Due diligence côté vendeur : ce que les acquéreurs vont examiner, et comment vous y préparer

La due diligence est la phase la plus redoutée d'une cession, et la plus mal préparée. D'après les données Hampleton Partners 2025, 40% des transactions M&A tech voient le prix revu à la baisse lors de la due diligence, et 12% aboutissent à un abandon du deal. La quasi-totalité de ces situations est évitable avec une préparation structurée côté vendeur. Ce guide détaille ce que l'acquéreur va chercher dans chaque dimension.

La data room idéale : liste complète

• Documents juridiques : statuts à jour, K-bis, table de capitalisation, pacte d'actionnaires, PV d'AG des 3 derniers exercices, contrats de travail et accords de confidentialité équipe.
• Documents financiers : comptes certifiés 3 ans, balance âgée clients, budget N+1, MRR/ARR bridgé mois par mois sur 24 mois, liste contrats clients avec dates de renouvellement.
• Documentation technique : architecture système, inventaire des dépendances (librairies tierces, licences), documentation des APIs, politique de backup et disaster recovery, résultats de pentest < 18 mois.
• Documents IP : marques déposées avec numéros d'enregistrement, contrats prestataires avec clause de cession de droits, certificats de logiciel original, registre des noms de domaine.
• Documents RH : organigramme, fiches de poste clés, politique de rémunération, accords d'intéressement/BSPCE en cours, éventuelles clauses de non-concurrence.

Code review : ce que l'acheteur va trouver

La due diligence technique comprend systématiquement une revue de code par un cabinet indépendant mandaté par l'acquéreur. Ce que les reviewers cherchent : (1) la dette technique mesurable (ratio coverage tests, ancienneté des dépendances, présence de linters/formatters) ; (2) la scalabilité de l'architecture (monolithe vs microservices, cloud-native ou legacy) ; (3) la sécurité applicative (OWASP Top 10, gestion des secrets, chiffrement des données sensibles) ; (4) la documentation du code (README, commentaires, OpenAPI). Un actif avec < 30% de couverture de tests et sans CI/CD documenté sera systématiquement décoté.

IP : les 5 problèmes qui font sauter un deal à J-15

• Prestataires sans contrat de cession de droits : le code écrit par un freelance sans clause de cession appartient légalement au freelance, pas à la société. Problème présent dans 43% des actifs soumis à Aegryn.
• Marque non déposée dans les classes pertinentes : un acquéreur ne peut pas sécuriser son investissement sur une marque non protégée. Délai de dépôt et d'enregistrement : 6–8 mois en FR/EU, à anticiper.
• Dépendances GPL dans le codebase : les licences GPL (GNU General Public License) sont copyleft, elles contaminent l'ensemble du code qui les intègre. Un acquéreur qui découvre des dépendances GPL non documentées peut exiger leur remplacement avant closing.
• Données personnelles traitées sans base légale documentée : en due diligence RGPD, l'absence de registre des traitements, de politique de confidentialité conforme ou de DPA avec les sous-traitants est un bloquant pour les acquéreurs institutionnels.
• Contentieux en cours non divulgués : tout litige actif (client, prestataire, salarié) doit être déclaré dans la data room. Un contentieux découvert pendant ou après la due diligence est un motif légal de résolution du SPA ou de réduction du prix via le séquestre.

Finances : comment présenter vos métriques

La règle d'or : séparer rigoureusement l'ARR récurrent des revenus non récurrents. Tout ce qui n'est pas un abonnement automatiquement renouvelable ne doit pas être intégré dans l'ARR. Les acquéreurs PE et leurs advisors décortiquent systématiquement les MRR bridge mois par mois, ils identifient les expansion revenues, les churns, les upgrades et downgrades. Un ARR "gonflé" est détecté en moins de deux heures d'analyse et déclenche une perte de confiance irréversible.