M&A前のITデューデリジェンス ― 買い手が見落としがちな5つのリスクとチェックリスト
M&Aの成否を左右する要素の一つに「ITデューデリジェンス（IT DD）」があります。財務や法務のデューデリジェンスに比べて軽視されがちですが、IT環境の調査不足がPMI（Post-Merger Integration）の遅延やコスト超過を招くケースは少なくありません。
「買収後にIT環境を統合しようとしたら、想定外の技術的負債が見つかり、統合コストが当初計画の3倍に膨らんだ」。こうした事例は珍しくないのです。
本記事では、M&AにおけるITデューデリジェンスで買い手が見落としがちな5つのリスクと、実務で使えるチェックリストを解説します。
リスク1：ライセンスの不正使用・管理不備
対象企業のソフトウェアライセンスが適切に管理されているかは、ITデューデリジェンスの最重要チェック項目です。
ボリュームライセンスの契約数と実際のインストール数に乖離がある、個人名義のアカウントで企業の業務システムを運用している、ライセンス契約が特定のベンダー担当者との口約束ベースになっている。こうした問題が買収後に発覚すると、ライセンスの追加購入費用や、場合によっては過去の不正使用に対するペナルティが発生します。
チェック項目：ソフトウェアライセンス台帳の存在、ライセンス数と実インストール数の突合、ボリュームライセンス契約の内容確認、SaaSの契約名義と支払い方法。
リスク2：セキュリティ体制の脆弱性
対象企業のセキュリティ体制が脆弱な場合、買収後にその脆弱性が自社のネットワークにも波及するリスクがあります。
パスワードポリシーが設定されていない、MFA（多要素認証）が未導入、エンドポイントセキュリティ（EDR）が導入されていない、パッチ適用が遅れている。これらはいずれも「買収後すぐに手を打たなければならない」緊急課題です。
特に注意すべきは、過去のセキュリティインシデントの履歴です。情報漏洩やランサムウェア被害の履歴がある場合、その影響が現在も続いている可能性があります。
チェック項目：セキュリティポリシーの文書化状況、MFAの導入率、EDR/ウイルス対策の導入状況、パッチ適用の運用状況、過去のインシデント履歴。
リスク3：技術的負債の蓄積
オンプレミスのサーバーがWindows Server 2012で動いている、社内システムが10年前に作られたAccessデータベースに依存している、ネットワーク機器のファームウェアが何年も更新されていない。こうした「技術的負債」は、外から見えにくいにもかかわらず、統合後に大きなコストとなって顕在化します。
技術的負債の解消費用は、M&Aの投資判断に織り込むべきコストです。事前に把握しておくことで、買収価格の交渉材料にもなります。
チェック項目：サーバーOS・ミドルウェアのバージョン一覧、ネットワーク機器の型番と導入年、カスタム開発されたシステムの一覧と保守状況、EOL（End of Life）を迎えている製品の有無。
リスク4：IT人材とナレッジの偏在
対象企業のIT環境が特定の一人に依存している（ひとり情シス）場合、その人材がM&A後に退職するリスクは極めて高いです。キーパーソンの退職によって、IT環境の運用が立ち行かなくなるケースは実際に多く発生しています。
ドキュメントの整備状況、運用手順書の有無、管理者アカウント情報の共有状態を確認し、キーパーソンのリテンション（引き留め）策をPMI計画に織り込んでおくことが重要です。
チェック項目：IT担当者の人数と役割分担、運用手順書・ネットワーク構成図の整備状況、管理者アカウント情報の管理方法、キーパーソンの退職リスク評価。
リスク5：契約・ベンダーの引き継ぎ問題
IT関連の契約（回線、保守、クラウドサービス）が対象企業の代表者個人や特定の担当者に紐づいている場合、M&A後の契約継続に問題が生じる可能性があります。
また、ベンダーとの関係性が属人的で、契約書ベースではなく「担当者同士の信頼関係」で運用されている場合、M&A後にそのベンダーとの関係が崩れるリスクもあります。
チェック項目：IT関連契約の一覧（回線、保守、SaaS、ライセンス）、契約名義と支払い方法、契約の譲渡・名義変更に関する条項、主要ベンダーとの関係性と担当者。
ITデューデリジェンスの進め方
ITデューデリジェンスは、以下のステップで進めるのが一般的です。
ステップ1：情報要求リスト（RFI）の送付。対象企業に対して、IT環境に関する情報の提出を求めます。上記のチェック項目をベースにRFIを作成します。
ステップ2：提出資料のレビュー。提出された資料を専門家がレビューし、リスクと課題を洗い出します。
ステップ3：インタビューと現地調査。資料だけでは分からない実態を把握するため、対象企業のIT担当者へのインタビューと、可能であればサーバールームやネットワーク環境の現地調査を行います。
ステップ4：リスク評価とPMI計画への反映。発見されたリスクを「統合コストへの影響」と「事業継続への影響」の2軸で評価し、PMI計画に反映します。
まとめ
ITデューデリジェンスは「やれば安心」ではなく、発見されたリスクをPMI計画にどう反映するかが重要です。ライセンス不備、セキュリティ脆弱性、技術的負債、人材依存、契約問題の5つのリスクを体系的にチェックすることで、M&A後の想定外を最小限に抑えられます。
情シス365では、M&AにおけるITデューデリジェンスからPMI支援まで、一貫したサポートを提供しています。IT面でのM&A支援については、お気軽にご相談ください。
まとめ・ご相談
M&A後のIT統合やテナント移行をご検討の方は、Project365（ITプロジェクト支援・IT PMI）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。