Due diligence IT : le guide pour racheter ou vendre une PME

La due diligence IT vérifie, avant la signature, que le système d’information d’une PME est transférable, sécurisé et à jour : propriété des licences et des comptes, sauvegardes testées, accès nominaux, dépendance à un prestataire. Elle transforme ces constats en risques chiffrés qui pèsent sur le prix, les garanties et le plan des 100 premiers jours.

Pourquoi l’informatique pèse-t-elle sur le prix d’une PME ?

Parce qu’elle porte la capacité à facturer, produire et livrer. Si l’ERP s’arrête ou si le seul prestataire qui connaît les intégrations part, l’activité ralentit dès la première semaine. L’acheteur paie la prévisibilité : tout ce qui reste flou devient une décote, une garantie de passif ou une condition suspensive.

Le sujet concerne beaucoup de dirigeants : selon Bpifrance Le Lab (2025), 40 % des dirigeants de TPE, PME et ETI comptent transmettre dans les cinq ans, soit 370 000 entreprises, et 70 % de ceux qui prévoient la cession à plus d’un an n’ont pas commencé à la préparer. L’informatique fait rarement partie des premiers dossiers ouverts, alors que l’acquéreur la regarde tôt.

Le risque cyber s’ajoute au risque opérationnel. Selon l’ANSSI (Panorama de la cybermenace 2025, publié en 2026), les TPE, PME et ETI représentent 48 % des victimes de rançongiciel traitées en 2025, contre 37 % en 2024. Racheter une PME avec des comptes administrateur partagés et des sauvegardes jamais restaurées, c’est acheter un sinistre en attente.

Que vérifie une due diligence IT en PME ?

Pas un audit encyclopédique. Je cadre l’exercice autour de six questions, et chaque réponse doit s’appuyer sur une preuve (contrat, capture, test), pas sur une déclaration orale.

Qu’est-ce qui fait tourner le business au quotidien : ERP, CRM, facturation, messagerie, outils métier ?
Qu’est-ce qui est fragile : versions en fin de support, développements maison non documentés, matériel vieillissant ?
Qu’est-ce qui n’est pas transférable en l’état : licences au nom d’une personne, domaine détenu par un tiers, compte cloud rattaché à l’ancien dirigeant ?
Combien coûte la remise à niveau, en investissement et en abonnement annuel ?
Quel est le risque d’arrêt : combien de jours perdus si le système principal tombe, et quelle preuve de restauration existe ?
Quel plan sur 100 jours permet de sécuriser sans désorganiser les équipes ?

La data room IT minimale à exiger

Documents et preuves

Inventaire des applications avec versions et criticité.
Contrats cloud, hébergement et infogérance, avec SLA et clause de réversibilité.
Licences, domaines, comptes cloud et dépôts de code au nom de la société, pas d’une personne.
Liste des accès administrateur nominatifs avec MFA.
Politique de sauvegarde et preuve datée d’un test de restauration.
Incidents majeurs des 24 derniers mois et correctifs appliqués.

Quels signaux d’alerte font baisser le prix ?

Comptes administrateur partagés ou sans MFA : risque d’intrusion et dépendance à qui connaît le mot de passe.
Sauvegardes jamais testées : un arrêt de quelques jours peut devenir un arrêt de plusieurs semaines.
Licences ou domaine au nom d’un individu ou d’un ancien prestataire : rupture possible au transfert.
Prestataire unique sans contrat écrit ni réversibilité : vous héritez d’une relation, pas d’un service.
ERP ou CRM en fin de support : le coût de migration arrive dans votre budget, pas dans celui du vendeur.
Intégrations maison connues d’une seule personne : le risque part avec elle.

Comment chiffrer les risques IT dans la négociation ?

Je traduis chaque signal en trois postes : le coût de remise à niveau (licences, sécurité de base, jours d’intégrateur), le coût d’un arrêt (marge journalière multipliée par les jours probables d’indisponibilité) et le coût de la dépendance (que se passe-t-il si telle personne ou tel prestataire part). Des fourchettes suffisent : l’objectif est une discussion factuelle sur le prix, un earn-out ou une garantie, pas un devis au centime.

Les clauses à verrouiller au closing

Transfert de propriété des licences, domaines, comptes cloud et dépôts de code, listés en annexe de l’acte.
Remise de tous les accès administrateur, nominatifs et avec MFA, contre décharge.
Réversibilité des prestataires : documents, délais et formats de restitution des données.
Inventaire IT annexé au contrat : ce qui n’y figure pas ne peut pas être contesté ensuite.

Vendeur : comment préparer votre informatique avant la cession ?

Chaque point flou se négocie en décote, donc coûte plus cher au vendeur qu’à l’acheteur. Six mois avant la mise en vente : remettez licences, domaine et comptes cloud au nom de la société, activez le MFA sur les comptes sensibles, faites un test de restauration daté, documentez les intégrations maison et signez un contrat écrit avec votre prestataire, avec clause de réversibilité. Un acquéreur qui trouve des preuves négocie moins.

L’informatique est un des leviers de préparation que je détaille dans comment valoriser votre entreprise avant la vente.

Combien de temps faut-il, et que faire après le rachat ?

En PME, une due diligence IT exploitable pour négocier tient en une à deux semaines si les documents existent. Un scan de 48 heures sort déjà les signaux majeurs. Ensuite, le plan 100 jours sécurise sans changer d’outil dans la précipitation.

Jours 1 à 15 : reprendre tous les accès, activer le MFA, vérifier les sauvegardes, figer l’inventaire.
Jours 15 à 45 : corriger les signaux prioritaires, documenter les intégrations, stabiliser l’ERP et le CRM.
Jours 45 à 100 : standardiser les process, poser 3 à 5 indicateurs, construire la feuille de route à 12 mois.

Pour la liste opérationnelle point par point, utilisez la checklist de due diligence IT pour repreneurs de PME.

Questions fréquentes sur la due diligence IT

Qu’est-ce qu’une due diligence IT lors d’un rachat de PME ?

C’est l’examen du système d’information de l’entreprise cible avant la signature : applications, contrats, licences, sécurité, sauvegardes, dépendances à des personnes ou à des prestataires. Son but n’est pas de tout décrire, mais de sortir une liste courte de risques chiffrés qui servent à négocier le prix, les garanties et le plan de reprise.

Combien coûte une due diligence IT pour une PME ?

Cela dépend du périmètre et de la qualité des documents. Pour une PME, un scan de 48 heures suffit à sortir les signaux majeurs ; une revue complète prend une à deux semaines. Ce coût reste faible comparé au prix d’une migration d’ERP découverte après le closing ou d’un arrêt d’activité lié à une sauvegarde non restaurable.

Qu’est-ce qui justifie une décote sur le prix de cession ?

Le flou et le coût incertain : licences non transférables, comptes au nom d’une personne, absence de MFA, sauvegardes non testées, prestataire unique sans contrat, ERP en fin de support. Chaque point se traduit en euros de remise à niveau ou en jours d’arrêt probables. Des preuves et un chiffrage réduisent la décote, ou la transforment en garantie.

Faut-il changer d’ERP après un rachat ?

Pas par principe. La priorité des 100 premiers jours est la continuité et la sécurisation : accès, sauvegardes, contrats. La décision de changer d’ERP se prend ensuite, sur un diagnostic factuel des coûts de maintien et de migration, en tenant compte de la charge que le changement impose aux équipes reprises.

Que doit vérifier un vendeur avant de se lancer dans la cession ?

Que tout ce qui fait tourner l’entreprise est au nom de la société et documenté : licences, domaine, comptes cloud, dépôts de code, contrats prestataires. Que le MFA est actif, qu’un test de restauration a été fait et qu’aucune brique ne dépend d’une seule personne. Ce sont les premiers points que l’acquéreur regarde.

Peut-on faire une due diligence IT sans être informaticien ?

Oui, à condition de poser les bonnes questions et d’exiger des preuves plutôt que des déclarations. Le cadre en six questions et la data room minimale de cet article suffisent pour un premier tri. Pour chiffrer et traduire en clauses, faites-vous accompagner par quelqu’un qui parle risque, coût et délai, pas technique.

Par où commencer ?

Aujourd’hui, demandez (ou rassemblez, si vous vendez) trois éléments : la liste des outils qui font tourner l’activité, le contrat d’infogérance ou d’hébergement, et la preuve d’un test de restauration des sauvegardes. Ces trois documents révèlent déjà l’essentiel des risques. Si vous souhaitez un regard extérieur, un appel de 30 minutes suffit pour identifier les points à creuser en priorité et ce que cela change dans la négociation.

Vous reprenez une entreprise en Île-de-France ? Voir aussi l’accompagnement au rachat d’entreprise à Paris.