技术尽职调查实操指南：三层调查法与18个检查项，让发现直接改变交易条款

技术尽职调查实操指南三层调查法与18个检查项让发现直接改变交易条款【免费下载链接】awesome-ctoA curated and opinionated list of resources for Chief Technology Officers, with the emphasis on startups项目地址: https://gitcode.com/GitHub_Trending/aw/awesome-cto某次 B 轮少数股权投资里创始人随口提到支付服务就在自己手里很稳。技术尽职调查启动后核对云账单和数据库状态才发现整个系统没有自动备份核心库是单点一次误操作就等于业务清零。最终买方把估值往下调了一截并追加了 12 个月技术整改条款。技术尽职调查TDD的本质不是给目标公司写体检报告而是把技术隐患翻译成定价和条款语言。读完这篇你会拿到一份可执行的调查流程怎么划边界、怎么排查系统/流程/人三层、怎么把发现变成钱。先划边界这次尽调要回答哪三个问题多数并购技术尽调翻车不是因为查得不够深而是因为一开始没想清楚要回答什么。动笔之前先回答三个问题覆盖范围这次交易赌的是哪块技术资产围绕它圈定要看的系统和代码库其余只做抽样。结论深度结论是用来定价格、写条款还是只作参考前者要求可量化的证据链后者看关键信号即可。可用期限交易流程留给你的窗口是几天还是几周期限决定抽样比例而不是让你省略风险分级。把答案写成一页纸的评估范围说明发给对方确认。范围一旦确认后续所有发现都可以对照它判断在范围内还是超出范围避免尽调变成无底洞。动手前的三个准备动作动作一对象画像。用资料室已有材料和第一轮对话先写清六个数字工程师人数、主要技术栈、部署在哪些云环境、核心系统有几个、关键模块由谁负责、最近一次重大故障是什么时候。这张画像决定了后面三层的排查重点。动作二开通只读权限。向对方申请对代码仓库、云环境只读账号、CI/CD 流水线、监控与日志平台的访问权限。没有权限所有发现都来自对方口述那只是听来的尽调经不起谈判推敲。动作三按交易类型生成检查单。不同类型交易的关注点完全不同同一份检查单套遍所有场景只会两头都不深交易类型检查侧重必须回答的关键问题少数股权投资技术壁垒、团队成色核心技术是否依赖单一创始人并购 / 战略收购集成复杂度、隐性成本、合规并入现有体系需要几个工程师月IPO 前尽调数据合规、知识产权权属数据链条和开源协议是否经得起公开审视资产收购代码与数据权属、迁移成本剥离后系统能否独立跑起来三层排查的整体路径长这样每条发现最终都要落回定价核心调查系统层、流程层、人层把调查对象拆成三层系统层看东西流程层看做事方式人层看谁在做。三层统一按看什么 → 怎么查 → 什么信号该拉警报展开。系统层架构、技术栈与数据路径看什么架构设计与增长是否匹配、技术栈选型是否合理、云与供应商依赖、数据流向以及备份与容灾。怎么查三角验证别只听架构图。先要架构文档再和技术负责人过一遍关键链路然后拿云账单交叉验证——账单是最难粉饰的文档。对核心代码库跑一次独立扫描不依赖对方给的数字sonar-scanner -Dproject.keycore-api配合 SAST 工具Semgrep 或 CodeQL对认证、支付两个模块做独立安全扫描半天内能拿到自己的分数。云依赖和灾备情况可以拿目标云官方的架构评审框架如 AWS Well-Architected当对照基准逐项打勾。什么信号该拉警报核心数据库无自动备份关键业务跑在一台无人管理的单机上云账单显著高于同等业务规模的合理区间经验值高出 30% 以上往往意味着大量手工操作在堆人天灾备方案只存在于口头。任何一条命中修复工期要直接进条款。流程层交付节奏与质量控制看什么CI/CD 自动化程度、代码评审规范、核心路径测试覆盖以及真实的交付指标——部署频率、变更前置时间、变更失败率。怎么查直接从流水线导出最近一个季度的发布记录别接受我们发版很快这类口述拿测试报告里的覆盖率数字与核心模块清单对一遍覆盖率只算关键业务逻辑。基准用 DORA 四项指标Google 公开的研发效能框架同赛道公司的公开数据可以做横向参照。什么信号该拉警报十人以上的工程团队月发布不足两次且发布全部经由同一个账号操作——交付能力押在一个人身上这条要立刻记下来并在人层再查一次。人层关键人依赖与团队结构看什么核心模块的掌握人数、近一年关键岗位流失情况、技术梯队深度、股权与留任安排。怎么查对每个技术负责人问同一个问题——负责核心模块的人如果明天离职会发生什么再查生产环境的数据库和密钥权限在谁手里与实际组织图对账。近一年离职名单里关键岗位走没走、走了几个资料室一般都有。什么信号该拉警报核心系统知道秘密的人不超过 3 个关键岗位一年内流失且无人补位股权高度集中在一两人手里且没有锁定期或竞业安排。命中任何一条意味着你买的技术资产可能随着一个人的离开而贬值。把发现翻译成钱分级、评分与条款影响每条发现如果不落到定价或条款上就只是一句对方技术不行。做法是把发现按三级分类再各自给出量化口径等级定义示例真实案例改写量化口径对定价 / 条款的影响P0直接动摇交易核心假设支付模块核心库无自动备份单点故障修复成本或最坏情形下的收入敞口调整估值或设置交割前完成 托管金P1交割后 12 个月内必须处理单体架构增长到当前 10 倍用户量需整体重构修复工期与所需工程师月价格微调 交割后整改承诺P2影响体验或效率不影响存续测试覆盖率约 40%发布依赖手工操作记录在案暂不单独定价写入交割后整合计划两个量化原则独立询价。修复成本让财务或外部顾问独立估算别直接采用对方报的数字——卖方的报价天然偏低。P0 必须二选一处理要么反映在价格里要么变成托管金或交割条件。对方保证很快修好这种纯口头承诺在条款里等于零。技术评分卡同理别追求虚假的精确。给每个维度架构、流程、人打 1~5 分并附证据分数只用来支撑谈判优先级不直接进估值模型。不同体量公司的打法微型公司工程师 ≤10 人尽调 3~5 天不追求全面目标是确认前三大风险。创始人访谈 两个核心仓库抽查 一次云环境只读账号够用。输出物是一页纸Top 3 风险、各自修复成本区间、是否继续推进。成长期公司10~100 人2~3 周跑完整三层流程覆盖全部核心仓库至少安排一次真实的故障切换演练或回滚演示。输出物是 P0/P1/P2 分级表 整合工作量估算人月口径。成熟 / 多产品线公司4~6 周重点从单系统转向跨系统耦合与数据合规必要时引入第三方安全审计。输出物是分系统的风险登记册 整改路线图供交割后整合排期直接使用。今天就能带走的东西问题清单社区有开源的技术尽调问题清单项目technical_due_diligence按上面四种交易类型裁剪后直接发给对方预填。独立评分SonarQube / SonarCloud 社区版扫描核心仓库拿到不依赖对方口径的可维护性与缺陷分数。安全基线OWASP ZAP 对线上环境做一次快速被动扫描配合 Semgrep 的代码级 SAST。效能基准DORA 四项指标口径写进流程层检查单。分级模板本文 P0/P1/P2 表格 独立询价、P0 二选一两条原则直接抄进报告框架。报告里可以直接写下的判断句目标公司技术状态不构成对当前估值的否定但数据冗余与关键人依赖两项 P0 发现必须在交割前或交割后 90 天内完成整改否则交易核心假设不成立。下一步今天就发出代码、云环境、流水线三处的只读权限申请清单。给技术负责人约一场 90 分钟访谈只问 10 个指向具体问题的问题。把 P0 发现逐条询价形成调价 / 托管金两版条款草案。【免费下载链接】awesome-ctoA curated and opinionated list of resources for Chief Technology Officers, with the emphasis on startups项目地址: https://gitcode.com/GitHub_Trending/aw/awesome-cto创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考