfte und musste (E. 4 des Urteils vom 5. März 2012).
1.3. Diesbezüglich erwog das kantonale Gericht im nunmehr angefochtenen Entscheid vom 27. November 2012, der Stiftungsrat der Vorsorgeeinrichtung der Firma M._ & Co. AG habe am 17. Juli 1997 der Y._ AG das Kontrollstellenmandat für das am 31. Dezember 1997 ablaufende Geschäftsjahr 1997 erteilt. Im Jahr 1998 habe ein vertragsloser Zustand bestanden. Die beklagte X._ AG habe das Mandat der Y._ AG indes weitergeführt und am 25. August 1999 in eigenem Namen den Kontrollstellenbericht für das Jahr 1998 erstattet. In diesem Zusammenhang könne höchstens insofern von einem "faktischen Vertrag" gesprochen werden, als der Stiftungsrat mit der Genehmigung des Kontrollstellenberichts 1998 die Beklagte als neue Kontrollstelle und Nachfolgerin der Y._ AG akzeptiert habe. Eine solche Mandatierung sei am 12. Juli 2000 durch entsprechende Wahl explizit bestätigt worden.
Dieser Hergang zeige, dass die Beklagte ab Geschäftsjahr 1998 mit einemeigenen Mandat und nicht im Namen der Y._ AG als Kontrollstelle tätig gewesen, also nicht in einen bestehenden Vertrag eingetreten sei. Es bestünden keine Anhaltspunkte dafür, dass die Beklagte allfällige bestehende oder künftige Schuldverpflichtungen der Y._ AG übernehmen wollte. Hinzu komme, dass sich eine Schuldübernahme stets auf einzelne Schulden, nicht auf ganze Vertragsverhältnisse beziehe. Als die Beklagte die Y._ AG durch Aktienkauf übernommen habe, seien keine Aktiven und Passiven übertragen worden; Letztere habe zwar ihre wirtschaftliche Selbständigkeit eingebüsst, sei aber als Rechtsträgerin unverändert bestehen geblieben. Auch aus diesem Grund sei nicht einsichtig, weshalb die Beklagte das Haftungsrisiko ihrer rechtlich selbständigen Tochter hätte übernehmen sollen. Schliesslich sei ein Angebot der Beklagten, vergleichsweise eine Zahlung von Fr. 100'000.- zu leisten, nicht mit einer Schuldanerkennung verbunden, sondern (mit drei Prozent der Forderung) lediglich als (versuchter) Prozessauskauf zu verstehen gewesen.
2.
2.1. Nachdem das Bundesgericht im Rückweisungsentscheid vom 5. März 2012 festgehalten hat, dass im Verhältnis der X._ AG zur Y._ AG keine Geschäftsübernahme nach Art. 181 OR mit globalem Übergang der Verbindlichkeiten stattfand (vgl. oben E. 1.2), geht die beschwerdeführende Stiftung Sicherheitsfonds BVG davon aus, konkrete Vertragsumstände (Handlungen und Willensäusserungen) legten nahe, dass im Verhältnis zwischen der X._ AG (als Schuldübernehmerin) und der Vorsorgeeinrichtung (als ursprünglicher Gläubigerin) ein normativer Konsens über eine Schuldübernahme nach Art. 176 OR zustandegekommen sei.
Die Prüfung dieser Streitfrage erfolgt grundsätzlich im Rahmen der tatsächlichen Feststellungen der Vorinstanz (Art. 105 Abs. 2 BGG).
2.2. Eine konkludente Übernahme bestimmter fremder Verbindlichkeiten im Sinne von Art. 176 OR muss an Anhaltspunkten festgemacht werden können, welche einen Bezug zur individuellen Schuld herstellen, und sei es nur indirekt (so durch ausdrückliche Bezugnahme auf einen Vertrag, in dem die fragliche Verpflichtung enthalten ist: BGE 108 II 254 E. 4 S. 264). Diese Anforderung ergibt sich aus der Konzeption von Art. 176 OR: Im Rahmen der externen Schuldübernahme kann nicht nur die Annahmeerklärung des Gläubigers aus den Umständen hervorgehen (Abs. 3), das heisst stillschweigend erfolgen, sondern auch der Antrag des (fraglichen) Übernehmers der Schuld nach Art. 176 Abs. 2 OR (Urteil 4D_111/2009 vom 11. November 2009 E. 2.4). Bezieht sich diese Offerte den Umständen nach nicht auf eine hinreichend bestimmte oder bestimmbare individuelle Schuld, fehlt es indes an einer Erklärung, die Gegenstand einer konkludenten Annahmeerklärung des Gläubigers bilden könnte.
In diesem Zusammenhang erscheint zunächst fraglich, ob die Vorsorgeeinrichtung überhaupt als Gläubigerin - und damit als Mitteilungsempfängerin im Sinne von Art. 176 Abs. 2 OR - in Frage kommt; die Beschwerdeführerin leitet die (spätere) Verantwortlichkeit der Kontrollstelle aus einem primären Fehlverhalten der Vorsorgeeinrichtung (im Zusammenhang mit der Kreditvergabe unter anderem an die Stifterfirma) ab. Dies kann angesichts des Folgenden aber dahingestellt bleiben.
2.3. Zum äusseren Ablauf des Mandatsübergangs zwischen den beiden beteiligten Kontroll- und Revisionsstellen macht die Beschwerdeführerin geltend, das (für das Geschäftsjahr 1997 eingegangene) Mandatsverhältnis zwischen der Y._ AG und der Vorsorgeeinrichtung sei nach Erstattung des Kontrollstellenberichts 1997 zunächst weitergelaufen, worauf die X._ AG (nach ohne Übertragung von Aktiven und Passiven erfolgter Übernahme der bisherigen Kontrollstelle) in die bisherige Kundenbeziehung konkludent eingetreten sei; es verhalte sich, anders als die Vorinstanz annehme, nicht so, dass das ursprüngliche Mandatsverhältnis beendet worden und der folgende vertragslose Zustand zunächst in einen faktischen Vertrag mit der X._ AG übergegangen sei, bis der Stiftungsrat der Vorsorgeeinrichtung sie im Jahr 2000 offiziell als Kontrollstelle gewählt habe. Für die Geschäftsjahre 1998 und 1999 sei die Begründung eines neuen, vom bisherigen Mandatsverhältnis unabhängigen Vertrags nicht nachgewiesen (Ziff. 14 der Beschwerdeschrift).
In der Tat hat die Vorsorgeeinrichtung die X._ AG im Jahr 2000 als "bisherige Kontrollstelle für eine weitere Amtsdauer von 3 Jahren" gewählt (Protokoll vom 12. Juli 2000), nachdem sie bereits im Vorjahr Jahresrechnung und -bericht 1998 der X._ AG entgegengenommen und genehmigt hat (Protokoll der Sitzung vom 21. September 1999). Auch trifft es zu, dass die 1997 für ein Jahr erfolgte Wahl der Y._ AG (Protokoll vom 17. Juli 1997) in den Jahren 1998 und 1999 nicht ausdrücklich bestätigt worden ist (Ziff. 18 der Beschwerdeschrift). Wie weit aus diesen Umständen eine Kontinuität im Kontrollstellenmandat ableitbar ist, kann offenbleiben: Zunächst führt das von der Beschwerdeführerin genannte gesetzliche Obligatorium einer Kontrollstelle (Ziff. 21) nicht zur Vermutung, die Beschwerdegegnerin habe einer Fortführung des Mandats ihrer Vorgängerin zugestimmt, welche auch eine Übernahme von deren Verbindlichkeiten umfasst. Sodann ergibt sich selbst dann noch keine konkludente Schuldübernahme, wenn mit dem Sicherheitsfonds davon ausgegangen wird, das Mandatsverhältnis sei nahtlos übergegangen, weil jenes zwischen der Vorsorgeeinrichtung und der Y._ AG auf Ende 1997 nicht formell beendet worden war (vgl. Ziff. 19). Auch in diesem Fall kann nicht gesagt werden, den Umständen nach habe die Beschwerdegegnerin konkludent ihren Willen bekundet, für die hier interessierende spezifische Schuld einzustehen. Hinweise der Beschwerdeführerin auf weiteres Verhalten, namentlich eine wiederkehrende Bezugnahme auf das bisherige Mandatsverhältnis, womit die X._ AG klar zu erkennen gegeben habe, die bisherigen Kundenbeziehungen der Y._ AG übernommen zu haben (Ziff. 29 ff. und 31 ff.), ändern daran nichts; diese Umstände reichen nicht an die Konstellation heran, dass sich die Parteien in einem Vertragsschluss ausdrücklich auf die Konditionen eines (mit einer Rechtsvorgängerin der einen Partei geschlossenen) früheren Vertrags beziehen (vgl. oben E. 2.2; BGE 108 II 254 E. 4 S. 264). Daher kann die geltend gemachte Rechtsfolge von Art. 176 OR ebensowenig aus dem Umstand abgeleitet werden, es wäre realitätsfremd anzunehmen, die X._ AG habe hinsichtlich der Geschäftsjahre 1998 und 1999 bloss auf Grundlage eines faktischen Vertrags gehandelt; daher sei nach dem Vertrauensprinzip davon auszugehen, dass der Stiftungsrat der Vorsorgeeinrichtung das Mandat mit der bisherigen Kontrollstelle Ende 1997 innerhalb eines dreijährigen Wahlzyklus (vgl. Protokoll des Stiftungsrats vom 12. Juli 2000 Ziff. 3b) stillschweigend verlängert habe, worauf die X._ AG nach ihrer Gründung im Juni 1998 in dieses eingetreten sei (vgl. Ziff. 17 ff., 23 ff.).
Die angerufenen Vorgänge (wie auch die äusseren Umstände der Berichterstattung gegenüber dem Stiftungsrat der Vorsorgeeinrichtung in den Jahren 1998 bis 2000; vgl. Ziff. 31 f.) weisen insgesamt nicht den erforderlichen Bezug zu einer allfälligen Verantwortlichkeitshaftung der Y._ AG auf. Eine (wenigstens indirekte) Bezugnahme auf diese konkrete Schuld (-anwartschaft) wäre, mangels eines Übergangs von Aktiven und Passiven nach Art. 181 OR, erforderlich gewesen, damit von einer Schuldübernahme im Sinne von Art. 176 OR ausgegangen werden könnte.
2.4. Die Beschwerdeführerin legt weiter dar, die Beschwerdegegnerin habe, als sie mit den Ansprüchen aus der Tätigkeit ihrer Rechtsvorgängerin konfrontiert worden sei, eine Haftung anerkannt, indem sie - zunächst selbst, danach durch ihren Haftpflichtversicherer - Vergleichsangebote und eine Verjährungseinrede-Verzichtserklärung unterbreitet habe. Dieses Angebot der X._ AG als Muttergesellschaft zeige, dass sie auch für ihre Tochter Y._ AG einstehe (Ziff. 39, 43 und 45 ff.). Vergleichsofferten stellen indessen prinzipiell keine schuldnerische Handlung im Sinne von Art. 176 Abs. 3 OR dar. Selbst eine Teilzahlung könnte nur dann als konkludente Offerte hinsichtlich einer Schuldübernahme gelten, wenn aus den Umständen hervorginge, dass der Zahlende dadurch zum Ausdruck brachte, sich in Gestalt einer Schuldübernahme vertraglich binden zu wollen (erwähntes Urteil 4D_111/2009 E. 2.4). Auch die Abgabe einer Erklärung über den Verjährungseinredeverzicht erfolgt naturgemäss unpräjudiziell. Es kann darin ebenfalls kein Eingeständnis gesehen werden, dass Verpflichtungen der früheren Kontroll- und Revisionsstelle übernommen worden sind.
3.
Nachdem die Haftung unter anderen Titeln bereits früher verneint wurde (oben E. 1.2), besteht mit Bezug auf die Beschwerdegegnerin mangels eines konkludent manifestierten Schuldübernahmewillens im Sinne von Art. 176 OR kein Raum für eine Haftung nach Art. 52 BVG oder einen Rückgriff nach Art. 56a BVG (vgl. das Urteil vom 5. März 2012 E. 4.2).
4.
Dem Ausgang des Verfahrens entsprechend werden die Gerichtskosten der Beschwerdeführerin auferlegt (Art. 66 Abs. 1 BGG).
Demnach erkennt das Bundesgericht:
1.
Die Beschwerde wird abgewiesen.
2.
Die Gerichtskosten von Fr. 6'000.- werden der Beschwerdeführerin auferlegt.
3.
Dieses Urteil wird den Parteien, dem Sozialversicherungsgericht des Kantons Zürich und dem Bundesamt für Sozialversicherungen schriftlich mitgeteilt.
Luzern, 31. Mai 2013
Im Namen der II. sozialrechtlichen Abteilung
des Schweizerischen Bundesgerichts
Der Präsident: Kernen
Der Gerichtsschreiber: Traub