ITデューデリジェンスで求められる資料と、準備のしかた

ITデューデリジェンスで求められる資料は、システムの一覧、契約とライセンス、運用の体制、セキュリティの規程と事故の記録の4つに大きく分かれます。準備は、まずシステムの一覧をつくり、その一覧に沿って契約書や規程を集め、データルームに番号と作成日を付けて置く順に進めると、問い合わせに答えやすくなります。

ITデューデリジェンスとは、M&Aの前に、対象の会社のシステムを調べ、事業を続けるうえでのリスクと、M&Aの後にかかる費用を見積もる調査です。調査で何を見るかはITデューデリジェンスでは何を見るのかで、譲渡する側が自社を先に点検する考え方は譲渡の前に行う、売り手側のITデューデリジェンスで説明しています。この記事では、資料を求められる側が、何を、どの順番で、どう渡すかに絞って説明します。

どんな資料を求められるのか

求められる資料は、案件の目的と規模で変わりますが、次の4つの区分に分けて考えると漏れを見つけやすくなります。調査の初めに、買い手から資料の依頼の一覧が届くことが多いため、届いた一覧をこの区分に当てはめて、自社にあるもの・ないものを確かめます。

このほかに、システムに関わる費用の推移（利用料・保守料・開発費）や、進めている開発の計画を求められることもあります。費用は会計の調査と重なるため、会計の担当と数字をそろえておきます。

資料は、どの順番でそろえればよいのか

資料は、システムの一覧を最初につくり、その一覧を軸にほかの資料を集める順番がおすすめです。一覧があれば、「この仕組みの契約書はどれか」「この仕組みの担当は誰か」と、1行ずつ埋めていけるためです。

1. システムの一覧をつくる：名前、用途、使っている部署、契約の名義、月々の費用、社内の担当、委託先を1行ずつ書きます。部署で個別に契約しているクラウドのサービスも拾います
2. 契約とライセンスを集める：一覧の各行に、契約書と使用許諾の条件を結び付けます。契約の名義が会社ではなく個人になっているものは、この時点で印を付けます
3. 体制と運用の資料を集める：担当者と委託先、手順書の有無を一覧に書き足します。手順書が1人の頭の中にしかないものは、そのことを書きます
4. セキュリティの規程と事故の記録を集める：規程、アカウントの管理の手順、過去の事故・障害と、その後の対応の記録をそろえます
5. データルームに置く：番号と作成日を付け、どの依頼の項目に答える資料かが分かるように置きます

一覧づくりで迷いやすいのは、どこまでを「システム」に含めるかです。会計や販売の仕組みだけでなく、メール、ファイルの共有、Webサイト、ドメイン、社員が業務で使っている外部のサービスまで含めておくと、後の問い合わせが減ります。ドメインやアカウントが社長の個人の名義になっている場合の整理は、事業承継で、社長が持つドメイン・アカウント・契約を引き継ぐで説明しています。

データルームには、どう置けばよいのか

データルームとは、M&Aの調査のために資料を共有する場所で、閲覧できる人を限り、誰が何を見たかの記録を残せる仕組みが使われることが多いです。置き方の工夫で、買い手の確認の手間と、問い合わせの往復を減らせます。

• 依頼の一覧の番号に合わせる：資料の名前の先頭に、依頼の一覧の番号を付けます。どの依頼に答える資料かが一目で分かります
• 作成日と版を書く：「いつ時点の資料か」が分かるように、作成日を名前か表紙に書きます。後から差し替えたときは、古い版を消さずに版を分けます
• 閲覧できる人を分ける：個人情報や、取引先との契約の金額など、見られる人を絞りたい資料は、別のフォルダにして閲覧の権限を分けます
• 問い合わせと回答を記録する：資料についての質問と回答を一覧にして残します。同じ質問への回答が食い違うのを防げます

資料を共有のメールで送ったり、個人のクラウドの保存場所で渡したりすると、誰がどの版を持っているかが分からなくなります。調査の期間は、データルームに置いた資料を正として扱うと、管理がしやすくなります。

個人情報や機密を含む資料は、どう扱えばよいのか

個人情報を含む資料は、調査に必要な範囲に絞り、抜粋や伏せ字にして渡すのが基本です。たとえば、アカウントの管理の状況を示すために社員の一覧が必要な場合でも、氏名を伏せて権限の種類と件数だけを示せば足りることがあります。

個人情報保護委員会のガイドライン（通則編）は、事業の承継の契約を結ぶ前の交渉の段階で、相手の会社から調査を受けて自社の個人データを提供する場合も、事業の承継に伴う提供として扱えるとしています。そのうえで、データの利用目的と取扱方法、漏えいなどが起きた場合の措置、交渉がまとまらなかった場合の措置など、相手の会社に安全管理措置を守らせるために必要な契約を結ばなければならないとしています。M&Aと個人データの扱いの全体は、M&Aと個人データの引き継ぎ。個人情報保護法の扱いで説明しています。

出典：個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会、平成28年11月〔令和8年6月一部改正〕）

システムの構成の図や、セキュリティの診断の報告書には、攻撃の手がかりになる情報（サーバーのアドレス、管理画面の場所、直していない弱点）が含まれることがあります。こうした資料は、閲覧できる人を絞り、ダウンロードを止める設定にするなど、渡し方を分けて考えます。個別の契約の内容は、弁護士などの専門家にご確認ください。

資料がない・古いときは、どう説明すればよいのか

資料がない項目は、調査のために急いで作り込むより、現状をそのまま書いて渡すほうが、説明の食い違いを防げます。たとえば「構成の図はない。主なサーバーは次の3つで、担当の委託先が把握している」のように、分かっていることと分かっていないことを分けて書きます。

古い資料は、作成日を書いたうえで、いまと違う点を一言添えます。手順書が数年前のままで、実際の運用と違う場合は、その違いを書いておくと、聞き取りの場で説明しやすくなります。

• 資料がない：ないことと、代わりに誰が何を把握しているかを書く
• 資料が古い：作成日と、いまと違う点を書く
• 資料はあるが出せない：取引先との秘密保持の約束などで出せない理由と、代わりに示せる範囲を書く

調査の前に時間がある場合は、譲渡の前の磨き上げとして、一覧と手順書を整えておくと、調査の受け方が変わります。整え方の順番は、譲渡の前に進めたい、システムとデータの磨き上げで説明しています。

当社のご支援

当社は、システムの一覧づくり、契約とライセンスの棚卸し、手順書の整備など、ITデューデリジェンスに備える資料の準備をお手伝いします。M&Aの前のITデューデリジェンスそのものは、システム監査として、中立を保つための決まりにもとづいて行います。資料の準備をお手伝いする担当と監査の担当は分け、当社が開発・運用に関わったシステムは監査の対象にしません。同じ取引で、譲り渡す側と譲り受ける側の両方からお受けすることもしません。M&Aの進め方やスキームの助言は、グループ会社のフロレンティナが受け持ちます（フロレンティナとの連携）。準備の状態を確かめたい場合は、M&A・上場に向けたIT準備度診断（無料）もご利用いただけます。