Lire un rapport de due diligence technique : ce qui compte en comité

Un rapport de due diligence technique se lit en une heure, à condition de ne pas le lire dans l’ordre. La synthèse d’abord, le registre des risques ensuite, et le reste seulement pour vérifier un point. Le document fait quarante pages parce que l’auditeur doit pouvoir justifier chaque conclusion devant le CTO de la cible ; le comité a besoin des conclusions, et de savoir lesquelles changent le deal.

Nous rédigeons ces rapports pour des fonds et voyons comment ils sont lus. Les deux erreurs les plus fréquentes : s’arrêter à la note globale, et donner le même poids à tous les risques listés.

Où aller en premier : la synthèse, puis le registre des risques

La synthèse exécutive tient en deux pages et répond à trois questions : qu’est-ce que la cible a construit, est-ce que cela tient, et qu’est-ce que cela coûtera pendant la durée de détention. Si ces deux pages ne permettent pas de reformuler l’avis de l’auditeur en trois phrases, le rapport a un problème.

Le registre des risques vient ensuite. Il porte la négociation, et chaque ligne devrait avoir une sévérité, un coût de remédiation estimé et un délai. Lisez-le en entier, y compris les risques classés faibles : la sévérité est un jugement de l’auditeur, qui ignore des éléments du deal comme un plan d’intégration.

La note globale se lit en dernier. Elle sert à comparer des cibles entre elles, et nous avons vu des comités y passer plus de temps qu’au risque qui justifiait un ajustement de prix. Un 7 sur 10 ne dit pas si le point perdu tient à une documentation mince ou à une sauvegarde que personne n’a jamais restaurée.

Trois familles de risques, et une seule qui change le prix

Le registre se range en trois familles, et le lecteur doit faire ce tri si l’auditeur ne l’a pas fait.

Un risque change le prix quand sa remédiation coûte de l’argent que la thèse d’investissement n’avait pas prévu : une réécriture du cœur du produit avant de tenir la charge du plan, une dette qui absorbe la moitié de l’équipe pendant un an. La dette technique se chiffre et se négocie comme un passif.

Un risque change les conditions quand il se corrige à coût raisonnable mais ne peut pas rester en l’état. Des secrets dans l’historique du code, un système que seule une personne sait déployer ou des accès de prestataires jamais révoqués deviennent des conditions suspensives, des clauses de rétention ou des engagements post-closing datés.

Un risque cosmétique fait mauvais effet dans le rapport et ne change rien : des versions en retard quand les correctifs de sécurité suivent, un monolithe là où la mode voudrait des microservices. Nous avons détaillé ce qui sépare un signal sérieux d’un signal cosmétique ailleurs ; la règle est qu’un risque cosmétique n’occupe jamais une ligne de négociation.

Lire les absences

Un sujet absent du rapport a trois explications possibles, et il faut savoir laquelle. L’auditeur l’a regardé sans rien trouver, et le rapport devrait le dire en une phrase. Le sujet était hors périmètre, acceptable si le cadrage l’avait prévu, inquiétant si personne ne s’en souvient. Ou l’auditeur n’a pas pu le regarder, faute d’accès au code ou de CTO disponible, et l’empêchement mérite alors sa ligne dans le registre.

Les absences les plus coûteuses portent sur la sécurité (un rapport muet sur les accès et les secrets n’a probablement pas ouvert la console cloud), sur les coûts d’infrastructure et, pour les cibles IA, sur l’évaluation : un rapport qui décrit le modèle sans dire comment la cible mesure ses erreurs a sauté le sujet qui compte.

Les questions à poser à l’auditeur en restitution

La restitution est le moment où l’auditeur dit à voix haute ce qu’il a écrit avec prudence. Quelques questions l’y aident :

• Quel risque vous inquiète le plus, et pourquoi n’est-il pas en tête du registre ?
• Qu’avez-vous vérifié vous-même, et qu’avez-vous pris sur parole ?
• Que n’avez-vous pas eu le temps de regarder ?
• Le CTO reconnaîtrait-il son système dans ce rapport ?

La deuxième est la plus utile. Un rapport mélange des constats vérifiés dans le code et les logs, et des déclarations du management reprises telles quelles. Il faut savoir ce que la due diligence a contrôlé elle-même et ce qui vient des récits de l’entretien avec le CTO, qui éclairent le jugement sans valoir preuve.

Du registre des risques au plan à 100 jours

Un bon rapport se termine par un plan ; sinon, le registre suffit à en construire un. Les risques qui changent les conditions ouvrent le plan post-closing, avec un responsable et une date. Les risques modérés forment le programme des trois premiers mois, dans l’ordre de leur coût de portage : ce qui coûte chaque mois en silence passe avant ce qui gêne sans coûter. Le cosmétique va dans le backlog de l’équipe, sans échéance imposée par le fonds. Ce plan sert aussi de base à la première conversation avec le CTO après la signature.

Un rapport qui se lit ainsi en une heure a demandé deux à trois semaines de travail. Si vous voulez voir le format que nous livrons aux comités, notre page sur l’audit technique et la due diligence en décrit les pièces et la méthode.