ITデューデリジェンスガイド｜M&A時のシステム・セキュリティ監査の進め方

M&Aの成否を分ける「見えないIT負債」

M&A（合併・買収）において、財務デューデリジェンス（財務DD）や法務デューデリジェンス（法務DD）は当然のように実施される。しかし、ITデューデリジェンス（IT DD）は見落とされるか、簡易的な確認で済まされるケースが多い。

これは危険な判断だ。対象企業のITインフラ、業務システム、セキュリティ体制に重大な問題が潜んでいた場合、買収後に数千万円〜数億円の追加投資が必要になることがある。最悪の場合、買収した企業のシステム障害やセキュリティインシデントが、買収側の事業にまで悪影響を及ぼす。

経済産業省の調査によれば、M&A後のPMI（Post Merger Integration：統合プロセス）で最も課題となる領域の上位にITシステムの統合が挙がっている。ITの問題は買収価格の交渉材料になるだけでなく、PMIの成否を左右する重要な要因だ。

本記事では、M&Aの検討段階から実行後の統合まで、ITデューデリジェンスの具体的な進め方を解説する。

ITデューデリジェンスの目的

ITデューデリジェンスの目的は、大きく3つに分類できる。

目的1：IT関連のリスクを特定する

対象企業のITインフラ、システム、セキュリティに潜むリスクを洗い出し、買収判断や買収価格の交渉材料にする。

目的2：PMI（統合プロセス）の計画に必要な情報を収集する

買収後のシステム統合にかかる費用、期間、技術的な課題を事前に把握し、現実的なPMI計画を策定する。

目的3：隠れたIT投資の必要性を明らかにする

老朽化したシステムの刷新費用、セキュリティ対策の強化費用、ライセンスの追加購入費用など、買収後に必要となるIT投資の総額を見積もる。

ITデューデリジェンスの7つの調査領域

領域1：ITインフラストラクチャ

調査項目：

サーバー構成（オンプレミス/クラウド、台数、スペック、設置年）
ネットワーク構成（回線種別、帯域、冗長化の有無）
データセンター/サーバールームの設備状況
バックアップ体制（方式、頻度、保管場所、復旧テストの実施有無）
障害対応体制（監視方法、連絡フロー、SLA）

注目すべきリスク：

サーバーやネットワーク機器のEOL（End of Life）超過
シングルポイントオブフェイラー（冗長化されていない単一障害点）
バックアップの復旧テストが未実施

領域2：業務システム・アプリケーション

調査項目：

利用中のシステム一覧（基幹系、情報系、部門システム）
各システムの導入時期、開発言語、フレームワーク
カスタマイズの有無と内容
システム間のデータ連携方法
ソースコードの所有権（自社保有/ベンダー保有）
技術的負債の状況（古い言語、フレームワークのバージョン）

注目すべきリスク：

サポートが終了した言語やフレームワークの利用
ドキュメント（設計書、仕様書）の不在
特定のベンダーへの過度な依存（ベンダーロックイン）

領域3：セキュリティ

調査項目：

セキュリティポリシーの有無と内容
アクセス制御（権限管理、多要素認証の導入状況）
エンドポイントセキュリティ（ウイルス対策、EDRの導入状況）
ネットワークセキュリティ（ファイアウォール、IDS/IPS、WAF）
脆弱性管理（定期的な脆弱性診断の実施有無）
インシデント対応体制と過去のインシデント履歴
従業員へのセキュリティ教育の実施状況

注目すべきリスク：

過去のセキュリティインシデントの未開示
個人情報や機密情報の管理体制の不備
パッチ適用の遅延や未適用

領域4：データ・知的財産

調査項目：

保有するデータの種類、量、保管場所
個人情報の取り扱い状況（個人情報保護法への準拠状況）
データのバックアップ・アーカイブ方針
データの品質（正確性、一貫性、完全性）
知的財産権に関わるソフトウェアライセンスの状況

注目すべきリスク：

個人情報保護法やGDPRへの非準拠
ソフトウェアの不正利用（ライセンス違反）
データの重複や不整合

領域5：IT組織・人材

調査項目：

IT部門の体制（人数、役割、スキルセット）
キーパーソンの特定と退職リスク
外部ベンダーへの依存度
ITに関する意思決定プロセス

注目すべきリスク：

IT業務が特定の個人に属人化している
キーパーソンの退職意向（M&Aを契機に退職するケースは少なくない）
IT部門が存在せず、総務やベンダーが兼務している

領域6：IT関連契約・コスト

調査項目：

ITベンダーとの契約内容（保守契約、SLA、解約条件）
ソフトウェアライセンスの種類と有効期限
クラウドサービスの利用状況と月額費用
IT関連の年間予算と実績
進行中のIT投資プロジェクト

注目すべきリスク：

長期契約の途中解約に伴う違約金
ライセンスの過不足（特にサーバーライセンスやCAL）
隠れたIT支出（部門が独自に契約しているSaaSなど）

領域7：事業継続計画（BCP）

調査項目：

IT-BCPの策定状況
災害時のシステム復旧計画（DR：Disaster Recovery）
RPO（目標復旧時点）とRTO（目標復旧時間）の設定
BCP訓練の実施状況

注目すべきリスク：

IT-BCPが策定されていない
バックアップサイトが存在しない
BCP訓練が一度も実施されていない

ITデューデリジェンスの実施手順

フェーズ1：準備（1〜2週間）

調査範囲と深度を決定する（全領域を網羅するか、重点領域に絞るか）
調査チームを編成する（社内IT担当者+外部の専門家）
情報提供依頼書（RFI：Request for Information）を作成する
NDA（秘密保持契約）を締結し、対象企業に情報提供を依頼する

フェーズ2：資料分析（2〜3週間）

対象企業から提供された資料（システム構成図、契約書、IT予算資料など）を分析する
不足情報や追加質問事項を整理する
現地調査で確認すべきポイントを洗い出す

フェーズ3：現地調査・ヒアリング（1〜2週間）

IT部門の責任者・担当者へのヒアリングを実施する
サーバールーム/データセンターの実地確認を行う
主要なシステムのデモンストレーションを依頼する
セキュリティ設定の実機確認を行う（可能な範囲で）

フェーズ4：分析・報告（1〜2週間）

発見事項をリスクの重大度で分類する（重大/中程度/軽微）
各リスクの対処に必要な費用と期間を見積もる
PMI計画への示唆をまとめる
ITデューデリジェンス報告書を作成する

よく発見されるリスクと買収価格への影響

ITデューデリジェンスで頻繁に発見されるリスクと、それが買収判断に与える影響を整理する。

リスク1：基幹システムの老朽化

10年以上前に構築された基幹システムが、サポート終了済みの技術（VB6、古いJavaバージョン、Windows Server 2012など）で稼働しているケース。買収後にシステム刷新が必要になり、数千万円の追加投資が発生する。

買収価格への影響： 刷新費用を買収価格から控除する交渉材料になる。

リスク2：セキュリティ体制の不備

ファイアウォールのルールが適切に管理されていない、パッチ適用が数か月遅延している、従業員のパスワードポリシーが甘いなど。買収後にセキュリティインシデントが発生した場合、損害賠償や信用毀損のリスクがある。

買収価格への影響： セキュリティ対策の強化費用と、インシデント発生時の想定損害額を考慮した価格調整。

リスク3：ソフトウェアライセンス違反

利用しているソフトウェアのライセンス数が不足している、あるいは利用条件に違反しているケース。買収後にライセンス監査で指摘された場合、高額な追加ライセンス費用や違約金が発生する。

買収価格への影響： ライセンスの正規化費用を買収価格から控除する。

リスク4：個人情報管理の不備

個人情報保護法に準拠した管理体制が整っていないケース。買収後に情報漏洩が発覚した場合の法的責任は買収側にも及ぶ。

買収価格への影響： ディールブレイカー（取引中止）になりうる重大リスク。

PMI（統合プロセス）におけるIT統合の進め方

買収後のIT統合は、以下の3つのアプローチから選択する。

アプローチ1：吸収統合

買収側のシステムに統一する。対象企業のシステムは廃止し、買収側のシステムにデータを移行する。

メリット： 統合後の運用がシンプル。重複コストが削減される。 デメリット： 移行期間が長い。対象企業の業務プロセスの変更負荷が大きい。

アプローチ2：並存運用

当面の間、両社のシステムをそれぞれ運用し続ける。統合は中長期的に段階的に進める。

メリット： 業務への影響が最小限。段階的にリスクを管理できる。 デメリット： 重複コストが続く。データの一元管理が困難。

アプローチ3：新規構築

両社のシステムを廃止し、新しいシステムを構築する。

メリット： 両社の要件を反映した最適なシステムを構築できる。 デメリット： 費用と期間が最大。両社の業務プロセス変更が必要。

中小企業のM&Aでは「アプローチ2（並存運用）」から始め、PMI全体の進捗に合わせて段階的に統合を進めるケースが最も多い。

ITデューデリジェンスを外部に依頼する場合の留意点

ITデューデリジェンスは専門性が高いため、外部の専門家に依頼するケースが多い。依頼時の留意点を挙げる。

依頼先の選定：IT監査やシステムコンサルティングの実績がある企業を選ぶ。M&AのIT DDの経験がある企業が望ましい
費用の目安：中小企業のM&Aの場合、100万〜500万円が目安。対象企業のIT規模と調査深度によって変動する
期間の目安：4〜8週間が一般的
財務DD・法務DDとの連携：IT DDの結果は財務DD（IT関連費用の確認）や法務DD（知的財産権、ライセンス契約の確認）と密接に関連するため、各DDチーム間の情報共有が重要

買収判断前にITの実態を把握する

M&Aにおいて、ITデューデリジェンスは「あれば望ましい」ものではなく、「実施すべき」ものだ。対象企業のIT環境の実態を把握しないまま買収を進めることは、見えない負債を抱え込むリスクがある。

特に中小企業のM&Aでは、IT環境が整備されていないケースが多く、買収後に想定外のIT投資が必要になることが少なくない。ITデューデリジェンスの結果は、買収価格の交渉材料としても、PMI計画の基礎資料としても極めて重要だ。

ITデューデリの相談

M&Aに伴うITデューデリジェンスの実施支援、対象企業のIT環境の調査・リスク評価、PMI計画におけるIT統合戦略の策定まで、一貫してサポートします。買収検討段階からご相談ください。

無料相談を申し込む

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

まとめ

ITデューデリジェンスは、M&Aにおけるリスク特定、PMI計画の策定、隠れたIT投資の可視化という3つの目的で実施する。調査領域はITインフラ、業務システム、セキュリティ、データ・知的財産、IT組織・人材、IT関連契約・コスト、BCPの7つに及ぶ。

基幹システムの老朽化、セキュリティ体制の不備、ライセンス違反、個人情報管理の不備は頻繁に発見されるリスクであり、買収価格の調整やディールブレイカーにもなりうる。買収後のIT統合は、自社の状況に応じて吸収統合・並存運用・新規構築から選択し、段階的に進めることが現実的だ。

GXO実務追記: サイバーセキュリティで発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、自社で最初に塞ぐべきリスク、外部診断の範囲、初動体制を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

論点	確認する内容	未整理のまま進めた場合のリスク
目的	売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか	成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲	対象部署、対象業務、対象データ、対象システムをどこまで含めるか	見積もりが膨らむ、または重要な連携が後から漏れる
体制	自社責任者、現場担当、ベンダー、保守運用者をどう置くか	要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

フェーズ	期間目安	主な成果物	GXOが見るポイント
事前診断	1〜2週間	課題整理、現行確認、投資判断メモ	目的と範囲が商談前に整理されているか
要件定義 / 設計	3〜6週間	要件一覧、RFP、概算見積、ロードマップ	見積比較できる粒度になっているか
PoC / MVP	1〜3ヶ月	検証環境、効果測定、リスク評価	本番化判断に必要な数値が取れるか
本番導入	3〜6ヶ月	本番環境、運用設計、教育、改善計画	導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

[ ] 重要システムと個人情報の所在を棚卸ししたか
[ ] VPN、管理画面、クラウド管理者の多要素認証を必須化したか
[ ] バックアップの世代数、復旧時間、復旧訓練の実施日を確認したか
[ ] 脆弱性診断の対象をWeb、API、クラウド、社内ネットワークに分けたか
[ ] EDR/MDR/SOCの必要性を、監視できる人員と照らして判断したか
[ ] インシデント時の連絡先、意思決定者、広報/法務/顧客対応を決めたか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

見積もり依頼前に、要件やRFPの粒度を整えたい
既存ベンダーの提案が妥当か第三者視点で確認したい
補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
PoCや診断で終わらせず、本番導入と運用改善まで進めたい

ITデューデリジェンスガイド｜M&A時のシステム・セキュリティ監査の進め方を自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

セキュリティ初期診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。