Due diligence typique en matière de fusions et acquisitions technologiques au Danemark

Dans les transactions de fusions et acquisitions technologiques danoises, la diligence raisonnable de l’acheteur comprend généralement une analyse complète de la technologie de la société cible et de la propriété intellectuelle associée afin de garantir que la société cible est bien le propriétaire légal de tous les droits nécessaires et qu’ils sont correctement protégés.

Le champ d’application typique de la due diligence pour les transactions de fusions et acquisitions technologiques comprend :

• Identifiez tous les actifs technologiques et de propriété intellectuelle pertinents détenus, utilisés ou sous licence par la société cible, y compris la propriété intellectuelle enregistrée et non enregistrée et les secrets commerciaux, et confirmez la propriété ou les droits de la société cible et toutes les restrictions applicables. Cela comprend généralement un aperçu de l'infrastructure informatique cible, notamment si le logiciel utilisé est un logiciel commercial prêt à l'emploi (COTS) ou développé sur mesure.
• Vérifiez les droits de propriété intellectuelle par catégorie et recherchez les droits de propriété intellectuelle dans les registres publics pertinents.
• Confirmer qu’il n’existe aucun litige en cours ou potentiel avec des tiers concernant les droits de propriété intellectuelle.
• Précisez si la cible est soumise à des exigences réglementaires spécifiques (au secteur), notamment si la transaction potentielle déclenche des notifications réglementaires, des approbations ou d’autres documents obligatoires.
• Confirmer que les employés, inventeurs, dirigeants, fondateurs et/ou actionnaires de la société cible ne possèdent personnellement aucune propriété intellectuelle utilisée par la société cible dans ses activités commerciales.
• Analyser la gestion et le traitement des données personnelles par l’entreprise cible et sa conformité globale avec la législation applicable en matière de protection des données (y compris le règlement général sur la protection des données), ce qui comprend un examen de la documentation interne sur la protection des données (y compris les politiques, les procédures, les lignes directrices et les évaluations des risques). En outre, l’analyse du dispositif de conformité de l’entreprise cible inclura également la compréhension des flux de données, des activités de traitement des données, des transferts vers des pays hors UE/EEE et l’utilisation de fonctionnalités pour profiler les clients ou l’utilisation de nouvelles technologies, telles que la génération d’outils d’IA ou d’appareils Internet des objets (IoT).
• Évaluez les objectifs et cibles de licence de la cible, notamment si et dans quelle mesure les licences sont consolidées et si les licences de logiciels tiers sont suffisantes pour couvrir toutes les sociétés affiliées.
• Identifier les expositions aux risques dans les contrats commerciaux (par exemple, confirmer s’il existe des limitations de responsabilité pertinentes et habituelles).
• Évaluer toute utilisation de code open source en lien avec le logiciel propriétaire de la cible, y compris si des licences open source à effets viraux (copyleft) sont utilisées.
• Confirmer si la cible dispose de politiques, procédures, plans, évaluations des risques et/ou évaluations de sécurité informatiques et de cybersécurité pertinents (par exemple, politique de sécurité informatique, politique d'incident, plan de reprise après sinistre et d'urgence, évaluation de la cybersécurité, politique contre les ransomwares, formation de sensibilisation à la cybersécurité, etc.) Déclarations d'audit ISO 27001 et ISAE 3000, ISAE 3402 ou similaires.
• Vérifiez le profil de risque de la cible par rapport à sa configuration informatique, notamment si la cible a subi des pannes informatiques majeures et/ou critiques, des incidents de sécurité et/ou des violations de données.
• Examinez les accords de licence (internes et externes) (par exemple, tous les composants logiciels tiers utilisés en relation avec le logiciel propriétaire de la cible) et vérifiez si la cible a subi des audits de licence.

Les acheteurs potentiels effectuent généralement une due diligence environnementale, sociale et de gouvernance (ESG). Le profil ESG d’une entreprise cible a souvent un impact significatif sur une transaction. Les risques potentiels en matière de réputation peuvent être difficiles à prendre en compte dans une analyse de rentabilisation, même si l'accent peut être davantage mis sur la tarification dans un modèle de transaction.

Vérifiez que l'entreprise cible a pris les mesures appropriées pour protéger ses secrets commerciaux, son savoir-faire, ses processus, ses méthodes et autres informations commercialement sensibles (par exemple, les politiques de secrets commerciaux, les obligations de confidentialité, le stockage, les contrôles d'accès, les enregistrements et/ou les procédures opérationnelles standard).

Pour les entreprises disposant d'éléments tels que des boutiques en ligne, des médias sociaux, etc., les acheteurs se concentreront souvent sur le respect de la législation sur la protection des consommateurs au sens large, notamment en examinant les clauses de non-responsabilité pertinentes, les conditions générales (et si elles sont réellement acceptées par les utilisateurs), les politiques de confidentialité, les politiques en matière de cookies, etc.