---
title: "ITデューデリジェンスで求められる資料と、準備のしかた｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/it-dd-documents/
description: "ITデューデリジェンスでは、システムの一覧、契約とライセンス、運用の体制、セキュリティの規程、事故の記録などを求められます。資料をそろえる順番、データルームへの置き方、個人情報を含む資料の扱い、資料がないときの説明のしかたを説明します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# ITデューデリジェンスで求められる資料と、準備のしかた

ITデューデリジェンスでは、システムの一覧、契約とライセンス、運用の体制、セキュリティの規程、事故の記録などを求められます。資料をそろえる順番、データルームへの置き方、個人情報を含む資料の扱い、資料がないときの説明のしかたを説明します。

2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

経営とDX（MANAGEMENT）のコラム

## この記事の要点

- 求められる資料は、システム、契約とライセンス、体制と運用、セキュリティと事故の記録の4つに分けて考えると、漏れを見つけやすくなります
- 資料は一覧から先にそろえ、データルームには番号と作成日を付けて置き、問い合わせの記録も残します
- 資料がない項目は作り込まず、現状をそのまま書き、個人情報を含む資料は抜粋や伏せ字にして渡します

ITデューデリジェンスで求められる資料は、システムの一覧、契約とライセンス、運用の体制、セキュリティの規程と事故の記録の4つに大きく分かれます。準備は、まずシステムの一覧をつくり、その一覧に沿って契約書や規程を集め、データルームに番号と作成日を付けて置く順に進めると、問い合わせに答えやすくなります。

[ITデューデリジェンス](https://www.ameliatechnology.co.jp/glossary/it-due-diligence/)とは、M&Aの前に、対象の会社のシステムを調べ、事業を続けるうえでのリスクと、M&Aの後にかかる費用を見積もる調査です。調査で何を見るかは[ITデューデリジェンスでは何を見るのか](https://www.ameliatechnology.co.jp/blog/it-due-diligence/)で、譲渡する側が自社を先に点検する考え方は[譲渡の前に行う、売り手側のITデューデリジェンス](https://www.ameliatechnology.co.jp/blog/sell-side-it-due-diligence/)で説明しています。この記事では、資料を求められる側が、何を、どの順番で、どう渡すかに絞って説明します。

## どんな資料を求められるのか

求められる資料は、案件の目的と規模で変わりますが、次の4つの区分に分けて考えると漏れを見つけやすくなります。調査の初めに、買い手から資料の依頼の一覧が届くことが多いため、届いた一覧をこの区分に当てはめて、自社にあるもの・ないものを確かめます。

| 区分 | 資料の例 | 買い手が確かめたいこと |
|---|---|---|
| システム | システムとクラウドのサービスの一覧、構成の図、データのつながりの図、サーバーと機器の一覧 | 何があり、どこで動き、どうつながっているか |
| 契約とライセンス | 開発の委託・保守・クラウドの契約書、ソフトウェアの使用許諾の一覧と購入の記録 | 契約の名義と期間、権利の帰属、M&Aで契約が続くか |
| 体制と運用 | 社内の担当と委託先の一覧、運用の手順書、障害への対応の手順、バックアップの手順 | 誰が動かしていて、その人がいなくなっても続けられるか |
| セキュリティと事故の記録 | 情報セキュリティの規程、アカウントの管理の手順、過去の事故・障害の記録と対応、診断の報告書 | 守りの仕組みと、過去の事故の後に何を直したか |

このほかに、システムに関わる費用の推移（利用料・保守料・開発費）や、進めている開発の計画を求められることもあります。費用は会計の調査と重なるため、会計の担当と数字をそろえておきます。

## 資料は、どの順番でそろえればよいのか

資料は、システムの一覧を最初につくり、その一覧を軸にほかの資料を集める順番がおすすめです。一覧があれば、「この仕組みの契約書はどれか」「この仕組みの担当は誰か」と、1行ずつ埋めていけるためです。

1. **システムの一覧をつくる**：名前、用途、使っている部署、契約の名義、月々の費用、社内の担当、委託先を1行ずつ書きます。部署で個別に契約しているクラウドのサービスも拾います
2. **契約とライセンスを集める**：一覧の各行に、契約書と使用許諾の条件を結び付けます。契約の名義が会社ではなく個人になっているものは、この時点で印を付けます
3. **体制と運用の資料を集める**：担当者と委託先、手順書の有無を一覧に書き足します。手順書が1人の頭の中にしかないものは、そのことを書きます
4. **セキュリティの規程と事故の記録を集める**：規程、アカウントの管理の手順、過去の事故・障害と、その後の対応の記録をそろえます
5. **データルームに置く**：番号と作成日を付け、どの依頼の項目に答える資料かが分かるように置きます

一覧づくりで迷いやすいのは、どこまでを「システム」に含めるかです。会計や販売の仕組みだけでなく、メール、ファイルの共有、Webサイト、ドメイン、社員が業務で使っている外部のサービスまで含めておくと、後の問い合わせが減ります。ドメインやアカウントが社長の個人の名義になっている場合の整理は、[事業承継で、社長が持つドメイン・アカウント・契約を引き継ぐ](https://www.ameliatechnology.co.jp/blog/owner-accounts-domains-handover/)で説明しています。

## データルームには、どう置けばよいのか

データルームとは、M&Aの調査のために資料を共有する場所で、閲覧できる人を限り、誰が何を見たかの記録を残せる仕組みが使われることが多いです。置き方の工夫で、買い手の確認の手間と、問い合わせの往復を減らせます。

- **依頼の一覧の番号に合わせる**：資料の名前の先頭に、依頼の一覧の番号を付けます。どの依頼に答える資料かが一目で分かります
- **作成日と版を書く**：「いつ時点の資料か」が分かるように、作成日を名前か表紙に書きます。後から差し替えたときは、古い版を消さずに版を分けます
- **閲覧できる人を分ける**：個人情報や、取引先との契約の金額など、見られる人を絞りたい資料は、別のフォルダにして閲覧の権限を分けます
- **問い合わせと回答を記録する**：資料についての質問と回答を一覧にして残します。同じ質問への回答が食い違うのを防げます

資料を共有のメールで送ったり、個人のクラウドの保存場所で渡したりすると、誰がどの版を持っているかが分からなくなります。調査の期間は、データルームに置いた資料を正として扱うと、管理がしやすくなります。

## 個人情報や機密を含む資料は、どう扱えばよいのか

個人情報を含む資料は、調査に必要な範囲に絞り、抜粋や伏せ字にして渡すのが基本です。たとえば、アカウントの管理の状況を示すために社員の一覧が必要な場合でも、氏名を伏せて権限の種類と件数だけを示せば足りることがあります。

個人情報保護委員会のガイドライン（通則編）は、事業の承継の契約を結ぶ前の交渉の段階で、相手の会社から調査を受けて自社の個人データを提供する場合も、事業の承継に伴う提供として扱えるとしています。そのうえで、データの利用目的と取扱方法、漏えいなどが起きた場合の措置、交渉がまとまらなかった場合の措置など、相手の会社に安全管理措置を守らせるために必要な契約を結ばなければならないとしています。M&Aと個人データの扱いの全体は、[M&Aと個人データの引き継ぎ。個人情報保護法の扱い](https://www.ameliatechnology.co.jp/blog/ma-personal-data-transfer/)で説明しています。

出典：[個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会、平成28年11月〔令和8年6月一部改正〕）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

システムの構成の図や、セキュリティの診断の報告書には、攻撃の手がかりになる情報（サーバーのアドレス、管理画面の場所、直していない弱点）が含まれることがあります。こうした資料は、閲覧できる人を絞り、ダウンロードを止める設定にするなど、渡し方を分けて考えます。個別の契約の内容は、弁護士などの専門家にご確認ください。

## 資料がない・古いときは、どう説明すればよいのか

資料がない項目は、調査のために急いで作り込むより、現状をそのまま書いて渡すほうが、説明の食い違いを防げます。たとえば「構成の図はない。主なサーバーは次の3つで、担当の委託先が把握している」のように、分かっていることと分かっていないことを分けて書きます。

古い資料は、作成日を書いたうえで、いまと違う点を一言添えます。手順書が数年前のままで、実際の運用と違う場合は、その違いを書いておくと、聞き取りの場で説明しやすくなります。

- 資料がない：ないことと、代わりに誰が何を把握しているかを書く
- 資料が古い：作成日と、いまと違う点を書く
- 資料はあるが出せない：取引先との秘密保持の約束などで出せない理由と、代わりに示せる範囲を書く

調査の前に時間がある場合は、譲渡の前の磨き上げとして、一覧と手順書を整えておくと、調査の受け方が変わります。整え方の順番は、[譲渡の前に進めたい、システムとデータの磨き上げ](https://www.ameliatechnology.co.jp/blog/it-value-up-before-sale/)で説明しています。

## 当社のご支援

当社は、システムの一覧づくり、契約とライセンスの棚卸し、手順書の整備など、ITデューデリジェンスに備える資料の準備をお手伝いします。M&Aの前のITデューデリジェンスそのものは、[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)として、中立を保つための決まりにもとづいて行います。資料の準備をお手伝いする担当と監査の担当は分け、当社が開発・運用に関わったシステムは監査の対象にしません。同じ取引で、譲り渡す側と譲り受ける側の両方からお受けすることもしません。M&Aの進め方やスキームの助言は、グループ会社のフロレンティナが受け持ちます（[フロレンティナとの連携](https://www.ameliatechnology.co.jp/group/)）。準備の状態を確かめたい場合は、[M&A・上場に向けたIT準備度診断](https://www.ameliatechnology.co.jp/diagnosis/ma-ipo/)（無料）もご利用いただけます。

- ITデューデリジェンス
- M&A
- データルーム
- 事業承継

## この記事に出てくる用語

- [ITデューデリジェンス](https://www.ameliatechnology.co.jp/glossary/it-due-diligence/)
- [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/)
- [サーバー](https://www.ameliatechnology.co.jp/glossary/server/)
- [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)
- [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/)
- [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/)
- [ドメイン](https://www.ameliatechnology.co.jp/glossary/domain/)
- [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第27条（第三者提供の制限）
   法令にもとづく場合などを除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはなりません。委託、合併その他の事由による事業の承継、共同利用に伴って提供される場合は、提供を受ける者は第三者に当たらないとされています（第5項）。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正））
   個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/)
- [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/)
- [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「ITデューデリジェンスで求められる資料と、準備のしかた｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/it-dd-documents/