Van verborgen technical debt tot datalek: wat elke (ver)koper moet weten over IT-risico’s bij een bedrijfsovername
Als je een bedrijf koopt, wil je weten wat je overneemt. Je kijkt naar de cijfers, contracten, klanten, medewerkers en juridische en fiscale zaken. De IT-omgeving hoort daar ook bij. Het onderzoek daarnaar noemen we IT due diligence, of ICT due diligence. Het is een onderdeel van het boekenonderzoek dat je vóór een overname doet.
Maar IT due diligence is niet alleen iets voor de koper. Ook als verkoper heb je er belang bij om vóór het verkoopproces te weten waar mogelijke zwakke plekken zitten. Als tijdens het onderzoek ineens blijkt dat zaken niet op orde zijn, komt die discussie op een ongunstig moment. Wat je vooraf weet, kun je oplossen of in ieder geval uitleggen.
Inhoudsopgave:
- Hoe belangrijk is IT due diligence in het MKB?
- Het begint bij de basis
- Kijk naar IT zoals je naar machines kijkt
- Van technisch probleem naar financieel gevolg
- Mogelijke risico’s: een beknopte IT due diligence checklist
- Het grootste IT-risico is soms een mens
- Uitbestede IT kan een afhankelijkheid zijn
- Cybersecurity due diligence: een fout is zo gemaakt
- Schoenmaker, blijf bij je leest
- IT hoeft geen dealbreaker te zijn
Hoe belangrijk de IT due diligence is, verschilt per bedrijf. Bij de verkoop van een traditioneel schildersbedrijf met een paar laptops speelt IT natuurlijk een andere rol dan bij de overname van een telecombedrijf. Maar ook bij dat schilderbedrijf wil je weten hoe de basis is geregeld. Wie heeft toegang tot systemen? Worden er back-ups gemaakt? Zijn licenties op orde? En kan een medewerker die al een maand uit dienst is misschien nog steeds bij de klantgegevens?
Het is natuurlijk niet zo dat iedere koper zelf verstand moet hebben van servers, broncodes en cybersecurity. Maar problemen op dit gebied kunnen risico’s, kosten en investeringen met zich meebrengen, die misschien invloed hebben op de deal.
Hoe belangrijk is IT due diligence in het MKB?
Laat ik dat meteen nuanceren. In het MKB is een uitgebreid IT-onderzoek lang niet bij iedere bedrijfsovername nodig.
Ik begeleidde bijvoorbeeld de verkoop van een installatiebedrijf. Een wat traditioneler bedrijf, met een oudere ondernemer. Er was een laptop, er werden enkele systemen gebruikt, maar er stond geen eigen serverpark en IT was niet de kern van de onderneming. Dan ga ik daar geen enorm technisch onderzoek optuigen.
Dat wordt anders als je een softwarebedrijf koopt. Klanten draaien op de software en zijn ervan afhankelijk dat die blijft functioneren. Dan wil je onder andere weten hoe die software is gebouwd, hoe veilig die is, of de gebruikte techniek nog wordt ondersteund en wie er aanpassingen kan doen.
Bij een groter of internationaal bedrijf kan het belang eveneens veel groter zijn. Eén zwakke plek in een IT-omgeving kan gevolgen hebben voor de hele organisatie.
De omvang en diepgang van het onderzoek moeten dus passen bij het bedrijf dat je koopt. Maar helemaal niet naar IT kijken? Dat zou ik tegenwoordig niet meer verstandig vinden.
Het begint bij de basis
Een IT due diligence in het MKB begint meestal eenvoudig: gesprekken met de ondernemer en degene die verantwoordelijk is voor IT.
Welke systemen gebruikt het bedrijf? Waar staan de gegevens? Wie beheert de IT? Welke applicaties zijn belangrijk voor de bedrijfsvoering? Zijn systemen zelf ontwikkeld of worden ze afgenomen van leveranciers? Hoe zijn back-ups geregeld? Wie heeft toegang waartoe? Zijn er incidenten geweest?
Van daaruit bepaal je óf en waar verder onderzoek nodig is.
Daarbij gaat het ook om het gebruik van systemen. Niet iedere medewerker hoeft toegang te hebben tot alle gegevens. Iemand die aan projecten werkt, moet misschien wel bij klantinformatie, afspraken en projectdocumentatie kunnen, maar niet bij de boekhouding.
Dat klinkt logisch. Toch kom ik in de praktijk situaties tegen waarin dit soort zaken niet goed is geregeld.
Een eenvoudig voorbeeld is een gedeeld e-mailadres, zoals info@. Vijf mensen gebruiken hetzelfde account en kennen allemaal hetzelfde wachtwoord. Eén van hen vertrekt. Wordt zijn toegang dan ook daadwerkelijk afgesloten? Je zult bedrijven de kost moeten geven waar dat niet gebeurt.
Of stel dat iemand van de boekhouding een nieuwe baan krijgt. Een maand later blijkt dat die persoon nog steeds kan inloggen in de administratie. Dat betekent natuurlijk niet dat diegene daar automatisch misbruik van maakt. De meeste mensen zijn van goede wil. Maar als bedrijf wil je daar niet van afhankelijk zijn. Procedures moeten gewoon goed zijn ingericht.
Hetzelfde geldt voor multifactor-authenticatie, wachtwoorden en rechten binnen applicaties. Wie mag alleen kijken en wie mag daadwerkelijk iets wijzigen? Wie kan bij gevoelige gegevens? En als iemand uit dienst gaat, worden zijn rechten dan direct ingetrokken?
Dat zijn geen onderwerpen waar een ondernemer dagelijks bij stilstaat. Voor een koper zijn het wel risico’s die hij overneemt.
Kijk naar IT zoals je naar machines kijkt
Bij de aankoop van een productiebedrijf kijk je naar de machines. Bij een installatiebedrijf kijk je naar de bedrijfsauto’s, apparatuur en gereedschappen. Zijn die nog goed of moet je na de overname meteen investeren? Eigenlijk zou je op dezelfde manier naar IT moeten kijken.
Stel dat alle servers tien jaar oud zijn en laptops sinds de start van het bedrijf nauwelijks zijn vervangen. Misschien werkt alles nog, maar als koper weet je dan wel dat er investeringen aankomen.
En wat ‘oud’ is, hangt ook af van wat je ermee doet. Ik heb jarenlang bij Apple gewerkt. In de grafische sector zag je toen heel duidelijk wat nieuwe hardware kon betekenen. Een grafische bewerking die op een oudere computer een halfuur duurde, kon op een nieuwe machine soms in tien minuten klaar zijn. Dan gaat het niet over een mooiere of snellere computer, maar vergroot je de productiviteit met factor 3.
Op mijn oude iPad thuis worden sommige applicaties niet meer ondersteund. Voor mij persoonlijk is dat niet zo’n probleem: dan gebruik ik mijn telefoon wel. Maar als apparatuur of software onderdeel is van je bedrijfsproces, ligt dat wel anders. Achterstallig onderhoud aan IT kan net zo goed een drempel zijn als achterstallig onderhoud aan machines. In de IT noemt men achterstallig onderhoud trouwens ook wel technical debt.
Van technisch probleem naar financieel gevolg
IT due diligence en financiële due diligence raken elkaar. Licenties bijvoorbeeld. Stel dat een bedrijf software gebruikt waarvoor vijftig licenties nodig zijn, maar die licenties zijn een jaar lang niet of niet volledig betaald. Dat is redelijk eenvoudig financieel te maken. Die rekening kan alsnog komen.
Hetzelfde geldt voor een IT-omgeving die na de overname een upgrade moet krijgen. Een paar nieuwe laptops zullen een deal niet maken of breken. Maar als een koper ontdekt dat er veel meer achterstallig onderhoud is, kunnen de kosten behoorlijk oplopen. Dan ontstaat de discussie: wie gaat dat betalen?
Als verkoper kun je zeggen: de koper wil met het bedrijf verder, dus toekomstige investeringen zijn voor hem. Een koper kan daar tegenover zetten dat hij een onderneming dacht te kopen die op orde was en nu direct extra moet investeren.
Er is geen vaste regel die zegt dat iedere euro aan toekomstige IT-investeringen van de koopprijs af moet. Daar onderhandel je over. Soms leidt een bevinding tot een prijscorrectie. De ene keer spreek je af dat de verkoper iets voor closing oplost. Een andere keer besluit je dat dingen na closing worden aangepakt.
Mogelijke risico’s: een beknopte IT due diligence checklist
| Wat komt uit het onderzoek? | Mogelijk risico | Wat kan het betekenen voor de overname? |
| Licenties zijn niet of onvoldoende betaald | Nabetaling of claim van leverancier | Kosten laten herstellen of meenemen in de onderhandelingen |
| Hardware en systemen zijn sterk verouderd | Investeringen en lagere productiviteit | Toekomstige investering meenemen bij waardering en prijs |
| Toegangsrechten zijn slecht geregeld | Onbevoegde toegang tot bedrijfsgegevens | Voor of na closing maatregelen afspreken |
| Back-ups of beveiliging zijn onvoldoende geregeld | Risico voor bedrijfscontinuïteit | Nader onderzoek en kosten voor verbetering |
| Veel IT-kennis zit bij één persoon | Afhankelijkheid van sleutelmedewerker | Afspraken maken over behoud en kennisoverdracht |
| Het bedrijf is sterk afhankelijk van één externe IT-partij | Continuïteitsrisico | Onderzoeken hoe de dienstverlening en vervanging zijn geregeld |
Bovenstaande tabel is geen technische cybersecuritychecklist. Daar zijn IT-specialisten voor. Het zijn voorbeelden bij de vraag: Wat betekent een technische bevinding voor een onderneming die je wilt (ver)kopen?
Het grootste IT-risico is soms een mens
Bij een softwarebedrijf kijk je niet alleen naar de software zelf. Je kijkt ook naar de mensen die ermee werken. Als één ontwikkelaar het belangrijkste systeem heeft gebouwd, weet diegene precies hoe alles werkt. Als alles in zijn hoofd zit, maar hij heeft nauwelijks iets gedocumenteerd, dan heb je een serieus probleem als hij na de overname vertrekt.
Als koper wil je weten hoe je die kennis borgt en of belangrijke medewerkers bereid zijn te blijven.
Ik heb in het verleden bij een IT- en detacheringsbedrijf gewerkt waar we bonussen gebruikten om medewerkers langer aan ons te binden. De bonus over een jaar werd in maart of april van het jaar erna uitgekeerd. Tegen de tijd dat iemand die kreeg, had hij alweer een deel van zijn volgende bonus opgebouwd.
Zo zijn er allerlei financiële manieren om sleutelmedewerkers te behouden. Je kunt denken aan een aanblijfbonus, performancebonus of in sommige situaties zelfs aandeelhouderschap.
Maar uiteindelijk geloof ik dat mensen vooral blijven als je goed voor ze zorgt. Salaris is belangrijk, maar niet doorslaggevend. Het gaat om hoe je met mensen omgaat, of ze zich gewaardeerd voelen en of er plezier is binnen de organisatie. Een kop koffie, een leuke borrel of gewoon dankjewel zeggen doen meer dan je denkt.
Uitbestede IT kan een afhankelijkheid zijn
IT-beheer zit niet altijd binnen het bedrijf. Veel MKB-bedrijven besteden het beheer uit. Dat kan juist verstandig zijn: je wilt niet dat de hele IT-omgeving afhankelijk is van één medewerker die net op vakantie is wanneer er iets gebeurt.
Maar outsourcing kan óók een afhankelijkheid creëren. Stel dat een klein IT-bedrijf met twee mensen de volledige IT-omgeving beheert en feitelijk de backbone van de onderneming vormt. Dan wil je als koper weten hoe die relatie is geregeld. Wat gebeurt er als één van die twee uitvalt of ze allebei met pensioen willen? Is kennis vastgelegd? Kan een andere partij het overnemen?
Dat hoeft niet meteen reden te zijn om minder voor het bedrijf te betalen. Maar je wilt het wel weten voordat je tekent.
Cybersecurity due diligence: een fout is zo gemaakt
Bij cybersecurity denk je misschien aan digitale gijzelingen bij enorme bedrijven. Maar een fout is zó gemaakt.
Ik heb zelf weleens een phishingmail gekregen die van de Kamer van Koophandel leek te komen. Ik was bezig, dacht: dat moet ik even regelen, en reageerde. Later op de avond werd ik gebeld met een of ander vaag verhaal. Ik had snel door dat het niet klopte en ben er verder niet ingetuind. Uiteindelijk heb ik dus geen grote schade geleden, maar ik schrok er best van hoe makkelijk zoiets kan gebeuren als je met je hoofd ergens anders bent. In mijn geval gewoon bij mijn werk.
Op vakantie heb ik ook eens ergens verkeerd op geklikt, toen ik verbinding voor een e-meeting wilde maken. Er verschenen allerlei reclame pop-ups die ik even snel weg wilde klikken. Mijn IT-provider is drie kwartier bezig geweest om uit te zoeken wat er op mijn computer terecht was gekomen. Gelukkig bleek het mee te vallen.
Maar dat soort ervaringen maken je wel alert. Bij een groot bedrijf zijn de mogelijke gevolgen natuurlijk veel groter. Als een aanval systemen blokkeert, data raakt of back-ups aantast, kan de hele bedrijfsvoering stil komen te liggen.
Daarom zijn zaken als goede back-ups, toegangsbeheer, multifactor-authenticatie en beveiliging wel belangrijk. Als overnameadviseur ga ik niet beoordelen of die technisch goed zijn ingericht. Dat is mijn vak niet. Daarvoor moet je er soms specialisten bijhalen.
Schoenmaker, blijf bij je leest
Dat vind ik bij dit onderwerp belangrijk. Als ik een ondernemer begeleid bij de aan- of verkoop van een softwarebedrijf, ga ik niet zelf de broncode of de applicatieomgeving beoordelen. Bij een fiscale due diligence ga ik toch ook niet proberen om de taken van een fiscalist uit te voeren?
Mijn taak is om te signaleren dat een bepaald onderdeel onderzocht moet worden en ervoor te zorgen dat de juiste specialist erbij komt. Bij een IT- of cybersecurityonderzoek is dat iemand die verstand heeft van de betreffende omgeving en weet welke vragen hij moet stellen.
Bij een softwarebedrijf kan bijvoorbeeld ook de vraag spelen wat precies eigendom is van de onderneming. Als de software de kern van het bedrijf vormt, wil je weten wat je daadwerkelijk koopt. Soms is iets volledig zelf ontwikkeld, maar het kan ook zo zijn dat het programma op een platform van een andere leverancier draait. Dan zit de waarde juist in wat het bedrijf daarop heeft gebouwd en ingericht. Dat moet je helder hebben.
Daarna komt mijn vak weer nadrukkelijk in beeld: wat betekenen de uitkomsten van het onderzoek voor de overname?
Moet de verkoper eerst nog iets herstellen, moeten er garanties of vrijwaringen in overeenkomsten worden opgenomen of kan het prima na de overname worden opgelost? Is een investering al meegenomen in de waardering? Moet er opnieuw over de prijs worden gesproken? Of is het risico zo groot dat je je als koper moet afvragen of je de deal überhaupt nog wilt doen?
IT hoeft geen dealbreaker te zijn
Een IT-omgeving hoeft niet perfect te zijn voordat je een bedrijf kunt verkopen. Zeker in het MKB kom je genoeg bedrijven tegen die organisch zijn gegroeid en waar procedures beter kunnen. Dat hoeft geen probleem te zijn.
Het is wel een probleem als niemand weet hoe groot de achterstand of het risico is. Dan kan een koper na de overname voor vervelende verrassingen komen te staan.
IT due diligence draait voor mij daarom uiteindelijk om dezelfde vraag als de rest van het boekenonderzoek: weet je wat je (ver)koopt?
Als duidelijk is hoe de IT ervoor staat, welke risico’s er zijn en welke investeringen eraan komen, kun je daar rekening mee houden in de afspraken en de prijs. Maar heel vaak blijkt uit zo’n onderzoek dat de basis prima op orde is. Je hoeft als koper echt geen cybersecurityspecialist te worden. Zorg wel dat je de juiste vragen laat stellen voordat je je handtekening zet.
Sta je voor een bedrijfsovername en wil je weten welke onderzoeken in jouw situatie nodig zijn? Dan denk ik graag met je mee over het overnameproces en welke specialisten daarbij nodig zijn. Neem daarvoor gerust contact op. Wil je meer lezen over bedrijfsovernames, kijk dan eens naar mijn andere blogs.
