Vad händer i en teknisk due diligence?

En teknisk due diligence är en oberoende granskning av ett bolags teknik inför en investering eller ett förvärv. Den tittar på koden, infrastrukturen, säkerheten, teamet och hur väl plattformen klarar tillväxt. Resultatet blir risker som köparen kan prissätta, planera att åtgärda eller se som skäl att avstå. De flesta av våra uppdrag tar en till tre veckor.

Vad omfattar den?

Omfattningen beror på affären, men de här områdena återkommer nästan alltid:

• Kodbasen: kvalitet, arkitektur, teknisk skuld och hur svår koden skulle vara att lämna över till nya personer.
• Infrastrukturen: hur plattformen drivs, vad den kostar att drifta och om kostnaderna växer snabbare än verksamheten.
• Säkerhet och regelefterlevnad: säkerhetsarkitektur, kända sårbarheter, dataskydd och, där det är relevant, GDPR.
• Team och arbetssätt: utvecklingsprocesser, dokumentation och hur kunskapen är fördelad i teamet.
• Skalbarhet: vad som går sönder först när användningen ökar, och ungefär vad det kostar att åtgärda.
• Integration: för en förvärvare, hur väl plattformen passar befintliga system och hur lång tid en migrering skulle ta.

Hur går processen till?

1. Vi kommer överens om omfattningen och skriver ett sekretessavtal. En granskning som försöker täcka allt blir ytlig överallt, så det här steget avgör hur användbart resultatet blir.
2. Vi får tillgång till dokumentation, kodförråd, molnkonton eller kostnadsrapporter, och tid med de personer som byggt systemet.
3. Vi går systematiskt igenom varje område och intervjuar teamet.
4. Vi klassar varje risk efter allvarlighet, så att en saknad testsvit inte väger lika tungt som oklart ägande av kärnkoden.
5. Vi skriver rekommendationer med uppskattningar av vad åtgärderna skulle kräva i tid och pengar.
6. Vi levererar en sammanfattning för beslutsfattarna, med detaljerna bakom för det tekniska teamet.

Vad får ni till sist?

Ni får riskerna rangordnade, med tillräckligt underlag för att agera: en riskmatris, rekommendationer med uppskattade åtgärdskostnader och en sammanfattning skriven för en styrelse eller investeringskommitté. Uppskattningarna är det som gör granskningen användbar i en förhandling. De kan bli en prisjustering, ett villkor i avtalet eller en plan för de första månaderna efter tillträdet.

Vad bör en grundare förbereda?

En due diligence går fortare, och ger en rättvisare bild, när grunderna finns på plats. Innan granskningen börjar är det bra att ha:

• en aktuell översikt över arkitekturen
• tillgång till kodförråden och byggkedjan
• det senaste årets kostnader för moln och licenser
• en lista över komponenter med öppen källkod och från tredje part, med deras licenser
• säkerhetspolicyer, nyliga penetrationstester och en förteckning över eventuella incidenter
• en översikt över teamet och vem som kan vad

Inget av detta behöver vara snyggt. Granskarna vill främst se att bolaget känner sitt eget system.

Vilka fynd påverkar en affär?

Vissa fynd väger mycket tyngre än andra. Det här är de som oftast ändrar villkoren:

• en eller två personer har kunskap som ingen annan har
• oklart ägande av koden, till exempel arbete av konsulter utan ordentliga avtal
• licenser för öppen källkod som krockar med hur produkten säljs
• inga automatiserade tester eller driftsättningar, så att varje release hänger på manuella steg
• grundläggande säkerhet saknas, som flerfaktorsautentisering eller säkerhetskopior som har återställts i ett test
• molnkostnader som växer snabbare än intäkterna

Varför vi tittar från båda sidor av bordet

Vi har själva byggt bolag och tagit in kapital, och vi har granskat andra på uppdrag av investerare och förvärvare. Det hjälper åt båda hållen. Vi vet vad en köpare behöver få besvarat, och vi förstår varför en grundare kan vara nervös inför att visa ett system som byggts under tidspress. Vi granskar med den förståelsen och rapporterar ärligt.

Läs mer om vår tekniska due diligence, eller skicka en konfidentiell förfrågan.