Właściciel polskiej firmy produkcyjnej dowiaduje się o istnieniu „IT due diligence" zwykle w jednym momencie: tydzień po podpisaniu listu intencyjnego, gdy od kupującego przychodzi 40-stronicowa lista pytań o systemy, licencje i procedury. Wtedy jest już za późno, żeby cokolwiek przygotować. Zostaje negocjować w gorszej pozycji.
Przez ostatnie dwa lata asystowaliśmy przy kilkunastu transakcjach — po stronie sprzedającego i kupującego. Schemat jest przewidywalny. Kupujący nie szuka idealnej firmy. Szuka ryzyk, które pozwolą obniżyć cenę albo wprowadzić do umowy klauzule zabezpieczające. IT jest wdzięcznym terenem łowów, bo w MŚP prawie nikt nie prowadzi tego pod kątem audytu zewnętrznego.
Ten artykuł nie jest o tym, jak sprzedać firmę. Jest o tym, co w infrastrukturze IT dziesięcioosobowej czy pięćdziesięcioosobowej firmy sprawdza kupujący — i co można zrobić pół roku wcześniej, żeby nie oddać 5–10% ceny tylko za bałagan.
Czym IT due diligence różni się od zwykłego audytu
Zwykły audyt IT (robiony co dwa lata przez wewnętrzny zespół albo zewnętrznego konsultanta) odpowiada na pytanie „czy nasze IT działa dobrze". IT due diligence odpowiada na zupełnie inne pytanie: „co w tej firmie może kupującego zaskoczyć negatywnie po przejęciu". Perspektywa jest adwersarialna. Celem nie jest sprawdzenie, czy wszystko świeci się na zielono — celem jest znalezienie wszystkiego, co mogłoby się popsuć w pierwszym roku po transakcji.
Dlatego kupujący nie wierzy w deklaracje. Chce dokumentacji, umów, kopii faktur, logów. Jeśli coś nie jest udokumentowane, w jego perspektywie nie istnieje — albo, co gorsza, jest ryzykiem. Firma, która „ma backupy, bo administrator mówi, że ma", po due diligence trafia do rubryki „ryzyko operacyjne".
Co kupujący rzeczywiście sprawdza
W praktyce lista pytań ma 60–120 pozycji, ale sprowadza się do siedmiu obszarów:
- Legalność oprogramowania. Czy wszystkie licencje Microsoft, Comarch Optima, systemu projektowego CAD są udokumentowane fakturami? Czy liczba stanowisk zgadza się z zakupami?
- Umowy z dostawcami IT. Z kim firma ma umowy serwisowe. Jakie SLA. Czy można je wypowiedzieć bez kary. Czy jest zapis o nieodwołalnym dostępie do kodu źródłowego aplikacji „szytych na miarę".
- Prawa autorskie do oprogramowania własnego. Jeśli firma ma własny portal B2B albo integracje, kto jest ich autorem — pracownik na umowie o pracę (dobrze) czy zewnętrzny freelancer bez przekazania praw (źle).
- Dane osobowe i RODO. Rejestr czynności przetwarzania. Umowy powierzenia. Procedura obsługi wycieku.
- Ciągłość działania. Kiedy ostatnio testowano backup. Co się stanie, jeśli jedyny administrator wygra w totka. Czy jest plan ciągłości działania na papierze.
- Cyberbezpieczeństwo. MFA, segmentacja sieci, polityka haseł, szyfrowanie laptopów, data ostatniego pentestu lub przynajmniej skanu podatności.
- Zależność od pojedynczych osób i dostawców. Czy coś krytycznego trzyma się na jednym człowieku z zewnątrz, do którego firma nie ma zapasowego dostępu.
Każdy z tych siedmiu obszarów kupujący ocenia w skali „zielone / żółte / czerwone". Czerwone zapisuje do umowy jako warunek zawieszający albo jako obniżkę ceny. Żółte zapisuje do „oświadczeń i zapewnień" — jeśli po transakcji okaże się, że sprzedający coś zataił, idzie o pieniądze.
Trzy obszary, w których MŚP wygląda najgorzej
W jednym z projektów asystowaliśmy 35-osobowej firmie dystrybucyjnej z branży budowlanej, sprzedawanej funduszowi private equity. Pierwszy raport z due diligence miał 28 ustaleń, z czego 9 oznaczono na czerwono. Trzy z nich kosztowały właściciela realne pieniądze w negocjacjach.
Pierwszy obszar — licencje. Firma od lat korzystała z 42 kont Microsoft 365 Business, ale miała udokumentowany zakup 30. „Resztę kupiliśmy od poprzedniego administratora, który dawał lepszą cenę" — to zdanie w ustach właściciela wystarczyło, żeby kupujący wpisał to jako ryzyko audytu Microsoftu z potencjalną karą na 60–120 tys. zł. Zabezpieczył się rezerwą w cenie zakupu.
Drugi obszar — prawa do oprogramowania. Portal zamówień B2B, serce działalności firmy, napisał w 2019 roku freelancer z Łodzi. Umowa była trzystronicowa, bez klauzuli przekazania majątkowych praw autorskich. Formalnie więc firma używała portalu, do którego praw nie miała. Kupujący wymagał uzupełnienia umowy przed zamknięciem transakcji — freelancer, czując sytuację, zażądał 40 tys. zł za aneks.
Trzeci obszar — bus factor i dokumentacja. Jedyną osobą, która wiedziała, jak odtworzyć bazę danych ERP (Microsoft Dynamics AX w starej wersji), był zewnętrzny informatyk zatrudniony od 11 lat na umowie o dzieło, bez pisemnej procedury przekazania. Kupujący oszacował ryzyko w razie jego odejścia na 3–6 miesięcy paraliżu operacyjnego — i to ryzyko weszło do umowy jako wymóg zatrudnienia tej osoby na kontrakt menedżerski na 2 lata po transakcji.
Łącznie te trzy ustalenia obniżyły zaproponowaną cenę zakupu o około 7%. Każde z nich było do uprzątnięcia w sześć miesięcy, gdyby ktoś pół roku wcześniej zapytał „co z tym zrobimy, jak przyjdzie kupujący".
Jak przygotować firmę — 6 miesięcy przed
Nie da się przygotować IT do due diligence w dwa tygodnie. Da się w sześć miesięcy, bez dużych wydatków, przy założeniu że ktoś to konsekwentnie prowadzi.
- Miesiąc 1 — inwentaryzacja. Spis wszystkich systemów, aplikacji, kont serwisowych, integracji. Komu zapłaciliśmy w ciągu ostatnich 24 miesięcy za IT i za co. Lista umów serwisowych z datami wygaśnięcia.
- Miesiąc 2 — licencje. Zestawienie zakupionych vs. używanych licencji w Microsoft 365, Comarch Optima, CAD, Adobe. Dopłacenie brakujących stanowisk kosztuje mniej niż kara w due diligence.
- Miesiąc 3 — prawa autorskie. Przegląd wszystkich umów z zewnętrznymi dostawcami oprogramowania. Gdzie brakuje klauzuli przekazania praw — podpisanie aneksu teraz, w normalnej pozycji negocjacyjnej, nie pod presją transakcji.
- Miesiąc 4 — ciągłość działania. Udokumentowany test odtworzenia backupu (data, godzina, co odtworzono, ile trwało). Jedna strona papieru warta w due diligence tyle, co trzygodzinne spotkanie wyjaśniające.
- Miesiąc 5 — RODO i dokumentacja. Rejestr czynności przetwarzania. Umowy powierzenia z kluczowymi dostawcami (księgowość, hosting, system kadrowy). Polityka bezpieczeństwa — niekoniecznie piękna, ale istniejąca.
- Miesiąc 6 — bus factor. Spisanie, kto wie co. Dla każdego krytycznego systemu — druga osoba albo pisemna procedura, która pozwoli komuś z zewnątrz przejąć system w ciągu tygodnia.
Nie trzeba robić wszystkiego naraz, nie trzeba zatrudniać konsultantów za sto tysięcy. Wystarczy przez dwa dni w miesiącu świadomie zbierać dokumentację, zamiast odkrywać braki w trakcie negocjacji. Każda godzina spędzona na porządkach pół roku wcześniej jest warta mniej więcej dziesięć razy tyle w cenie transakcji.
Jeśli planujesz sprzedaż firmy w perspektywie roku-dwóch albo właśnie dostałeś pierwszy list intencyjny i nie wiesz, czego się spodziewać od strony IT — warto zrobić wewnętrzny mock audyt wcześniej. To cztery–sześć dni pracy; wyniki pokazują, gdzie firma leży, zanim zobaczy to kupujący.
Kupujący nie szuka idealnej firmy — szuka ryzyk, którymi obniży cenę. IT due diligence jest wdzięcznym terenem łowów, bo w MŚP prawie nikt nie prowadzi tego pod kątem adwersarialnego spojrzenia.