「M&Aの買い手から、IT環境を全部見せてほしいと言われた」「基幹システムが古すぎて評価が下がった」——中小企業の経営者が事業承継型M&Aを進める場面で、ITの問題が交渉の障害になるケースが増えています。財務や法務のデューデリジェンスは準備が進んでいても、IT面の整備が後回しになっている企業は少なくありません。この記事では、M&AのどのタイミングでIT評価が問われるか、そして経営者が事前に整備しておくべき具体的な確認項目を実務の視点から解説します。
ITデューデリジェンスとは何か
デューデリジェンス（Due Diligence、DD）とは、M&Aの買い手が対象企業のリスクと価値を調査する一連のプロセスです。財務DD・法務DD・税務DDといった分野が従来から整備されてきましたが、近年は「ITデューデリジェンス（IT-DD）」が独立した調査領域として認識されています。
ITデューデリジェンスが対象とするのは、対象企業のITシステム全体の健全性です。具体的には、基幹システムや販売管理システムの老朽化状況、クラウドサービスの契約・ライセンス管理の実態、セキュリティポリシーの有無と実施状況、ITインフラの運用体制（属人化の程度を含む）、サイバーインシデント履歴などが調査の範囲です。買い手が上場企業や投資ファンドである場合は専門の調査担当者が対応し、中小企業同士の案件でもITアドバイザーが加わるケースが増えています。
中小企業がM&Aの対象となる場合、財務DDや法務DDに比べてIT-DDが軽視されがちです。しかし買い手側の専門家がIT資産を精査した結果、重大なリスクが発見されれば、買収価格の減額交渉・クロージング条件の変更・案件の白紙撤回まで発展します。逆に言えば、売り手の経営者がIT環境を事前に整理して開示できれば、それ自体が交渉上の強みになります。
IT-DDが注目されるようになった背景には、事業運営のデジタル化があります。受注管理・在庫管理・顧客情報管理がシステムに依存している企業では、そのシステムを承継できないリスクは事業そのものの存続リスクに直結します。2025年以降、事業承継型M&Aで買い手がIT-DDを省略しなくなったのは、「ITが使えないと事業が動かない」という現実が広く共有されたためです。
また、「IT-DDは製造業や情報システム部門を持つ企業だけの話」と考えがちですが、実態は異なります。受発注をメールとExcelで管理している企業でも、「その担当者しかExcelを編集できない」「退職したら在庫の状況が誰もわからない」という状態はIT-DDで「重大な属人化リスク」として指摘されます。規模や業種を問わず、IT環境の整備状況はM&A評価に影響します。
M&Aの交渉でITが問われる3つのタイミング
IT評価が問題になるタイミングを理解しておくと、準備の優先順位が立てやすくなります。M&AのプロセスはNDA締結→基本合意→DD実施→最終契約という流れが一般的ですが、ITに関する問い合わせはDD実施の段階で集中します。ただし、それ以前にも予兆となる場面が存在します。
タイミング1：ノンネームシートや企業概要書（IM）の作成段階
M&Aを仲介するアドバイザーが買い手候補に提示する企業概要書（Information Memorandum）には、IT環境の概要が含まれる場合があります。「どのような基幹システムを使っているか」「システムの保守はどこが担当しているか」といった記載を求められます。この段階で回答があいまいだったり、「担当者に聞いてみないとわからない」という状態では、買い手候補の関心を引くどころか、精査への意欲を削ぎます。経営者が自社のIT環境の概要を自分の言葉で説明できることが、第一印象を左右します。
タイミング2：IT-DDの実施段階（本調査）
本調査では、買い手側のITコンサルタントまたは技術専門家が対象企業のシステム一覧・契約書類・ネットワーク構成・セキュリティログを要求します。対応に時間がかかればDDのスケジュール全体が遅延し、M&A自体が白紙になるリスクもあります。また、調査中に「クラウドサービスのライセンスの大半が個人名義だった」「基幹システムの保守契約が3年前に切れていた」「サーバーOSのサポートが終了していた」といった事実が判明すると、買い手の評価が一変します。準備が整っていれば、このタイミングで「開示できる資料が揃っている」という事実そのものが信頼の証明になります。
タイミング3：クロージング後の統合フェーズ（PMI）
PMI（Post-Merger Integration）はM&A成立後の統合作業を指します。この段階でIT環境の整合が困難だと判明した場合、想定外のコストが発生します。「それぞれの会社で使っている基幹システムが互換性ゼロだった」「ドメインやメールサーバーの統合に半年かかった」という事例は珍しくありません。買い手はこのリスクを事前に把握するためにIT-DDを実施しており、「PMI後にどの程度のIT統合コストがかかるか」を試算するための情報を求めています。売り手側はこの観点でも情報を整理しておくと、交渉が円滑に進みます。
3つのタイミングを整理すると、最も重要なのは「タイミング2」のDD実施段階です。ここで開示できる資料と情報の質が、交渉の行方を左右します。タイミング1は準備の早期着手を促すシグナルとして、タイミング3は買い手の関心事として把握しておく、という位置づけが実務的です。M&Aの検討を始めた段階で、遅くとも6か月前にはIT環境の棚卸しに着手することをお勧めします。
経営者が事前に整備すべきIT確認項目
IT-DDで問われる内容を先回りして整備しておくことが、M&Aを円滑に進める上で有効です。以下では、中小企業の経営者が自社のIT担当者（または外部のITコンサルタント）と一緒に確認すべき項目を整理します。技術的な深掘りではなく、「何があって何がないか」を経営者が把握できる粒度で説明します。
1. システム資産の棚卸し
まず自社でどのようなITシステムを使っているかを一覧化します。「使っているシステムを全部リストアップしてほしい」と買い手に言われたときに、即座に回答できる状態を作ることが目標です。棚卸しの対象は以下の通りです。
・基幹システム（ERP・販売管理・在庫管理・生産管理）: 製品名、バージョン、導入時期、ベンダー名、保守契約の有無と有効期限を記録する。特に製造業では生産管理システムが事業の中核を担うため、承継可能かどうかが重視されます。
・業務クラウドサービス: 会計クラウド、CRM、グループウェア、電子署名サービスなど、月額・年額で契約しているサービスを一覧化し、契約者が法人名義か個人名義かを確認する。
・ライセンスソフトウェア: Microsoft 365、Adobe製品、CADソフトなど、ライセンス数・契約形態・有効期限を整理する。特にCADソフトは製造業での設計資産と直結するため、承継可能かどうかが評価に直結します。
・ハードウェア資産: サーバー・NAS・ネットワーク機器の型番・設置場所・調達時期・リース/購入の別を記録する。リース品は承継交渉が別途必要になる場合があります。
・ドメイン・SSL証明書: 保有ドメインの管理者情報、DNS管理会社、SSL証明書の有効期限を確認する。会社のウェブサイトやメールの基盤であり、管理者が不在になると事業が止まるリスクがあります。
この棚卸しは、IT-DDの開示資料として直接使えるだけでなく、自社内の「IT資産台帳」として日常運用にも役立ちます。作成には自社のIT担当者がいれば2～3日、いなければ外部のITコンサルタントに依頼して1週間程度が目安です（費用は10万円～20万円程度）。
2. セキュリティリスクの事前点検
セキュリティ面の問題は、IT-DDで最も減額交渉の材料にされやすい領域です。過去にサイバーインシデントがあった場合はその内容・対応状況・再発防止策を文書化しておきます。インシデント履歴がない場合でも、以下の状態になっていないかを確認してください。
・OSやソフトウェアのアップデート放置: Windows Server 2012以前など、EOS（サポート終了）を迎えたOSを本番環境で稼働させていると、買い手から大幅な減額交渉の対象になります。最新バージョンへの移行計画を文書として準備しておくだけでも評価が変わります。
・バックアップの未整備: バックアップ設定の確認と、実際にリストアできるかのテスト実施を記録として残す。「毎日バックアップしているつもりだった」では不十分で、「リストア成功の記録がある」ことが求められます。
・アクセス権限の属人化: 管理者アカウントを1名しか把握していない、退職者のアカウントが残っているといった状態は「内部統制の不備」と評価されます。アカウント台帳を作成し、現在の利用者と権限を明確にする。
・ウイルス対策の未導入: エンドポイント保護が全端末に適用されているかを確認する。無償版のみで運用している場合は有償のビジネス向けソリューションへの移行を検討する。
・サプライチェーンリスク: 外部ベンダーやパートナーが自社システムにアクセスする経路が管理されているかを確認する。製造業では取引先との受発注システム連携が多く、この点を詳細に確認されるケースがあります。
セキュリティ点検は、IT-DDの準備としてだけでなく、日常のリスク管理としても価値があります。外部業者によるセキュリティ診断の費用は1回あたり10万円～50万円程度（対象範囲による）で、実施した事実と結果の記録があれば、IT-DDの際に「セキュリティ管理を適切に行っている会社」として評価されます。
ITデューデリジェンス対応状況と評価への影響：比較表
IT環境の整備状況が、M&A交渉にどのような影響を与えるかを整理します。「準備ができている状態」と「準備できていない状態」を比較することで、何を優先して整備すべきかが明確になります。
| 評価項目 | 準備できている状態 | 準備できていない状態 | 交渉への影響 |
|---|---|---|---|
| システム資産台帳 | 最新の一覧があり即時提出可 | 担当者しか把握しておらず不明 | DD期間が延長、評価保留になる |
| クラウドサービス契約 | 法人名義で整理済み | 個人名義が混在・把握なし | 承継不可リスクとして指摘される |
| 保守契約の有効期限 | 有効期限内・更新管理済み | 期限切れ・未更新 | 買収価格の減額交渉材料になる |
| セキュリティ設定 | EOS脱却・アップデート適用済み | EOSサーバー稼働中・未適用 | 重大リスクとして案件白紙の可能性 |
| バックアップ | 定期実施・リストアテスト済み | 設定なし・テスト未実施 | 事業継続性への疑問符がつく |
| インシデント記録 | 発生時の対応記録あり | 記録なし（隠蔽疑惑を招く） | 信頼性の低下、追加調査を要求される |
| アクセス権限管理 | 台帳管理・退職者削除済み | 退職者アカウント残存・管理不在 | 内部統制の不備として減額対象になる |
| PMI統合コストの試算 | 主要システムの互換性情報を整理済み | 情報なし・把握していない | 買い手が悲観的にコストを見積もる |
この表の「準備できている状態」を全項目で実現するには、専門家の支援を受けながら3か月～6か月程度の準備期間が必要です。M&Aを検討しはじめた段階で早めに着手することが重要で、DD直前に慌てて対応しようとすると資料の信頼性が低く評価されるリスクがあります。
よくある質問
Q1：小規模な会社でもITデューデリジェンスは実施されますか？
A：従業員10名前後の小規模企業でも、買い手が上場企業または投資ファンドの場合はIT-DDが実施されるケースが増えています。一方、同規模の中小企業同士の事業承継型M&Aでは、IT-DDが省略されることもあります。ただし「相手によって省略されることもある」という前提で準備を怠ると、買い手が想定外にITを重視した場合に対応できません。基本的な棚卸しと資料化は規模を問わず実施しておくことをお勧めします。
Q2：社内にIT担当者がいない場合はどうすればよいですか？
A：外部のITコンサルタントまたはM&Aに精通したITアドバイザーに依頼する方法があります。費用の目安は、初期の資産棚卸しと開示資料作成で20万円～50万円程度です。ベンダーに問い合わせるだけで取得できる情報（契約書・ライセンス証書）も多いため、コスト最小化を優先するなら「まずベンダーに問い合わせる」ところから始めることが現実的です。
Q3：IT-DDで問題が見つかった場合、案件は白紙になりますか？
A：問題の種類と深刻さによります。修正可能な問題（EOSソフトウェアのアップグレード、ライセンスの整理など）であれば、クロージング条件（クロージング前に修正を完了させる）または価格調整（修正コスト分を買収価格から減額）で対処するのが一般的です。修正不可能な問題（主要システムのベンダーが廃業済みで保守が受けられない等）は案件の白紙化リスクが高まります。早期に問題を把握して修正または説明資料を整備することが、白紙化を防ぐ最善策です。
Q4：クラウドサービスの契約が個人名義になっている場合はどうすればよいですか？
A：M&Aの前に法人名義へ切り替えておくことを強くお勧めします。個人名義のクラウドサービスは、名義人が退職・事故等で不在になった場合にアクセスできなくなるリスクがあります。また、買い手側から「承継できないシステム」と評価されます。移行手順はサービスによって異なりますが、多くの場合はカスタマーサポートへの連絡だけで対処できます。
Q5：過去のセキュリティ事故は正直に開示すべきですか？
A：はい、開示することが原則です。事実を隠蔽してM&Aを成立させた場合、その後に事故が発覚すると表明保証違反として損害賠償請求を受けるリスクがあります。過去のインシデントを正直に開示し、再発防止策を文書で示すことが、長期的に見て売り手にとっても有利な選択です。「問題があったが適切に対処した」企業は、「問題があったことを隠していた」企業よりも信頼性が高く評価されます。
IT-DDに備える経営者のチェックリスト
M&Aの検討を始めた経営者が、IT-DDの準備として最初に確認すべき項目をまとめます。全項目を確認できている状態が、買い手の調査に自信を持って応じられる水準です。準備が不十分な項目は、外部のITコンサルタントへの依頼も含めて対処を検討してください。
・システム資産台帳の整備: 基幹システム・クラウドサービス・ライセンスソフト・ハードウェアの一覧表が最新状態で存在するかを確認する。
・契約名義の確認: クラウドサービスやドメイン管理が法人名義になっているかを確認し、個人名義があれば切り替え手続きを開始する。
・保守契約の有効期限確認: 基幹システムの保守契約が有効かを確認し、期限切れがあれば更新または移行計画を文書化する。
・EOSソフトウェアの把握: サポート終了済みのOSやソフトウェアが本番環境で稼働していないかを確認し、稼働している場合は移行計画を作成する。
・バックアップのテスト実施: 直近3か月以内にバックアップからの復元テストを実施し、成功を記録として残す。
・アクセス権限台帳の整備: 管理者アカウントの保有者を一覧化し、退職者のアカウントが残っていないかを確認する。
・インシデント記録の整備: 過去のサイバーインシデント（ウイルス感染・不正アクセス・情報漏洩等）の記録と対応状況を文書化する。記録がない場合は「インシデントなし」を文書で明示する。
・ITベンダー連絡先一覧の作成: システム保守・ネットワーク・セキュリティ等の外部ベンダーの連絡先と対応範囲を一覧化する。
・属人化の解消確認: 特定の担当者しか知らないシステムや設定がないかを確認し、手順書やパスワード管理ツールで情報を組織で共有できる状態にする。
・ITコンサルタントへの事前相談: 上記の確認を自社だけで行うのが難しい場合、M&A経験のあるITコンサルタントに事前相談を行い、優先順位をつけて対処する。
本記事のまとめ
中小企業のM&AでITデューデリジェンスが問われる場面は、企業概要書の作成段階・DD本調査・クロージング後の統合フェーズの3つです。このうち最も準備が重要なのはDD本調査であり、システム資産台帳・クラウドサービス契約の整理・セキュリティ対策の状況・過去のインシデント記録が主要な確認項目です。
「IT環境の開示に自信がある」状態を作ることは、単にM&Aを円滑に進めるためだけでなく、日常の事業継続性を高める投資でもあります。IT-DDの準備は、M&Aを検討し始めた段階で外部の専門家を交えて着手することが、最も無駄の少ない進め方です。
当社（株式会社イーネットマーキュリー）では、中小企業がM&AのIT-DDに対応できる状態を整備するための支援を提供しています。システム棚卸しの代行・開示資料の作成・セキュリティリスクの可視化など、「何から手を付ければよいかわからない」という段階からご相談いただけます。
