Due diligence IT : la checklist du repreneur de PME
Les 6 points à vérifier avant de racheter une PME : accès admin, licences, sauvegardes, dette technique, prestataires, RGPD. Et les surprises à chiffrer.
À retenir
- Six points suffisent pour une due diligence IT de PME : accès administrateur, licences, sauvegardes testées, dette technique, contrats prestataires et conformité RGPD.
- Selon Bpifrance Le Lab et CCI France (novembre 2025), 370 000 TPE, PME et ETI pourraient être transmises d’ici 2030 : le repreneur qui vérifie l’IT avant de signer garde la main sur le prix.
- Chaque case non cochée se traduit en coût de remise à niveau ou en clause de garantie, et un manquement RGPD hérité reste sanctionnable, comme le rappelle le bilan 2025 de la CNIL.
Avant de racheter une PME, vérifiez six points IT : qui détient les accès administrateur, à qui appartiennent les licences et le nom de domaine, si les sauvegardes se restaurent, l’état de la dette technique, la dépendance aux prestataires et la conformité RGPD. Chaque écart se chiffre et se négocie avant la signature, pas après.
Pourquoi l’IT réserve-t-elle des surprises au repreneur ?
Parce que le cédant la connaît mal lui-même. Dans les PME que j’accompagne, l’informatique s’est construite par couches : un prestataire historique, un salarié débrouillard, des abonnements pris au fil de l’eau. Et le marché pousse à aller vite : selon Bpifrance Le Lab, avec CCI France (novembre 2025), 370 000 TPE, PME et ETI pourraient changer de mains d’ici 2030, dont 58 000 PME.
- Le compte administrateur du serveur et du nom de domaine est au nom d’un prestataire, sans mot de passe connu.
- Les licences ERP ou bureautique sont au nom du dirigeant sortant ou d’une autre société.
- Les sauvegardes existent, mais personne n’a jamais tenté une restauration.
Que vérifier avant de signer ?
Checklist due diligence IT (à faire remplir par le cédant, puis à vérifier)
- Accès et admin : liste nominative des comptes administrateurs (serveurs, messagerie, cloud, nom de domaine), MFA activé.
- Licences et propriété : contrats ERP, CRM, bureautique et noms de domaine au nom de la société cible, transférables.
- Sauvegardes : fréquence, copie hors site, date du dernier test de restauration réussi.
- Dette technique : versions des logiciels, matériel de plus de cinq ans, développements maison non documentés.
- Dépendances fournisseurs : contrats d’infogérance et d’hébergement, préavis, réversibilité, inventaire des prestations.
- RGPD : registre des traitements, mentions d’information, durées de conservation, gestion des demandes d’accès.
Comment chiffrer les écarts pour négocier le prix ?
Étape 1 : vérifier trois preuves par vous-même
Demandez une restauration de sauvegarde devant vous, l’écran d’administration du nom de domaine et le dernier contrat d’infogérance signé. Une demi-journée suffit, et ces trois preuves révèlent la qualité du reste.
Étape 2 : mettre un coût sur chaque case non cochée
Pour chaque écart, estimez un coût de remise à niveau (licences, MFA, sauvegarde testée, documentation) et un coût d’arrêt (une journée sans produire ni facturer). La somme alimente le prix, une garantie de passif ou une clause de réversibilité. Sur le RGPD, le risque est réel : selon le bilan 2025 de la CNIL (février 2026), 83 sanctions ont été prononcées, dont 67 en procédure simplifiée, où l’insuffisance de sécurité des données est l’un des trois premiers motifs.
Questions fréquentes sur la due diligence IT
Combien de temps prend une due diligence IT pour une PME ?
Pour une PME de 10 à 100 personnes, comptez trois à cinq jours de travail répartis sur deux semaines : envoi de la checklist, entretien avec le prestataire informatique, vérifications sur place et chiffrage. Le délai dépend surtout de la réactivité du cédant.
Faut-il un audit IT si la PME a déjà un prestataire d’infogérance ?
Oui, c’est même le cas le plus fréquent. Le prestataire connaît le parc, mais il n’a aucun intérêt à signaler ce qu’il a laissé vieillir. La due diligence vérifie son contrat (préavis, réversibilité, inventaire) et confirme ses déclarations par des preuves.
Que faire si le cédant refuse de donner les accès avant la signature ?
C’est normal, vous n’êtes pas encore propriétaire. Demandez des preuves plutôt que des accès : captures des consoles d’administration, inventaire des licences, rapport de sauvegarde daté. Prévoyez dans l’acte la remise de tous les accès administrateur le jour du closing, avec inventaire signé.
Les manquements RGPD du cédant retombent-ils sur le repreneur ?
Oui. En rachetant les titres, vous reprenez la société avec son historique, y compris ses traitements de données non conformes. Une garantie de passif peut couvrir une sanction liée à des faits antérieurs, à condition d’avoir documenté l’état des lieux avant la signature.
Par où commencer ?
Aujourd’hui, posez une seule question au cédant : « Qui détient les accès administrateur de votre messagerie, de votre serveur et de votre nom de domaine ? ». La réponse, ou son absence, oriente le reste de l’audit. En phase de lettre d’intention, un appel de 30 minutes suffit pour identifier les trois points à creuser en priorité.
Pour aller plus loin : le guide complet de la due diligence IT en PME (risques, chiffrage, clauses, plan 100 jours).