\u23f1 8 min de lecture<\/p>\n
Trois op\u00e9rations sur quatre dans le cadre de fusions et acquisitions (M&A) ne parviennent pas \u00e0 atteindre leurs objectifs de cr\u00e9ation de valeur – et la cause la plus fr\u00e9quente n\u2019est pas financi\u00e8re, mais bien li\u00e9e aux syst\u00e8mes informatiques. La due diligence num\u00e9rique analyse de mani\u00e8re syst\u00e9matique, avant la signature de l\u2019acte, l\u2019architecture IT, la dette technologique, la cybers\u00e9curit\u00e9 et la qualit\u00e9 des donn\u00e9es. Celui qui omet ce volet travaille \u00e0 l\u2019aveugle.<\/strong><\/p>\n L\u2019histoire des d\u00e9sastres M&A ressemble \u00e0 un manuel illustrant les cons\u00e9quences d\u2019une due diligence IT n\u00e9glig\u00e9e. Hewlett-Packard a acquis en 2011 l\u2019\u00e9diteur britannique de logiciels Autonomy pour 11,1 milliards de dollars am\u00e9ricains<\/a> – puis a proc\u00e9d\u00e9 \u00e0 une d\u00e9pr\u00e9ciation comptable de 8,8 milliards de dollars un an plus tard. La due diligence avait certes examin\u00e9 les aspects financiers, mais n\u2019avait pas suffisamment interrog\u00e9 la substance technologique de la plateforme.<\/p>\n Un sc\u00e9nario similaire s\u2019est produit lors de l\u2019acquisition de Nokia par Microsoft en 2013<\/a> : un prix d\u2019achat de 7,6 milliards de dollars, suivi d\u2019une d\u00e9pr\u00e9ciation de 7,6 milliards de dollars. L\u2019\u00e9cosyst\u00e8me smartphone n\u2019\u00e9tait technologiquement pas comp\u00e9titif – une conclusion qu\u2019une due diligence technique approfondie aurait d\u00fb permettre d\u2019\u00e9tablir. Enfin, Broadcom fait face depuis 2023 \u00e0 des difficult\u00e9s d\u2019int\u00e9gration, \u00e0 des r\u00e9siliations de contrats clients et \u00e0 des hausses de co\u00fbts de licence allant jusqu\u2019\u00e0 400 %, suite \u00e0 son acquisition de VMware pour 69 milliards de dollars.<\/p>\n Ce que ces cas ont en commun : les finances avaient \u00e9t\u00e9 v\u00e9rifi\u00e9es, mais pas la technologie. C\u2019est pr\u00e9cis\u00e9ment cette lacune que comble la due diligence num\u00e9rique.<\/p>\n McKinsey<\/a>, Bain<\/a> et BCG<\/a> aboutissent depuis des ann\u00e9es \u00e0 des conclusions similaires : 70 \u00e0 90 % de toutes les transactions M&A ne parviennent pas \u00e0 g\u00e9n\u00e9rer la valeur escompt\u00e9e. La fourchette varie selon les \u00e9tudes et la d\u00e9finition retenue pour \u00ab succ\u00e8s \u00bb, mais l\u2019ordre de grandeur reste coh\u00e9rent.<\/p>\n Ce que ces analyses occultent souvent : la cause n\u2019est presque jamais l\u2019\u00e9valuation financi\u00e8re. Selon une \u00e9tude M&A de Deloitte<\/a>, les int\u00e9grations \u00e9chouent le plus fr\u00e9quemment en raison de diff\u00e9rences culturelles et d\u2019incompatibilit\u00e9s technologiques. Lorsqu\u2019un rapprochement entre deux entreprises intervient, il faut consolider les syst\u00e8mes ERP, migrer les bases de donn\u00e9es CRM, fusionner les r\u00e9seaux et harmoniser les architectures de s\u00e9curit\u00e9. Chacun de ces projets peut prendre de 12 \u00e0 24 mois – et si aucune planification pr\u00e9alable n\u2019a \u00e9t\u00e9 effectu\u00e9e, ce d\u00e9lai peut facilement doubler.<\/p>\n La due diligence financi\u00e8re identifie les risques figurant au bilan. La due diligence juridique met en lumi\u00e8re les \u00e9cueils r\u00e9glementaires. Mais qui d\u00e9tecte les bombes \u00e0 retardement technologiques ? Dans la plupart des transactions : personne.<\/p>\n \n \u00ab La technologie constitue le grand risque cach\u00e9 dans les op\u00e9rations M&A. La due diligence financi\u00e8re vous indique ce qu\u2019une entreprise a gagn\u00e9 hier. La due diligence technologique vous dit si elle sera capable de g\u00e9n\u00e9rer quoi que ce soit demain.\u00bb Une due diligence num\u00e9rique professionnelle examine six dimensions – chacune d\u2019entre elles pouvant devenir un facteur d\u2019\u00e9chec de la transaction :<\/p>\n 1. Architecture IT et capacit\u00e9 d\u2019extension.<\/strong> Monolithique ou microservices ? Nativement cloud ou h\u00e9rit\u00e9e ? Document\u00e9e ou fond\u00e9e sur des savoirs tacites ? L\u2019architecture d\u00e9termine la rapidit\u00e9 et le co\u00fbt d\u2019une int\u00e9gration. Une pile bien document\u00e9e, bas\u00e9e sur des API, peut \u00eatre int\u00e9gr\u00e9e en quelques mois. Un monolithe non document\u00e9 mobilise pendant des ann\u00e9es une \u00e9quipe enti\u00e8re de d\u00e9veloppeurs.<\/p>\n 2. Dette technologique.<\/strong> Cadres obsol\u00e8tes, syst\u00e8mes non mis \u00e0 jour, tests absents, fragments de code dupliqu\u00e9s sans plan de maintenance. McKinsey Digital chiffre la surcharge li\u00e9e \u00e0 la dette technologique \u00e0 10 \u00e0 20 % par projet IT. Dans les cibles d\u2019acquisition, ce taux est souvent nettement sup\u00e9rieur<\/a>, car la dette technologique est souvent volontairement dissimul\u00e9e. L\u2019Software Improvement Group<\/a> a constat\u00e9, dans une analyse portant sur 531 projets M&A, que 31 % des bases de code acquises pr\u00e9sentaient une dette technologique s\u00e9v\u00e8re.<\/p>\n 3. Maturit\u00e9 en cybers\u00e9curit\u00e9.<\/strong> Des tests d\u2019intrusion ont-ils \u00e9t\u00e9 r\u00e9alis\u00e9s ? Existe-t-il un plan de r\u00e9ponse aux incidents ? La chiffrement de bout en bout est-il mis en \u0153uvre ? Depuis l\u2019entr\u00e9e en vigueur des r\u00e9glementations NIS2 et DORA<\/a>, les failles de s\u00e9curit\u00e9 au sein de la cible d\u2019acquisition ne constituent plus seulement un risque op\u00e9rationnel, mais aussi un risque r\u00e9glementaire. Une violation de donn\u00e9es survenant apr\u00e8s l\u2019acquisition retombe sur l\u2019acheteur.<\/p>\n 4. Qualit\u00e9 des donn\u00e9es et conformit\u00e9.<\/strong> Propret\u00e9 des donn\u00e9es clients, conformit\u00e9 au R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD), portabilit\u00e9 des donn\u00e9es. En reprenant des donn\u00e9es clients, on reprend \u00e9galement la responsabilit\u00e9 l\u00e9gale qui y est attach\u00e9e. L\u2019absence de m\u00e9canismes de suppression ou des flux de donn\u00e9es non document\u00e9s vers des tiers peuvent entra\u00eener des amendes.<\/p>\n 5. \u00c9quipe et r\u00e9partition des savoirs.<\/strong> Les d\u00e9pendances vis-\u00e0-vis de personnes cl\u00e9s constituent le risque le plus sous-estim\u00e9. Si trois personnes d\u00e9tiennent 80 % des connaissances syst\u00e8me, chaque d\u00e9part devient une crise. La due diligence doit clarifier : combien d\u2019employ\u00e9s sont indispensables, quels sont leurs motifs de fid\u00e9lisation, et \u00e0 quelle vitesse pourrait-on les remplacer ?<\/p>\n 6. D\u00e9pendances vis-\u00e0-vis des fournisseurs.<\/strong> Plateformes propri\u00e9taires, clauses de changement de propri\u00e9t\u00e9 dans les contrats SaaS, co\u00fbts de licence tripl\u00e9s en cas de changement de propri\u00e9taire. Des \u00e9diteurs tels qu\u2019Oracle ou SAP incluent syst\u00e9matiquement de telles clauses – celui qui ne les v\u00e9rifie pas s\u2019expose \u00e0 des surprises co\u00fbteuses.<\/p>\n Signal d\u2019alerte n\u00b01 : Absence de documentation.<\/strong> Si l\u2019architecture n\u2019existe que dans la t\u00eate de certains employ\u00e9s, toute planification d\u2019int\u00e9gration rel\u00e8ve de la sp\u00e9culation. En pratique, cela signifie que l\u2019\u00e9quipe de l\u2019acheteur devra investir plusieurs mois uniquement pour comprendre ce qu\u2019elle a achet\u00e9 – avant m\u00eame de pouvoir entamer la moindre int\u00e9gration.<\/p>\n Signal d\u2019alerte n\u00b02 : Absence de tests automatis\u00e9s.<\/strong> L\u2019absence de tests signifie que chaque modification est une op\u00e9ration aveugle. Or, l\u2019int\u00e9gration implique des modifications – aux interfaces, aux mod\u00e8les de donn\u00e9es, aux m\u00e9canismes d\u2019authentification. Sans couverture de tests, chaque adaptation devient un jeu de roulette avec la stabilit\u00e9 de la production.<\/p>\n Signal d\u2019alerte n\u00b03 : D\u00e9veloppement interne monolithique reposant sur une technologie obsol\u00e8te.<\/strong> PHP 5.6, .NET Framework 2.0, Java 6 – de tels environnements sont plus courants qu\u2019on ne le pense. Ils immobilisent des ressources de d\u00e9veloppement pendant des ann\u00e9es, uniquement pour la maintenance. Une migration vers des technologies modernes est souvent plus co\u00fbteuse qu\u2019un d\u00e9veloppement enti\u00e8rement nouveau.<\/p>\n Chaque signal d\u2019alerte isol\u00e9 devrait conduire \u00e0 une r\u00e9vision \u00e0 la baisse du prix d\u2019achat. L\u2019ensemble des trois signaux constitue un motif d\u2019abandon de la transaction – ou exige une r\u00e9\u00e9valuation fondamentale du business case d\u2019int\u00e9gration.<\/p>\n Phase 1 : Avant la signature.<\/strong> La due diligence num\u00e9rique quantifie les co\u00fbts d\u2019int\u00e9gration. Il convient de r\u00e9server au minimum 5 \u00e0 15 % du prix d\u2019acquisition pour l\u2019int\u00e9gration IT – en tant que poste budg\u00e9taire distinct, et non comme simple sous-poste du budget op\u00e9rationnel. Le Directeur des syst\u00e8mes d\u2019information (DSI)<\/a> doit si\u00e9ger d\u00e8s le premier jour au sein de l\u2019\u00e9quipe charg\u00e9e de la transaction, et non \u00eatre inform\u00e9 uniquement apr\u00e8s la cl\u00f4ture.<\/p>\n Phase 2 : Entre la signature et la cl\u00f4ture.<\/strong> \u00c9laborer une feuille de route d\u2019int\u00e9gration d\u00e9taill\u00e9e : quels syst\u00e8mes seront consolid\u00e9s, quels syst\u00e8mes continueront \u00e0 fonctionner en parall\u00e8le ? Le DSI de l\u2019acheteur collabore directement avec l\u2019\u00e9quipe technique de la cible d\u2019acquisition. Identifier les risques critiques li\u00e9s aux ressources humaines et \u00e9laborer des packages de fid\u00e9lisation – avant le \u00ab Jour un \u00bb, et non apr\u00e8s.<\/p>\n Phase 3 : Premiers 100 jours.<\/strong> Mettre en \u0153uvre rapidement des mesures de s\u00e9curit\u00e9 : segmentation du r\u00e9seau, consolidation des droits d\u2019acc\u00e8s, harmonisation des plans de r\u00e9ponse aux incidents. Puis stabiliser. \u00c9viter tout remplacement pr\u00e9cipit\u00e9 de la plateforme. La r\u00e8gle d\u2019or : \u00ab Acqu\u00e9rir pour cr\u00e9er de la valeur, pas pour acc\u00e9l\u00e9rer l\u2019int\u00e9gration. \u00bb<\/strong> Celui qui modifie la plateforme durant les 100 premiers jours d\u00e9stabilise pr\u00e9cis\u00e9ment ce pour quoi il a pay\u00e9.<\/p>\n Une due diligence num\u00e9rique professionnelle co\u00fbte entre 30 000 et 150 000 euros – selon la complexit\u00e9 du paysage IT de la cible d\u2019acquisition. Dans le cadre d\u2019une op\u00e9ration \u00e0 trois chiffres en millions d\u2019euros, cela repr\u00e9sente 0,1 \u00e0 0,3 % du prix d\u2019acquisition.<\/p>\n Ce qu\u2019elle \u00e9vite : des co\u00fbts d\u2019int\u00e9gration d\u00e9passant largement le budget pr\u00e9vu, des violations de s\u00e9curit\u00e9 entra\u00eenant des pertes de plusieurs millions d\u2019euros, des d\u00e9parts de personnes cl\u00e9s retardant les projets de plusieurs ann\u00e9es, et des risques r\u00e9glementaires d\u00e9coulant de lacunes de conformit\u00e9 reprises avec l\u2019acquisition. Le retour sur investissement (ROI) d\u2019une due diligence num\u00e9rique est g\u00e9n\u00e9ralement de 10:1 ou plus.<\/p>\n L\u2019alternative – acheter sans v\u00e9rification technique – revient \u00e0 acqu\u00e9rir une maison sans expertise structurelle. La fa\u00e7ade peut briller, mais les canalisations situ\u00e9es derri\u00e8re racontent une autre histoire.<\/p>\n Entre 30 000 et 150 000 euros pour des op\u00e9rations allant de deux \u00e0 trois chiffres en millions d\u2019euros – soit 0,1 \u00e0 0,3 % du prix d\u2019acquisition. M\u00eame pour des acquisitions plus modestes (5 \u00e0 20 millions d\u2019euros), un audit technique pragmatique \u00e0 hauteur de 10 000 \u00e0 20 000 euros se justifie pleinement. Les surprises les plus fr\u00e9quentes – d\u00e9pendances non document\u00e9es, contrats de licence arrivant \u00e0 \u00e9ch\u00e9ance avec des clauses de changement de propri\u00e9t\u00e9, absence de conformit\u00e9 RGPD – surviennent ind\u00e9pendamment de la taille de l\u2019op\u00e9ration.<\/p>\n<\/details>\n De deux \u00e0 quatre semaines, lorsque l\u2019espace de donn\u00e9es est bien pr\u00e9par\u00e9 et que la cible coop\u00e8re. Pour des paysages IT complexes comportant plusieurs syst\u00e8mes, plusieurs sites ou des \u00e9quipes r\u00e9parties internationalement, cela peut aller jusqu\u2019\u00e0 six semaines. Le facteur critique n\u2019est pas l\u2019analyse elle-m\u00eame, mais l\u2019acc\u00e8s aux informations : si la cible fournit les donn\u00e9es avec r\u00e9ticence, tout prend plus de temps – et cela constitue en soi un signal d\u2019alerte.<\/p>\n<\/details>\n Pas automatiquement. Les signaux d\u2019alerte constituent d\u2019abord des leviers de n\u00e9gociation : r\u00e9duction du prix d\u2019achat, provisions pour les co\u00fbts d\u2019int\u00e9gration, garanties techniques dans le contrat d\u2019acquisition (\u00ab Representations & Warranties \u00bb), ou comptes bloqu\u00e9s (escrow) destin\u00e9s \u00e0 couvrir les risques IT ult\u00e9rieurs. On recommande de renoncer \u00e0 l\u2019op\u00e9ration uniquement si les co\u00fbts d\u2019int\u00e9gration estim\u00e9s d\u00e9passent la valeur strat\u00e9gique de l\u2019acquisition – ou si la cible refuse de coop\u00e9rer \u00e0 la v\u00e9rification technique.<\/p>\n<\/details>\n Des cabinets de conseil sp\u00e9cialis\u00e9s tels que McKinsey Digital, Bain, BCG, EY-Parthenon ou des boutiques sp\u00e9cialis\u00e9es en due diligence technologique. L\u2019essentiel est que l\u2019\u00e9quipe dispose \u00e0 la fois d\u2019une exp\u00e9rience en M&A et d\u2019une expertise technique approfondie. Une \u00e9quipe purement strat\u00e9gique ne d\u00e9tectera pas les risques architecturaux, tandis qu\u2019une \u00e9quipe purement IT ne saura pas traduire ces risques en impact sur la transaction. Les meilleures \u00e9quipes associent des CTO exp\u00e9riment\u00e9s \u00e0 des sp\u00e9cialistes de l\u2019advisory transactionnel.<\/p>\n<\/details>\n Les outils d\u2019analyse de code assist\u00e9s par IA permettent aujourd\u2019hui d\u2019identifier les dettes technologiques et les risques architecturaux nettement plus rapidement que les revues manuelles. Des analyses automatis\u00e9es d\u00e9tectent en quelques heures – plut\u00f4t qu\u2019en plusieurs semaines – les d\u00e9pendances obsol\u00e8tes, les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 et les probl\u00e8mes de qualit\u00e9 de code. Toutefois, l\u2019\u00e9valuation strat\u00e9gique – dans quelle mesure les r\u00e9sultats affectent-ils la valeur de la transaction ? – reste une t\u00e2che humaine. L\u2019IA acc\u00e9l\u00e8re l\u2019analyse, mais ne remplace pas le jugement.<\/p>\n<\/details>\n<\/div>\n Source de l’image : Unsplash \/ Sebastian Herrmann<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" \u23f1 8 min de lecture Trois op\u00e9rations sur quatre dans le cadre de fusions et acquisitions (M&A) ne parviennent pas \u00e0 atteindre leurs objectifs de cr\u00e9ation de valeur – et la cause la plus fr\u00e9quente n\u2019est pas financi\u00e8re, mais bien li\u00e9e aux syst\u00e8mes informatiques. La due diligence num\u00e9rique analyse de mani\u00e8re syst\u00e9matique, avant la signature […]<\/p>\n","protected":false},"author":114,"featured_media":15524,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"due diligence num\u00e9rique","_yoast_wpseo_title":"Due diligence num\u00e9rique : S\u00e9curiser vos op\u00e9rations de reprise","_yoast_wpseo_metadesc":"Due diligence num\u00e9rique : \u00e9vitez les \u00e9checs en M&A gr\u00e2ce \u00e0 une analyse IT approfondie. D\u00e9couvrez les pi\u00e8ges et agissez maintenant.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[705,680],"tags":[1104],"class_list":["post-14876","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite","category-infrastructure-tic","tag-digitalization-fr","entry"],"wpml_language":"fr","wpml_translation_of":11784,"yoast_head":"\nL’essentiel<\/h2>\n
\n
\nLorsque la v\u00e9rification IT est absente : trois cas r\u00e9els<\/h2>\n
Le pi\u00e8ge des 70 % : pourquoi les op\u00e9rations M&A \u00e9chouent \u00e0 cause des syst\u00e8mes informatiques<\/h2>\n
\n
\n – Andy West<\/strong>, Associ\u00e9 principal, McKinsey & Company (McKinsey M&A Insights, 2024)<\/cite>\n<\/p>\n<\/blockquote>\nCe que v\u00e9rifie la due diligence num\u00e9rique : six dimensions<\/h2>\n
Identifier les signaux d\u2019alerte – et les \u00e9valuer correctement<\/h2>\n
Planifier l\u2019int\u00e9gration avant la signature<\/h2>\n
Ce que co\u00fbte une due diligence num\u00e9rique – et ce qu\u2019elle \u00e9vite<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Quel est le co\u00fbt d\u2019une due diligence num\u00e9rique, et est-ce pertinent pour les petites op\u00e9rations ?<\/strong><\/summary>\n
Combien de temps prend une due diligence num\u00e9rique ?<\/strong><\/summary>\n
Faut-il renoncer \u00e0 la transaction en pr\u00e9sence de signaux d\u2019alerte ?<\/strong><\/summary>\n
Qui r\u00e9alise une due diligence num\u00e9rique ?<\/strong><\/summary>\n
Comment l\u2019intelligence artificielle transforme-t-elle la due diligence num\u00e9rique ?<\/strong><\/summary>\n
Lectures compl\u00e9mentaires sur le r\u00e9seau<\/h2>\n
\n