Rachat ou reprise d'une PME : ce qu'il faut vérifier informatiquement
Lors d'une acquisition, l'informatique est rarement dans le scope de l'audit. C'est pourtant là que se cachent les mauvaises surprises les plus coûteuses. La liste de ce qu'il faut vérifier avant de signer.
Dans la grande majorité des transmissions de PME, l’audit IT n’est pas au programme. Les commissaires aux comptes vérifient les bilans, les avocats analysent les contrats, mais personne ne regarde les serveurs, les licences logicielles, l’état de la cybersécurité ou la conformité RGPD. C’est une lacune qui coûte cher à beaucoup d’acquéreurs dans les mois qui suivent la cession.
Ce que l’audit IT révèle qu’aucun bilan ne montre
Les passifs informatiques d’une PME rachetée peuvent prendre des formes très variées. Certains sont visibles dès les premières semaines. D’autres n’apparaissent que lors d’un incident.
Les licences non conformes sont parmi les plus fréquents. Une PME peut utiliser des logiciels sur 20 postes avec des licences achetées pour 10. Un audit de licences Microsoft, Adobe, ou d’éditeurs de logiciels métier peut révéler un passif significatif à régulariser.
L’infrastructure vétuste est un autre classique. Des serveurs hors support, des commutateurs réseau en fin de vie, des câblages qui tiennent par miracle, ces équipements ne se voient pas dans un bilan mais représentent un investissement de remplacement qui peut dépasser 20 000 euros pour une PME de 20 postes.
Les contrats IT engagés méritent une attention particulière. Le contrat d’infogérance en cours est-il transférable ? À quelles conditions ? Quelles sont les clauses de résiliation ? Un contrat mal négocié peut vous lier à un prestataire de qualité médiocre pour 18 mois supplémentaires.
Les données personnelles et la conformité RGPD sont un risque juridique sous-estimé. Si la PME rachetée collecte des données clients, collaborateurs ou prospects sans tenir de registre des traitements et sans respecter les obligations RGPD, vous héritez de ce risque. La CNIL ne demande pas qui était le responsable précédent.
Les 8 points à vérifier avant de signer
1. L’inventaire du parc et des licences
Demandez un inventaire complet : postes, serveurs, équipements réseau, âge de chaque équipement, fin de garantie et de support. Comparez avec les licences en cours de validité pour chaque logiciel. Identifiez les équipements qui devront être remplacés dans les 18 prochains mois.
2. L’état des sauvegardes
Depuis quand les sauvegardes existent-elles ? Ont-elles été testées ? Sont-elles stockées hors site (protection contre l’incendie, le vol ou le ransomware) ? Une entreprise sans sauvegarde fonctionnelle est une entreprise qui peut perdre l’intégralité de ses données sur un incident.
3. La sécurité des accès
Qui a les accès administrateurs ? Ont-ils tous un MFA ? Existe-t-il des comptes génériques partagés dont personne ne connaît les détenteurs ? Des ex-collaborateurs ont-ils encore des accès actifs ? Ce dernier point est particulièrement courant dans les PME qui n’ont pas de procédure formelle d’offboarding.
4. Les contrats et engagements IT en cours
Téléphonie, internet, infogérance, hébergement, logiciels SaaS, faites la liste de tous les contrats en cours, leurs durées d’engagement et leurs conditions de résiliation. Certains contrats de téléphonie engagent sur 48 mois et sont difficilement résiliables.
5. L’état de la cybersécurité
Un antivirus géré centralement est-il déployé sur tous les postes ? Les mises à jour Windows sont-elles appliquées ? Y a-t-il eu des incidents de sécurité dans les 24 derniers mois ? Une compromission non détectée peut laisser des portes ouvertes dans l’infrastructure.
6. La conformité RGPD
L’entreprise dispose-t-elle d’un registre des traitements ? Les mentions légales et politiques de confidentialité du site sont-elles à jour ? Les consentements pour les communications marketing ont-ils été recueillis correctement ? Des clients ou prospects exercent-ils des droits RGPD, et comment ces demandes sont-elles gérées ?
7. La documentation technique
Existe-t-il une documentation de l’infrastructure, schéma réseau, liste des serveurs et de leurs rôles, mots de passe administrateurs stockés de façon sécurisée ? Une PME sans documentation vous oblige à redécouvrir votre infrastructure après la reprise, ce qui coûte du temps et génère des risques.
8. Les dépendances critiques
L’activité repose-t-elle sur un logiciel métier dont le support est incertain ? Y a-t-il un seul collaborateur qui “sait comment ça marche” ? Des données critiques sont-elles stockées uniquement sur le poste local d’un utilisateur spécifique ?
Comment organiser cet audit
Un audit IT pré-acquisition prend généralement une demi-journée à une journée complète selon la taille de l’infrastructure. Il peut être réalisé par un ingénieur indépendant de la transaction, ni le prestataire en place (conflit d’intérêts), ni l’équipe informatique interne de l’acheteur si elle est partie prenante de la négociation.
Le livrable est un rapport qui liste les constats, les risques associés et leur niveau de criticité, et une estimation des investissements nécessaires à court et moyen terme. Ce document peut servir de base à une négociation sur le prix de cession ou à un plan d’action post-acquisition.
Zerobug réalise des audits informatiques pour les PME, y compris dans le cadre de due diligence pré-acquisition. Contactez-nous pour discuter de votre projet.
Une question sur votre informatique ?
Zerobug accompagne les TPE et PME de Seine-et-Marne depuis plus de 15 ans. Décrivez-nous votre situation, nous revenons vers vous sous 24 h.
Commençons par un audit. Rapport sous 7 jours.
Nos ingénieurs se déplacent, analysent votre infrastructure et vous remettent un rapport clair avec des priorités chiffrées, remboursé à la signature d'un contrat.