IT due diligence: čo sa skrýva v IT pred kúpou alebo predajom firmy

Kúpili ste firmu. Právnici skontrolovali zmluvy, účtovníci prešli bilancie. No nikto sa neopýtal: v akom stave je IT? Práve toto opomenutie stálo jedného slovenského podnikateľa niekoľko mesiacov drahých prekvapení a núdzových riešení. A nebol zďaleka prvý.

Scenár zo Slovenska: kúpa bez IT auditu

Stredne veľká logistická firma z Nitry v roku 2026 získala menšieho regionálneho prepravcu. Akvizícia prebehla rýchlo, tlak bol na uzavretie do konca kvartálu. IT nebolo predmetom hĺbkového preverovania. Po prevzatí sa ukázalo toto:

• Serverová infraštruktúra bola 9 rokov stará a bez aktívnych záručných zmlúv.
• Zálohovanie dát fungovalo iba na papieri. Skutočná obnova po výpadku nebola nikdy testovaná.
• Licencie na kľúčový dispečerský softvér boli viazané na pôvodného majiteľa, ktorý po predaji firmu opustil.
• V sieti boli aktívne účty bývalých zamestnancov s plnými prístupovými právami.
• Firma spracovávala osobné údaje bez platnej dokumentácie podľa GDPR.

Výsledok? Prevádzka sa spomalila o niekoľko týždňov, prišlo k núdzovej výmene serverov, riešeniu licenčných sporov a urgentnej GDPR náprave. Čo mohlo byť odhalené pred podpisom zmluvy za zlomok nákladov, stálo po akvizícii mnohonásobne viac, a to nielen finančne, ale aj z hľadiska reputácie a stresu manažmentu.

Čo je IT due diligence a prečo na ňom záleží

IT due diligence je systematický audit IT prostredia firmy pred akvizíciou, fúziou alebo predajom. Nejde len o súpis počítačov a serverov. Ide o komplexné posúdenie rizík, nákladov na obnovu a kompatibility systémov. Správne vykonaný IT audit odhalí to, čo v účtovníctve ani v právnych dokumentoch nenájdete.

Podľa dát ENISA (Agentúra EÚ pre kybernetickú bezpečnosť) tvorí kybernetická bezpečnosť stále väčšiu časť rizikového profilu európskych firiem pri akvizíciách. Skryté bezpečnostné incidenty alebo zastaraná infraštruktúra sa po kúpe stávajú problémom nového vlastníka.

Typická IT due diligence pokrýva tieto oblasti:

• Hardvér a infraštruktúra: vek zariadení, záručné zmluvy, plánované výdavky na obnovu
• Softvér a licencie: či sú licencie prevoditeľné, platné, legálne
• Bezpečnosť a prístupy: kto má prístup k čomu a či sú účty pod kontrolou
• Zálohovanie a disaster recovery: funguje to naozaj, alebo len na papieri?
• Dátová compliance: GDPR, zmluvné záväzky voči dodávateľom cloudových služieb
• Personálna závislosť: závisí celé IT od jedného interného "IT-čkára"?

Prípad zo zahraničia: Verizon a Yahoo akvizícia

Jeden z najznámejších príkladov toho, čo sa stane pri podcenívaní IT due diligence, je akvizícia Yahoo spoločnosťou Verizon. V roku 2017 bola pôvodne dohodnutá kúpna cena znížená o 350 miliónov dolárov po odhalení rozsiahlych bezpečnostných incidentov. Tie zahŕňali dve masívne úniky dát z rokov 2013 a 2014, o ktorých Yahoo dlho mlčalo. Verizon o nich vedel až z médií, nie z due diligence. Výsledok: prepracovanie zmluvy, zníženie ceny, zdĺhavé regulačné vyšetrovania a poškodená reputácia oboch strán.

Prípad jasne ukazuje: skryté IT riziká majú priamu cenu. A táto cena sa zvyčajne objaví na najhorší možný moment, teda po podpise.

Predávate firmu? IT audit je zárukou vyššej ceny

IT due diligence nie je len nástrojom kupujúceho. Ak predávate firmu, dobre zdokumentované a čisté IT prostredie je argument za vyššiu kúpnu cenu. Kupujúci, ktorý vidí poriadok v licenciách, aktuálne zálohovanie, zdokumentovanú sieť a jasnú bezpečnostnú politiku, má oveľa menší priestor na zjednávanie a znižovanie ceny.

Firmy, ktoré si pred predajom nechajú urobiť IT audit, vstupujú do rokovaní s prehľadom. Vedia, čo kupujúci nájde, vedia, čo odporučia opraviť pred transakciou, a vedia, ako argumentovať hodnotu svojho IT. O tom, ako pripraviť IT infraštruktúru na rast firmy, sme písali aj v samostatnom článku. Rovnaké princípy platia pri príprave na predaj.

Pokiaľ vaša firma závisí na jedinom internom IT pracovníkovi a jeho odchodom by IT znalosti zmizli, je to pre kupujúceho výrazné mínus. Prečítajte si, 5 varovných signálov, že váš interný IT-čkar už na firmu nestačí. Práve tieto varovania sú pri due diligence kľúčové.

Čo by mal IT audit pri akvizícii konkrétne zahrnúť

Dobrý IT audit pred kúpou alebo predajom firmy nie je len rýchla prehliadka serverovne. Je to štruktúrovaný proces, ktorý zahŕňa technickú aj organizačnú stránku IT. Náš tím pri takýchto auditoch zameriava pozornosť na:

• Fyzický a dokumentovaný súpis všetkého hardvéru a softvéru
• Overenie platnosti licencií a ich prevoditeľnosti na nového vlastníka
• Zhodnotenie stavu kybernetickej bezpečnosti vrátane zraniteľností
• Posúdenie existujúcich IT zmlúv s dodávateľmi a ich podmienok
• Preverenie súladu so zákonom o ochrane osobných údajov
• Odhad skutočných nákladov na IT v nasledujúcich 2 až 3 rokoch

Výstupom je písomná správa s prehľadom rizík, odporúčaniami a odhadom nákladov. Práve tento dokument je hodnotným podkladom pri finálnom rokovaní o cene. Pre špecifické odvetvia, napríklad účtovníctvo, má IT audit ešte ďalšie dimenzie. Viac sa dozviete v článku o IT podpore pre účtovnícke firmy a ich špecifických požiadavkách.

Celý proces môže prebehnúť diskrétne a nezávisle, bez narušenia prebiehajúcich rokovaní. A výsledky môžete využiť nielen pri akvizícii, ale aj ako základ pre nastavenie IT outsourcingu po prevzatí firmy.

Čo by vás ešte mohlo zaujímať

Ako dlho trvá IT due diligence pri bežnej akvizícii?

Záleží od veľkosti firmy a komplexnosti IT prostredia. Pri menšej firme s 10 až 50 zamestnancami môže audit prebehnúť za 3 až 5 pracovných dní. Pri väčších spoločnostiach s viacerými pobočkami alebo komplexnou infraštruktúrou počítajte s dvomi až štyrmi týždňami. Výstup je písomná správa, ktorú môžete priložiť k akvizičným dokumentom.

Môže IT audit odhaliť aj skryté kybernetické incidenty z minulosti?

Áno, a práve to je jedna z najdôležitejších funkcií IT auditu pri akvizícii. Skúsený audítor vie odhaliť stopy po predchádzajúcich bezpečnostných incidentoch, kompromitovaných účtoch alebo úniku dát. Tieto informácie sú kľúčové, pretože zodpovednosť za škody spôsobené pred akvizíciou môže byť predmetom sporu medzi kupujúcim a predávajúcim.

Je IT due diligence povinná zo zákona?

Zákon ju priamo nenariadzuje, no pri prevzatí firmy, ktorá spracováva osobné údaje, preberáte aj zodpovednosť za súlad s GDPR. Ak firma pred predajom porušovala pravidlá ochrany osobných údajov, nový vlastník môže čeliť pokutám od Úradu na ochranu osobných údajov SR. IT audit vám dá istotu, že do čoho vstupujete, viete vopred.

Čo ak firma, ktorú kupujem, nemá žiadnu IT dokumentáciu?

Absencia dokumentácie je sama o sebe varovný signál a bežná situácia pri menších firmách. V takom prípade je nezávislý IT audit ešte dôležitejší. Audítor dokáže reálny stav zdokumentovať priamo na mieste a vytvoriť základnú IT mapu firmy, od ktorej sa potom odráža plán integrácie alebo obnovy po prevzatí.