Vad händer i en teknisk due diligence?

En teknisk due diligence är en oberoende granskning av ett bolags teknik inför en investering eller ett förvärv. Den omfattar kod, infrastruktur, säkerhet och team. Den prövar också hur väl plattformen klarar tillväxt. Fynden blir risker som köparen kan prissätta eller planera att åtgärda, och vissa kan vara skäl att avstå. De flesta av våra uppdrag tar en till tre veckor.

Vad omfattar den?

Omfattningen beror på affären. De här områdena återkommer nästan alltid:

• Kodbasen: kvalitet, arkitektur, teknisk skuld och hur svår den skulle vara att lämna över till nya personer.
• Infrastrukturen, alltså hur plattformen drivs, vad driften kostar och om kostnaden växer snabbare än verksamheten.
• Säkerhet och regelefterlevnad, från säkerhetsarkitektur och kända sårbarheter till dataskydd och, där det är relevant, GDPR.
• Team och arbetssätt: utvecklingsprocesser, dokumentation och hur kunskapen är fördelad i teamet.
• Skalbarhet. Vad som går sönder först när användningen ökar, och ungefär vad det kostar att åtgärda.

För en förvärvare spelar integrationen också roll. Hur väl passar plattformen befintliga system, och hur lång tid skulle en migrering ta?

Hur går processen till?

1. Först kommer omfattningen och ett sekretessavtal. Den avgör hur användbart resultatet blir, eftersom en granskning som täcker allt blir ytlig.
2. Sedan följer tillgång till dokumentation, kodförråd, molnkonton eller kostnadsrapporter, och till de personer som byggt systemet.
3. Varje område gås igenom i tur och ordning, och teamet intervjuas.
4. Varje risk klassas efter allvarlighet. På så sätt väger en saknad testsvit inte lika tungt som oklart ägande av kärnkoden.
5. Rekommendationerna kommer med uppskattningar av vad åtgärderna skulle kräva i tid och pengar.
6. Beslutsfattarna får en sammanfattning, och det tekniska teamet får detaljerna bakom den.

Vad får ni ut av den?

En rangordnad lista över risker, med tillräckligt underlag för att agera. Rapporten innehåller en riskmatris, rekommendationer med uppskattade åtgärdskostnader och en sammanfattning skriven för en styrelse eller investeringskommitté. Uppskattningarna gör granskningen användbar i en förhandling. De kan bli en prisjustering eller ett villkor i avtalet, eller en plan för de första månaderna efter tillträdet.

Vad bör en grundare förbereda?

En due diligence går fortare, och ger en rättvisare bild, när grunderna finns på plats innan den börjar:

• en aktuell översikt över arkitekturen, och över vem i teamet som kan vad
• tillgång till kodförråden och byggkedjan
• det senaste årets kostnader för moln och licenser
• en lista över komponenter med öppen källkod och från tredje part, med deras licenser
• säkerhetspolicyer, nyligen genomförda penetrationstester och en förteckning över eventuella incidenter

Ofärdiga dokument går bra. Granskarna vill främst se att bolaget känner sitt eget system.

Vilka fynd påverkar en affär?

Vissa fynd väger mycket tyngre än andra. Av dem som oftast ändrar villkoren handlar två om människor och ägande: en eller två personer kan ha kunskap som ingen annan har. Eller så kan ägandet av koden vara oklart, till exempel efter arbete av konsulter utan ordentliga avtal. I en granskning hade konsulter skrivit kärnan i produkten utan avtal om överlåtelse av immateriella rättigheter. Köparen gjorde en undertecknad överlåtelse till ett villkor för tillträdet. Resten är tekniska:

• licenser för öppen källkod som krockar med hur produkten säljs
• inga automatiserade tester eller driftsättningar, så att varje release hänger på manuella steg
• grundläggande säkerhet saknas, som flerfaktorsautentisering eller säkerhetskopior som har återställts i ett test
• molnkostnader som växer snabbare än intäkterna

Varför vi tittar från båda sidor av bordet

Vi har själva byggt bolag och tagit in kapital, och vi har granskat andra på uppdrag av investerare och förvärvare. Därför vet vi vilka frågor en köpare behöver få besvarade. Det förklarar också varför en grundare kan vara nervös inför att visa ett system som byggts under tidspress. Vi granskar med det i åtanke och rapporterar ärligt.

Mer om vår tekniska due diligence finns på tjänstesidan. Förfrågningar behandlas konfidentiellt.