Due diligence : une data room trop ouverte peut saboter la levée

Pour préparer une due diligence sans surexposer l’entreprise, réunissez toutes les pièces dans une data room interne, puis ouvrez-les par niveaux. Les preuves commerciales agrégées et les documents de présentation viennent d’abord ; les contrats nominatifs, projections détaillées et éléments techniques sensibles ne sont divulgués qu’aux personnes qualifiées, lorsque leur examen devient nécessaire.

Une ouverture trop large peut exposer des informations stratégiques, faciliter leur captation et entamer la confiance des investisseurs : elle peut donc compromettre la levée qu’elle devait accélérer. Chaque dossier doit avoir un propriétaire, un niveau de sensibilité, une condition d’ouverture, une échéance et une trace des accès.

Construire une arborescence qui répond à la due diligence

La data room doit permettre de vérifier les affirmations du pitch sans mélanger des pièces de nature ou de sensibilité différentes. Le mémento de Réseau Entreprendre indique que l’examen porte notamment sur les dimensions juridiques, financières, commerciales, technologiques, sociales, fiscales et de propriété industrielle ; une première instruction générale peut être suivie de contrôles confiés à des spécialistes.

Pour une startup ou une PME technologique, une arborescence de travail peut être organisée ainsi :

• 01 — Société et capital : immatriculation, statuts, décisions sociales, table de capitalisation, opérations sur titres et instruments dilutifs.
• 02 — Finance : comptes annuels, situations intermédiaires, trésorerie, dettes, aides publiques, budget, hypothèses et projections.
• 03 — Commercial : indicateurs agrégés, portefeuille d’opportunités, contrats types, contrats structurants et concentration du chiffre d’affaires.
• 04 — Produit et technologie : feuille de route, architecture synthétique, dépendances critiques, sécurité, continuité d’activité et propriété du code.
• 05 — Propriété intellectuelle : marques, brevets, noms de domaine, licences et cessions de droits des salariés ou prestataires.
• 06 — Juridique, fiscal et social : contrats significatifs, contentieux, assurances, déclarations, effectifs et dispositifs d’intéressement.
• 07 — Conformité : protection des données, obligations sectorielles, politiques internes et audits disponibles.

Placez à la racine un index donnant, pour chaque pièce, son propriétaire, sa date, sa version et son statut : disponible, à actualiser, demandé ou non applicable. Cet index évite de confondre une absence justifiée avec un oubli et permet de corriger les incohérences avant l’ouverture aux investisseurs.

Relier la sensibilité de chaque pièce à un niveau d’accès

La classification doit précéder les invitations. Le guide de la Mission French Tech et de l’ANSSI précise que les documents d’une levée peuvent contenir des projections, des données personnelles et des éléments techniques ou juridiques ; il préconise de limiter davantage le partage et de renforcer les protections à mesure que les conséquences d’une compromission augmentent.

La matrice suivante est une règle opérationnelle à adapter aux risques propres à l’entreprise :

• Niveau 1 — Diffusable : pitch expurgé, marché, équipe, chiffres agrégés et informations déjà publiques. Accès pendant les premiers échanges qualifiés.
• Niveau 2 — Confidentiel : comptes détaillés, budget, table de capitalisation, indicateurs par segment, contrats types et synthèse de sécurité. Accès nominatif après confirmation d’un intérêt réel.
• Niveau 3 — Restreint : contrats nominatifs, données unitaires sur les clients, rémunérations, litiges, projections détaillées et rapports techniques. Ouverture document par document après accord du propriétaire et signature du NDA requis.
• Niveau 4 — Critique : secrets de fabrication, code source ou données personnelles brutes. Privilégiez une démonstration, une version expurgée, une attestation ou une consultation supervisée ; les mots de passe, clés et autres secrets d’authentification ne doivent pas être déposés dans la data room.

Un NDA fixe un cadre contractuel, mais ne constitue pas une permission générale. Il ne remplace ni la minimisation des données, ni le contrôle des droits, ni la décision explicite de divulguer une pièce déterminée.

Ouvrir les dossiers au rythme réel des discussions

Au premier contact, donnez uniquement de quoi comprendre l’activité, le besoin de financement et les principaux indicateurs. Une preuve commerciale ne suppose pas de révéler immédiatement la liste des clients : une donnée agrégée, un extrait anonymisé ou un contrat type peut répondre à la question initiale.

1. Qualification : vérifier l’identité des interlocuteurs, leur mandat, leur thèse d’investissement et les conflits d’intérêts possibles.
2. Intérêt confirmé : ouvrir les niveaux 1 et 2 à des comptes nominatifs pour une durée définie.
3. Due diligence formelle : centraliser les demandes dans un journal de questions-réponses et ouvrir le niveau 3 après validation du propriétaire de chaque dossier.
4. Audit spécialisé ou exclusivité : autoriser le périmètre critique strictement nécessaire aux conseils désignés, avec des droits adaptés au mode de consultation.
5. Sortie du processus : révoquer les accès des candidats écartés, des conseils remplacés et des personnes qui quittent l’équipe d’investissement.

Cet ordre maintient les preuves disponibles sans exposer trop tôt des informations exploitables par un concurrent ou un tiers insuffisamment qualifié. Il évite aussi qu’une demande urgente conduise à ouvrir un dossier entier alors qu’une seule pièce était nécessaire.

Attribuer les décisions et conserver une trace exploitable

N’utilisez ni lien public ni compte collectif. Pour les traitements comprenant des données personnelles, la fiche de la CNIL sur la journalisation recommande d’enregistrer notamment les consultations, partages, modifications et suppressions, avec l’identifiant de l’auteur, la date, l’heure, la nature de l’opération et la référence des données concernées.

Le responsable de la levée peut administrer les invitations sans décider seul du contenu. La direction financière valide les chiffres ; le conseil juridique, les pièces sociales et contractuelles ; les responsables technique et sécurité, les informations relatives au produit ; la personne compétente en protection des données intervient lorsque des données personnelles sont concernées.

Le journal de contrôle doit relier l’utilisateur, le dossier demandé, son niveau de sensibilité, la justification, l’approbateur, les droits accordés, l’ouverture, l’expiration et la révocation. Consignez également les refus et la solution proposée à la place, par exemple une version anonymisée ou une consultation supervisée.

Contrôler chaque ouverture avant le partage

Avant une invitation ou une extension de droits, appliquez une revue courte et formelle. Elle doit porter sur le destinataire, la pièce demandée et les conditions techniques de son accès.

• L’identité, le rôle et l’adresse professionnelle du destinataire sont vérifiés.
• Le périmètre demandé correspond au stade des discussions.
• Chaque document possède une version datée et un responsable identifié.
• Les données personnelles non nécessaires sont retirées ou masquées.
• Les commentaires, métadonnées, onglets cachés et historiques de modification ont été contrôlés.
• Le NDA requis est signé, sans être traité comme une autorisation globale.
• Les droits de téléchargement, d’impression et de repartage correspondent à la sensibilité.
• Une date d’expiration et un responsable de la révocation sont renseignés.
• La journalisation fonctionne et les événements anormaux peuvent être examinés.

La data room devient ainsi un dispositif de preuve gradué, et non un entrepôt ouvert à tous les candidats. Le bon document est accessible lorsqu’il est nécessaire, par une personne identifiée, sur décision d’un responsable et avec une révocation prévue.

À lire aussi:

• SAFE ou BSA Air : le mauvais droit peut transformer une levée rapide en dette
• Cursor rejoint SpaceX : l’accès à une immense réserve de GPU change la donne
• Muon Space vise 500 satellites par an après une levée de 250 millions