千葉県で会社売却や事業承継を検討する中小企業にとって、近年ますます重要になっているのが、顧客データ、個人情報、営業秘密、SaaS、クラウド、Webサイト、SNSアカウント、メール、予約システム、会計・販売管理システムの引継ぎです。以前のM&Aでは、決算書、契約書、設備、在庫、従業員が中心に確認されることが多くありました。しかし現在は、顧客リスト、問い合わせ履歴、LINE公式アカウント、EC会員、予約データ、製造ノウハウ、営業資料、見積テンプレート、クラウド契約、ドメイン、管理者権限まで、事業価値の大きな部分がデータとITに移っています。
千葉市、船橋市、市川市、柏市、松戸市、市原市、成田市、木更津市、銚子市などで地域密着型の事業を営む中小企業でも、顧客との接点は紙の台帳だけではありません。Googleビジネスプロフィール、予約フォーム、メールマガジン、ECサイト、業務用チャット、会計ソフト、勤怠システム、クラウドストレージが日常業務に入り込んでいます。こうした情報資産を整理しないままM&Aを進めると、買収後にログインできない、データを移せない、個人情報の利用目的が合わない、営業秘密として保護できない、退職者が管理者権限を持ったままになっている、といった問題が起こります。
本記事では、千葉県の中小企業M&Aにおける個人情報・顧客データ・営業秘密・IT/SaaSデューデリジェンスの実務を、10,000字以上で解説します。本文中のモデル事例は匿名化した架空のモデル事例であり、実在企業を指すものではありません。個人情報保護委員会、経済産業省、IPAの一次情報も参照しながら、売り手がM&A前に何を整理すべきかを実務目線でまとめます。
今回のテーマが既存記事と違う点
このサイトでは、すでに地域別・業種別のM&Aモデル事例、基本合意から最終契約までの流れ、労務DD、最終契約後のトラブル、秘密保持、個人保証などを扱っています。今回の記事は、それらと重複しないよう、事業価値を支える「データ」と「IT権限」の承継に絞ります。
デューデリジェンスで確認される資料と備えでは一般的な資料準備を扱っていますが、本記事では顧客データ、個人情報、営業秘密、クラウド、SaaS、SNS、ドメイン、管理者権限、サイバーセキュリティへ踏み込みます。最終契約後のトラブルを防ぐ実務では表明保証・補償・クロージング条件を解説しましたが、今回の記事はそれらの条項に入る前に、どのデータとシステムを棚卸しするかを整理します。労務DDと人材承継は従業員・労働条件の論点であり、本記事は顧客・営業・技術・IT資産の論点です。
個人情報・顧客データはなぜM&Aの価値になるのか
中小企業のM&Aでは、顧客基盤が大きな価値になります。顧客名簿、取引履歴、購買頻度、問い合わせ履歴、紹介元、見積履歴、メンテナンス履歴、会員ランク、予約履歴、クレーム履歴、メール配信リスト、LINE登録者、EC会員、ポイント情報などは、買い手が買収後に売上を維持・拡大するための重要な情報です。特に、地域密着型の小売業、サービス業、医療・介護周辺サービス、工事業、設備保守、学習塾、飲食店、美容・健康関連サービスでは、顧客データが営業力そのものになっています。
しかし、顧客データは単なる営業資産ではありません。多くの場合、個人情報や個人データを含みます。氏名、住所、電話番号、メールアドレス、購買履歴、予約履歴、相談内容、家族構成、健康に関する情報、決済情報、勤務先情報などを扱う場合、個人情報保護法上の義務を踏まえる必要があります。M&Aで会社や事業を承継する際には、データを買い手が利用できるのか、利用目的はどうなっているのか、第三者提供や委託に該当するのか、本人通知や公表が必要かを確認します。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」では、利用目的の通知・公表、個人データの安全管理措置、漏えい等報告、第三者提供などが整理されています。M&Aでは、売り手がこれまでどの利用目的を公表していたか、プライバシーポリシーに事業承継時の取り扱いが書かれているか、クラウドサービスや外部委託先との関係が整理されているかを確認します。
個人情報保護法の観点で確認すること
まず確認したいのは、対象会社がどのような個人情報を取得し、どの目的で利用しているかです。顧客管理、予約受付、請求、配送、アフターサービス、会員制度、メール配信、採用、従業員管理、問い合わせ対応など、利用目的を一覧化します。そのうえで、Webサイトや店頭、契約書、申込書、プライバシーポリシーで利用目的を通知または公表しているかを確認します。
次に、個人データを誰がどこで管理しているかを確認します。Excelファイル、紙台帳、クラウドストレージ、予約システム、CRM、会計ソフト、販売管理ソフト、LINE公式アカウント、メール配信ツール、ECカート、POSレジなど、保存場所は分散しがちです。買い手は、買収後にどのデータを引き継げるか、どの契約を継続できるか、管理者権限を誰が持っているか、退職者や外部業者がアクセスできる状態になっていないかを確認します。
さらに、漏えい等が発生した場合の対応体制も確認します。個人情報保護委員会は、漏えい等報告について、速報は発覚日から3〜5日以内、確報は発覚日から30日以内、不正な目的で行われたおそれがある場合は60日以内と案内しています。M&AのDDで過去の漏えい、誤送信、不正アクセス、紛失、委託先事故が見つかった場合、その対応状況や再発防止策を確認する必要があります。
売り手は、過去に小さな誤送信や紙資料の紛失があったとしても、隠すのではなく、発生時期、対象件数、対応内容、再発防止策を整理しておくべきです。買い手が最も懸念するのは、問題そのものよりも、発見後の対応が記録されていないことです。事故対応の記録があれば、買い手は買収後に必要な改善策を見積もりやすくなります。
営業秘密の3要件とM&Aでの注意点
顧客リスト、見積単価、仕入条件、製造方法、営業マニュアル、販売戦略、技術資料、原価表、取引先別の条件、ノウハウ資料は、会社の競争力を支える営業秘密になり得ます。経済産業省の営業秘密に関する資料では、不正競争防止法上の営業秘密として保護されるためには、有用性、秘密管理性、非公知性の3要件を満たす必要があると説明されています。
M&Aで問題になりやすいのは、売り手が「これは当社の重要なノウハウだ」と考えていても、実際には秘密として管理されていないケースです。たとえば、全社員が自由に見られる共有フォルダに重要な価格表が置かれている、ファイル名に秘密であることが示されていない、退職者のアカウントが残っている、外部委託先との秘密保持契約がない、紙資料が施錠されずに保管されている、といった状態です。
買い手は、営業秘密が本当に承継できる資産なのかを確認します。製造業であれば加工条件、検査基準、設計データ、仕入先別条件。建設業であれば見積ノウハウ、協力会社リスト、原価管理表。卸売・小売業であれば顧客別単価、仕入条件、販売実績。サービス業であれば顧客対応マニュアル、リピート施策、広告運用データ。これらが整理されていれば、買い手は買収後の再現性を評価しやすくなります。
一方、営業秘密の管理が曖昧なままM&Aを進めると、買収後に元従業員や外部業者が同じ情報を使って競合する、買い手が重要情報の所在を把握できない、契約書上は承継対象なのに実際のデータが引き渡されない、といった問題が起こります。M&A前の段階で、重要情報の一覧、保管場所、アクセス権限、秘密表示、持ち出し制限、退職者対応を確認しておくことが重要です。
IT・SaaSデューデリジェンスで見るべき項目
IT・SaaSデューデリジェンスでは、会社が利用しているシステムと契約を一覧化します。会計ソフト、給与計算ソフト、勤怠管理、販売管理、在庫管理、予約システム、CRM、メール、Webサーバー、ドメイン、SSL証明書、クラウドストレージ、チャット、オンライン会議、広告アカウント、SNS、ECカート、POSレジ、セキュリティソフト、バックアップサービスなどです。
確認すべきポイントは、契約名義、管理者、ログイン方法、二要素認証、料金プラン、契約期間、解約条件、データエクスポート可否、アカウント譲渡可否、外部委託先、バックアップ、障害時対応です。中小企業では、社長個人のメールアドレスで契約している、外部制作会社がドメインを管理している、退職者がSNS管理者のまま、無料プランで重要データを管理している、といったことがあります。
買い手から見ると、ITの問題は買収後すぐに業務停止へつながる可能性があります。たとえば、決済後に会計ソフトへログインできない、予約システムの管理者変更ができない、ドメイン更新通知が旧社長の個人メールに届く、メールアカウントの移管で顧客対応が止まる、クラウドストレージの所有者が外部業者になっている、という問題です。こうしたリスクは、事前に一覧化しておけば多くを防げます。
セキュリティ対策は中小企業M&Aの評価にも影響する
IPAは「中小企業の情報セキュリティ対策ガイドライン」を公表しており、2026年3月には第4.0版を公開しています。中小企業の情報セキュリティは、専門部署がある大企業だけの話ではありません。サイバー攻撃、ランサムウェア、メール誤送信、クラウド設定ミス、退職者アカウントの残存、パスワード使い回しは、中小企業のM&Aでも買い手が確認する論点です。
買い手は、対象会社のセキュリティ水準が低い場合、買収後の是正コストを見込みます。端末の管理、ウイルス対策、OS更新、バックアップ、アクセス権限、パスワード管理、管理者アカウント、クラウド共有設定、従業員教育、事故時連絡先などを確認します。もしランサムウェア被害や不正アクセスの履歴がある場合、復旧状況、原因、再発防止策、顧客への影響を整理する必要があります。
売り手は、難しいセキュリティ診断を最初から行う必要はありません。まず、利用中のクラウドとアカウント一覧を作る、管理者を確認する、退職者アカウントを削除する、二要素認証を設定する、バックアップの有無を確認する、重要データの保存場所を整理するだけでも、買い手の安心感は変わります。
データ承継で契約書に落とし込みたい事項
個人情報・顧客データ・営業秘密・IT資産は、最終契約書にも反映すべき論点です。承継対象となるデータの範囲、データの正確性、利用目的、第三者提供・委託関係、過去の漏えい事故、営業秘密の管理状況、SaaS契約の移管可否、ドメイン・SNS・広告アカウントの引渡し、バックアップ、クロージング後の協力義務などを整理します。
表明保証では、個人情報保護法に重大な違反がないこと、過去に重大な漏えい事故がないこと、開示済みの事故以外に認識している問題がないこと、主要システムが通常どおり利用できることなどが論点になります。誓約事項では、クロージングまでに管理者権限を整理する、退職者アカウントを削除する、SaaS契約の移管手続を進める、重要データをバックアップする、といった義務が考えられます。
クロージング条件としては、ドメイン移管、管理者権限の引渡し、主要SaaS契約の継続確認、個人情報の利用目的確認、重要データのエクスポート、外部制作会社やシステム会社との契約承継確認などが挙げられます。すべてを条件にすると重くなりますが、事業継続に不可欠なものは決済前に確認すべきです。
匿名化したモデル事例：千葉県内の地域サービス会社
ここでは匿名化した架空のモデル事例として、千葉県内で地域向けの修理・メンテナンスサービスを営むA社を想定します。A社は創業25年で、顧客からの電話、Web問い合わせ、紹介で安定した売上を維持していました。社長は後継者不在を理由にM&Aを検討し、同業の買い手候補と交渉を始めます。
財務DDでは大きな問題はありませんでしたが、IT・データDDで複数の論点が見つかりました。顧客管理はExcel、クラウドストレージ、メールボックスに分散し、最新の顧客一覧がどれか分かりません。Webサイトのドメインは外部制作会社名義で、Googleビジネスプロフィールは退職した元社員のアカウントに紐づいていました。LINE公式アカウントには数千人の登録者がいましたが、管理者が社長の個人スマートフォンだけでした。問い合わせフォームの個人情報利用目的も古く、事業承継時の取り扱いは明記されていませんでした。
この状態では、買い手は「顧客基盤を本当に承継できるのか」と不安になります。A社は、顧客データの保存場所を一覧化し、重複を整理し、管理者権限を会社管理のメールアドレスへ移し、ドメイン名義を確認し、LINE公式アカウントの管理者を追加し、プライバシーポリシーを見直しました。外部制作会社との契約も確認し、クロージング後30日間の引継ぎ協力を契約に入れました。
このモデル事例で重要なのは、データの整理が単なるIT作業ではなく、譲渡価値を守る作業だったという点です。買い手は、顧客データと問い合わせ導線が引き継げると分かったことで、買収後の売上維持を見込みやすくなりました。売り手も、情報が整理されたことで、譲渡後の問い合わせ対応やトラブルを減らせました。
売り手が作るべき情報資産台帳
M&Aを検討し始めた売り手は、まず情報資産台帳を作ることをおすすめします。難しいシステム台帳である必要はありません。システム名、用途、管理者、契約名義、ログイン方法、二要素認証の有無、月額費用、契約期間、データの種類、個人情報の有無、営業秘密の有無、外部委託先、解約・移管方法、バックアップの有無を表にまとめます。
顧客データについては、顧客名簿、取引履歴、見積履歴、メール配信リスト、問い合わせ履歴、予約履歴、EC会員、ポイント情報、SNSフォロワー、広告アカウント、口コミ管理を分けて整理します。営業秘密については、価格表、仕入条件、製造ノウハウ、営業資料、設計データ、マニュアル、協力会社リスト、原価表、提案書テンプレートなどを整理します。
台帳を作ると、買い手に見せる前に自社の穴が分かります。たとえば、管理者が個人メールになっている、契約名義が外部業者になっている、退職者の権限が残っている、バックアップがない、利用目的が古い、重要データに秘密表示がない、といった問題です。これらは買い手に指摘される前に直せるものも多くあります。
個人情報の利用目的とプライバシーポリシーの見直し
M&A前に必ず確認したいのが、プライバシーポリシーと利用目的です。Webサイトにプライバシーポリシーがあるか、実際の取得項目と合っているか、問い合わせフォーム、採用フォーム、資料請求、予約、EC、メール配信で取得している情報が説明されているかを見ます。古いテンプレートのまま、現在使っているクラウドや外部委託先と合っていないことも少なくありません。
事業承継やM&Aによって個人データを承継する場合、スキームや取り扱いによって確認すべき事項が変わります。株式譲渡で会社が同一であれば、個人情報取扱事業者そのものは変わらないケースが多い一方、事業譲渡ではデータ移転の位置づけを慎重に確認する必要があります。利用目的の範囲内か、本人通知や公表が必要か、第三者提供に該当しない整理ができるかは、専門家と確認すべき論点です。
売り手は、M&Aを検討し始めた段階で、個人情報の取得経路と利用目的を棚卸ししましょう。フォーム、紙申込書、電話受付、メール、LINE、SNS、EC、予約システム、紹介、名刺交換など、取得経路ごとに目的を確認します。利用目的が曖昧なまま買い手に引き渡すと、買収後のマーケティング施策に制限が出る可能性があります。
営業秘密をM&A資料にする方法
営業秘密は、そのまま買い手へ広く開示すればよいものではありません。むしろ、秘密保持契約、開示範囲、開示タイミング、閲覧方法を慎重に設計する必要があります。初期段階では、価格表や顧客リストそのものではなく、顧客数、売上構成、リピート率、主要顧客の属性、仕入先数、粗利構造、ノウハウの概要などを匿名化・集計して説明します。
交渉が進み、買い手の本気度が高まった段階で、秘密保持契約の範囲を確認し、必要な資料を段階的に開示します。営業秘密として重要な資料には、秘密であることが分かる表示、閲覧権限、ダウンロード制限、開示記録を設けます。買い手候補が複数いる場合、どの候補に何を開示したかを記録することも重要です。
営業秘密を適切に管理している会社は、買い手にとって魅力的です。ノウハウが属人的ではなく資料化されている、アクセス権限が整理されている、退職者への対応がある、重要データのバックアップがある、秘密保持契約が整っている会社は、買収後に再現性が高いと評価されやすくなります。
PMIでデータとITをどう引き継ぐか
成約後のPMIでは、データとITの引継ぎを具体的なタスクに落とし込みます。クロージング当日に何を渡すのか、30日以内に何を変更するのか、90日以内にどのシステムを統合するのかを整理します。ドメイン、メール、Webサイト、SNS、会計ソフト、販売管理、予約システム、CRM、クラウドストレージ、広告アカウント、セキュリティ設定は、優先順位をつけて進める必要があります。
最初に行うべきは、管理者権限の確認です。旧社長個人だけが管理者になっているサービス、外部業者だけがログインできるサービス、退職者のアカウントが残っているサービスを洗い出します。次に、パスワード変更、二要素認証、会社管理メールへの切替、バックアップ取得、請求先変更を行います。顧客対応に直結するメール、問い合わせフォーム、予約システムは、停止時間が出ないように段取りします。
システム統合は一気に進めない方がよい場合もあります。買い手側の基幹システムにすぐ統合すると、現場が使いこなせず顧客対応が遅れることがあります。まずは既存システムを安定稼働させ、データ形式を確認し、移行テストを行い、現場教育をしたうえで統合する方が安全です。M&AのPMIでは、ITの理想形よりも、顧客対応を止めない現実的な順番が重要です。
買い手側が見落としやすい運用引継ぎの論点
買い手側は、データを受け取れるかだけでなく、受け取った後に誰が運用するのかを決めておく必要があります。M&Aでは、クロージング時点で管理者IDや顧客データを受領できても、現場担当者が検索方法、更新ルール、問い合わせ対応履歴の読み方、予約変更の処理、クレーム履歴の確認方法を知らなければ、顧客対応の品質は落ちます。とくに千葉県内の地域密着型サービスでは、担当者の名前、過去の修理履歴、訪問時の注意点、請求方法、家族構成、紹介元、季節ごとの需要など、数字だけでは表れない情報が売上維持に効いていることがあります。
そのため買い手は、クロージング前後に「データを渡して終わり」にしないことが重要です。旧経営者や主要従業員から、顧客分類の考え方、優先顧客の定義、失注顧客への再接触ルール、メール配信の頻度、SNS投稿のトーン、口コミ返信の方針、広告アカウントの運用履歴、外部業者への依頼方法を聞き取ります。聞き取り内容は議事録だけでなく、実際の操作画面を見ながら手順書に落とすと、引継ぎ後の再現性が高まります。
また、買い手側の情報管理ルールに合わせる作業も必要です。買い手グループで利用しているメール、CRM、会計、勤怠、チャット、ファイル共有、セキュリティソフトに統合する場合、対象会社の従業員にとっては業務手順が大きく変わります。統合の目的を説明しないまま一方的に切り替えると、現場が古いExcelや個人メールを使い続け、かえって情報が分散することがあります。移行前に、どの情報を残し、どの情報を移し、どの情報を使わなくするのかを説明することが、PMIの定着には欠かせません。
買い手は、最初の90日間を目安に運用リスクを点検します。顧客からの問い合わせが増えていないか、メール不達が起きていないか、予約の二重登録がないか、請求先変更が漏れていないか、広告費が旧カードで決済されていないか、退職者アカウントが残っていないか、バックアップが取得できているかを確認します。M&A後のデータ・IT承継は、クロージング前の確認と、クロージング後の運用確認をつなげて初めて機能します。
売り手が早期に整えると評価されやすい資料
売り手が早期に準備しておくと評価されやすい資料は、専門的なシステム資料だけではありません。むしろ、買い手が事業継続を想像できる資料の方が実務上は有効です。たとえば、顧客データの項目一覧、問い合わせ経路別の件数、リピート顧客の比率、主要な広告媒体、GoogleビジネスプロフィールやSNSの管理者一覧、メール配信の登録者数、予約システムの月次利用件数、外部委託先一覧、ドメイン・サーバー・SaaS契約の一覧、事故やクレーム対応の履歴などです。
これらの資料は、買い手に詳細な個人情報や営業秘密を最初から開示するためのものではありません。初期段階では、匿名化・集計した資料として提示し、事業の構造を理解してもらう目的で使います。買い手が本格検討に入り、秘密保持契約や開示範囲の整理ができた段階で、必要な範囲の詳細資料へ進みます。段階を分けることで、売り手は秘密管理を保ちながら、買い手に事業価値を伝えやすくなります。
特に小規模な会社では、「資料化されていないノウハウ」が価値の中心になっていることがあります。電話での初回対応、見積時に確認する質問、常連顧客への連絡時期、仕入先への交渉方法、施工や納品時の注意点、地域イベントとの関係などです。これらを簡単な業務メモにするだけでも、買い手は買収後の運営を具体的に描きやすくなります。売り手にとっても、頭の中にある情報を整理することで、後継者や買い手へ引き継ぐべき優先順位が見えます。
この準備は、買い手を安心させるだけでなく、売り手自身の交渉力にもつながります。情報が整理されていれば、買い手からの質問に早く答えられ、DDの停滞を防げます。逆に、データの所在が不明で、誰が管理しているか分からず、外部業者との契約も曖昧なままだと、買い手は価格調整、補償条項、クロージング条件でリスクを織り込みやすくなります。顧客データとIT資産を整理することは、単なる事務作業ではなく、会社の価値を説明するための基礎資料づくりです。
よくある質問
Q1. 顧客リストはM&Aでそのまま買い手へ渡せますか。
スキームや利用目的、プライバシーポリシー、本人への説明状況によって確認が必要です。株式譲渡では会社自体が同一であるため比較的整理しやすいケースがありますが、事業譲渡では個人データの移転の位置づけを慎重に確認します。実務では、利用目的、第三者提供、委託、事業承継時の取り扱いを専門家と確認し、必要に応じて通知・公表や契約条項を整えます。
Q2. GoogleビジネスプロフィールやSNSも承継対象ですか。
実務上は重要な承継対象になり得ます。地域密着企業では、Googleビジネスプロフィール、口コミ、Instagram、LINE公式アカウント、Facebookページ、YouTube、広告アカウントが顧客導線になっています。管理者権限、登録メール、二要素認証、外部業者の権限、投稿履歴、広告費決済方法を確認し、クロージング前後で引継ぎます。
Q3. 外部制作会社がWebサイトやドメインを管理している場合はどうしますか。
契約名義、ドメイン登録者、サーバー契約、CMS管理者、保守契約、解約条件、データの所有権を確認します。外部制作会社が協力的であれば問題なく移管できることもありますが、契約書がない、管理情報が不明、旧担当者しか分からないというケースもあります。M&A前に必ず確認しておくべき項目です。
Q4. 営業秘密を買い手に見せると流出しませんか。
秘密保持契約、段階的開示、匿名化、集計情報、閲覧制限、開示記録を使ってリスクを下げます。初期段階では詳細な顧客名や価格表を見せず、事業価値を判断できる範囲の要約資料を出すことが多いです。最終段階で必要な詳細情報を開示する場合も、どの資料を誰に見せたかを記録します。
まとめ：データとITを整理すると、会社の価値が伝わりやすくなる
千葉県の中小企業M&Aでは、顧客データ、個人情報、営業秘密、IT/SaaS、SNS、ドメイン、管理者権限の整理が、買収後の事業継続に直結します。売り手にとっては面倒に見える作業ですが、情報資産を整理することで、買い手は買収後の売上維持を見込みやすくなり、価格交渉や契約条件の不確実性も下げやすくなります。
最初に行うべきことは、情報資産台帳を作ることです。どのデータがどこにあり、誰が管理し、どの契約で、どの利用目的で、どのように引き継げるのかを整理します。次に、プライバシーポリシー、営業秘密管理、SaaS契約、管理者権限、バックアップを確認します。問題があっても、早めに見つければ是正や契約上の整理が可能です。
千葉県で会社売却・事業承継・第三者承継を検討している方は、譲渡希望企業様専用問い合わせフォームまたはお問い合わせからご相談ください。まだ売却を決めていない段階でも、顧客データやIT資産の棚卸しから始めることで、将来のM&A準備が進みます。
