Investissement · pour le compte de l'acquéreur
Due diligence cyber
Avant d'acquérir ou d'investir, vous devez savoir ce que vaut la sécurité de la cible et ce qu'elle coûtera à remettre à niveau. En 2 à 3 semaines, j'évalue sa maturité, j'identifie les points bloquants, je les traduis en éléments de négociation et je prépare le plan des 100 premiers jours.
Pour qui
- Fonds de capital-investissement et de capital-risque
- Acquéreurs industriels et stratégiques
- Conseils M&A qui ont besoin d'un volet cyber dans leur due diligence
Contexte habituel
Une lettre d'intention est signée, l'accès à la data room est ouvert, et la cible exploite des données sensibles ou un produit logiciel dont la sécurité conditionne la valeur.
Un incident découvert après le closing coûte beaucoup plus cher qu'un point identifié avant la signature.
Déroulement
Une revue cadrée sur le calendrier de l'opération.
Revue documentaire
Analyse des pièces de la data room : politiques, certifications, rapports d'audit et de tests d'intrusion, historique d'incidents, contrats clients.
Entretiens
Échanges avec le CTO, le responsable sécurité ou la direction de la cible, selon ce que permet l'opération.
Points bloquants et impact
Identification des risques significatifs et traduction en éléments de négociation : ajustement de prix, garanties, conditions suspensives, engagements post-closing.
Plan 100 jours
Actions prioritaires à lancer après le closing, avec ordre de grandeur de l'effort.
Livrables
- Un rapport de due diligence avec niveau de maturité par domaine
- La liste des points bloquants, classés par gravité
- Les éléments à intégrer dans la négociation et la documentation juridique
- Un plan 100 jours
- Une restitution à l'équipe d'investissement
Format et durée
- Format
- Forfait, à distance, sous accord de confidentialité, aligné sur le calendrier de l'opération
- Durée indicative
- 2 à 3 semaines
- Tarif
- Forfait, sur devisEstimer le budget de cette offre
Questions fréquentes
Faut-il un accès complet à la cible ?
Non. La revue s'adapte à ce que l'opération permet : data room seule, ou data room et entretiens. Le rapport indique clairement ce qui a pu être vérifié et ce qui ne l'a pas été.
Réalisez-vous des tests techniques ?
Pas moi-même : la mission porte sur la gouvernance, les pratiques et les preuves. Si des tests techniques sont nécessaires, je les cadre, je fais intervenir un prestataire spécialisé et j'en interprète les résultats.
Comment la confidentialité est-elle assurée ?
Je signe l'accord de confidentialité de l'opération et je travaille dans la data room. Je vérifie aussi, avant d'accepter la mission, l'absence de conflit d'intérêts avec la cible.
Premier entretien
Un entretien de 30 minutes permet de préciser la cible et le calendrier de l'opération, et ce qu'une revue cyber peut couvrir dans ces délais.