ITとデューデリジェンスが導くM&A成功への道

ITデューデリジェンスの調査項目とM&A後リスク対策

ITデューデリジェンスの目的、調査項目、進め方を中小企業M&Aの実務目線で解説します。老朽化システム、属人化、ライセンス、セキュリティ、PMI費用を事前に把握し、譲渡条件へ生かす考え方を整理します。

目次

1. ITデューデリジェンスで先に見たい結論
2. M&A価格とPMIに影響する3つの目的
3. 調査項目はシステム以外にも広がる
4. 手続の進め方と売り手の準備資料
5. 中小企業M&Aで問題化しやすい落とし穴
6. 調査結果を譲渡条件と統合計画に生かす
7. まとめ

▶目次ページ：M&Aの流れ（デューデリジェンス）

ITデューデリジェンスとは、M&A（合併・買収）の検討過程で、対象会社のIT資産、システム基盤、運用体制、セキュリティ、将来投資を調査する手続です。IT-DDと呼ばれることもあります。

単にパソコンやサーバーの一覧を確認する調査ではありません。買収後も事業が止まらないか、想定外のシステム費用が出ないか、PMI（M&A後の統合プロセス）で何を先に直すべきかを見極めるための実務的な確認です。

中小企業のM&Aでは、財務や法務の調査に比べ、ITは後回しにされがちです。ところが、受発注、会計、生産管理、勤怠、顧客管理の多くはシステムに支えられています。ここを見落とすと、買収後に業務が止まることもあります。

老朽化した基幹システム、サポート期限が近いソフトウェア、契約条件が不明なクラウドサービス、特定の担当者しか分からない仕組みは、買い手企業にとって追加投資の原因になります。

そのため、ITデューデリジェンスの結果は、買収価格、譲渡契約の条件、PMI計画に反映されます。調査で見つかったリスクが大きければ、価格の見直しや、買収後に一定の改善を求める条件につながることがあります。

ITデューデリジェンスは、買い手企業だけのための調査ではありません。売り手企業にとっても、自社のシステムや運用の説明資料を整えることで、買い手の不安を減らしやすくなります。

「長年問題なく動いているから大丈夫」と考える経営者は少なくありません。しかし、M&A実務では、そのシステムが誰に支えられ、どの契約で動き、止まった場合にどう復旧するかまで問われます。ここが説明できるかどうかで、交渉の進み方が変わります。

▶関連：デューデリジェンスでM&A企業価値とリスク管理する方法を解説

ITデューデリジェンスの目的は、大きく3つに整理できます。事業継続性の確認、隠れたコストの把握、PMI計画の具体化です。どれも、買収するかどうかの判断に直結します。

最初に見るべき点は、買収後もシステムが安定して動くかどうかです。受注、請求、在庫、製造、配送、会計のどれか1つが止まるだけで、現場は混乱します。

ITデューデリジェンスでは、基幹システム、会計システム、生産管理システム、販売管理システム、勤怠・給与システムなどを確認します。そのうえで、止まると売上や資金繰りに影響するシステムを優先して見ます。

災害時の復旧手順、バックアップの保存先、サーバーやクラウド環境の冗長性も大切です。冗長性とは、障害が起きても別の仕組みで動き続けられる状態を指します。

買収後に分かるIT費用は、意外と経営計画に響きます。古いサーバーの入替え、ソフトウェアのライセンス不足、契約名義の変更、外部ベンダー費用の値上げ、クラウド利用料の増加などです。

特に、ソフトウェアのライセンス違反やOSSの利用状況には注意が必要です。OSSとは、利用条件が公開されているソフトウェアのことです。便利な一方で、使い方によってはライセンス条件の確認が必要になります。

買収後、買い手企業のシステムにすぐ統合するのか、当面は独立運用を続けるのかで、必要な作業は変わります。統合を急ぎ過ぎると、現場の業務が止まることがあります。一方で、独立運用を長く続けると、二重管理のコストが残ります。

そのため、ITデューデリジェンスでは、PMIの工程、費用、担当者、優先順位を事前に整理します。IT部門だけでなく、経理、営業、製造、人事など、実際にシステムを使う部門の意見も重要です。

▶関連：財務デューデリジェンスとは何か　M&Aに不可欠な調査を解説

▶関連：法務デューデリジェンスの目的と調査手順をわかりやすく解説

ITデューデリジェンスという名称から、システムそのものだけを調べると考えられがちです。実際には、人、契約、予算、セキュリティ、データ管理まで確認します。見た目は同じシステムでも、支える体制が弱ければ大きなリスクになります。

ITガバナンスとは、ITを会社として管理する仕組みです。難しく聞こえますが、誰が決め、誰が管理し、誰がトラブル対応するのかを明確にすることです。

調査では、IT部門の人数、担当者のスキル、外部ベンダーへの依存度、問い合わせ対応の流れを確認します。中小企業では、社内に専任担当者がいないことも珍しくありません。

外部ベンダーに全面的に任せている場合は、契約書、保守範囲、緊急時の対応時間、契約更新時期を確認します。特定のベンダーでなければ直せない状態は、買収後の交渉力を弱めることがあります。

長年使っているシステムでは、仕様書が古い、改修履歴が残っていない、ソースコードを読める人がいない、という問題が起きます。ソースコードとは、システムを動かすための設計図に近いものです。

この状態をブラックボックス化といいます。動いている間は問題が見えませんが、担当者が退職したり、制度変更で改修が必要になったりすると、急に対応できなくなることがあります。

ソフトウェアのライセンス数、契約名義、更新期限、利用範囲も確認します。買収後に利用会社が変わることで、契約の再締結や追加費用が必要になる場合があります。

サーバー、データセンター、ネットワーク機器、通信回線、クラウドサービスの利用状況を確認します。クラウドでは、AWSやAzureなどを使っているか、誰が管理画面に入れるか、支払名義が誰かも大切です。

バックアップが取られているかだけでなく、実際に復旧できるかまで確認します。バックアップはあるのに、復旧手順を誰も試したことがない。こういうケースは珍しくありません。

災害対策では、データの保管場所、復旧までの目安時間、代替回線、停電時の対応も見ます。製造業や小売業では、システム停止がそのまま売上停止につながることがあります。

情報セキュリティでは、ファイアウォール、ウイルス対策、多要素認証、アクセス権限、ログ管理、脆弱性診断の実施状況を確認します。脆弱性とは、不正アクセスやサイバー攻撃に利用される弱点のことです。

過去の情報漏洩、不正アクセス、ランサムウェア感染、個人情報の管理状況も重要です。過去に大きな事故がなくても、検知する仕組みが弱ければ、問題に気付いていないだけの場合があります。

▶関連：ビジネスデューデリジェンスとは　目的と重要性を徹底解説

ITデューデリジェンスは、限られた期間で行われます。買い手企業はすべてを細かく調べたい一方、売り手企業は通常業務を続けながら資料を出す必要があります。だからこそ、最初に調査範囲を決めることが大切です。

最初に、買収後の方針を整理します。買い手企業のシステムに早めに統合するのか、しばらく独立運用するのか。ITシナジーを重視するのか、事業継続を最優先するのか。この方針によって、調査の深さが変わります。

例えば、同業他社を買収して販売管理を統合したい場合は、データ形式や業務フローの違いを重点的に確認します。一方で、当面は独立運用する場合は、現行システムを安全に維持できるかが焦点になります。

次に、買い手企業や専門家が資料依頼リストを作成します。一般に、システム構成図、ネットワーク図、利用ソフト一覧、クラウド契約、ライセンス証書、保守契約、IT予算、障害履歴、セキュリティ規程などを依頼します。

中小企業では、構成図や仕様書が最新ではないことがあります。資料がないからといって、慌てて見栄えのよい資料を作る必要はありません。実態と違う資料を出す方が、後で信頼を損ないます。

分からない部分は、分からないと伝えたうえで、担当者へのヒアリングで補う方が実務的です。

提出資料をもとに、ITコンサルタント、エンジニア、M&Aアドバイザーなどがリスクを分析します。書面だけでは分からない点は、経営者、情報システム担当者、外部ベンダー、現場責任者に確認します。

インタビューでは、障害時の対応、改修時の判断者、システム停止が許される時間、外部ベンダーとの関係、過去に困った出来事などを聞きます。現場の一言で、大きなリスクが見つかることもあります。

最後に、調査結果を報告書にまとめます。重要なのは、見つかった問題をただ並べることではありません。買収価格に反映すべきもの、契約条件で手当てすべきもの、買収後に改善すべきものに分けることです。

たとえば、買収直後に必ず発生するシステム移行費用は価格交渉に関係しやすく、緊急性は低いが改善した方がよい課題はPMI計画に回すことが考えられます。

ITデューデリジェンスで見つかる問題は、高度な技術論だけではありません。むしろ中小企業では、資料不足、属人化、契約の未整理、セキュリティの基本対策不足が問題になりやすいです。地味ですが、買収後の現場に大きく響きます。

システム構成図がない、仕様書が古い、契約書の保管場所が分からない。こうした状態では、買い手企業がリスクを判断しにくくなります。

この場合、インタビューで補うことになりますが、口頭説明だけでは限界があります。売り手企業は、少なくとも主要システムの一覧、担当者、契約先、月額費用、更新時期を整理しておくと、調査が進みやすくなります。

システムが特定の社員や外部ベンダーに依存している状態は、キーマンリスクになります。キーマンリスクとは、その人が離れると業務が続かなくなるリスクのことです。

買収後に担当者が退職したり、ベンダーが契約継続に消極的だったりすると、システム維持が難しくなります。特に、長年の口約束で対応してもらっている場合は注意が必要です。

サイバー攻撃のリスクは、外から見ただけでは分かりません。古いOS、共有ID、弱いパスワード、退職者アカウントの放置、バックアップの未確認など、日常運用の中に弱点が残っていることがあります。

ランサムウェア感染や不正アクセスの形跡がないかを調べるには、専門的な知見が必要です。買収後に親会社やグループ会社のネットワークへつなぐ場合は、弱点が広がらないよう、接続前の確認が欠かせません。

大企業の子会社や事業部を買収する場合、親会社のシステムを一部使っていることがあります。この場合、買収後に対象事業だけを切り離すカーブアウトが必要になります。

すぐに分離できない場合は、TSA（移行サービス契約）を結び、一定期間だけ元の親会社のシステムやサービスを使わせてもらうことがあります。ただし、TSAの期間、費用、利用範囲が曖昧だと、買収後の交渉で困ることになります。

IT統合でコスト削減できると考えていても、実際にはデータ移行、教育、追加開発、利用部門の反発で時間がかかることがあります。ライセンス統合による削減効果も、契約条件によってはすぐに出ません。

シナジーは魅力的です。ただし、実現時期と必要コストを分けて考えることが大切です。

ITデューデリジェンスの価値は、調査そのものよりも、その結果をどう意思決定に使うかにあります。報告書を読んで終わりにすると、せっかく見つけたリスクがPMIに生かされません。

老朽化したシステムの更新費用、ライセンス再契約費用、セキュリティ対策費用、データ移行費用は、買収価格の前提に影響します。買い手企業は、これらを投資計画に織り込む必要があります。

また、譲渡契約では、重要なシステム契約の継続、データの引渡し、協力義務、一定期間のサポートなどを条件として整理することがあります。専門用語を並べるより、誰が、いつまでに、何をするかを明確にすることが実務では重要です。

買収後にすべてを一度に直すことはできません。最優先は、事業停止につながるリスクです。次に、情報漏洩や法令違反につながるリスク、さらに、効率化やシナジーに向けた改善を進めます。

売り手企業は、M&A検討前からIT資料を少しずつ整えると効果的です。主要システムの一覧、契約書、月額費用、担当者、外部ベンダー、障害履歴、バックアップ方法をまとめておくだけでも、買い手企業の不安は減ります。

さらに、退職者アカウントの削除、管理者権限の整理、バックアップ確認、ライセンス数の確認など、基本的な点を整えておくと、調査時の印象が変わります。大きな投資をする前に、まずは現状を説明できる状態にすることが現実的です。

ITだけを見ても、M&Aの判断はできません。財務、法務、事業、人事、不動産、環境などの調査結果と合わせて、対象会社のリスクと価値を立体的に見る必要があります。

たとえば、財務デューデリジェンスで利益が安定して見えても、ITデューデリジェンスで大規模なシステム更新が必要と分かれば、将来のキャッシュフローは変わります。人事デューデリジェンスでキーマン退職リスクが見つかれば、ITの属人化リスクともつながります。

▶関連：不動産デューデリジェンスの基礎知識：M&Aにおける役割と手順

▶関連：M&A人事デューデリジェンス実践手順とPMI成功の秘訣を解説

▶関連：ESGデューデリジェンスでM&Aのリスク管理のポイントを整理

ITデューデリジェンスは、システムの一覧確認ではなく、事業継続、追加費用、PMIの難易度を見極める調査です。老朽化、属人化、ライセンス、セキュリティを早めに把握すれば、買収価格や譲渡条件の交渉で無理な判断を避けやすくなります。売り手も資料整備を進め、安心して検討できる状態を作ることが大切です。早期準備が実務を安定させます。