Résumé pour les pressés
- L’IT est le parent pauvre de la due diligence – sauf quand la cible est un éditeur de logiciels, où l’audit du code est souvent automatique.
- Un parc vieillissant se chiffre : 500 PC de plus de 10 ans → plus de 500 000 € de renouvellement à prévoir à court ou moyen terme.
- Les vrais risques ne sont pas dans le bilan : EDR absent, Wifi invité connecté au VLAN serveurs, BYOD non maîtrisé, shadow IT via des agents IA ,sauvegardes jamais testées.
- Un serveur physique en agence sans sauvegarde : le risque le plus sous-estimé dans les ETI multi-sites.
- Un audit générique liste des risques. Une due diligence IT les chiffre et les transforme en argument de négociation.
- Plus la mission démarre tôt dans le processus, plus elle pèse sur le prix d’acquisition – après le closing, elle ne sert plus qu’à planifier l’intégration.
Finance et légal (juridique, fiscal et social) : personne ne rachète une entreprise sans au minimum ces deux audits. Un Expert-comptable ou un cabinet de TS, un cabinet d’avocats – deux rapports, deux signatures, zéro surprise post-closing sur ces volets-là.
L’IT ? Souvent une checklist de dix questions posées au DAF pendant le management call. → Dix minutes pour un système qui fait tourner toute l’entreprise.
Il y a une exception : les éditeurs de logiciels. Là, l’audit de code et la revue de dette technique sont un réflexe pour tous les fonds tech. Personne n’achèterait une éditeur SaaS sans regarder ce qu’il y a sous le capot.
Mais pour une PME de négoce, une entreprise de services ou industrielle, une société de négoce ou du BTP ? Le SI n’est pas le produit vendu, il fait juste tourner la boîte. Résultat : on le regarde à peine – et c’est précisément là qu’on peut trouver des mauvaises surprises. 30% des PC à renouveler dans les 18 mois. Une sauvegarde qui ne restaure aucune donnée. Un accès administrateur partagé entre douze comptes, dont trois appartiennent à des gens qui ont quitté l’entreprise depuis deux ans…
Le cas d’école : rachat d’une ETI de BTP de 500 personnes
Prenons un exemple concret, représentatif de ce qu’on croise régulièrement en due diligence : un fonds mid-cap rachète une ETI du BTP, 500 salariés, plusieurs agences en région.
Le juridique relève quelques points, mais aucun deal breaker. Les comptes sont audités et certifiés depuis dix ans. Le RH a une convention collective claire. → Sur le papier, tout est propre.
Mais personne n’a ouvert la salle serveurs.
Le parc informatique de cette entreprise a plus de 5 ans d’âge moyen. Des PC achetés par vagues, jamais renouvelés à un rythme cohérent, parce que « ça marche encore ». Sauf que dans un audit IT sérieux, ça ne marche pas : lenteurs, plantages, systèmes d’exploitation en fin de support, garanties constructeur expirées depuis des années. Pas de politique de Sauvegarde et pas d’EDR en place.
Le calcul est simple :
- 500 postes de travail avec une estimation de renouvellement d’environ 30% du parc par an
- coût de renouvellement moyen : au minimum 1 000 € par poste (matériel + déploiement)
- → 166 000 € minimum de budget à prévoir par an sur 36 mois
- La mise en place d’une sauvegarde à distance, estimation 20 à 30 To de données
- → 50 000 € minimum de budget à prévoir par an
- La mise en place d’un EDR (couverture de sécurité informatique minimum) pour les 500 postes pour 3 ans de couverture
- → 20 000 € minimum de budget par an
Soit un total de 236 000 €, à prévoir à court terme ! C’est un chiffre qui mérite d’entrer dans la négociation. Pas parce qu’il est énorme dans l’absolu – 236 000 € sur une acquisition à plusieurs millions €, ce n’est pas ce qui ferait capoter le deal. Souvent personne ne l’avait anticipé. Ce budget n’était dans aucun business plan, dans aucune data room, dans aucune projection de trésorerie post-acquisition.
→ Un acheteur qui découvre ça après le closing l’encaisse sur ses fonds propres.
→ Un acheteur qui le découvre avant peut le mettre sur la table : baisse de prix, earn-out conditionné, ou clause de garantie de passif spécifique IT.
C’est toute la différence entre auditer avant et découvrir après.
Les risques sécurité qu’un audit financier ou juridique ne voit jamais
Un expert-comptable ne va pas tester le Wifi invité. Un avocat ne va pas vérifier si le shadow IT expose les données clients. Ce sont des risques invisibles pour les due diligences classiques – et pourtant, ce sont souvent les plus coûteux à retardement.
EDR absent ou obsolète
Beaucoup de PME hors tech tournent encore avec un antivirus basique, hérité d’un contrat signé il y a plusieurs années. Pas d’EDR (Endpoint Detection & Response), pas de détection comportementale.
→ La différence se joue en temps de réaction : quelques minutes pour détecter une intrusion avec un EDR moderne, contre plusieurs jours – voire des semaines – avec un antivirus classique. Le temps nécessaire à un attaquant de rester discret dans le réseau pour tout chiffrer ou tout exfiltrer.
Sécurité Wifi et réseau : le classique du réseau plat
C’est l’un des scénarios les plus fréquents dans les PME/ETI : un réseau qui n’est pas segmenté. Le Wifi invité, censé être isolé pour les visiteurs, se retrouve connecté au même VLAN que les serveurs métier.
Concrètement : n’importe quel visiteur, client ou sous-traitant qui se connecte au Wifi de l’accueil peut, en théorie, atteindre le serveur qui héberge la compta et les données RH. Personne ne l’a fait exprès – c’est juste que le réseau n’a jamais été repensé depuis son installation initiale.
BYOD non maîtrisé
Les commerciaux, les chefs de chantier, les cadres terrain : dans beaucoup de PME/ETI, ils accèdent à la messagerie professionnelle ou au CRM depuis leur téléphone personnel. Sans MDM (Mobile Device Management), sans chiffrement imposé, sans possibilité d’effacer les données à distance en cas de perte ou de vol.
→ Un téléphone perso qui traîne dans un taxi, c’est potentiellement des mails confidentiels ou le fichier client qui traînent avec lui.→ Un collaborateur qui quitte l’entreprise garde son téléphone perso et potentiellement des données de l’entreprise qui y sont stockées…
Shadow IT : l’IA générative sans garde-fou
C’est le risque qui a explosé ces deux dernières années. Des équipes entières utilisent des IA génératives pour rédiger des devis, résumer des contrats, préparer des réponses à appel d’offres – en y collant des documents sensibles, parfois des données clients.
Aucune validation par la DSI. Aucun contrat de traitement de données pour l’encadrer. → Ces documents sortent de l’entreprise, transitent par des serveurs tiers, sans qu’on sache exactement où ni pour combien de temps.
Absence de sauvegarde testée : le risque qui bloque l’activité
C’est le point le plus critique, et le plus négligé. La question à poser n’est pas « avez-vous des sauvegardes ? » – tout le monde répond oui. La bonne question, c’est : « Avez-vous déjà testé une restauration complète ? »
Dans une majorité de PME/ETI non accompagnées, la réponse est non. Résultat : en cas de ransomware, l’entreprise découvre – au pire moment – que sa sauvegarde est corrompue, incomplète, ou elle-même chiffrée parce qu’elle était accessible depuis le même réseau que les serveurs de production.
→ Une entreprise qui ne peut pas redémarrer sous 24 à 48 heures après un chiffrement, c’est une activité à l’arrêt, des projets bloqués, des clients qui partent. C’est le risque qui peut coûter le plus cher de tous ceux listés ici – bien plus que le renouvellement de parc.
Vieillissement du parc et de l’infrastructure : ce qu’on trouve sur le terrain
Au-delà du calcul global sur les postes de travail, trois signaux reviennent systématiquement dans les PME/ETI multi-sites :
Garanties expirées. Des serveurs installés depuis six, sept, huit ans, qui ne sont plus couverts par aucune garantie. En cas de panne matérielle, il n’y a plus de pièce de rechange sous 4 heures, plus de support téléphonique prioritaire – juste l’espoir que le disque dur tienne encore un peu.
Serveurs de fichiers vieillissants dans les agences. Un boîtier caché dans un local technique ou un placard, sans onduleur, sans supervision, avec dessus la compta locale, les dossiers clients, parfois les fiches de paie. Personne ne le regarde tant qu’il fonctionne.
Un seul prestataire, ou une seule personne. Dans beaucoup de PME/ETI, l’administration des serveurs repose sur un prestataire externe historique – ou sur un salarié qui fait ça « en plus » de son poste, sans documentation, sans mot de passe partagé, sans plan de continuité. Le jour où ce prestataire n’est pas repris après l’acquisition, ou que cette personne quitte l’entreprise, plus personne ne sait comment redémarrer quoi que ce soit.
De l’audit à l’arbitrage financier : ce qui fait une vraie due diligence IT
C’est là que se joue la vraie différence. Un audit informatique générique produit un rapport de risques : liste à puces, gravité, recommandations. C’est utile – mais ça finit souvent dans un tiroir, ou en pièce jointe d’un mail jamais rouvert après le closing.
Une due diligence informatique bien menée fait un pas de plus : elle chiffre chaque risque et le priorise en fonction du calendrier de l’acquisition.
→ Ce n’est pas la même chose de dire « le parc est vieillissant » et de dire « 166 000 € de renouvellement matériel par an sur 36 mois, plus le budget nécessaire pour mettre en place un EDR (20 000 € par an) et mettre en place une sauvegarde (50 000 € par an) ».
La due diligence IT est exploitable. Elle est intégrée à l’évaluation de l’entrprise pendant la phase de négociation pré acquisition et peut faire baisser le prix.
C’est le critère qui sépare un audit qu’on archive d’un chiffrage qu’on négocie.
Retour d’expérience terrain sur une due diligence réalisée par ASAP
Contexte
Un groupe industriel rachète une PME d’environ (≈300 salariés) et mandate ASAP pour une due diligence IT. Objectif : Auditer le SI et chiffrer les éventuelles remises à niveau du SI par ordre de priorité et échéances.
Principaux constats — la dette IT invisible au bilan
- Serveurs en fin de vie (Windows Server 2012 R2, hors support), sans plan de renouvellement.
- Licences Windows/Office/SQL Server partiellement non conformes.
- Aucun PRA/PCA testé ; sauvegardes non externalisées, jamais testées pour vérification.
- Pas d’EDR, pas de MFA, pare-feu non managé, vulnérabilités critiques non corrigées.
- Dépendance à un prestataire unique, sans réversibilité ni documentation à jour.
- Shadow IT : comptes cloud personnels utilisés en pro, sans gouvernance des accès ni des données exposées.
Chiffrage des coûts cachés
Le chiffrage distingue une remise à niveau immédiate (CAPEX, à effectuer dans les 6 premiers mois pour sortir des risques les plus critiques) et un delta de fonctionnement récurrent (OPEX) par rapport au budget IT affiché par la cible avant reprise.
| Poste de coût caché | Nature | Montant estimé |
|---|---|---|
| Serveurs fin de vie à remplacer (2012R2/2016) | Remise à niveau (CAPEX) | 38 000 € |
| Régularisation licences (Windows, Office, SQL) | Remise à niveau (CAPEX) | 22 000 € |
| Sécurité minimale : pare-feu + EDR + MFA | Remise à niveau (CAPEX) | 27 000 € |
| PRA/PCA + sauvegarde externalisée testée | Remise à niveau (CAPEX) | 18 000 € |
| Reprise documentation & réversibilité prestataire | Remise à niveau (CAPEX) | 9 000 € |
| Support infogérance structuré (vs support ad hoc actuel) | Récurrent (OPEX/an) | 36 000 €/an |
| Licences & abonnements mis en conformité | Récurrent (OPEX/an) | 14 000 €/an |
| Total CAPEX de remise à niveau (0-6 mois) | 114 000 € | |
| Total OPEX récurrent additionnel | 50 000 €/an |
Soit un investissement identifié d’environ 114 000 € de remise à niveau immédiate, auquel s’ajoute un delta récurrent d’environ 50 000 €/an par rapport au fonctionnement actuel — non budgété par la cible, et non intégré dans sa valorisation initiale.
4. Impact sur la négociation
Ce chiffrage, annexé au rapport de due diligence, a servi de base à l’acquéreur pour négocier : décote directe du prix à hauteur du CAPEX identifié, et retraiter l’EBITDA normatif.
Un chiffrage détaillé poste par poste, issu d’un audit technique, a été nettement plus difficile à contester pour le cédant qu’une décote forfaitaire.
Dans un rachat, la due diligence IT doit transformer des risques techniques diffus en un montant chiffré et négociable, au même titre que les due diligences financière et juridique.
Ce qu'il faut retenir avant de signer
La due diligence IT ne fera jamais capoter un deal à elle seule – sauf cas extrême de cyberattaque en cours ou de dépendance totale à un système critique obsolète. Mais elle peut, et elle doit, peser sur le prix.
Un parc de 500 PC vieux de plus de 5 ans, un Wifi mal segmenté, des sauvegardes inexistantes ou jamais testées, pas de sécurité informatique : ce sont des découvertes qui s’ajoutent silencieusement aux dépenses imprévues post acquisition. Découvertes avant, elles deviennent un levier de négociation et de sécurisation de la poursuite de l’activité de l’entreprise post acquisition.
La différence tient à une seule décision : lancer la due diligence IT au même titre que les due diligences finance et juridique, stratégique, assurance et RH.
→ Pour comprendre comment structurer cette mission – cadrage, audit sur site, chiffrage, restitution – la page due diligence informatique détaille notre méthode et ce que vous recevez.
FAQ
Une due diligence informatique peut-elle vraiment faire baisser le prix d'acquisition ?
Oui, à condition que les résultats soient chiffrés et documentés avant la signature. Un risque IT non chiffré reste une inquiétude vague, difficile à défendre en négociation. Un chiffre précis et documenté devient un argument que l’équipe M&A peut opposer au vendeur.
Quels sont les risques IT les plus fréquents dans une PME hors tech ?
Dans l’ordre de fréquence constatée : parc informatique vieillissant (, absence d’EDR ou antivirus obsolète (sécurité informatique en général), réseau non segmenté (Wifi invité relié aux serveurs), sauvegardes non testées, et shadow IT via des outils d’IA générative utilisés sans contrôle.
Pourquoi les fonds d'investissement auditent-ils le code des éditeurs de logiciels mais pas l'IT des autres PME/ETI ?
Parce que pour un éditeur, le logiciel est le produit vendu – sa qualité et sa dette technique déterminent directement la valeur de l’actif racheté. Pour une entreprise industrielle ou de services, le SI est perçu comme un simple outil de fonctionnement, pas comme un actif stratégique. C’est cette perception qui explique le trou dans la raquette, pas l’absence réelle de risque.
Un serveur de fichiers vieillissant dans une agence, est-ce vraiment un risque pour l'acquisition ?
Oui, surtout dans les PME/ETI multi-sites. Ce type de serveur héberge souvent des données critiques (compta locale, données clients) sans supervision ni sauvegarde fiable. Une panne matérielle ou un ransomware sur ce serveur peut interrompre l’activité d’un site entier, sans filet de sécurité.
Le BYOD est-il vraiment un sujet de due diligence, ou juste un détail technique ?
C’est un vrai sujet. Un smartphone personnel non chiffré, connecté à la messagerie ou au CRM de l’entreprise rachetée, est un vecteur de fuite de données difficile à contrôler après le closing. Sur des métiers avec beaucoup de commerciaux ou de personnel terrain (BTP, distribution), ce risque est quasi systématique.
À quel moment du process faut-il lancer la due diligence IT pour qu'elle pèse sur le prix ?
Entre la lettre d’intention et le closing, en parallèle des autres due diligences. Une due diligence IT lancée après le closing ne sert plus qu’à planifier l’intégration – elle ne protège plus le prix payé, elle ne fait que documenter des dépenses déjà décidées.
Comment le shadow IT lié aux agents IA peut-il constituer un vrai risque de due diligence ?
Parce que des documents sensibles – devis, contrats, données clients – transitent par des outils d’IA générative non validés par la DSI, sans contrat encadrant le traitement de ces données. En cas de fuite ou de litige post-acquisition, l’acheteur hérite d’une pratique qu’il ne maîtrisait pas au moment de la signature.
