M&A前後のシステム調査とは、成立前に重大なITリスクと取引判断に必要な事実を確認し、成立後にシステムを止めずに管理・統合するための調査です。パソコンの台数やシステム名称だけでなく、コード、データ、契約、管理者権限、運用知識を取引後も利用・移管できるかを確認します。
本記事は技術面の一般的な確認項目をまとめたものです。取引条件、法務、会計、個人情報、知的財産の判断は、弁護士、公認会計士、税理士など各分野の専門家へ確認してください。
なぜM&AでIT調査が必要なのか
売上を支えるサービスや日常業務がシステムに依存している場合、取引成立後にそのシステムを維持できなければ、顧客対応、請求、受発注、在庫、会計、従業員業務が止まる可能性があります。
中小企業庁の中小PMIガイドラインも、M&A成立後の管理機能としてITシステムを扱い、ライセンス違反の抑止、情報セキュリティ対策、ITシステム管理方針の明確化を挙げています。成立後に初めて調べるのではなく、重要な不確実性は可能な範囲で事前に把握しておくことが大切です。
最初に作るIT資産一覧
事業システム
顧客向けサービス、基幹システム、販売、予約、受発注、在庫、請求、会計。
技術資産
ソースコード、データベース、クラウド、ドメイン、証明書、API、モバイルアプリ。
契約・アカウント
SaaS、ライセンス、保守契約、外部ベンダー、個人名義を含む管理者アカウント。
運用情報
リリース、バックアップ、監視、障害対応、問い合わせ、定期処理、担当者。
一覧には名称だけでなく、利用目的、責任者、契約者、費用、更新日、管理者、データの種類、停止時の影響を記載します。
確認したい7つの領域
1. 所有権と利用権
- ソースコード、設計資料、データの権利関係
- 外部ベンダーとの契約と成果物の範囲
- 利用中のOSS・商用ライセンス
- ドメイン、クラウド、アプリストアの契約名義
2. 管理者権限
- リポジトリ、クラウド、DNS、メール、SaaSの管理者
- 多要素認証と復旧手段
- 退職者・委託先アカウントの残存
- 個人メールや個人カードへの依存
3. システム構成と依存関係
- 画面、API、バッチ、DB、ストレージの関係
- 決済、認証、配送、会計など外部連携
- 本番・検証・開発環境の区別
- サポート終了が近い製品やバージョン
4. データ
- 個人情報、決済情報、機密情報の種類と保存場所
- バックアップ、復元、保持、削除の手順
- データを移行・出力できるか
- 同じ顧客や商品が複数システムに重複していないか
5. セキュリティと障害
- 脆弱性対応、監視、ログ、インシデント履歴
- 直近の障害と再発防止策
- 委託先を含むアクセス権限の管理
- 事業継続・災害復旧の手順と実施記録
6. 開発・運用体制
- 変更、レビュー、テスト、リリースの担当者
- 特定人物しか実行できない作業
- ベンダー交代時の引き継ぎ条件
- 未対応の不具合、技術的負債、開発予定
7. 費用と更新期限
- 月額・年額費用と従量課金
- 保守契約、証明書、ドメイン、ライセンスの更新日
- 統合後に重複するシステム
- 維持、移行、廃止に必要な概算費用
重要：「資料がない」こと自体も調査結果です。資料がない場合は、動いているコード、設定、ログ、契約情報、利用者へのヒアリングから現状を再構成し、確定事項と未確認事項を分けます。
優先順位は事業停止リスクから決める
すべてを同じ深さで調べる必要はありません。まず、売上、顧客提供、請求、法令対応、重要データに直接関係するシステムを選びます。そのうえで、代替手段がない、管理者が一人、契約名義が移せない、復元を試したことがない領域を優先します。
技術の新旧だけで危険度を決めないことも重要です。古い技術でも安定運用され、責任者、手順、復旧方法が明確なら、直ちに全面刷新が必要とは限りません。新しいクラウド構成でも、一人しか管理できなければ事業継続リスクがあります。
成立前と成立後で分けて進める
- 成立前：重大な不確実性を確認する所有権、契約移管、管理者権限、重要データ、重大障害、継続不能リスクを確認します。
- 初日まで：止めない準備をする連絡網、支払い、アカウント、証明書、ドメイン、監視、バックアップの継続を確保します。
- 成立後：詳細な現状把握を行うコード、データ、業務、運用を調査し、統合・維持・刷新・廃止の候補を分けます。
- PMI：管理方針を決める責任者、権限、セキュリティ基準、開発手順、ベンダー管理、投資計画を統一します。
- 段階的に統合する顧客や現場への影響を確認しながら、データと機能を小さな単位で移行します。
成立後30日・90日の実行計画
Day 1：継続を確保
管理者アカウント、支払い、監視、バックアップ、障害連絡網を確認し、事業を止めない状態をつくります。
30日：事実をそろえる
構成、契約、権限、データ、運用手順を整理し、重大リスクと未確認事項に責任者と期限を置きます。
90日：方針を決める
各システムを維持・統合・刷新・廃止に分類し、優先順位、概算費用、移行単位を経営判断へつなげます。
継続：小さく統合
一括移行を前提にせず、顧客や現場への影響を確認できる単位で変更し、記録を更新します。
調査結果に残すもの
- IT資産一覧とシステム構成図
- 重要システムごとの事業影響と責任者
- 契約・権限・更新期限の一覧
- データの種類、保存場所、移行可能性
- 重大リスク、根拠、追加確認事項
- 成立後30日・90日で行う対応
断定できない事項は、推測で埋めず「未確認」「確認方法」「確認期限」を記載します。M&Aの意思決定に使う資料では、分からない範囲を明確にすることも重要です。
既存システムの構造と依存関係を確認したい方へ
Poge Lensは、既存コードと関連情報を読み解き、機能、データ、外部連携、運用上の注意点を整理します。M&Aに関する法務・会計DDを代替するものではありませんが、技術面の現状把握と追加確認事項の整理に利用できます。成果物サンプルもご覧ください。
まとめ
M&A前後のIT調査では、システム名を並べるだけでなく、取引後も利用・管理・移管できるかを確認します。コード、データ、契約、権限、運用をつなげ、止まると事業へ影響する領域から調べることが大切です。成立後のPMIまで見据え、未確認事項を含めた現状を説明できる形にしておきましょう。