ITDD（ITデューデリジェンス）

M&Aで引き継ぐサイバーリスクを、
買収前に見抜く

財務や法務の調査だけでは、
買収先のセキュリティの問題は見えてきません。
ITDDで過去のインシデントや体制の弱点、
システムの権利関係を洗い出し、
契約条件と買収後の統合計画に反映させます。

買い手側の調査
売り手側の事前準備
表明保証・補償
PMI
海外の対象会社

ITDDのご相談（初回無料）

ITDDとはWHAT IS ITDD

ITDD（ITデューデリジェンス）とは、M&Aにおいて、買収の対象となる会社のIT環境、セキュリティ体制、データの取扱いなどを調べる調査です。
事業の多くがシステムとデータに支えられている今、買収先のサイバーリスクは、そのまま買い手のリスクになります。財務DDや法務DDでは確認しきれないこの領域を、弁護士の視点から調査し、「どのリスクを、契約でどう手当てするか」まで落とし込むのが、当事務所のITDDです。

ITDDをしないと、何が起きるかRISKS

RISK 01

買収後に過去の侵害が発覚する

買収前から侵入されていた事実や、報告されていない情報漏えいが後から判明すると、その対応と責任は買い手が負うことになります。
RISK 02

買収先がグループへの入口になる

対策の弱い買収先のネットワークをグループにつなぐと、そこから本社や他のグループ会社に被害が広がるおそれがあります。
RISK 03

ライセンス違反・権利の不備

ソフトウェアのライセンス違反や、開発委託したソースコードの権利が買収先にないといった問題が、事業の継続を妨げることがあります。
RISK 04

個人データの不適切な取扱い

同意のない取得や、海外への違法な移転があれば、行政処分や損害賠償、事業モデルの見直しにつながります。
RISK 05

想定外の追加投資

古いシステムへの依存や、更新されていない基盤が見つかると、買収後に大きな改修費用が必要になることがあります。

主な調査項目SCOPE

区分: 主な確認事項; 主な確認資料
インシデントの履歴: 過去の侵入・情報漏えい・ランサムウェア被害の有無、当局への報告・本人への通知の状況、係争の有無; インシデント記録、当局への報告書、調査報告書
セキュリティ体制: 責任者と体制、規程の整備と運用、認証（ISMSなど）、脆弱性への対応、バックアップ、従業員教育; 規程類、組織図、認証書、監査報告書
個人データ: 保有するデータの種類と量、取得の根拠、委託先の管理、海外への移転、海外の法令（GDPRなど）への対応; プライバシーポリシー、データの一覧、委託契約
システム関連の契約: 重要システムの開発・保守・クラウドの契約、責任の分担、解約条件、支配権の変更に関する条項（チェンジ・オブ・コントロール条項）; 契約書、SLA
ライセンス・知的財産: ソフトウェアのライセンスの適合性（オープンソースを含む）、自社開発システムやソースコードの権利の帰属; ライセンスの一覧、開発委託契約
事業継続: 重要システムへの依存度、特定のベンダーや個人への依存、障害時の復旧計画; システム構成図、事業継続計画（BCP）

※ 脆弱性診断などの技術的な調査は、【提携するセキュリティ会社と連携して実施／ご依頼者が選定した技術アドバイザーと連携】します。

調査結果を、契約と価格に反映させるFROM FINDINGS TO CONTRACT

ITDDの価値は、見つけたリスクを契約でどう手当てするかにあります。M&Aの経験を持つ弁護士が、調査から契約交渉までを一貫して担当します。

表明保証条項

重大なインシデントがないこと、法令を守っていることなどを、売り手に表明・保証してもらいます。
特別補償条項

特定されたリスクが実際に損害につながった場合に、売り手が補償する仕組みを設けます。
クロージングの前提条件

重大な脆弱性の修正や、権利関係の整理を、買収実行の条件とします。
買収価格への反映

買収後に必要になる改修費用などを踏まえ、価格交渉の材料とします。

買収後の統合（PMI）と、売り手側の準備PMI & SELLER-SIDE

買収後の統合（PMI）

グループ共通のセキュリティ規程の展開
ネットワークを統合するまでの暫定的な対策
事故時の報告ルートと対応体制の一本化
システム関連の契約の切替え・見直し

売り手側の事前準備（セラーズDD）

買い手のITDDで指摘されそうな問題の事前把握
規程や契約の不備の是正
開示資料の準備と、表明保証の範囲の検討
企業価値を損なわないための説明方針づくり

売り手側の事前準備（セラーズDD）

インドネシアをはじめとする東南アジアの対象会社についても、現地の法令（個人データ保護法など）を踏まえて調査します。英語・インドネシア語の資料にも対応し、必要に応じて現地の法律事務所と連携します。

進め方PROCESS

1

ご相談・調査範囲の決定

案件の概要とスケジュールを伺い、調査の範囲と重点を決めます。
2

資料の開示依頼

対象会社に提出を求める資料の一覧を作成します。
3

資料の確認・質問

開示資料を確認し、追加の質問やインタビューを行います。
4

報告書の作成

発見したリスクを重要度別に整理し、契約での手当ての方法とあわせて報告します。
5

契約交渉・PMIの支援

調査結果を最終契約に反映させ、買収後の統合を支援します。

法務DDとの組み合わせWITH LEGAL DD

法務DD(デューデリジェンス)について見る >

担当弁護士LAWYER

サイバー攻撃対応・ITDD・海外子会社管理に注力

藏田知彦Tomohiko Kurata

北海道大学大学院理学研究科（化学専攻）修了という理系のバックグラウンドを持ち、技術者やフォレンジック調査会社と同じ目線で事実関係を把握したうえで、法的判断と対外的な対応につなげることを得意としています。サイバー攻撃を受けた企業の【初動対応、当局への報告、本人への通知・公表、取引先への対応】に携わるほか、M&AにおけるITDDを手がけています。

・M&A・企業法務・民事訴訟の豊富な経験
・ジャカルタの法律事務所に3年間駐在、JETRO Jakarta法律専門家などを歴任
・共著『現地の専門家が教える海外子会社管理実務の基礎と応用』（2024年）
・使用言語：日本語・英語・インドネシア語

プロフィールを見る >

よくあるご質問FAQ

Q 法務DDとは別に、ITDDが必要ですか。
A 一般的な法務DDは、会社の組織、重要な契約、労務、紛争などが中心で、セキュリティ体制や過去のインシデントまでは深く調べないことが多くあります。対象会社の事業がシステムやデータに大きく依存している場合は、ITDDの実施をおすすめします。
Q 小規模なM&Aでも依頼できますか。
A はい。重点項目に絞った簡易版の調査もご用意しています。
Q 脆弱性診断などの技術的な調査もしてもらえますか。
A 弊所では承っておりませんが、専門業者をご紹介させていただきます。
Q 海外の会社を買収する場合も対応できますか。
A はい。特にインドネシアをはじめとする東南アジアの会社に対応しています。その他の国・地域は、現地の法律事務所と連携して対応します。
Q 売り手として、事前に準備しておくことはありますか。
A セキュリティ規程、インシデントの記録、システム関連の契約、ライセンスの一覧などを整理しておくと、買い手の調査がスムーズに進み、交渉で不利な条件を受け入れずに済みます。事前の自己点検もお手伝いします。

M&Aのサイバーリスク、
買う前にご相談ください

案件の段階を問わず、
まずは初回無料相談をご利用ください。
秘密保持契約の締結にも対応します。

初回無料相談のお申し込み