ITデューデリジェンスとは？M&Aの調査項目と売り手の備え方

M&Aで譲受企業が行うIT DDでは、基幹システムの老朽化やセキュリティ、ライセンス、IT費用まで細かく確かめられ、その結果が譲渡価格や契約条件を左右します。ITに詳しくないと不安な経営者に向けて、調査の目的と流れ、指摘されやすい問題、売却前に整えたい資料・名義・アカウントを支援現場の視点で解説。条件の悪化を防ぐ準備が分かります。

ITデューデリジェンスとは？M&Aで買い手がITを調べる理由

「うちはIT企業ではないから、ITの調査は関係ない」。会社売却を考え始めた社長から、よく聞く言葉です。ところが譲受企業が行うデューデリジェンス（DD）では、販売管理や会計のシステム、社内のパソコン、顧客情報の管理まで確認の対象になります。財務や法務と並ぶデューデリジェンスの種類の1つとして、IT分野の調査がどこまで及ぶのかを見ていきましょう。

ITデューデリジェンスの定義と調べる範囲

ITデューデリジェンス（IT DD、IT-DD）とは、M&Aの検討段階で譲受企業が対象会社のIT資産やシステム、運用体制、情報セキュリティを調べ、潜んでいるリスクと将来のコストを見積もる調査です。調べる範囲は、システムそのものにとどまりません。誰が保守しているのか、どんな契約で使っているのか、事故に備えた仕組みがあるのか。ITを支える体制ごと評価されると考えておいてください。

財務DDや法務DDとの役割分担

IT DDの結果は単独で使われるより、財務デューデリジェンスや法務デューデリジェンスなど、ほかの調査と突き合わせて譲渡価格や契約に反映されます。下表は、主なDDの種類ごとに、IT DDと重なりやすい論点を整理したものです。

DDの種類	主に確認する領域	IT DDと重なりやすい論点
財務DD	決算書の実態、正常な収益力、純資産	IT費用の水準、ソフトウェアの簿価、更新投資の必要額
税務DD	過去の申告の適正さ、追徴課税のリスク	電子取引データの保存、会計システムの運用
法務DD	契約、許認可、訴訟、法令の遵守状況	保守契約やクラウド規約の条項、個人情報の取扱い
人事・労務DD	労務管理、人事制度、キーパーソン	IT担当者の退職リスクと業務の引継ぎ
事業DD	市場環境、競争力、事業計画の妥当性	デジタル化による強み、統合後の業務効率

IT企業を譲り受ける場合との違い

本記事で扱うのは、製造業や卸売業、サービス業などで、自社の業務を支えるITを調べるケースです。ソフトウェアやITサービスそのものが商品である会社では、ソースコードの権利や開発体制、技術者の定着まで踏み込んだIT企業のデューデリジェンスが行われます。調べる深さがまるで違うため、自社がどちらに当たるかを意識しておくと、準備の的を絞れます。

中小企業のM&AでもIT DDの重みが増している背景

中小企業同士のM&Aでは、かつてITの調査を簡単な質問で済ませることも珍しくありませんでした。支援現場の実感としても、ここ数年でIT関連の質問は目に見えて細かくなっています。背景にあるのは、次の3つの変化です。

ランサムウェア被害の約6割は中小企業

警察庁の統計によると、2025年に報告されたランサムウェア（データを暗号化して金銭を要求するウイルス）の被害は226件で、被害企業の約6割を中小企業が占めました。復旧に総額1,000万円以上を要した組織も5割を超えています。対策の甘い会社を引き受けることは、この損失リスクごと抱え込むことにほかなりません。

サポート切れの機器とクラウド利用の広がり

Windows 10のサポートは2025年10月14日に終了しました。サポートが切れたOSのまま使い続けるパソコンは、攻撃の入り口になりやすい機器です。会計や勤怠、ファイル共有をクラウドで済ませる会社も増えました。どの契約が誰の名義で動いているのか、社長自身が把握しきれていない会社は少なくありません。

取引先から求められるセキュリティ水準の上昇

経済産業省は、取引先のセキュリティ対策を共通の基準で評価するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）について、2026年度末頃の制度開始を目指しています。大企業が委託先や子会社に一定の対策水準を求める流れは、今後も強まる方向です。対策の遅れは、譲受後に親会社が負担する改善コストとして織り込まれます。

企業買収をご検討の方へ 欲しい会社は、待っていても見つからない プロ・アクティブサーチで候補先を開拓 サービス詳細を見る →

買い手がIT DDで確かめたい3つの目的

譲受企業は、何のためにITを調べるのでしょうか。答えは「リスク探し」だけではありません。調査の結果は、取引をやめるか、いくらで譲り受けるか、譲受後にどう統合するかという3つの判断に使われます。

取引を止めかねない重大リスクの発見

最も重いのは、取引そのものを中止させかねない問題、いわゆるディール・ブレイカーです。大規模な情報漏えいを報告していない、業務の要となるシステムが近く止まる、無許諾のソフトウェアを大量に使っているといった事実が該当します。こうしたDDでの問題発覚が起きると、取引中止か条件変更かの判断を迫られます。

譲渡価格と契約条件への反映

見つかったリスクの多くは、取引を止めるほどではありません。代わりに、システム更新の費用を見積もって譲渡価格から差し引く、過去の事故がないことを最終契約で約束させる、といった形で反映されます。後者は表明保証と呼ばれ、違反があれば補償を求められる条項です。DD結果と企業価値の関係や表明保証条項の使われ方を知っておくと、交渉で慌てずに済みます。

譲受後のシステム統合計画の下準備

IT DDの結果が最も長く使われるのは、実は譲受後です。メールや会計、権限管理をいつ親会社とそろえるか、どのシステムを残すか。統合の段取りは、DDで見えた情報をもとに組み立てられます。中小企業庁の中小PMIガイドラインも、譲受後に取り組む管理機能の1つにITシステムを挙げています。PMIを見据えたDDが中小企業のM&Aでも欠かせない理由です。

ITデューデリジェンスの調査項目と買い手が求める資料

IT DDで届く質問は、一見ばらばらに見えて、実はいくつかの領域に収まります。本記事では調査領域を6つに分けて整理しました。譲受企業はこうした領域ごとにDDのチェックリストを作り、資料の提出を依頼してきます。下表は、領域ごとの主な確認内容と、求められやすい資料をまとめたものです。

調査領域	主な確認内容	求められやすい資料
IT資産・インフラ	基幹システム、PC・サーバー、ネットワーク、クラウドの構成と老朽化	システム構成図、IT資産台帳、ネットワーク図
運用体制・ベンダー	IT担当者の人数と役割、外部委託の範囲、属人化の程度	組織図、業務分担表、保守運用の手順書
セキュリティ・法令対応	対策の状況、過去のインシデント、個人情報の管理	セキュリティ規程、インシデントの記録、教育の実施記録
契約・ライセンス	保守契約やクラウド規約の条件、ライセンスの過不足	ベンダーとの契約書、ライセンス証書、利用規約の控え
ITコスト・投資	保守費や利用料の水準、先送りされた更新投資	IT関連費用の推移、更新計画、見積書
親和性・データ	譲受企業のシステムとの相性、データ移行の可否	データ項目の一覧、出力形式の資料、マスタの管理状況

IT資産とインフラの構成

最初に確認されるのは、会社のITが何で動き、どうつながっているかという全体像です。構成図が1枚あるだけで、その後の質疑はぐっと減ります。

基幹システムと業務アプリケーション

販売管理、生産管理、会計、給与・勤怠など、業務の中核を担うシステムについて、製品名、導入時期、自社向けの作り込みの程度を確認します。独自に開発したシステムは業務にぴったり合う反面、開発元しか直せない状態になりやすいもの。保守契約の期限や、製品のサポートがいつまで続くかも確認事項の1つ。

PC・サーバー・ネットワークとクラウド

パソコンやサーバーの台数、購入年、OSのバージョン、ネットワーク機器の構成が対象です。サポートが切れたOSや、耐用年数を大きく過ぎたサーバーは指摘を受けやすい部分です。クラウドサービスについては、契約中のサービスの一覧と、管理者権限を誰が持っているかが問われます。

運用体制と外部ベンダーへの依存度

システムそのものより、支える人と仕組みの弱さが問題になる場面も多くあります。中小企業では、総務の担当者がIT管理を兼ねる「ひとり情シス」の状態が珍しくありません。その人が辞めたら誰もパスワードを知らず、保守はベンダー任せで手順書もない会社も見かけます。こうした属人化は、人事・労務デューデリジェンスで見るキーパーソンの退職リスクと重なる論点です。

情報セキュリティと法令への対応

事故が起きてからでは取り返しがつかない分野だけに、譲受企業の質問が最も細かくなるのがセキュリティです。対策と事故の履歴、個人情報、契約とライセンスの3つの観点から確認されます。

セキュリティ対策と過去のインシデント

譲受企業は、今どんな対策を取っているかと、過去に何が起きたかを分けて確かめます。

技術面と運用面の対策

ウイルス対策ソフトやファイアウォールの導入状況、OSやソフトの更新、バックアップの取り方、パスワードと権限の管理が主な確認点です。仕組みがあっても、社員が使いこなせなければ効果は限られます。セキュリティ教育の実施状況や、社内規程が現場で守られているかまで質問が及ぶことも。

インシデントの履歴

ウイルス感染、メールの誤送信、パソコンの紛失、取引先を装った送金依頼など、過去の事故の有無と、その対応の記録が確認されます。見られるのは、事故の有無そのものより、原因を調べて再発防止策を打ったかどうか。記録が残っていない会社は意外と多く、質疑の場で答えに詰まる原因になります。

個人情報の管理と漏えい時の報告義務

顧客名簿や従業員のマイナンバーなど、個人情報をどこに保管し、誰がアクセスできるかが確認の対象です。個人情報保護法では、一定の漏えいが起きた場合に個人情報保護委員会への報告と本人への通知が義務づけられています。報告すべき事案を放置していた事実が見つかれば、表明保証違反のリスクとして重く扱われやすい論点です。

ソフトウェアライセンスと外部サービスの契約

ソフトの利用数に対してライセンスが足りているか、保守契約やクラウドの規約に、株主が変わった際の解約や通知を定めた条項（チェンジ・オブ・コントロール条項）がないかを確かめます。ライセンス違反は権利者から損害賠償を請求されるおそれがあり、知的財産デューデリジェンスと重なる領域です。契約条項は、法務DDの契約書レビューでも重ねて点検されます。

ITコストと将来の投資負担

譲受企業がいくらまで出せるかは、譲受後にITへいくらかかるかで変わります。見られるのは、今の費用と、これから必要になる費用の両方です。

現在の保守・運用コスト

ソフトの利用料、システムの保守費用、機器のリース料、通信費などを合計し、事業規模に見合う水準かを確認します。年間の総額を把握していない会社では、クレジットカードの明細や複数の勘定科目に散らばった支払いを拾い集めるところから始まります。小さな月額契約の積み重ねが、思わぬ金額になっていることも珍しくありません。

先送りされた更新投資

気をつけたいのは、機器やシステムの更新を先延ばしにして利益を出しているケースです。帳簿上の利益が、実力より高く見えてしまうため。譲受企業は本来かけるべき更新費用を試算し、正常な利益水準や今後の投資額を見直します。財務DDの設備投資分析と同じ発想で、IT投資の不足分が譲渡価格の調整材料になるわけです。

システムの親和性とデータ移行

譲受企業のシステムと統合しやすいか、データを移せるかも確かめられます。株式譲渡なら会社ごと引き継ぐため、当面は今のシステムを使い続けられるのが通常です。事業譲渡では契約やライセンスを個別に移す必要があり、移せないシステムも出てきます。株式譲渡と事業譲渡のどちらを選ぶかは、IT面の手間にも大きく響く要素です。

ITシナジーとデジタル化の強み

IT DDは減点探しの場と思われがちですが、加点材料が見つかる場でもあります。受発注が電子化され、データが整理され、クラウドで拠点がつながっている会社は、統合の手間が少なく、ライセンスの集約や業務の効率化も見込めます。事業デューデリジェンスで評価される競争力の一部として、ITの強みも言葉にしておきましょう。

IT DDの流れと売り手側の対応

IT DDは、譲受企業の側だけで進むものではありません。資料を出し、質問に答え、面談に臨むのは譲渡オーナーとその会社です。DD全体の進め方の中で、IT分野がたどるのはおおむね次の4段階。

初期調査と準備

譲受企業は最初に、譲受の目的と予算に合わせて調べる範囲を決めます。中小企業の案件では、IT専門の調査を立てずに、財務や法務の質問リストへIT項目を加える形も多く見られます。範囲が決まると、システム構成図やベンダーとの契約書を求める資料要求リストが届く流れ。情報を出すのは、秘密保持契約を結んだ後です。

データ収集と分析

資料がそろった後は、書面の分析と面談の2本立てです。

開示資料の書面調査

提出された構成図や契約書、IT費用の内訳を、譲受企業のIT部門や外部の専門家が読み込みます。資料同士の食い違いや説明の足りない箇所は、追加の質問リストとして戻ってきます。回答の期限は短いことが多いため、誰が答えるかを先に決めておくと安心です。

IT責任者へのマネジメントインタビュー

書面で見えない運用の実態は、面談で確かめられます。中小企業ではIT責任者を置いていないことも多く、社長や管理部門の責任者が応対するのが一般的です。

よく聞かれる質問

「障害が起きたら誰が直すのか」「パスワードは誰が管理しているのか」「この1年でトラブルはあったか」など、運用の現場に踏み込んだ質問が中心です。弱点は、数字や資料より、答えに詰まった箇所から浮かび上がります。想定問答を用意し、分からない点は後日回答とする段取りを決めておきましょう。

同席者の選び方

技術的な質問には、保守を担うベンダーの担当者が同席すると話が早く進みます。ただし、社外の人に売却の検討を伝えることになるため、ベンダーとも秘密保持の約束を交わし、伝える範囲を事前に絞っておくことが欠かせません。社内の担当者を呼ぶ場合も、同じ配慮が要ります。

リスク評価

集めた情報をもとに、リスクの重さと対応にかかる費用が算定されます。取引を止めるほどの問題か、価格で調整できるか、契約で手当てするか、譲受後に直せば足りるか。この仕分けこそ、その後の条件交渉の土台。指摘の多くは中間の2つに収まるため、過度に身構える必要はありません。

最終報告と意思決定

調査の結果は、リスクの一覧と推奨される対応、統合にかかる費用の見通しをまとめた報告書になります。譲受企業の経営陣はこのDD報告書をもとに、譲受の可否や価格、契約条件を最終判断する流れです。報告書そのものが譲渡オーナーに渡ることは通常なく、指摘の内容は条件の提示という形で伝わってきます。

期間と費用の考え方

IT DDは財務DDや法務DDと並行して進むのが一般的で、全体の日程の中に組み込まれます。費用は、調査を依頼する譲受企業が負担するのが通例です。譲渡オーナー側にかかるのは、資料の準備と質疑対応の時間。DDの費用負担の考え方を押さえつつ、社内で誰が窓口になるかを早めに決めておきましょう。

IT DDで指摘されやすい問題と交渉への影響

支援現場で見てきた限り、IT DDで指摘される問題には毎回似た顔ぶれが並びます。社長が面談で答えに詰まるのも、たいていは次のような論点。

想定外のシステム更新費用

基幹システムのサポート終了が近い、サーバーが耐用年数を大きく過ぎている、といった事実が見つかると、譲受企業は入れ替えにかかる費用をはじき出し、譲渡価格からの差し引きを持ちかけてきます。更新の時期を譲渡オーナー自身が把握し、見積を取っておけば、金額の妥当性を話し合う余地が生まれます。

レガシーシステムと保守を担う人の不在

よくある相談が、年商10億円前後の卸売業で、20年近く前に地元の開発会社が作った販売管理システム、いわゆるレガシーシステムを使い続けているケースです。保守できる技術者は1人だけで、仕様書も残っていません。業務は回っていても、譲受企業から見れば止まったら代わりのないシステムです。保守を続けるというベンダーの書面や操作手順の文書があるだけで、評価は大きく変わります。

社長個人に紐づくドメインやアカウント

支援現場で意外と多いのが、ホームページのドメインやクラウドの管理者アカウントが、社長個人の名義やメールアドレスで登録されているケースです。株式譲渡で株を渡しても、個人名義の契約は会社と一緒には移りません。ここが盲点。譲受後にメールやサイトが止まる事態を防ぐため、会社名義への移管がクロージング条件に加えられることもあります。

セキュリティの不備と過去の事故

バックアップがない、退職者のアカウントが残っている、感染の記録が曖昧。こうした不備は、譲受後の改善費用として価格や契約で手当てされます。過去の事故を伏せたまま契約し、後から発覚すれば、表明保証違反として補償を求められかねません。開示したうえで再発防止策を説明するほうが、結果として条件を守りやすくなります。

指摘事項が価格や契約に反映される形

下表は、IT DDで指摘されやすい事項ごとに、譲受企業の典型的な対応と、譲渡オーナー側で打てる手を整理したものです。

指摘されやすい事項	譲受企業の典型的な対応	譲渡オーナー側で打てる手
基幹システムの老朽化・サポート終了	更新費用を見積もり、譲渡価格から差し引く提案	更新計画と見積を事前に用意する
ライセンスの不足・無許諾利用	クロージング前の是正を条件にする	利用数を数え、購入か削除で解消する
過去の情報漏えいや感染	表明保証や特別な補償の対象にする	経緯と再発防止策をまとめて開示する
社長個人名義のドメイン・アカウント	会社名義への移管を前提条件にする	基本合意の前に名義変更を済ませる
特定の担当者・ベンダーへの依存	引継ぎへの協力や保守の継続を約束させる	手順書と保守契約を整えておく

売り手がIT DDの前に整えておきたいこと

IT DDへの備えで効くのは、高価なシステムより地味な整理です。資料をそろえ、名義と契約を片づけ、弱点を自分で把握しておくこと。それだけで質疑の負担も条件面の不利も小さくできます。譲渡オーナー側のDD準備のうちIT分野について、当社が支援現場で確認している項目を着手の目安とあわせて下表にまとめました。

準備の項目	具体的な作業	着手の目安
IT資産台帳	PC・サーバー・ネットワーク機器の台数、購入年、OSを一覧にする	売却の相談を始めたら
システム一覧	業務ごとのシステム名、開発元、保守会社、年間費用を整理する	売却の相談を始めたら
契約とライセンス	保守契約やクラウド規約の解約条件と、ライセンスの過不足を確認する	基本合意の前
名義とアカウント	社長個人名義の契約を会社名義へ移し、退職者のアカウントを削除する	基本合意の前
バックアップ	社内ネットワークから切り離した保管と、復元の試験を行う	できるだけ早く
セキュリティ自己診断	公的な診断ツールで弱点を把握し、改善の記録を残す	DDの開始前
インシデントの記録	過去の感染、誤送信、紛失の経緯と対応をまとめる	DDの開始前
IT費用の推移	直近3期のIT関連費用と、予定している更新投資を集計する	DDの開始前

システムと契約の全体像を一覧にする

台帳づくりは、詳しい担当者がいなくても進められます。保守ベンダーに機器とシステムの一覧を出してもらい、経理の支払いデータからIT関連の契約を拾えば、骨格はおおむねそろいます。途中で、使っていないのに払い続けている契約が見つかるのはよくある話。解約できるものを整理しておけば、費用の説明もすっきりします。

名義とアカウントを会社に寄せる

ドメイン、クラウドの管理者権限、ソフトの購入アカウントは、会社の代表アドレスと会社名義にそろえておきます。退職者のアカウントや全員で使い回しているパスワードも、この機会に整理したいところです。名義の変更は相手先の手続に時間がかかる場合もあるため、基本合意を待たずに着手しておくと安全です。

セキュリティを自己診断しておく

IPA（情報処理推進機構）が2026年3月に公開した中小企業の情報セキュリティ対策ガイドライン第4.0版には、質問に答えるだけで弱点が分かる「5分でできる！情報セキュリティ自社診断」が収録されています。最初に取り組む基本対策には「バックアップを取ろう！」も加わりました。診断結果と改善の記録は、そのままDDの回答資料として使えます。

税務・会計とつながるIT論点を確かめる

税理士法人グループとして支援していると、ITの論点が決算書や税務と結びつく場面によく出会います。財務DDや税務DDで指摘を受けやすい2点を押さえておきましょう。

使っていないシステムの簿価

自社で使うソフトウェアは税務上の耐用年数が5年とされ、取得価額を5年かけて償却するのが基本です。入れ替え前の旧システムや、利用をやめたソフトの簿価が残っていないでしょうか。財務DDでは資産価値のないものとして、純資産から差し引かれやすい項目です。顧問税理士と除却の可否を確認し、決算書を実態に近づけておくと、説明の手間が省けます。

電子取引データの保存ルール

メールやWebサイトで受け取った請求書や領収書などの電子取引データは、原則としてデータのまま保存するルールです。紙に印刷して保管するだけの運用が続いているなら、国税庁の電子帳簿等保存制度特設サイトで要件を確かめておきましょう。会計システムの運用は税務デューデリジェンスでも確認されるため、IT DDと同じ資料で説明できるようにしておくと効率的です。

開示のタイミングと社内への伝え方

IT資料の準備には、社内の担当者や保守ベンダーの協力が欠かせません。ただ、早い段階で売却の検討を広く知らせると、社員の動揺や情報の漏れにつながります。協力を頼む相手と伝える内容は最小限に絞り、開示は段階を踏んで進めるのが基本です。自社の弱点を先に洗い出すセルサイドデューデリジェンスを取り入れると、開示の順番も組み立てやすくなります。

ITデューデリジェンスに関するFAQ

売却を検討している経営者から、IT DDについてよく寄せられる質問を取り上げます。

ITデューデリジェンスの要点と売却前の備えのまとめ

ITデューデリジェンスでは、システムの構成や運用体制、セキュリティ、契約、IT費用が調べられ、結果は譲渡価格や契約条件、譲受後の統合に反映されます。ITに詳しくなくても、資料と名義を整え弱点を把握しておけば、落ち着いて調査に臨めます。

みつきコンサルティングは、税理士法人グループのM&A仲介会社です。中小企業M&Aの実績と経験が豊富な専門スタッフが、IT面を含むDDへの備えから条件交渉まで伴走します。会社売却やDDへの対応に不安があれば、お気軽にご相談ください。

完全成功報酬のM&A仲介会社なら、みつきコンサルティングへ ＞

みつきコンサルティングは、中小企業の会社売却・事業承継に特化した譲渡企業様に完全成功報酬制のM&A仲介会社です。売り手と買い手企業の最適なマッチングを、経験豊富なM&Aコンサルタントが初期相談から成約まで一貫してフルサポートします。