IT Due Diligence: Risiken der IT vor dem Kauf erkennen

Die IT ist heute ein wesentlicher Treiber der Unternehmen und in Zeiten der Digitalisierung wird sie zunehmend zum Erfolgsfaktor. Die IT Due Diligence soll Chancen und Risiken erkennen und so aufbereiten, dass die Entscheider daraus Maßnahmen ableiten können. Gerade auch die Information über den Digitalisierungsgrad des Unternehmens ist für Entscheider eine immer wichtiger werdende Information.

Dabei muss ein Erwerber auch berücksichtigen, dass seine eigene Strategie – insbesondere unter dem Aspekt der geplanten Integration des Zielunternehmens oder dessen Anbindung an das Reporting des Erwerbers – wesentliche Auswirkungen auf die IT-Landschaft und damit auch auf die Kosten bzw. die etwaigen Synergieeffekte haben wird.

Arten der IT Due Diligence

Die IT Due Diligence kann zum einen nach ihren Aufgaben und zum anderen nach ihren Zielen unterschieden werden: Es gibt Analysen im Rahmen von Unternehmenserwerben sowie Analysen, die im Rahmen von Outsourcingprojekten für den Dienstleister durchgeführt werden.

Ziel der IT Due Diligence im Rahmen von Unternehmenserwerben ist die Identifikation von Chancen und Risiken, die sich aus dem Erwerb und der damit erworbenen IT-Infrastruktur ergeben. Wesentlich ist, was das erwerbende Unternehmen geplant hat. So ist es anders zu beurteilen, wenn die IT des erworbenen Unternehmens weiterhin genutzt wird oder nach dem Erwerb die Migration auf ein einheitliches System erfolgt. Demgegenüber unterscheidet sich die Situation, wenn insbesondere Konzernunternehmen aus einem bestehenden Konzernverbund herausgelöst werden sollen und evtl. eine neue IT-Landschaft aufgebaut werden muss.

Sofern Dienstleister eine IT Due Diligence im Rahmen von Outsourcing-Projekten durchführen, interessiert sie besonders, welche IT-Systeme und ggf. auch Mitarbeiter übernommen werden und wie diese Strukturen möglichst effizient in die eigenen überführt werden können.

Die Analysen der IT Due Diligence können aber auch nach den untersuchten Gebieten unterteilt werden. Die Analyse der Infrastruktur basiert auf Informationen zu Netzwerken, Betriebssystemen, Datenbanken, Anwendungen (insbesondere Rechnungslegungssysteme) sowie zur Virtualisierung. Die Analyse der IT-Organisation hingegen betrifft bspw. Fragen zu organisatorischen Vorgaben, dem Personal aber auch zum Outsourcing, zu IT-Projekten und -Prozessen. Demgegenüber betrifft die Beurteilung des Digitalisierungsgrads eher das Maß, in dem die Geschäftsprozesse digitalisiert und automatisiert sind.

Vorgehensmodell der IT Due Diligence

Als Wirtschaftsprüfer sind wir aus der Abschlussprüfung an ein strukturiertes Vorgehen gewöhnt und nutzen es für die IT Due Diligence. Auch bei der Jahresabschlussprüfung ist es essenziell, sich einen schnellen Überblick über die Geschäftsmodelle und IT-Systeme der Mandanten zu verschaffen und eine Risikoanalyse vorzunehmen. Daneben kennen wir aufgrund der von uns durchgeführten Prüfungen sehr viele IT-Systeme sowie deren Stärken und Schwächen. Dieses Wissen können wir für die IT Due Diligence nutzen und in unsere Analysen und Einschätzungen einbringen.

Grundsätzlich beginnen wir die Prüfung mit einer Bestandsaufnahme der IT-Systeme, IT-Prozesse und der organisatorischen Grundlagen. Hier nutzen wir die Methoden, die wir auch für die Jahresabschlussprüfung einsetzen und bekommen so schnell umfassende Informationen über das Zielobjekt. Sofern wir im Vorfeld bereits Informationen über die eingesetzten Systeme erhalten, können wir gleich konkretere Fragen zu den IT-Systemen stellen.

Auf den vorhandenen Informationen aufbauend, können wir eine Analyse vornehmen und entweder weitere Informationen anfordern oder direkt Risiken und Chancen einschätzen.

Anschließend erfolgt eine Beurteilung der vorgefundenen Dokumente. Daneben schätzen wir die Kosten der IT und deren weitere Entwicklung ein und liefern damit auch Informationen, die in die Preisfindung einfließen sollten.