IT DD（ITデューデリジェンス）とは？調査項目や進め方を解説

近年、DX推進やデジタル化の浸透が加速しているため、M&Aでは、対象企業の情報システムやIT統合の可能性を調査するIT DD（ITデューデリジェンス）が重要視されています。

IT DDを実施すると、事業買収後に想定外のIT投資やコストが発生するリスクなどを、事前に把握できます。

DX化が進む現在において、IT DDは非常に重要な取り組みといえるでしょう。

本記事では、M&AにおけるIT DDの概要や調査項目を解説。進め方や実施するうえでの注意点も紹介します。

IT DD（ITデューデリジェンス）の基礎知識

そもそもM&AのDD（デューデリジェンス）とは、交渉段階に対象企業の評価要素やリスクなどを調査することです。

得られた調査結果を分析し、買収の可否や買収価格へと反映させます。

IT DD以外にも、法務デューデリジェンスやビジネスデューデリジェンスなど、さまざまな種類が存在します。

本章では、IT DDの意味に加え、重要性や調査項目を解説します。

IT DD（ITデューデリジェンス）の意味とは？

IT DD（ITディーデリジェンス）とは、下記の調査を指す用語です。

IT DD（ディーデリジェンス）とは、情報システムの構成と活用状況を把握し、IT統合の可能性を評価するための調査のことです。
引用：IT DD｜パラダイムシフト用語集

また、一般的なDD（ディーデリジェンス）と同様、対象企業が抱える潜在的リスクも把握し、M&Aの実施可否や企業価値評価に反映させます。

仮に対象企業のITシステムが、度重なる機能拡張でブラックボックス化していた場合は、交渉内で取引価格の減額をおこないます。

ブラックボックス化したITシステムは運用・保守に膨大なリソースが必要なためです。

IT DDではシステムの価値を評価するだけでなく、こうしたリスクを未然に把握する意味合いもあります。

近年高まるIT DD（ITデューデリジェンス）の重要性

近年、多くの企業でITシステムが導入されており、一部の業務をITシステムに依存しているケースも珍しくありません。

業務・企業と密接な関係を持つだけに、 M&A後にうまく活用できるのか、自社のシステム・業務と適合させられるかを、事前に判断しておくことが重要です。

万が一、IT DDで問題点やリスクを把握できなければ、企業買収の成立後にセキュリティ事故や想定外の損失につながる恐れがあります。

特に、買収対象企業のITシステムがグループ会社のITシステムや業務と連携している場合は、切り出しが難しく、想定以上の時間・コストがかかるケースもみられます。

M&A後の統合を成功させるためにも、問題・リスクの把握が重要です。

さらに近年は、クラウドサービスやSaaSの導入によりシステム構成が複雑化しています。

また、サイバー攻撃による情報漏洩リスクも高まっており、買収後に多額の賠償や社会的信用の失墜といった致命的なダメージを受けるケースも少なくありません。

こうした背景からも、IT DDで潜在リスクを洗い出す重要性はかつてなく高まっています。

IT DD（ITデューデリジェンス）の調査項目

IT DDの調査項目は、主に下記の3つです。

• ITシステム・インフラの構成
• IT組織の体制
• ITコスト

会社は複数のITシステムを導入し、業務を管理しているケースが一般的。

システム間で相互に連携して業務を支えているため、リスクを把握するにはそれぞれの位置付けや関係性を読み解く必要があります。

また、IT DDではシステムのみならず、それを支えるハードウェアやソフトウェア、サーバーなどのインフラも調査項目に含まれます。

続いて、ITシステムを支える、組織の体制です。

ITシステムに問題がない場合でも、たとえば、システムの保守・運用作業を外部に委託しており、対象企業の人員ではまかなえないなど、開発・運用体制にリスクが潜んでいる可能性もあります。

この場合、M&A実施後も継続的なコストが発生しますし、人材育成をしようにも多くの時間的・金銭的コストが予測されます。

最後は、ITシステムの運用にかかるコストです。

システムの運用には、ランセンス料やインフラの保守費用などさまざまなコストがかかります。

IT DDでは、こうしたコストを事前に把握し、削減の余地がないかを精査します。

近年では、これらの基本的な項目に加え、「データガバナンス（情報の取り扱いルール）」や「SaaS等のクラウドサービスの利用状況」「最新のセキュリティ対策状況」なども重要な調査項目となっています。 

【関連記事】IT-DDの調査項目を把握し、売却交渉を有利に進めるための準備がわかる

実務で使える！IT DDの主なチェックリスト

IT DDで実際にどのような項目を確認するのか、具体的なチェックリストの例を紹介します。

これらの項目を漏れなくチェックすることで、自社との適合性や潜在的なリスクを評価します。

IT DDと「IT PMI（M&A後のシステム統合）」の深い関係

IT DDは、単にリスクを調査して買収の可否や価格を決めるためだけのものではありません。

M&A成立後に行われる「IT PMI（Post Merger Integration：システム統合）」をスムーズに進めるための準備という重要な役割も担っています。

買収後に両社のシステムをどのように統合するか、あるいは併存させるかを判断するためには、IT DDの段階で対象企業のシステム全容を正確に把握しておく必要があります。

IT DDがおろそかになると、PMIの段階で想定外のシステム連携の壁に直面し、統合に莫大な時間と追加コストがかかる原因となります。

IT以外のDD（デューデリジェンス）

DD（デューデリジェンス）には、IT DD以外に下記の4種類が存在します。

• ビジネスデューデリジェンス
• 法務デューデリジェンス
• 財務デューデリジェンス
• その他のデューデリジェンス

M&Aでは、上記のDDを並行しておこなうのが一般的です。

本章では、4種類のデューデリジェンスについて紹介します。

DD種類1.ビジネスデューデリジェンス

ビジネスデューデリジェンスとは、対象企業の製品や事業の伸び代、マーケットでのポジションなどを包括的に調査することです。

ほかのデューデリジェンスが対象企業自体を調査するのに対し、ビジネスデューデリジェンスでは、社外の市場や競合なども調査の対象です。

主な調査項目は、下記の5つが挙げられます。

• 経営資料
• 競合情報
• 製品・仕入れ先
• 市場状況
• 保有技術・特許

ビジネスデューデリジェンスを経て、対象企業が買収に見合う企業・事業かを判断します。

DD種類2.法務デューデリジェンス

法務デューデリジェンスとは、対象企業の経営活動が法的に適正かを調査するものです。

会社の商業登記や株主、許認可をはじめ、契約や訴訟などが主な調査項目です。

法的リスクを抱えた企業を買収すると、万が一の際にコストが掛かるだけでなく、訴訟や損害賠償などにより、会社の存続が危ぶまれる恐れもあります。

そのため法務デューデリジェンスは、数あるデューデリジェンスの中でも特に重要度の高い調査と言われています。

【関連記事】法務デューデリジェンス（法務DD）とは？目的・調査項目とトラブルを防ぐための事前準備

DD種類3.財務デューデリジェンス

財務デューデリジェンスは、対象企業の財務状況を把握するための調査です。

主な調査項目は、下記の3つです。

• 債務・負債の妥当性
• 将来的なキャッシュフロー
• 簿外債務などの潜在的リスクの有無

特に中小企業を買収するM&Aでは、財務諸表と実態がかいりしているケースがあるため、慎重な財務デューデリジェンスが求められます。

【関連記事】財務デューデリジェンス（DD）の対策と必要資料リスト｜減額リスクを防ぐポイント

DD種類4.その他のデューデリジェンス

IT、ビジネス、法務、財務デューデリジェンス以外にも、下記の細かな調査が存在します。

• 環境デューデリジェンス
• 知的財産デューデリジェンス
• 不動産デューデリジェンス
• 技術デューデリジェンス

デューデリジェンスの目的は、対象企業への調査を通して、価値要素やリスクを把握することです。

そのため、自社と対象企業の状況に合わせ、調査項目を選定するとよいでしょう。

IT DD（デューデリジェンス）の進め方

IT DD（デューデリジェンス）は、主に下記の6手順で実施します。

• DDの調査チームを発足
• 秘密保持契約（NDA）を締結
• 調査方針の検討と開示請求リスクの作成
• 開示資料をもとに分析
• 面談調査の実施
• 調査結果を取引内容に反映

本章では、各手順について紹介します。

また、細かなスキームや他のDDについても知りたい方は、M&A仲介会社等の専門家に相談するのがおすすめです。

【関連記事】M&A売却のIT-DDで減額・破談を防ぐ！経営者のための対策と進め方

手順1.DDの調査チームを発足

IT DDを実施するにあたり、まずおこなうのは調査チームの発足です。

対象企業のシステムやインフラ状況などをくまなく調査するため、ITに精通した人材を起用するケースが一般的です。

また、調査対象がIT関連に限定しているため、自社の人員のみでも実施しやすいデューデリジェンスといえます。

しかし近年はクラウド技術の浸透やセキュリティリスクの高度化により、専門的な知見が求められる場面が増えています。

また、実務上は他のDDと並行して実施するため、法律や財務などに関する横断的かつ専門的な知識が求められます。

対象企業が抱えるリスクを正確に把握するためには、弁護士やM&Aコンサル、M&A仲介会社などの外部機関へ依頼し、万全の調査体制を構築することが重要です。

手順2.秘密保持契約（NDA）を締結

IT DDに限らず、デューデリジェンスでは機密性の高い情報を扱います。

売り手企業の情報を保護するためにも、秘密保持契約（NDA）の締結が必要です。

また、デューデリジェンスで得た情報の管理にも、細心の注意が必要です。

万が一外部に情報が漏洩すると、売り手企業の経営に悪影響を及ぼし、損害賠償を請求されかねません。

したがって、事前に情報管理の方法や体制を整備しておくと良いでしょう。

手順3.調査方針の検討と開示請求リストの作成

ひとえにIT DDといっても、自社と対象企業の状況によって、重要視される調査方針が異なります。

たとえば、金融業の企業を買収するのであれば、セキュリティ面の重要度が高いでしょう。

また製造業企業の場合は、システム間の連携度や業務への適合度が注視されます。

このように、会社規模や業種ごとに重要視される項目が異なるため、状況に合わせた方針の設定が必要です。

またこの段階で、IT DDに必要な情報・書類のリストを作成し、対象企業に提出します。

IT DDで開示請求する資料は、以下のとおりです。

• ITシステムの運用体制に関する資料
• システムの稼働状況・対象範囲を示す資料
• インフラの利用状況に関する資料
• これまでに実施したカスタマイズ・機能開発に関する資料
• 投資状況や保守運用費用に関する資料

売り手企業には、「高く評価されたい」という意思が働くため、自社にとって不利な資料を積極的に提出することはまれです。

そのため開示請求リストは、売り手企業の心理を踏まえて、作成することが大切です。

手順4.開示資料をもとに分析

開示された情報をもとに、対象企業のIT状況を調査・分析します。

仮に何らかのリスクが顕在化した場合は、契約内容に反映したり、売り手企業に対応を求めたりします。

また、開示された情報のみでは不足している場合、次項で紹介する面談調査に持ち越します。

手順5.面談調査の実施

対象企業と自社の経営陣が面談をおこない、開示情報では知り得なかった情報を補います。

面談は対面式以外にも、電話会議やズーム面談を活用するケースも見られます。

また一度の面談で複数のDDを実施する可能性もあるため、必要情報をまとめておくなどの準備が必要です。

手順6.調査結果を取引内容に反映

最後に、IT DDの調査結果を取引内容に反映させます。

対象企業が抱えるリスクが許容範囲を超える場合は、取引を中止しますし、許容範囲内であれば価格交渉を進めます。

IT DDにかかる期間・スケジュールの目安

IT DDにかかる期間は、対象企業の規模や調査範囲によって大きく変動しますが、一般的な目安は「2週間〜3ヶ月程度」です。

• 小規模なM&A（売却額〜1億円程度）：2〜4週間程度
• 中規模なM&A（売却額1〜10億円程度）：1〜2ヶ月程度
• 大規模なM&A（売却額10億円以上）：2〜3ヶ月以上

通常、資料の準備に1〜2週間、実際の調査と分析に2〜4週間、そして報告書の作成に1〜2週間程度かかります。

対象企業からの資料開示が遅れるとスケジュール全体が後ろ倒しになるため、M&Aの全体工程にはあらかじめバッファ（余裕）を持たせておくことが重要です。

IT DDの依頼先（専門家）と外注費用の相場

IT DDを外部の専門家に依頼する場合の費用相場は、調査範囲や対象企業の事業規模により大きく異なりますが、一般的な中小企業のM&Aでは「100万円〜500万円程度」が目安となります。

依頼先としては、ITコンサルティングファームや、M&Aアドバイザリー会社、監査法人などが一般的です。

費用は専門家の稼働時間ベース（タイムチャージ）で計算されることが多く、複雑なシステム構成を持つ企業や、海外子会社を含むような大規模案件の場合は、数千万円規模にのぼるケースもあります。

費用を抑えたい場合は、とくにリスクが懸念される重要項目に絞って調査を依頼するなどの工夫が必要です。

IT DD（デューデリジェンス）を実施する際の注意点

IT DDを実施する際は、下記の2点に注意が必要です。

• 対象企業の性質を見極めIT DDを実施
• 開示された情報の管理を徹底

対象企業の性質を見極めIT DD（デューデリジェンス）を実施

近年、IT DDの重要度が高まりつつあるものの、他のデューデリジェンスと比較すると、実施にいたるケースは少ないものです。

場合によっては、IT DD自体を実施しない企業も存在します。

しかし、先述の通り対象企業と自社の性質によっては、IT DDが必須な場合もあります。

たとえば、大手企業の子会社を買収する場合です。

システムの一部を、親会社に依存しているケースが少なくありません。

仮に、IT DDでシステムの所在や業務との関係性を明らかにしないまま買収を成立させると、買収後にシステムが利用できず、かえって多くのコストが掛かる可能性があります。

こうした問題を回避するためにも、対象企業の性質を見極め、IT DDを実施することが重要です。

開示された情報の管理を徹底

IT DDの実施前には、秘密保持契約を締結します。

仮に、対象企業の情報が外部へ流出した場合、契約違反とみなされ多額の賠償金を請求される可能性があります。

賠償金や訴訟は、自社にとって大きな損害となるため、情報管理の徹底を心がけましょう。

シャドーITやサイバーセキュリティなど「隠れたリスク」の徹底調査

近年のIT DDで特に注意すべきなのが「帳簿やリストに載っていない隠れたリスク」の存在です。

代表的なものが「シャドーIT」です。これは、企業が公式に許可していない私用パソコンや、従業員が独断で利用しているクラウドサービス・SaaSなどを指します。

これらは企業側で管理が行き届いていないため、情報漏洩の温床になりやすく、買収後に深刻なトラブルを引き起こす要因となります。

また、過去にサイバー攻撃を受けた痕跡がないか、ランサムウェアに対する脆弱性がないかといったセキュリティ調査も必須です。

表面的なリストだけでなく、現場の実態まで踏み込んだ調査が求められます。

IT人材の属人化（キーマンの離職リスク）への備え

システムそのものの問題だけでなく、「誰がそのシステムを管理しているか」という人的なリスクにも注意が必要です。

社内の特定の一人（キーマン）しかシステムの仕組みや運用方法を理解していない状態（属人化・ブラックボックス化）になっているケースは珍しくありません。

この場合、M&A成立後にそのキーマンが離職してしまうと、システムの保守や運用が一切できなくなるという致命的なリスクを抱えることになります。

IT DDでは、システムの仕様書やマニュアルが適切に残されているか、業務が属人化していないかといった「人材面」の調査も併せて行うことが重要です。 

IT DDで対象企業のIT統合性を推しはかろう

本記事では、M&AにおけるIT DDの概要を解説しつつ、進め方や実施するうえでの注意点を紹介しました。

IT DDとは、情報システムの構成と活用状況を把握し、IT統合の可能性を評価するための調査のことです。

ITシステムは今や、業務遂行に欠かせない存在です。

これに伴い、IT DDの重要度も高まっているため、自社のみでの実施が難しい場合は、専門知識をもったM&Aコンサルなどに助言を仰ぎ、慎重に進めると良いでしょう。