Як підготувати компанію до due diligence за три місяці

За роками роботи з шести боків столу — у державі, розслідуванні, банку і власному бізнесі — дійшла простого висновку: компанії, які починають готуватися до due diligence за тиждень до прильоту інвестора, вже програли.

Чому три місяці — це реалістичний мінімум

Інвестори і донори у 2024–2026 роках зменшили терміни прийняття рішень, але поглибили глибину перевірки. FATF у вересні 2026 року підвищив обережність щодо секторів із високим ризиком відмивання — ігри, гемблінг, фінтех, крипто — і вимагає від країн посилити нагляд за бенефіціарними власниками FATF · 2026-09-19. Українські бізнеси, що йдуть на закордонні ринки або притягують гранти, потрапляють під цей фокус автоматично.

Місяць перший — діагностика і інвентаризація. Місяць другий — виправлення критичних знайдень і побудова data room. Місяць третій — стрес-тест, Q&A-репетиція і фінальний пакет. Спроба стиснути це в два тижні призводить до того, що в data room потрапляють «чернетки» договорів, відсутні підписи директорів, розбіжності між ЄДР і внутрішнім обліком. Ці деталі стають підставою для зниження валуації на 15–30 % або вимоги ескроу-рахунів.

З чого починає місяць перший: інвентаризація активів і ризиків

Перший крок — не збирання документів, а мапування того, що перевірятимуть і де це лежить. Робочий алгоритм:

1. Структура власності до UBO. Витягніть актуальні дані з ЄДР, вашого корпоративного реєстру бенефіціарів, реєстрів країн-юрисдикцій (UK Companies House, US FinCEN BOI, єврореєстри). Порівняйте з реальністю: чи є номінальні держаellement, trust-и, фандовий шар, опційні пули. Кожна розбіжність — окремий файл з поясненняю для data room.
2. Реєстр контрактів. Не «всі договори», а ті, що перевищують materiality threshold (зазвичай 5–10 % від виручки або EBITDA) і стратегічні: ключові постачальники, клієнти, лендинг, IP-ліцензії,フランшизи. Позначте: термін дії, терміни розірвання, change-of-control клавмули, санкційні гарантії.
3. Літиганція та регуляторні процедури. Запитайте у юристів повний витяг з ЄДРПОУ/ЄРДР, реєстр судових рішень, відповіді на запити регуляторів (НБУ, ДФС, Державна митна служба, Антимонопольний комітет). Навві як справу закрили — інвестор побачить факт її ініціювання.
4. Фінансова архітектура. Консолідоване фінансове звітність (за МСФЗ або נאцстандартами), розрахункові правила revenue recognition, політика резервів, міжкомпаніозні розрахунки, податкові запаси. Якщо є різниця між бухгалтерією і управлінським обліком — задокументуйте мостовик (bridge).
5. HR і ключові особи. Трудові договори топ-менеджменту, неконкуренція, опційні схеми, виплати при зміні контролю. Перевірте PEP-статус бенефіціарів і керівників — у 2026 році банки і фонди скринюють це автоматично.
6. IT і дані. Карта систем, де лежать персональні дані (GDPR / Закон України «Про захист персональних даних»), права доступу, політики зберігання, інциденти витоку за останні 3 роки.
7. ESG і санкційний комплаєнс. Наявність політик, результати останнього скринінгу контрагентів за SDN/ЄС/UK/UA списками, відсутність зв'язків з підсанкційними особами через ланцюги власності (50 % rule і control-based approach).

Результат місяця — Risk & Gap Report (10–15 сторінок): категорія знайдення, оцінка суттєвості, відповідальна особа, дедлайн виправлення, статус. Цей документ стає «дорожньою картою» для другого місяця.

Місяць другий: закриття гапів і збирання data room

Тут працює правило: кожен red flag має або виправлення, або prépare narrative. Не все вдається виправити (наприклад, минулий суд з конкурентом), але все має бути оцінене і упаковане.

Покроковий план збирання data room (індексація за стандартним VC/PE-шаблоном):

Практичний артефакт: 12-тижневий чек-лист підготовки

Місяць третій: стрес-тест і нарративи

Найчастіша помилка — вважати, що data room готовий, коли файли завантажені. Інвестори не читають файли лінійно; вони задають запитання: «Чому у 2023 році стрибок виручки без відповідного зростання дебіторки?», «Як ви контролюєте санкційний ризик у дочці в Каззахстані?», «Де подтяжка whistleblowing-каналу, якщо у вас 60 співробітників?».

Q&A-репетиція (dry run) проводиться так:

1. Залучіть зовнішнього консультанта або ментора, який не учасник підготовки.
2. Дайте доступ до data room на 48 годин.
3. Зберіть 50–80 запитань, згрупуйте за категоріями.
4. Для кожного запиту — готова відповідь з посиланням на документ у data room (section/page) або narrative memo (1 сторінка).
5. Оновіть data room: додайте відсутні додатки, виправте номерація, завантажте bring-down certificates на дату dry run.

Нарративи для типових red flags (приклади, не вигадані кейси):

• Исторический суд з фізособою: «Спір 2021 р. щодо ТЗ — вирішено світовою угодою, повний текст у Section 5.3, фінансовий вплив несуттєвий (< 0.5 % EBITDA)».
• Розбіжність UBO в ЄДР: «Технічна помилка при перереєстрації 2022 р., подано уточнюючу декларацію, очікуємо внесення за 5 р.д. — лист юриста у Section 1.2».
• Відсутність AML-політики до 2024 р.: «Політика затверджена 03.2024, ретроспективний скринінг контрагентів за 2022–2023 пройдено, результати у Section 8.1».

Кожен нарратив має три елементи: факт → дія компанії → поточний статус → документ-підтвердження. Без останнього — це слова, які не рахуються.

Типові пастки, які виявляються на фініші

1. Відсутність change-of-control клавмул у ключовому договорі — інвестор вимагає згоду контрагента, той затягує або вимагає премію.
2. IP не належить компанії — код писав фрилансер без assignment, домен на ОсОБ творця, патент на фізичну особу.
3. Податкові зобов'язання в дочці — консолідоване звітність їх не показує, але інвектор перевіряє кожну юрособу окремо.
4. Санкційний зв'язок через ланцюг — ваш постачальник у Польщі має акціонера з SDN-ліста через дві юрособи; ви про це не знали, бо скринінг не робили глибинний.
5. Відсутність D&O страхування — при М&A це стає умовою закриття (condition precedent).
6. Whistleblowing-канал «для галочки» — форма на сайті, яка веде на пошту CEO, який сам є суб'єктом можливого повідомлення.

FAQ

Чи обов'язково аудитуватися перед due diligence?

Якщо виручка > 50 млн грн або є іноземні інвестори — так, незалежний аудит за МСФЗ стає де-факто вимогою. Для менших компаній достатньо review engagement від Big-4 / регіональної аудиторської фірми з визнаним брендом. Аудиторська думка знімає 30–40 % фінансових запитань.

Який обсяг data room вважається нормальним?

Для Series A / грант 1–3 млн EUR — 200–400 документів у 10–15 категоріях. Для M&A / стратегічного інвестора — 800–1500+. Важливіше не кількість, а навігація: індекс, пошук, версіонування, відсутність «смітника» з файлами «final_v3_approved.pdf».

Чи потрібно робити повний скринінг всіх контрагентів?

Мінімум — топ-50 за обсягами і всі критичні постачальники (single source). Повний скринінг базу клієнтів робиться вибірково (risk-based approach). Результати логуються: дата, версія санкційних списків, відповідальна особа, рішення (ok / enhanced monitoring / terminate).

Як обробляти конфіденційність комерційних таїн при DD?

Використовуйте gradaцію доступу в data room: Phase 1 (NDA підписано) — загальні фінанси, корпоративне; Phase 2 (term sheet підписано) — контракти, IP, HR; Phase 3 (closing) — комерційні таємниці, алгоритми, пілотні проекти. Кожен рівень — окрема NDA або аддендум.

Що таке bring-down certificate і хто його підписує?

Це заява керівництва (CEO + CFO + GC) на дату closing, що всі подані у DD дані актуальні, жодних нових судів / штрафів / змін у UBO не було. Підписують особи, уповноважені за статутом і постановою про підписання. Банки і фонди вимагають нотаріального заверення або кваліфікованого електронного підпису.

Якщо інвектор вимагає дані, які ми не хочемо розкривати (наприклад, клієнтська база)?

Пропонуйте анонімізовані вибірки (cohort analysis: LTV, CAC, churn по когортах без імен), токенізацію даних або незалежну експертизу (third-party verification). Категоричний відмова — red flag; конструктивний компроміс — нормальна практика.

Підготовка до due diligence — це не разова акція, а перехід у режим, де будь-який запит про структуру, фінанси чи ризики отримує структуровану відповідь за години. Компанії, які пройшли цей цикл раз, підтримують data room у «гарячому» стані постійно: оновлюють контракти раз у квартал, перескринюють контрагентів раз у місяць, тримають актуальні нарративи для історичних знайдень. Тоді наступна перевірка — це не стрес, а рутинна процедура, що коштує тижень робочого часу юриста і CFO, а не три місячі хаосу.