Checklist de due diligence technologique avant une vente (2026)

Commencer par les affirmations, les preuves et le périmètre

La revue technique s'inscrit dans l'examen global de l'entreprise. Le Portail PME suisse indique que la due diligence éclaire la décision d'achat, le prix et le contrat. Son périmètre varie selon les éléments transférés. Des spécialistes qualifiés doivent définir les questions juridiques propres à l'opération.

Créez un index avant de charger des fichiers. Chaque affirmation importante renvoie à une pièce, un responsable, une date et une exception éventuelle. «Les déploiements sont automatisés» doit conduire à la configuration du pipeline, à une exécution récente et à un remplaçant identifié.

Dans une acquisition d’actions, la revue peut couvrir tout l’historique opérationnel et le périmètre des responsabilités de la société. Dans une acquisition d’actifs, elle peut se concentrer sur la technologie, les contrats et les droits effectivement transférés. Le conseil qualifié fixe le périmètre adapté.

Documenter l'architecture, l'inventaire et les changements

Présentez les applications, données, hébergement, intégrations, fournisseurs critiques et frontières de confiance. Associez à chaque service un propriétaire technique, son cycle de vie et ses dépendances. Un schéma sans responsables vieillit vite; un inventaire sans relations masque les concentrations.

Retracez une version représentative depuis le changement approuvé jusqu'aux tests, au déploiement, au retour arrière et au suivi. Si une étape repose sur la mémoire du fondateur ou d'un seul ingénieur, inscrivez-la au plan de correction.

• Architecture et flux de données
• Inventaire des applications, infrastructures et fournisseurs
• Dépôts, propriété et accès
• Build, tests, livraison et retour arrière
• Environnements et configuration
• Feuille de route, fin de vie et dette technique

Rendre sécurité et résilience vérifiables

La recommandations de protection de base de l'OFCS associe mesures organisationnelles et techniques. Reliez identités, accès privilégiés, correctifs, vulnérabilités, journaux, réponse aux incidents et formation à des responsables nommés.

Une sauvegarde devient probante après un test de restauration. Indiquez périmètre, fréquence, conservation, séparation de la production et dernier exercice. Documentez les incidents significatifs, leur impact, la réponse, les corrections et le statut actuel.

La question pratique est simple: une deuxième personne peut-elle déployer, restaurer et réagir sans connaissance non documentée?

Contrôler les données et leur divulgation

Une data room n'annule ni la protection des données, ni la confidentialité, ni les contrats. Les recommandations du PFPDT soulignent la finalité, la proportionnalité et la limitation des accès. Inventoriez données personnelles, finalités, lieux, sous-traitants, conservation, suppression et transferts. Faites examiner l'application de la loi suisse au cas concret.

Organisez une divulgation progressive. Commencez par les contrôles et données agrégées. Ne partagez les données identifiables que si nécessaire, avec destinataires définis, occultation adaptée, expiration et registre.

Vérifier licences, propriété et personnes clés

Reliez chaque composant essentiel au dépôt, à l'auteur ou fournisseur, au contrat de travail ou de mandat, à la cession ou licence et aux dépendances tierces. Maintenez un inventaire open source avec licences et obligations. Le guide sur la propriété intellectuelle du logiciel approfondit cette chaîne.

Attribuez un responsable principal et un remplaçant à chaque système critique. Incluez salariés, prestataires et fournisseurs, puis les accès privilégiés et la capacité de transmission. Cette carte révèle les dépendances envers une seule personne.

Utiliser un registre vert, orange et rouge

Exemple illustratif: une société SaaS suisse affirme tester la reprise chaque trimestre. La politique de sauvegarde est actuelle, mais la dernière restauration complète date de onze mois et seul le fondateur possède un accès de secours au cloud. Le statut doit être orange ou rouge. Le plan désigne un responsable de la plateforme, programme un test, crée un accès d'urgence gouverné séparément et consigne le résultat.

La couleur est un indicateur interne de priorité. Définissez chaque statut et conservez les faits. Une exception documentée avec responsable et date inspire davantage confiance qu'une assurance impossible à reproduire.

1. Lister les affirmations des documents de vente.
2. Associer pièces actuelles et responsables.
3. Tester un processus représentatif par domaine critique.
4. Noter exceptions et portée commerciale.
5. Traiter les lacunes majeures lorsque c'est raisonnable.
6. Conserver le registre des divulgations.

Anticiper les questions derrière la checklist

L'acquéreur ne juge pas la technologie isolément. Il relie les faits techniques à la continuité client, aux investissements futurs et aux déclarations discutées dans l'opération. Pour chaque système critique, préparez une fiche indiquant finalité, utilisateurs, charge actuelle, niveau de service, responsable, mode de panne probable et investissement prévu. Séparez les faits observés des prévisions. Si la capacité au-delà de la charge actuelle n'a pas été testée, présentez les preuves disponibles et le prochain test plutôt qu'une promesse de scalabilité illimitée.

Préparez le chemin de preuve pour les questions usuelles. Comment un nouvel ingénieur obtient-il ses accès? Quels changements exigent une revue? Qui autorise une mise en production urgente? Comment les configurations clients sont-elles séparées? Que se passe-t-il si un fournisseur critique tombe en panne? Quels composants approchent de leur fin de vie? Comment les vulnérabilités sont-elles priorisées? Chaque réponse doit mener vers une règle, une trace système, un exemple récent et un responsable. Faites tester le processus par une personne qui ne l'exécute pas habituellement.

Réconciliez feuille de route, budgets, engagements clients et dette technique. Une feuille de route remplie de fonctionnalités mais dépourvue de sécurité, plateforme et cycle de vie soulève des questions. Séparez travaux promis aux clients, priorités internes et idées optionnelles. Documentez les dépendances et la règle de décision en cas de conflit. L'acquéreur veut voir comment la direction transforme les contraintes en plan.

Contrôler la qualité avant d'ouvrir la data room

Vérifiez dates, entités, environnements et définitions dans toutes les pièces. Architecture, fournisseurs, incidents, effectifs et documents financiers doivent décrire la même entreprise à la même date. Éliminez les doublons périmés tout en gardant une piste d'audit. Identifiez clairement les brouillons. Si une politique prévoit une revue trimestrielle des accès, confirmez que les comptes rendus existent pour les systèmes concernés.

Tenez un registre des questions pendant la due diligence. Attribuez responsable, échéance, sources et approbation à chaque réponse. Rendez les corrections visibles. Une correction contrôlée renforce la confiance; un fichier remplacé sans explication fragilise l'ensemble. Séparez faits, interprétation juridique et prévisions, puis confiez-les au bon spécialiste.

Préparer la revue sans bloquer l'activité

Commencez par les systèmes liés aux clients, revenus, droits ou continuité. Nommez un coordinateur, laissez la responsabilité technique dans l'équipe et versionnez l'index. Une collecte précoce économise du temps et des coûts selon le Portail PME; un chargement sans tri crée du bruit et du risque.

Demandez: qu'est-ce qui est critique, que peut-il se passer, qui réagit, quels droits seront transférés, quels engagements limitent les changements et quels investissements sont prévus? Réconciliez les réponses avec les données commerciales et financières. Consultez ensuite le guide pour vendre une entreprise informatique en Suisse.

Le dossier est prêt pour une revue contrôlée lorsque chaque affirmation matérielle possède une pièce actuelle, un responsable, une date de test, les exceptions documentées et une classe de divulgation approuvée.