Réussir mergers and acquisition due diligence en 10 étapes -

La mergers and acquisition due diligence est souvent présentée comme un simple audit préalable à l’achat ou à la fusion d’une entreprise. En réalité, pour une company exposée à des risques de fraude, de corruption, de harcèlement ou d’abus de pouvoir, il s’agit d’un moment de vérité. C’est là que se joue la capacité d’identifier les comportements illégaux ou toxiques qui peuvent transformer un bon deal en catastrophe financière, juridique et réputationnelle. Dans un contexte où les réglementations européennes renforcent la protection des lanceurs d’alerte et imposent aux entreprises de mieux prévenir les abus, ignorer la dimension éthique et de dénonciation dans la mais aussi dans la diligence serait une erreur stratégique.

La due diligence n’est plus seulement un exercice de vérification de chiffres ou de contrats. Elle devient une démarche globale de gestion des risques (risk management) qui doit intégrer le contrôle de la culture interne, des mécanismes de signalement et de la façon dont l’entreprise cible traite les plaintes, les conflits, les alertes internes ou externes. Là où, autrefois, l’acquéreur se contentait d’un audit financier et legal, il est désormais attendu qu’il s’interroge : what are the hidden issues? Y a-t-il des comportements dissimulés que seule une dénonciation anonyme aurait pu faire émerger? Est-ce que there existe des enquêtes internes en cours, des procédures prud’homales ou pénales non divulguées, des sanctions d’autorités de contrôle?

Pour les personnes qui envisagent de dénoncer, la période de mergers and acquisition due diligence est aussi un moment clé. L’arrivée d’un nouvel actionnaire, la réorganisation à venir, la peur que des preuves disparaissent ou que des abus se perpétuent peuvent renforcer la volonté de signaler. Comprendre comment fonctionne la due diligence et quelles sont les obligations légales des acteurs peut aider à choisir le bon canal, le bon timing et le bon niveau de détail dans la dénonciation. Cela permet aussi de savoir comment protéger son anonymat et ses droits.

Ce guide pratique a pour objectif d’expliquer de manière détaillée ce qu’est une mergers and acquisition due diligence, comment elle est menée, quels sont ses enjeux en matière de droit, de conformité et d’éthique, et comment la cyberdénonciation, les dispositifs internes d’alerte et les obligations européennes transforment la manière d’évaluer une target. Il s’adresse autant aux professionnels impliqués dans des opérations de M&A (direction, investisseurs, conseils) qu’aux salariés, partenaires ou témoins d’abus qui souhaitent comprendre à quel moment et de quelle manière leurs informations peuvent influencer une opération.

Comprendre la mergers and acquisition due diligence : enjeux juridiques, financiers et réputationnels

La mergers and acquisition due diligence désigne l’ensemble des vérifications effectuées avant une opération de fusion ou d’acquisition. Elle vise à sécuriser le deal en identifiant les risques cachés : litiges, dettes non déclarées, irrégularités comptables, risques sociaux, environnementaux ou de conformité. Sur le plan du droit, this phase permet à l’acquéreur de décider s’il souhaite poursuivre l’opération, renégocier le prix, exiger des garanties ou se retirer.

Traditionnellement, on distingue plusieurs volets :

la due diligence financière (financial), centrée sur les comptes, la trésorerie, la rentabilité, la qualité des actifs et des passifs;
la due diligence juridique (legal), qui examine les contrats, la gouvernance, les litiges, la propriété intellectuelle, la conformité aux lois applicables;
la due diligence fiscale, qui vérifie la situation vis-à-vis de l’administration des impôts et les risques de redressement;
la due diligence opérationnelle et RH, qui analyse l’organisation, les process, les effectifs, les conventions collectives, les risques sociaux.

Mais dans un environnement où les scandales de corruption, de harcèlement, de discriminations ou de fraudes massives se multiplient, la dimension éthique devient centrale. Une structure peut présenter des comptes impeccables, while cachant des pratiques illégales susceptibles d’exploser après l’acquisition: systèmes de commissions occultes, manipulation de chiffres pour obtenir des subventions, harcèlement généralisé étouffé par la hiérarchie, culture du silence autour des abus de pouvoir.

Pour l’acquéreur, ne pas intégrer ces dimensions dans la diligence revient à acheter un risque juridique et réputationnel majeur. Les conséquences peuvent être lourdes:

poursuites pénales ou administratives pour des faits commis avant l’acquisition mais se poursuivant après;
actions en justice de salariés ou ex-salariés révélant des faits jusque-là dissimulés;
perte de contrats publics ou privés pour non-respect de règles de compliance (anticorruption, devoir de vigilance, RGPD, etc.);
atteinte à l’image de marque, boycott, campagnes médiatiques suite à un scandale révélé après la finalisation du deal.

Cette réalité modifie en profondeur la manière de penser la mergers and acquisition due diligence. Elle ne peut plus se limiter à demander des documents à la direction de la target. L’acquéreur doit se demander: what if the real risks are not in the data room, but in ce que savent les salariés, les fournisseurs, les clients, les lanceurs d’alerte potentiels? Comment s’assurer que l’on ne passe pas à côté d’informations critiques simplement parce que personne n’ose parler ou que les canaux de signalement sont inexistants ou dysfonctionnels?

Enfin, l’Union européenne renforce la responsabilité des entreprises en matière de prévention des risques et de protection des lanceurs d’alerte. Les directives sur le whistleblowing et sur le devoir de vigilance imposent la mise en place de mécanismes de signalement interne, d’enquêtes impartiales et de mesures de protection. Ignorer, lors d’une due diligence, l’existence ou non de ces dispositifs, leur sérieux et leur efficacité, revient à ignorer une partie essentielle du risk management de la future entité fusionnée.

Les piliers de la due diligence : financière, juridique, conformité et risques humains

Pour comprendre comment intégrer la dimension de dénonciation et de comportements abusifs dans une mergers and acquisition due diligence, il faut d’abord détailler ses principaux piliers. Chaque volet possède des angles morts spécifiques où peuvent se cacher des pratiques illégales ou contraires à l’éthique.

Volet financier : au-delà des chiffres, la traque des anomalies

La due diligence financial ne se limite pas à vérifier que le bilan et le compte de résultat sont cohérents. Elle doit aussi s’interroger sur la qualité des contrôles internes, la robustesse des procédures comptables et l’existence éventuelle de fraudes. Certains signaux doivent alerter:

écarts inexpliqués entre chiffres prévisionnels et réalisés;
forte dépendance à un nombre réduit de clients ou fournisseurs, pouvant masquer des relations opaques;
écritures de fin de période récurrentes et peu documentées;
transactions with parties liées (dirigeants, actionnaires, sociétés sœurs) peu transparentes.

Dans ce contexte, la parole des équipes comptables et financières est essentielle. Un climat de peur, un turn-over élevé, des pressions documentées sur les équipes pour « arranger » les chiffres sont des signaux forts. Les dispositifs de dénonciation internes ou externes (lignes d’alerte, plateformes de cyberdénonciation, audit interne) deviennent une source d’information stratégique: ont-ils été utilisés? Pour quels types de faits? Comment les alertes ont-elles été traitées?

Volet juridique et conformité (legal & compliance)

Le volet legal vise classiquement à examiner:

les contrats clés (clients, fournisseurs, bail, financement);
les statuts, pactes d’associés et la gouvernance;
les litiges en cours ou potentiels;
la conformité réglementaire (secteur bancaire, santé, énergie, données personnelles, etc.).

Pour intégrer la problématique des abus, il est indispensable d’élargir le spectre de la diligence à:

les politiques internes: code de conduite, charte éthique, politique anticorruption, procédures de harcèlement;
les procédures de gestion des signalements: existe-t-il un canal de signalement interne sécurisé? Est-il accessible aux salariés, prestataires, fournisseurs? Est-il compatible avec le droit français et européen sur les lanceurs d’alerte;
les rapports d’enquêtes internes: des enquêtes ont-elles été ouvertes suite à des alertes? Les résultats ont-ils été partagés avec les organes de management et, le cas échéant, avec les autorités?

Un élément souvent négligé: la manière dont la direction de la target réagit aux critiques et aux plaintes. Un management qui minimise systématiquement les accusations de harcèlement, qui parle de « problèmes individuels » sans jamais reconnaître de dysfonctionnements structurels, ou qui a licencié des personnes ayant signalé des irrégularités, est un indicateur de culture à risque. That culture ne disparaîtra pas automatiquement après l’acquisition.

Volet RH et risques humains

Les risques humains sont au cœur des opérations de M&A: harcèlement moral ou sexuel, discrimination, burn-out, menaces de violence, mais aussi systèmes informels de corruption (cadeaux, commissions, conflits d’intérêts). Une mergers and acquisition due diligence sérieuse doit intégrer:

l’analyse des données sociales: absentéisme, accidents du travail, plaintes prud’homales, climat social;
les résultats d’enquêtes internes ou de baromètres de climat social;
la cartographie des postes sensibles (achats, vente, direction, marchés publics);
la présence ou non de formations régulières sur le harcèlement, les discriminations, la corruption.

C’est aussi dans ce volet que la question de la dénonciation anonyme et sécurisée prend tout son sens. Une entreprise dépourvue de mécanisme fiable de signalement, ou qui en a un mais ne le communique pas, crée un terrain idéal pour la persistance des abus. À l’inverse, une company qui dispose d’un dispositif clair, conforme au droit, avec un traitement documenté des alertes, réduit significativement le risque de scandale post-acquisition.

Due diligence et détection des fraudes : signaux faibles, alertes internes et cyberdénonciation

La détection des fraudes, abus de pouvoir et comportements illégaux ne repose pas seulement sur les documents fournis par la direction de la target. Les grands scandales récents montrent que ce sont souvent des signaux faibles, des alertes ignorées ou des dénonciations externes qui permettent de révéler la réalité. Intégrer ces éléments dans la mergers and acquisition due diligence est devenu un impératif.

Identifier et analyser les signaux faibles

Les signaux faibles sont des indices parfois discrets, mais révélateurs d’un problème plus profond. Dans le cadre d’un deal, il est essentiel de se poser les questions suivantes:

Existe-t-il des rumeurs persistantes dans le secteur sur des pratiques douteuses (corruption, favoritisme, maltraitance des salariés)?
Les autorités de régulation ou de contrôle ont-elles déjà émis des avertissements, même sans sanction formelle?
L’entreprise a-t-elle déjà changé plusieurs fois d’auditeur ou d’avocat without explication claire?
Y a-t-il eu des démissions massives ou rapprochées de cadres clés, notamment dans les fonctions sensibles (finance, conformité, RH)?

Ces signaux doivent être recoupés avec les informations factuelles. Par exemple, des départs rapprochés dans l’équipe de contrôle interne, combinés à des écarts comptables ou à des procédures prud’homales pour licenciement abusif, peuvent indiquer qu’il y a plus à creuser. What you see in the data room n’est pas toujours ce qui se passe réellement dans l’entreprise.

Exploiter les dispositifs d’alerte interne

Avec la réglementation européenne sur les lanceurs d’alerte, de nombreuses entreprises ont mis en place des canaux de signalement internes. Pour l’acquéreur, il ne s’agit pas d’accéder au détail nominatif des alertes (ce qui serait contraire aux règles de confidentialité), mais de comprendre:

combien d’alertes ont été reçues sur les dernières années;
quels sont les thèmes les plus fréquents (harcèlement, corruption, fraude, discrimination, sécurité, environnement);
combien ont été jugées recevables et ont donné lieu à une enquête;
quelles mesures ont été prises (sanctions, modifications de procédures, formation, changement de management).

Une absence totale d’alertes dans une grande structure n’est pas forcément une bonne nouvelle. Cela peut signifier that personne n’ose parler, que le canal est perçu comme non fiable, ou que les salariés ne sont pas informés de son existence. À l’inverse, un volume raisonnable d’alertes, assorti d’un traitement transparent et documenté, est souvent un signe de maturité.

Rôle de la cyberdénonciation et des canaux externes

En parallèle des dispositifs internes, de plus en plus de témoins d’abus se tournent vers des plateformes externes de cyberdénonciation, des ONG, des syndicats ou des autorités. Pour un acquéreur, il est prudent de :

surveiller les décisions de justice et les bases publiques de sanctions (autorités de concurrence, marchés financiers, CNIL, etc.);
analyser la presse locale et sectorielle, les blogs spécialisés, les forums de salariés ou d’anciens salariés;
rechercher si la target a déjà été mentionnée dans des enquêtes journalistiques, des rapports d’ONG, des campagnes publiques.

Ces sources ne doivent pas être prises pour argent comptant, mais elles peuvent signaler des zones d’ombre à explorer dans la diligence. Par exemple, une enquête journalistique évoquant des soupçons de corruption dans un pays spécifique doit conduire à examiner de près les contrats, partenaires et intermédiaires locaux.

Pour les personnes souhaitant dénoncer, la période de due diligence peut être un moment stratégique pour faire émerger des faits. Néanmoins, il est crucial de respecter le droit: fournir des informations factuelles, éviter la diffamation, se protéger en utilisant des canaux sécurisés et, si possible, se faire accompagner par un conseil (avocat, syndicat, association spécialisée). Une dénonciation bien préparée a plus de chances d’être prise en compte lors d’un deal et d’aboutir à des mesures concrètes.

Intégrer la dénonciation et les lanceurs d’alerte dans un process de M&A due diligence

Intégrer la problématique des lanceurs d’alerte dans la mergers and acquisition due diligence suppose de respecter un équilibre délicat: obtenir suffisamment d’informations pour évaluer le risque, sans violer la confidentialité des signalements ni mettre en danger les personnes qui ont parlé. Il s’agit d’un exercice à la fois juridique (droit du travail, protection des données, secret des affaires) et éthique.

Cartographier les dispositifs de signalement de la target

Premier réflexe: demander à la target de décrire ses mécanismes d’alerte. Un questionnaire détaillé peut porter sur:

l’existence d’un canal de signalement interne écrit, accessible et confidentiel;
les catégories de personnes pouvant l’utiliser (salariés, intérimaires, sous-traitants, fournisseurs, clients);
les garanties offertes (anonymat, absence de représailles, information sur le traitement de l’alerte);
le process d’enquête (qui reçoit, qui traite, quels délais, quels comptes rendus);
les statistiques agrégées sur plusieurs années (nombre d’alertes, répartition par thème, taux de recevabilité).

Cette cartographie permet de répondre à des questions clés: there a-t-il une véritable culture d’écoute? Les dirigeants ont-ils mis en place un environnement où les faits graves peuvent remonter sans être étouffés? Ou bien le système n’existe-t-il que sur le papier, sans budget ni formation?

Protéger la confidentialité et éviter les représailles

Lors d’une due diligence, il peut être tentant pour un acquéreur de demander des détails très précis sur des alertes passées. Pourtant, le respect du droit impose des limites strictes:

les données personnelles des lanceurs d’alerte ne doivent pas être communiquées sans base légale claire;
les éléments permettant de les identifier indirectement (poste, service, contexte trop précis) doivent être anonymisés;
les entretiens avec des salariés sur ces sujets doivent être menés with prudence, sans pression ni menace.

Un acquéreur qui réclamerait l’identité des lanceurs d’alerte ou tenterait de les démasquer se placerait sur un terrain juridiquement risqué et en contradiction avec les principes européens. À l’inverse, un acteur qui respecte scrupuleusement cette confidentialité envoie un signal fort sur sa propre culture éthique, ce qui pourra rassurer les salariés de la future entité.

Exploiter l’information sans mettre en danger les sources

La question clé est: what can be asked and used without violer les droits? Quelques pistes:

demander des synthèses anonymisées d’enquêtes internes significatives (faits établis, mesures prises, recommandations);
vérifier si des actions correctrices ont été mises en place après des alertes (changements de procédures, sanctions disciplinaires, évolutions du management);
analyser si certaines zones géographiques, filiales ou départements concentrent de manière anormale les alertes;
croiser ces informations avec les autres volets de la diligence (financier, juridique, RH).

L’objectif n’est pas de « juger » les lanceurs d’alerte, mais d’évaluer si la target a su transformer ces alertes en opportunités d’amélioration. Une entreprise où la majorité des signalements sont classés sans suite, sans justification claire, présente un risque plus élevé qu’une autre où les alertes donnent lieu à des enquêtes et à des décisions documentées.

Informer les salariés et les parties prenantes pendant l’opération

Pendant la phase de mergers and acquisition due diligence, le climat interne est souvent anxiogène: rumeurs, peur des licenciements, incertitude sur les nouvelles règles. Ce contexte peut augmenter les tensions et les risques d’abus (pressions pour faire partir certains salariés, mise à l’écart de personnes jugées « gênantes », destruction potentielle de preuves). Les bonnes pratiques de management consistent à:

rappeler aux salariés les canaux de signalement existants et les garanties de protection;
assurer que toute forme de représailles à l’égard de lanceurs d’alerte est interdite et sanctionnée;
prévoir, si possible, un canal d’alerte temporaire dédié aux questions liées à l’opération (restructurations, transferts de contrats, etc.).

Pour un acquéreur responsable, these actions will contribuer à limiter les risques de contentieux post-acquisition et à créer un climat de confiance avec les équipes, condition essentielle pour la réussite de la fusion ou de l’intégration.

Bonnes pratiques opérationnelles pour sécuriser une opération M&A face aux risques d’abus

Au-delà de l’analyse, la question centrale reste: que faire concrètement pour sécuriser une mergers and acquisition due diligence face aux risques de fraude, de harcèlement, de corruption ou d’autres abus? Voici des pratiques opérationnelles qui peuvent être mises en œuvre tant par l’acquéreur que par la target.

Structurer un plan de diligence centré sur les risques d’intégrité

Un plan de diligence efficace commence par une cartographie des risques d’intégrité spécifiques à la target:

secteurs exposés (marchés publics, pays à forte corruption, activités réglementées);
fonctions critiques (achats, ventes, grands comptes, relations institutionnelles);
historique d’incidents ou de rumeurs;
qualité du système de compliance existant.

Sur cette base, l’acquéreur peut définir des axes d’investigation prioritaires: revue approfondie des contrats dans certains pays, entretiens ciblés avec des responsables de filiales, analyse des procédures de cadeaux et invitations, etc. L’idée est de concentrer les ressources de diligence là où le risque d’abus est le plus important pour le deal.

Impliquer des experts indépendants et pluridisciplinaires

La détection des abus ne peut reposer uniquement sur la direction de la target ou sur des équipes d’audit financier traditionnel. Il est pertinent de mobiliser:

des avocats spécialisés en droit pénal des affaires, anticorruption, harcèlement, discriminations;
des experts en forensic (audit d’investigation) capables d’analyser les flux financiers, les emails professionnels, les logs informatiques dans le respect du cadre légal;
des spécialistes RH et psychosociaux pour évaluer le climat interne et les risques de harcèlement ou de violences;
si nécessaire, des consultants en enquêtes de réputation ou en intelligence économique, en respectant strictement le droit.

L’objectif est de disposer d’un regard truly independent that pourra challenger la version officielle des faits, tout en respectant le secret des affaires et la confidentialité des données personnelles.

Mettre en place des clauses et garanties adaptées dans le deal

Lorsque des risques d’abus ou de fraudes passées sont identifiés, ils ne signifient pas forcément la fin du deal. L’acquéreur peut:

négocier une baisse de prix pour tenir compte de ces risques;
exiger des garanties de passif spécifiques couvrant les litiges ou enquêtes liés à ces abus;
prévoir des clauses de révision de prix ou de complément de prix conditionnées à l’absence de nouveaux scandales liés à la période antérieure à l’acquisition;
imposer des plans d’action post-acquisition (mise en place d’un dispositif d’alerte renforcé, formation obligatoire des managers, renouvellement de certaines équipes de direction).

Un contrat bien rédigé en amont permettra de partager les risques entre vendeur et acheteur et incitera la target à coopérer pleinement dans la mise en conformité.

Renforcer les mécanismes de dénonciation et de protection post-acquisition

Une fois l’opération finalisée, la fusion ou l’intégration ouvre une nouvelle phase. Les risques ne disparaissent pas avec la signature; ils évoluent. Il est crucial de:

harmoniser les canaux de signalement: choisir une solution unique ou interopérable, accessible à tous les salariés de la nouvelle entité;
mettre à jour les politiques internes: code de conduite, politique anticorruption, harcèlement, discriminations, devoir de vigilance;
former les managers de proximité sur la réception et l’orientation d’alertes, ainsi que sur l’interdiction absolue des représailles;
communiquer clairement auprès de l’ensemble des équipes sur les droits de signalement, les protections offertes et les procédures à suivre.

Dans certains cas, il peut être pertinent de proposer temporairement un canal d’alerte externe tiers (cabinet d’avocats, plateforme spécialisée) pour rassurer les salariés de la target, qui peuvent craindre de s’adresser directement à la nouvelle direction.

Considérer la dénonciation comme un outil de management des risques, non comme une menace

Enfin, un changement de perspective s’impose: la dénonciation, qu’elle soit interne ou via la cyberdénonciation, ne doit pas être vue uniquement comme une source de problèmes, mais comme un outil précieux de risk management. Les lanceurs d’alerte qui signalent des abus avant qu’ils ne se transforment en scandales publics ou en poursuites pénales rendent, en réalité, un service à l’entreprise, à ses actionnaires, à ses salariés et à ses partenaires.

Dans le cadre d’une mergers and acquisition due diligence, intégrer cette vision permet:

d’identifier plus tôt les zones à risque;
de corriger les dérives avant qu’elles ne prennent une ampleur incontrôlable;
de bâtir une culture de transparence et de responsabilité, attractive pour les talents, les clients et les investisseurs.

Pour les personnes témoins de comportements illégaux ou abusifs, comprendre ces enjeux permet de mieux évaluer l’impact potentiel de leur signalement sur un deal en cours, de choisir des canaux sécurisés et de se protéger juridiquement. Pour les entreprises impliquées dans des opérations de M&A, intégrer pleinement la dimension éthique et de dénonciation dans la diligence n’est plus un « plus », mais une exigence stratégique pour sécuriser durablement la valeur de la transaction et la pérennité de la nouvelle entité.