En bref : Vérification diligente TI acquisition d’entreprise : l’examen, avant la clôture de la transaction, de l’état réel des systèmes informatiques, de la posture de sécurité et des obligations de protection des renseignements personnels de l’entreprise ciblée. Elle complète la diligence financière et juridique et révèle des risques qui, sans elle, deviennent ceux de l’acheteur.
Vous avez couvert le financier. Les états financiers ont été vérifiés, les baux relus, les litiges en cours répertoriés. Votre juridique a fait son travail. Reste un dossier que personne n’a encore ouvert sérieusement : l’informatique de l’entreprise que vous achetez. Ce guide s’adresse à vous, pas à votre équipe TI.
Dans cet article
Vérification diligente TI acquisition d’entreprise : de quoi parle-t-on, exactement ?
Elle prend la forme d’un mandat distinct de la diligence financière et juridique, confié à des spécialistes TI et sécurité qui examinent l’architecture, les licences, l’historique d’incidents et la posture de sécurité de la cible.
La diligence raisonnable classique couvre le financier, le juridique, souvent le fiscal. Les guides généraux d’acquisition, comme celui de la BDC, en détaillent bien les étapes, mais réduisent souvent l’informatique à une ligne dans une longue liste. La tranche TI et cybersécurité pose une question différente : à quoi ressemblent vraiment les systèmes de cette entreprise, une fois qu’on regarde sous le capot plutôt que sur la brochure de vente ?
Deux volets s’y confondent souvent, alors qu’ils répondent à des questions distinctes. Le volet TI examine l’architecture, les licences, les contrats fournisseurs, la dépendance à des personnes clés, la capacité de l’infrastructure à absorber la croissance prévue. Le volet cybersécurité examine la posture de sécurité, l’historique d’incidents, la gestion des accès, les mesures de protection des données. Les deux se recoupent, mais un dossier propre sur l’un peut cacher un problème sérieux sur l’autre.
Selon une étude menée par Forescout en 2019 auprès de plus de 2700 décideurs TI et d’affaires dans sept pays, dont les États-Unis et le Royaume-Uni, 65 % des acquéreurs ont vécu un regret d’achat après la clôture d’une transaction, en raison d’enjeux de cybersécurité découverts après coup (Forescout, 2019). Le chiffre date d’avant la Loi 25, mais le mécanisme n’a pas changé : ce qui n’est pas vérifié avant la clôture devient le problème de l’acheteur après.
Une acquisition compte d’ailleurs parmi les déclencheurs qui justifient un audit informatique même en dehors de tout contexte transactionnel. Nous en détaillons la liste complète dans à quelle fréquence faire un audit informatique. Si le terme même d’audit informatique reste flou pour vous, notre guide complet de l’audit informatique pour le dirigeant québécois part de zéro.
Quels risques informatiques une entreprise à acheter peut-elle cacher ?
Six catégories de risques reviennent le plus souvent dans nos mandats de vérification diligente TI acquisition d’entreprise. Aucune n’apparaît dans un bilan financier, et plusieurs contredisent directement les mesures de base que recommande le Centre canadien pour la cybersécurité à toute organisation.
- La dette technique : des systèmes vieillissants, des logiciels en fin de vie, des correctifs de sécurité non appliqués depuis des années. Le coût de mise à niveau n’apparaît nulle part au bilan. Il apparaît le lendemain de la clôture.
- Les licences non conformes : des logiciels utilisés au-delà du nombre de postes payés, des versions dont la preuve d’achat n’existe plus. Un audit d’éditeur mené après la transaction devient la facture de l’acheteur, pas celle du vendeur.
- Un incident de sécurité passé non divulgué : un rançongiciel réglé discrètement, une fuite de données jamais déclarée. Rien n’empêche l’incident de refaire surface un an plus tard, avec les obligations qui l’accompagnent.
- La dépendance à une seule personne : un administrateur système unique qui détient les mots de passe et garde la documentation dans sa tête plutôt que dans un système partagé. Cette personne quitte parfois dans les semaines qui suivent l’annonce de la vente.
- Des contrats fournisseurs difficiles à transférer : un contrat de service TI avec clause de non-cessibilité, pénalité de sortie, ou durée résiduelle qui dépasse largement l’horizon d’intégration prévu.
- Des obligations Loi 25 non respectées : aucun registre des incidents de confidentialité, aucune évaluation des facteurs relatifs à la vie privée (EFVP) pour les projets qui l’exigent, des consentements mal documentés. Ces lacunes ne disparaissent pas à la signature. Elles changent de propriétaire.
Quelles questions poser au vendeur, et quelles preuves exiger ?
Poser les bonnes questions ne suffit pas. Il faut exiger la preuve derrière chaque réponse. Voici les documents que nous demandons systématiquement avant de nous prononcer sur une cible.
| Domaine | Document à exiger | Ce qu’il révèle |
|---|---|---|
| Sécurité | Rapport du dernier test d’intrusion ou audit de sécurité | Si la cible a déjà cherché ses propres failles, et ce qu’elle en a fait |
| Sécurité | Registre des incidents de confidentialité (Loi 25) | L’existence même du registre, obligatoire, et son contenu réel |
| Infrastructure | Inventaire des actifs TI et des licences logicielles | L’écart entre ce qui est déployé et ce qui est réellement payé |
| Infrastructure | Contrats avec les fournisseurs TI (infogérance, infonuagique, logiciels) | Les clauses de cessibilité, de résiliation et de pénalité de sortie |
| Continuité | Résultats des derniers tests de sauvegarde et de relance | Si la promesse de continuité a déjà été testée, ou seulement affirmée |
| Conformité | Politiques internes et évaluations des facteurs relatifs à la vie privée (EFVP) | La maturité réelle du programme de conformité, au-delà du discours |
| Gouvernance | Organigramme TI et description des rôles clés | L’ampleur de la dépendance à une seule personne |
Un vendeur qui ne peut produire aucun de ces documents ne ment pas nécessairement. Il révèle souvent, simplement, qu’il n’a jamais eu à les produire pour personne d’autre que lui-même.
La Loi 25 s’applique-t-elle à une acquisition d’entreprise ?
Oui, et c’est le volet que les listes de vérification américaines, largement utilisées au Canada, ratent presque toujours. La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, encadre spécifiquement la communication de renseignements personnels dans le cadre d’une transaction commerciale, à l’article 18.4 (LegisQuébec).
La loi permet de communiquer des renseignements personnels sans le consentement des personnes concernées pendant la diligence raisonnable, à des conditions précises. La communication doit d’abord être nécessaire à la conclusion de la transaction. Les parties doivent ensuite signer une entente qui :
- limite l’usage des renseignements à la seule évaluation de la transaction ;
- impose des mesures de protection à la partie qui les reçoit ;
- exige la destruction ou le retour des renseignements si la transaction ne se conclut pas.
Une fois la transaction conclue, une nouvelle obligation apparaît : l’acquéreur doit aviser les personnes concernées, dans un délai raisonnable, qu’il détient désormais des renseignements les concernant en raison de la transaction. La Commission d’accès à l’information du Québec en précise les conditions. Un acheteur qui ignore cette étape hérite d’une non-conformité qu’il n’a pas créée, mais dont il devient responsable devant la loi.
C’est ici que la vérification diligente TI acquisition d’entreprise rejoint directement le juridique. Un registre des incidents manquant, une EFVP jamais faite, des consentements marketing mal documentés : rien de tout cela ne s’efface à la signature. Ça change de propriétaire.
Combien de temps et quel budget prévoir pour un audit TI avant l’achat d’une entreprise ?
La réponse dépend d’abord de la taille et de la complexité du parc informatique de la cible, pas de la taille de la transaction elle-même. Une PME avec un seul environnement infonuagique et une équipe TI de deux personnes se documente plus vite qu’une entreprise avec des systèmes hérités, plusieurs sites et des acquisitions antérieures jamais intégrées.
La tranche TI se planifie en parallèle des autres volets de la diligence, pas après. Si elle démarre seulement une fois le financier et le juridique bouclés, elle devient le facteur qui retarde la clôture. Pire, elle devient celle qu’on écourte sous la pression du calendrier, pour ne finalement presque pas la faire.
Le budget suit la même logique que l’effort : il grandit avec l’écart entre ce que le vendeur affirme et ce que la vérification confirme. Une cible bien documentée, avec des preuves à l’appui de chaque affirmation, coûte moins cher à vérifier qu’une cible où chaque réponse ouvre une nouvelle question. C’est un argument de plus pour exiger les preuves tôt, pas seulement les réponses.
Que faire des constats : ajuster le prix, exiger des correctifs, ou marcher ?
Les constats de la vérification diligente TI se traduisent en trois leviers, pas plus.
- Ajuster le prix, par une réduction directe ou par une somme retenue en fiducie jusqu’à ce qu’un correctif précis soit livré.
- Exiger un correctif du vendeur avant la clôture, ce qui retarde la transaction mais élimine le risque plutôt que de le monnayer.
- Marcher, quand l’écart entre ce qui est vendu et ce qui existe réellement dépasse ce qu’un ajustement de prix peut raisonnablement compenser.
Aucun de ces choix n’appartient à la firme qui mène la vérification. Notre rôle s’arrête à établir les faits, avec des preuves qui tiennent la route. La décision reste celle de l’acheteur, avec son juridique et son conseiller financier.
Si vous êtes en processus d’acquisition et que la vérification diligente TI acquisition d’entreprise n’a pas encore commencé, le moment d’agir, c’est maintenant, avant la signature, pas après la déception. Nous menons ce type de mandat comme un audit TI indépendant : des constats appuyés par des preuves, présentés sans filtre commercial. L’associé principal qui signe le rapport agit aussi comme témoin expert devant les tribunaux. Notre article sur comment on bâtit un rapport d’expertise qui tient en cour donne une idée du standard de preuve visé, même hors litige.
Pour aller plus loin avec Factero :
Foire aux questions
La vérification diligente TI est-elle obligatoire dans une transaction ?
Non, aucune loi n’oblige un acheteur à vérifier l’informatique d’une cible avant de conclure une transaction. Mais l’absence de vérification ne fait pas disparaître les risques, elle les transfère intégralement à l’acheteur, qui en découvre l’ampleur seulement après la clôture, au moment où il n’a plus aucun levier de négociation.
Qui devrait mener la vérification diligente TI : une équipe interne ou une firme externe ?
Une équipe TI interne compétente peut couvrir certains volets techniques. Mais un examen mené par une firme indépendante, sans lien avec le vendeur ni avec le fournisseur TI en place, produit des constats que personne ne peut accuser d’être orientés par un intérêt commercial, un atout en cas de négociation serrée.
Existe-t-il une checklist standard de vérification diligente TI ?
Pas de checklist universelle. Les modèles qui circulent le plus, en ligne comme dans plusieurs cabinets, sont presque tous d’origine américaine et ne couvrent pas les obligations propres au Québec, notamment celles de la Loi 25 sur les renseignements personnels. Une checklist importée sans adaptation laisse passer exactement le volet que cet article détaille.
Qui paie pour la vérification diligente TI, l’acheteur ou le vendeur ?
Presque toujours l’acheteur. La vérification diligente TI fait partie de ses frais de transaction, au même titre que les avocats et les comptables mandatés pour les volets juridique et financier. Le vendeur assume ses propres frais pour répondre aux demandes de documents, mais ne paie pas la firme qui l’examine.
Le rapport de vérification diligente peut-il servir en cas de litige ?
Oui, s’il est bâti pour ça dès le départ : preuves documentées, méthode transparente, conclusions appuyées plutôt qu’affirmées. C’est le standard que nous appliquons, que le rapport serve ou non devant un tribunal par la suite.
Sources citées
- Étapes essentielles avant d’acheter une entreprise (BDC)
- Principaux changements apportés par la Loi 25 (Commission d’accès à l’information du Québec)
- Centre canadien pour la cybersécurité
- Forescout Study Reveals Cybersecurity Concerns on the Rise Amid M&A Activity (Forescout, 2019)
- Loi sur la protection des renseignements personnels dans le secteur privé, article 18.4 (LegisQuébec)
