ITデューデリジェンスとは？M&Aで重要な調査項目・進め方をわかりやすく解説

M&Aを検討する際には、対象企業の財務状況や法務上の問題だけでなく、ITシステムや情報セキュリティの状況についても確認することが重要です。

基幹システムの老朽化、サイバーセキュリティ上の問題、ソフトウェアライセンスの不備などを把握しないまま買収すると、M&A後に多額のシステム更新費用が発生したり、事業運営に支障が生じたりする可能性があります。

また、買収企業と対象企業で異なるシステムを利用している場合には、システム統合やデータ移行にも相応の時間と費用が必要です。

こうしたITに関するリスクや課題をM&A実行前に調査する手続きが「ITデューデリジェンス（IT DD）」です。

この記事では、ITデューデリジェンスの意味や目的、主な調査項目、進め方、M&Aへの影響についてわかりやすく解説します。

こちらの記事もおすすめ▶︎M&Aにおけるデューデリジェンス（DD）とは？

ITデューデリジェンスとは

ITデューデリジェンス（IT DD）とは、M&Aにおいて対象企業のITシステム、インフラ、情報セキュリティ、IT組織、ITコストなどを調査し、ITに関するリスクや課題を把握する手続きです。

対象企業がどのようなシステムを利用しているかを確認するだけではありません。

例えば、

• 基幹システムが老朽化していないか
• サイバーセキュリティ対策に問題がないか
• システム更新に多額の費用が必要にならないか
• 特定のベンダーや担当者に依存していないか
• ソフトウェアライセンスやIT関連契約に問題がないか
• 買収後に自社システムと統合できるか
• データ移行に大きな問題がないか

などを確認します。

ITは多くの企業にとって事業運営の基盤となっているため、IT上の問題はM&A後の事業計画や収益性に影響する可能性があります。

M&AでITデューデリジェンスが重要な理由

想定外のITコストを把握するため

対象企業が古いシステムやサポート終了が近い機器を利用している場合、買収後すぐに更新が必要になることがあります。

大規模な基幹システム刷新などが必要になれば、想定していた投資採算に影響する可能性があります。

そのため、IT DDによって将来必要となるIT投資の規模を事前に把握することが重要です。

情報セキュリティリスクを把握するため

情報漏洩やサイバー攻撃は、事業継続や企業の信用に影響します。

対象企業のセキュリティ対策が不十分な場合には、買収後に重大なインシデントが発生する可能性もあるため、アクセス管理、ネットワークセキュリティ、バックアップ、インシデント対応体制などを確認します。

買収後の統合難易度を確認するため

M&A後には、買収企業と対象企業で利用しているシステムを統合する場合があります。

例えば、両社で異なる会計システムや顧客管理システムを利用している場合、どちらに統一するのか、データをどのように移行するのかを検討する必要があります。

IT DDによって統合の難易度を把握しておくことで、買収後の計画を立てやすくなります。

ITデューデリジェンスの主な調査項目

IT DDの調査範囲は対象企業の業種や規模によって異なりますが、一般的には次のような項目を確認します。

1．IT戦略・IT投資計画

対象企業のIT戦略が事業戦略と整合しているかを確認します。

例えば、

• 今後予定しているシステム投資
• DX施策
• 基幹システム刷新計画
• IT予算
• 開発中のITプロジェクト

などです。

大規模なシステム刷新が進行している場合には、進捗状況や追加費用の発生可能性も確認します。

2．ITシステム・アプリケーション

対象企業が利用している主要なシステムについて確認します。

代表的なものには、

• 会計システム
• 販売管理システム
• 顧客管理システム
• 在庫管理システム
• 人事・給与システム
• 生産管理システム
• ERP
• CRM

などがあります。

導入時期、保守状況、カスタマイズの程度、障害履歴などを確認し、安定的な運用が可能かを評価します。

3．ITインフラ

サーバー、ネットワーク、クラウド環境、端末などのITインフラも調査対象です。

特に、老朽化やEOL（End of Life）の状況を確認します。

メーカーやベンダーによるサポート終了が近いシステムを多数利用している場合、買収後に更新費用が発生する可能性があります。

クラウドサービスについては、利用状況、料金体系、管理権限なども確認します。

4．情報セキュリティ

対象企業の情報セキュリティ対策についても調査します。

主な確認項目として、

• アクセス権限管理
• ID・パスワード管理
• 多要素認証
• ネットワークセキュリティ
• マルウェア対策
• 脆弱性管理
• バックアップ
• インシデント対応体制

などがあります。

過去に情報漏洩やサイバー攻撃などが発生している場合には、その原因や対応状況、再発防止策についても確認します。

5．データ管理・個人情報保護

企業が保有するデータが適切に管理されているかを確認します。

例えば、

• 顧客情報
• 従業員情報
• 取引データ
• 営業データ
• システムログ

などです。

保存方法やアクセス権限、バックアップ体制に加え、個人情報保護法など対象企業に適用される法令への対応状況も確認します。

海外で事業を行っている企業では、事業地域や取り扱うデータによって海外のデータ保護規制が関係する場合もあります。

6．IT資産・ソフトウェアライセンス

対象企業が利用しているハードウェアやソフトウェアについても整理します。

特にソフトウェアでは、

• 正規ライセンスを保有しているか
• 契約数量と実際の利用数が一致しているか
• 契約更新時期
• M&Aによって契約条件が変わらないか
• 買収後も契約を継続できるか

などを確認します。

M&Aによる支配権変更や会社再編によって契約上の手続きが必要になる場合もあるため、法務DDと連携して確認することが重要です。

7．IT組織・人材

ITシステムだけでなく、それを管理する組織や人材も重要な調査対象です。

例えば、

• IT担当者の人数
• 担当者の専門性
• 外部委託先
• ベンダー依存度
• 特定社員への属人化

などを確認します。

特定の社員しかシステムの仕様を理解していない場合、その社員がM&A後に退職すると、運用に支障をきたす可能性があります。

8．ITコスト

対象企業がITにどの程度の費用を支出しているかも確認します。

主な項目として、

• システム利用料
• クラウド利用料
• 保守費用
• 通信費
• IT人件費
• 外部委託費
• システム開発費

などがあります。

現在のITコストだけでなく、今後予定されている投資についても確認することが重要です。

9．BCP・障害対応体制

システム障害や災害が発生した場合に事業を継続できる体制が整っているかも確認します。

例えば、

• データバックアップ
• 復旧手順
• 災害対策
• 冗長化
• 障害発生時の連絡体制
• 復旧テストの実施状況

などです。

ITシステムへの依存度が高い企業ほど、障害が事業に与える影響も大きくなります。

技術的負債とは

IT DDで確認すべき重要な論点の一つが「技術的負債」です。

技術的負債とは、過去の開発や運用上の判断によって蓄積し、将来的なシステム改修や運用を難しくしている問題を指します。

例えば、

• 古いプログラムを長期間使用している
• システム仕様書が十分に整備されていない
• 過度なカスタマイズが行われている
• 特定の担当者しか修正できない

といった状態です。

技術的負債が大きい企業では、将来的なシステム刷新や保守に追加費用が必要になる可能性があります。

ITデューデリジェンスの進め方

1．調査範囲を設定する

まず、対象企業の事業内容やM&Aの目的を踏まえて調査範囲を設定します。

すべてのITシステムを同じ深度で確認するのではなく、事業への影響が大きいシステムを中心に優先順位をつけます。

2．資料を収集する

対象企業からIT関連資料の提供を受けます。

例えば、

• システム一覧
• ネットワーク構成図
• IT組織図
• IT予算
• システム契約書
• IT資産一覧
• セキュリティ規程
• 障害・インシデント履歴

などです。

3．担当者へインタビューする

資料だけでは把握できない運用実態について、IT責任者やシステム担当者へヒアリングを行います。

特に、

• システム上の課題
• 運用上の問題
• 今後必要となる投資
• ベンダーとの関係
• 進行中のITプロジェクト

などを確認します。

4．リスクを分析する

収集した情報をもとに、IT上のリスクや課題を整理します。

その際は単に問題点を列挙するのではなく、

• 発生可能性
• 事業への影響
• 対応に必要な費用
• 対応の優先順位

などを整理することが重要です。

5．必要な対応コストを試算する

発見された問題について、買収後にどの程度の費用が必要になるかを検討します。

例えば、

• 基幹システム更新
• セキュリティ対策
• データ移行
• ITインフラの刷新

などに必要となる費用を試算します。

6．調査結果を整理する

最後に、発見されたリスクや課題、対応の優先順位、必要な投資額などをレポートとして整理します。

この結果は、買収判断だけでなく、買収価格や契約条件、買収後の統合計画を検討する際の材料になります。

ITデューデリジェンスの結果はM&Aにどう影響する？

IT DDの結果は、M&Aの取引条件や買収後の計画に影響する場合があります。

買収価格への影響

多額のシステム更新費用や追加投資が必要と判明した場合には、その費用を事業計画や企業価値評価に反映して買収価格を検討することがあります。

契約条件への影響

重大なITリスクがある場合には、クロージングまでの対応を求めたり、表明保証など契約上の対応を検討したりする場合があります。

ただし、具体的な契約条件については、IT DDだけでなく法務DDなど他の調査結果も踏まえて総合的に判断します。

PMIへの影響

買収後に改善すべき事項については、PMI（Post Merger Integration）に反映します。

例えば、

• システム統合
• データ移行
• セキュリティ強化
• IT組織の統合
• 不要なシステムの廃止

などです。

このように、IT DDはM&A前のリスク調査だけでなく、買収後のIT統合方針を検討するうえでも重要な役割を果たします。

事業譲渡・カーブアウトではIT分離にも注意する

事業譲渡やカーブアウト型のM&Aでは、ITシステムの分離が大きな課題になることがあります。

売却対象となる事業が、売り手企業の会計システム、サーバー、メール、ネットワークなどを共同利用しているケースがあるためです。

M&A実行日までにすべてのシステムを分離できない場合には、一定期間、売り手企業が買い手企業へITサービスなどを提供する「TSA（Transition Service Agreement：移行サービス契約）」を締結することがあります。

IT DDでは、こうしたシステム分離の難易度や必要期間、移行コストについても確認することが重要です。

ITデューデリジェンスを成功させるポイント

M&Aの早い段階から確認する

IT上の問題には、短期間では解決できないものもあります。

基幹システム刷新やデータ移行などには相応の準備期間が必要になるため、M&Aの比較的早い段階から重要なITリスクを確認しておくことが大切です。

他のデューデリジェンスと連携する

IT DDで発見された問題は、財務・法務・人事・ビジネスDDなどと関連することがあります。

例えば、ソフトウェア契約の問題であれば法務、IT人材の退職リスクであれば人事、追加投資が必要であれば財務や企業価値評価にも影響します。

そのため、ITだけを切り離して判断するのではなく、他分野の調査結果とあわせて検討することが重要です。

まとめ

ITデューデリジェンスとは、M&Aにおいて対象企業のITシステム、インフラ、情報セキュリティ、IT組織、ITコストなどを調査し、ITに関するリスクや課題を把握する手続きです。

IT DDでは、主に次のような事項を確認します。

• ITシステム・アプリケーション
• ITインフラ
• 情報セキュリティ
• データ管理
• IT資産・ソフトウェアライセンス
• IT組織・人材
• ITコスト
• 技術的負債
• BCP・障害対応
• システム統合やIT分離

IT上の問題を把握せずにM&Aを進めると、買収後に大規模なシステム更新や追加投資が必要となり、想定していた投資採算や企業価値に影響する可能性があります。

そのため、IT DDではリスクの有無だけでなく、対応に必要な費用やM&A後の統合方法まで確認することが重要です。

また、M&Aにおける企業価値を適切に判断するためには、ITだけでなく、財務、法務、人事、事業、不動産など、さまざまな側面から対象企業の実態を把握する必要があります。

特に、対象企業が土地や建物、収益不動産、工場、倉庫などを保有している場合、帳簿上の価格と現在の市場価値が大きく異なっているケースがあります。不動産価値を正確に把握できていないと、企業価値評価や買収価格の判断にも影響しかねません。

中央不動産鑑定所では、M&Aや事業承継に伴う不動産鑑定評価をはじめ、企業が保有する不動産の適正価値の把握をサポートしています。

「対象企業が保有する不動産の価値を確認したい」「M&Aにおける企業価値評価の精度を高めたい」「簿価と時価にどの程度の差があるのか確認したい」といった場合には、不動産鑑定の専門家へ相談することも一つの方法です。

M&Aに関連する不動産評価についてお悩みの場合は、中央不動産鑑定所までお気軽にお問い合わせください。