Due diligence, które pomaga podjąć decyzję. Jak nie kupić problemów razem ze spółką.

Zamknąłeś transakcję. Management presentation wyglądał świetnie, liczby się zgadzały, a rynek rósł. Trzy miesiące później okazuje się, że prawa do kodu należą do byłego CTO, kluczowy kontrakt z największym klientem ma klauzulę change-of-control, a model biznesowy opiera się na praktyce, którą regulator właśnie wziął na celownik. Twoje due diligence tego nie wyłapało — bo szukało nie tam, gdzie trzeba.

Na polskim rynku M&A zamykanych jest rocznie ok. 330–350 transakcji. Polska pozostaje liderem regionu Europy Środkowo-Wschodniej — w 2023 r. zrealizowano 284 transakcje o łącznej wartości 7,45 mld euro. Mimo tej skali, w publicznych źródłach nie istnieją zagregowane dane o tym, ile z tych transakcji kończy się sporem po zamknięciu. Kategoria „spory post-closing M&A” nie jest nawet wyodrębniana w statystykach Sądu Arbitrażowego przy KIG. To oznacza, że ryzyka po closingu są realnym, ale niewidocznym problemem — a jedynym sposobem, żeby się przed nimi zabezpieczyć, jest porządne badanie przed podpisaniem umowy.

W tym artykule pokażę, czym różni się strategiczne due diligence od standardowego audytu, na które obszary położyć nacisk przy przejęciu spółki technologicznej i jak przełożyć wyniki badania na konkretne zapisy w umowie sprzedaży udziałów (SPA). Dowiesz się też, kiedy warto renegocjować warunki, a kiedy lepiej odpuścić transakcję.

Podstawowe pojęcia, które musisz znać przed transakcją

Zanim przejdziesz do szczegółów, uporządkuj terminologię. Transakcje M&A operują własnym językiem, a nieznajomość pojęć utrudnia komunikację z doradcami i negocjacje z drugą stroną.

Czym strategiczne due diligence różni się od standardowego badania

Standardowe DD kończy się raportem z listą zastrzeżeń. Raport trafia na biurko zarządu, prawnik zaznacza ryzyka kolorem czerwonym, żółtym i zielonym. Problem w tym, że taki raport nie odpowiada na pytanie, które faktycznie interesuje kupującego: czy kupować, za ile i na jakich warunkach.

Strategiczne DD zmienia cel badania. Zamiast audytu formalnego — dostarcza materiał decyzyjny.

Logika priorytetyzacji jest tu analogiczna do zarządzania podatnościami w systemach IT — nie każde ryzyko wymaga eliminacji. Niektóre można zaakceptować z monitoringiem, inne wymagają natychmiastowej korekty ceny lub dodatkowych zabezpieczeń. Decyzja zależy od tego, jak duży wpływ dane ryzyko ma na model biznesowy targetu.

Pięć obszarów, na które warto położyć nacisk

Doświadczenie transakcyjne pokazuje, że najczęściej krytyczne okazują się:

1. Własność intelektualna (IP) — szczególnie w spółkach IT/SaaS, gdzie wartość opiera się na kodzie i technologii
2. Kluczowe kontrakty — umowy z największymi klientami, dostawcami, partnerami technologicznymi
3. Zgodność regulacyjna — licencje, zezwolenia, wymogi branżowe (KNF, UOKiK, UODO)
4. Struktura korporacyjna i właścicielska — cap table, relacje między wspólnikami, historia przekształceń
5. Relacje z founderami i zależności osobowe — kto faktycznie trzyma wiedzę, kontakty i wpływ na biznes

Jeden źle oceniony obszar w branży regulowanej lub technologicznej może podważyć cały model działania.

Ryzyka, które najczęściej „wybuchają” po closingu

Ryzyka prawne w spółce są rozproszone między kontraktami, strukturą właścicielską, IP, regulacjami branżowymi i relacjami osobowymi. Bez ich uporządkowania trudno ocenić wagę poszczególnych zagrożeń.

a) Niepełne prawa do IP — pułapka spółek technologicznych

W polskim prawie autorskim program komputerowy podlega ochronie jak utwór literacki (art. 74 ust. 1 ustawy o prawie autorskim i prawach pokrewnych). Ochrona obejmuje kod źródłowy, kod wynikowy i materiały przygotowawcze — ale nie algorytmy ani zasady działania.

Prawa majątkowe do programu stworzonego przez pracownika w ramach stosunku pracy przysługują pracodawcy (art. 74 ust. 3 ustawy). To mechanizm pierwotnego nabycia — pracownik nigdy nie nabywa praw majątkowych, zachowuje jedynie osobiste prawa autorskie (niezbywalne i nieograniczone w czasie).

Problem pojawia się, gdy:

1. Kod pisali zleceniobiorcy lub podwykonawcy na B2B — wtedy prawa nie przechodzą automatycznie. Potrzebna jest umowa przenosząca prawa na wszystkich polach eksploatacji
2. Umowy o przeniesienie praw nie obejmują wszystkich pól eksploatacji z art. 74 ust. 4 (zwielokrotnianie, tłumaczenie, przystosowywanie, rozpowszechnianie)
3. Kod zawiera komponenty open source — badania wskazują, że 99% aplikacji zawiera komponenty open source, a 75% z nich ma znane luki bezpieczeństwa. Licencje copyleft (np. GPL) mogą wymagać udostępnienia kodu źródłowego całego produktu
4. Kod generowany jest przez narzędzia AI — pytanie o własność takiego kodu i możliwość udzielania licencji staje się coraz bardziej krytycznym elementem badania

Przy współtwórczości (art. 9 ustawy) prawo autorskie przysługuje współtwórcom wspólnie, co do zasady w równych częściach — chyba że umowa stanowi inaczej. Jeśli spółka nie uregulowała tego z zespołem, kupujesz niejasną sytuację prawną.

b) Klauzule change-of-control w kluczowych kontraktach

Zmiana właściciela spółki może uruchomić prawo kontrahenta do wypowiedzenia umowy. Jeśli DD tego nie wyłapie, kupujący traci przychód z dnia na dzień — bez możliwości renegocjacji po closingu.

c) Ekspozycja regulacyjna

Model biznesowy targetu może opierać się na praktykach budzących wątpliwości regulacyjne. Kary UOKiK za naruszenia antymonopolowe sięgają do 10% obrotu przedsiębiorcy. W branżach regulowanych (fintech, medtech, energetyka) utrata licencji lub zezwolenia może zablokować całą działalność.

Nowe regulacje UE rozszerzają zakres badania:

d) Ukryte zobowiązania z historii korporacyjnej

Kupujący przejmuje spółkę razem z jej historią. Jeśli target przeszedł niedawne przekształcenie ze spółki cywilnej, wspólnicy nowo powstałej sp. z o.o. odpowiadają solidarnie ze spółką za zobowiązania sprzed przekształcenia przez 3 lata. Przy bezskutecznej egzekucji z majątku sp. z o.o. za jej zobowiązania odpowiadają solidarnie członkowie zarządu (art. 299 KSH) — DD powinno zweryfikować, czy taka ekspozycja istnieje.

Jak przełożyć wyniki DD na zapisy w umowie SPA

Zidentyfikowane ryzyka mają wartość tylko wtedy, gdy przełożysz je na konkretne mechanizmy ochronne w SPA. Raport kończący się na liście zastrzeżeń — bez rekomendacji, co z nimi zrobić — nie chroni kupującego.

Logika jest taka sama jak w negocjacjach kontraktów IT: ustal, które ryzyka ponosi sprzedający, które kupujący, a które powinny zostać współdzielone.

Orientacyjne standardy rynkowe mechanizmów ochronnych w polskich SPA

W Polsce nie istnieją publicznie dostępne benchmarki ilościowe — poniższe przedziały wynikają z praktyki rynkowej i mogą się różnić w zależności od wielkości transakcji, branży i siły negocjacyjnej stron.

Siedem kroków od wyniku DD do zabezpieczenia w SPA

1. Przeprowadź warsztat otwierający — przed badaniem zdefiniuj z doradcą prawnym konkretną decyzję biznesową, którą DD ma wesprzeć. Nie „zbadać spółkę”, lecz „odpowiedzieć, czy target realizuje nasz cel strategiczny”
2. Skoncentruj badanie na 3–5 obszarach krytycznych — zamiast badać wszystko powierzchownie, pogłęb analizę tam, gdzie powstaje lub zanika wartość transakcji
3. Wymagaj bieżącej komunikacji deal-breakerów — doradca powinien sygnalizować ryzyka mogące zmienić wynik transakcji natychmiast, nie dopiero w raporcie końcowym
4. Przygotuj matrycę priorytetyzacji ryzyk — uporządkuj ryzyka według dwóch osi: wpływ na wycenę × prawdopodobieństwo materializacji. Wykorzystaj ją jako materiał decyzyjny dla zarządu lub komitetu inwestycyjnego
5. Przetłumacz każde ryzyko na mechanizm transakcyjny — korekta ceny, warranty, indemnity, escrow, earn-out lub warunek zawieszający. Nie akceptuj raportu kończącego się na liście zastrzeżeń
6. Zaplanuj przełożenie wniosków na SPA jako integralną część procesu — nie jako osobny etap po zakończeniu badania
7. Uzasadnij decyzję dokumentacyjnie — art. 293 § 3 KSH (business judgment rule) chroni zarząd, który działał na podstawie informacji, analiz i opinii uwzględnionych przy starannej ocenie. Dokumentacja z procesu DD (raporty, opinie, protokoły z posiedzeń zarządu) ma zasadnicze znaczenie dowodowe

Odpowiedzialność zarządu za decyzję akwizycyjną — co mówi prawo

Żaden przepis Kodeksu spółek handlowych nie nakłada wprost obowiązku przeprowadzenia due diligence przed akwizycją. DD jest praktyką rynkową, nie wymogiem ustawowym.

Nie oznacza to jednak, że zarząd może zignorować badanie. Odpowiedzialność członków zarządu za szkodę wyrządzoną spółce opiera się na art. 293 § 1 KSH (sp. z o.o.) i art. 483 § 1 KSH (S.A.). Spółka musi wykazać bezprawność działania, szkodę i związek przyczynowy — ale ciężar dowodu braku winy spoczywa na członku zarządu.

Od 13 października 2022 r. obowiązuje art. 209¹ § 1 KSH — członek zarządu powinien dołożyć staranności wynikającej z zawodowego charakteru swojej działalności oraz dochować lojalności wobec spółki.

Równolegle działa zasada biznesowej oceny sytuacji (art. 293 § 3 KSH): członek zarządu nie narusza obowiązku staranności, jeżeli postępując lojalnie wobec spółki, działa w granicach uzasadnionego ryzyka gospodarczego, w tym na podstawie informacji, analiz i opinii, które powinny być w danych okolicznościach uwzględnione.

Sąd Najwyższy potwierdził tę linię orzeczniczą:

1. Wyrok z 24 lipca 2014 r. (II CSK 627/13) — zawinione działania dokonane z przekroczeniem granic ryzyka gospodarczego są sprzeczne z interesem spółki i uzasadniają odpowiedzialność z art. 293 § 1 KSH
2. Wyrok z 14 kwietnia 2016 r. (II CSK 430/15) — odpowiedzialność za nieprawidłowe zarządzanie mieści się w reżimie art. 293 KSH
3. Wyrok z 29 października 2010 r. (I CSK 595/09) — przeprowadzenie DD nie wyklucza możliwości powołania się na błąd (art. 84 KC), jeśli błąd dotyczył treści czynności prawnej i był istotny

Wniosek: zaniechanie DD w złożonej transakcji może zostać ocenione jako niedochowanie należytej staranności. Due diligence mieści się w kategorii „informacji, analiz i opinii” z art. 293 § 3 KSH — i stanowi dowód, że zarząd działał w granicach uzasadnionego ryzyka.

Kiedy warto renegocjować, a kiedy lepiej odpuścić

Strategiczne DD nie kończy się jedną rekomendacją. W zależności od wyników badania, doradca powinien przedstawić scenariusze:

W procesach konkurencyjnych, gdzie sprzedający oczekuje szybkiej decyzji, sprawdza się model red flag DD — zawężone badanie skoncentrowane na obszarach mogących zmienić wynik transakcji. Pozwala działać szybko, ale nie „w ciemno”. Po uzyskaniu wyłączności możesz rozbudować badanie.

Napisz do nas — ocenimy, czy Twoje due diligence odpowiada na właściwe pytania.

Możemy Ci w tym pomóc

Ryzyka prawne w transakcji M&A są rozproszone między wieloma obszarami — IP, kontrakty, compliance, governance, relacje osobowe. Bez ich uporządkowania i przełożenia na mechanizmy ochronne w SPA, kupujesz spółkę z nieznanym zestawem problemów.

Nasze wsparcie przy transakcjach M&A obejmuje:

1. Warsztat otwierający — definiujemy z Tobą cel badania i decyzję, którą DD ma wesprzeć
2. Strategiczne DD z priorytetyzacją ryzyk — koncentrujemy badanie na obszarach krytycznych dla wartości transakcji, zamiast badać wszystko po trochu
3. Raport z matrycą ryzyk i rekomendacjami — każde ryzyko przetłumaczone na konkretny mechanizm transakcyjny: korekta ceny, warranty, indemnity, escrow, earn-out lub warunek zawieszający
4. Bieżącą komunikację deal-breakerów — sygnalizujemy ryzyka mogące zmienić wynik transakcji natychmiast, nie dopiero w raporcie końcowym
5. Wsparcie w negocjacjach SPA — przełożenie wniosków z DD na zapisy umowy sprzedaży udziałów
6. Red flag DD w procesach konkurencyjnych — gdy masz 2–3 tygodnie na decyzję, zawężamy badanie do tego, co może zmienić wynik transakcji

Łączymy prawo korporacyjne z wiedzą o branży IT, SaaS i fintech — rozumiemy, jak działają spółki technologiczne i gdzie najczęściej tkwią ryzyka.

Nie kupuj problemów razem ze spółką

Due diligence to narzędzie decyzyjne, a nie formalność. Standardowe badanie kończące się listą zastrzeżeń nie chroni kupującego — chroni go DD, które priorytetyzuje ryzyka, przetłumaczy je na mechanizmy ochronne w SPA i da zarządowi jasną rekomendację: kupować, renegocjować czy odpuścić.

Jeśli planujesz przejęcie lub inwestycję — napisz do nas. Ocenimy, czy Twoje due diligence odpowiada na właściwe pytania, zanim podpiszesz SPA.

Najczęściej zadawane pytania

Czym różni się strategiczne due diligence od standardowego? Standardowe DD kończy się raportem z listą ryzyk. Strategiczne DD priorytetyzuje te ryzyka według wpływu na wycenę i model biznesowy, przetłumaczy je na konkretne mechanizmy ochronne (warranties, indemnities, escrow, earn-out, korekta ceny) i daje zarządowi rekomendację: kupować, renegocjować czy odpuścić. Różnica polega na celu — DD ma wspierać decyzję, nie dokumentować stan faktyczny.

Jak długo trwa due diligence i czy da się je przeprowadzić w 2–3 tygodnie? Czas zależy od wielkości i złożoności targetu. Pełne badanie zajmuje zwykle 4–8 tygodni. W procesach konkurencyjnych z presją czasu stosuje się model red flag DD — zawężone badanie skoncentrowane na obszarach mogących zmienić wynik transakcji. Pozwala podjąć świadomą decyzję szybko, z opcją rozbudowania badania po uzyskaniu wyłączności.

Na które obszary położyć nacisk przy przejęciu spółki IT/SaaS? Pięć najczęściej krytycznych obszarów to: prawa do kodu i technologii (w tym umowy z developerami, komponenty open source, kod generowany przez AI), kluczowe kontrakty (szczególnie klauzule change-of-control), zgodność regulacyjna (RODO, AI Act, NIS2), struktura korporacyjna i cap table oraz zależności osobowe — kto faktycznie trzyma wiedzę i relacje z klientami.

Co jeśli DD ujawni poważne ryzyka — czy to automatycznie oznacza wycofanie się z transakcji? Nie. Strategiczne DD daje kilka scenariuszy: kontynuacja bez zmian, renegocjacja warunków (korekta ceny, dodatkowe warranties), warunkowe wejście (warunek zawieszający), dodatkowe badanie lub wycofanie się. Wycofanie jest uzasadnione tylko wtedy, gdy ryzyko jest niemożliwe do zabezpieczenia mechanizmami transakcyjnymi — np. model biznesowy oparty na praktyce niezgodnej z regulacjami.

Czy zarząd ma prawny obowiązek przeprowadzenia DD przed akwizycją? Nie — żaden przepis KSH nie nakłada wprost takiego obowiązku. DD jest praktyką rynkową. Zaniechanie badania w złożonej transakcji może jednak zostać ocenione jako niedochowanie należytej staranności z art. 293 KSH. Zasada biznesowej oceny sytuacji (art. 293 § 3 KSH) chroni zarząd, który działał na podstawie informacji, analiz i opinii uwzględnionych przy starannej ocenie — DD mieści się w tej kategorii.

Jak uzasadnić wynik DD przed komitetem inwestycyjnym lub radą nadzorczą? Przygotuj matrycę priorytetyzacji ryzyk (wpływ na wycenę × prawdopodobieństwo materializacji) i raport z rekomendacjami scenariuszowymi. Dokumentacja z procesu DD — raporty, opinie, protokoły z posiedzeń zarządu (art. 208¹ KSH) — stanowi dowód, że decyzja akwizycyjna została podjęta w granicach uzasadnionego ryzyka gospodarczego.