Périmètre de préparation à la cession et architecture contrôlée
Et périmètre de décision
objectif du vendeur
Leur objectif de préparation à la cession est de présenter une entreprise intelligible, de préserver la crédibilité en négociation, de réduire les surprises évitables et de préserver la capacité de l'équipe dirigeante pendant une transaction. Le propriétaire peut également devoir résoudre des questions de gouvernance familiale, des soldes inter-sociétés, des prêts d'actionnaires, des accords avec des parties liées, des autorisations informelles et des structures de prête-noms avant qu'un acquéreur puisse évaluer le contrôle.
La préparation à la cession est un programme de management. Elle réunit le périmètre stratégique, l'actionnariat, les comptes, la fiscalité, les opérations, les clients, les personnes, la technologie, la propriété intellectuelle, les licences, les contentieux, les questions environnementales et la protection des données. Une data room créée sans stratégie de divulgation peut révéler des éléments incohérents ou inutiles. Un rapport rédigé sans liens de source vérifiés peut transformer une question non résolue en affirmation trompeuse.
objectif de l'investisseur
Un lecteur s'intéresse à la fiabilité de la chaîne de preuves et à la gouvernance qui l'entoure. La question pertinente est de savoir si une équipe de transaction peut passer d'une affirmation du vendeur au document sous-jacent, déterminer qui a examiné la conclusion et identifier les exceptions qui restent ouvertes.
Les utilisateurs institutionnels ont également besoin de comparabilité. Une data room d'entreprise non cotée peut utiliser des registres comptables, fiscaux, de propriété et d'emploi locaux. Un comité d'investissement peut évaluer l'opportunité selon un prisme différent de reporting, de valorisation, de sanctions, de confidentialité et de gestion des risques. Le dossier VDD doit préserver la signification juridique locale tout en exposant une correspondance claire avec les questions de due diligence de l'acquéreur. IFRS 3, les documents de reporting IFRS et les données, modèles et principes de documentation IVS fournissent un contexte utile en matière de reporting financier et de valorisation [25-28,51]. Les principes de gouvernance d'entreprise de l'OCDE ajoutent un cadre de transparence et de droits des actionnaires [50]. Ils ne remplacent pas les conseils comptables ou de valorisation spécifiques à la transaction.
Droits décisionnels
Délimitation du sujet complémentaire
Due diligence vendeur et préparation à la cession
Objet
La due diligence vendeur est une investigation indépendante ou menée par un conseil, commanditée par le vendeur et mise à la disposition d'acquéreurs potentiels, sous réserve des conditions convenues. Son périmètre varie. La VDD financière peut analyser la qualité des résultats, le chiffre d'affaires, les marges, la conversion en trésorerie, le besoin en fonds de roulement, la dette nette, les prévisions et les politiques comptables. La VDD fiscale peut examiner les déclarations, l'impôt sur les sociétés, la TVA, les prix de transfert, les douanes, la paie et la structure de la transaction. Des chantiers juridiques, commerciaux, opérationnels, technologiques, cyber, RH, ESG et autres peuvent s'y ajouter.
L'article utilise la VDD comme un processus contrôlé de production d'informations. Il n'implique pas d'assurance. La norme ISRS 4400 révisée de l'IAASB distingue les procédures convenues de l'assurance et exige que les constats factuels soient présentés conformément aux procédures convenues [24]. Les normes PCAOB AS 1105 et AS 1215 fournissent une logique utile de preuve et de documentation : pertinence, fiabilité, source, contrôles, éléments contradictoires et dossier suffisant pour comprendre le travail effectué [21,22]. La norme professionnelle applicable dépend de la mission, de la juridiction et du praticien.
Préparation avant lancement
Un vendeur est prêt sur le plan opérationnel lorsque le périmètre proposé est défini, que les éléments de preuve essentiels ont été rassemblés, que les soldes significatifs sont rapprochés, que les exceptions importantes ont des responsables et des échéances, que les contrôles de partage des données sont en place et que le rapport peut distinguer les faits, les explications du management, l'analyse du conseil et les points non résolus. La préparation n'exige pas une entreprise parfaite. Elle exige une situation probante exacte et un plan maîtrisé pour les éléments en suspens.
Asymétrie d'information
Le vendeur connaît l'historique d'exploitation et peut manquer d'un dossier prêt pour une transaction. L'acquéreur ne dispose pas de cet historique et évalue l'entreprise sous un prisme de risque différent. La conception de la due diligence doit réduire l'asymétrie d'information grâce à la traçabilité. Le système ne doit jamais fabriquer de certitude. Un contrat manquant reste manquant. Une explication du management reste une explication du management jusqu'à ce qu'elle soit corroborée. Une tendance rapportée reste dépendante de l'exhaustivité de la population, de la politique comptable et de la cohérence des périodes.
Figure 2. Programme de préparation sur douze mois exprimé sous forme de jalons de preuve
Architecture agentique contrôlée
Composants
L'architecture proposée comporte sept couches : systèmes sources ; acquisition en lecture seule ; registre de preuves ; rapprochement déterministe ; outils d'agents à périmètre limité ; revue humaine ; et publication autorisée. Le système source reste la référence. Le registre de preuves enregistre un hachage cryptographique, la source, l'heure d'acquisition, le propriétaire, la classification, l'autorisation, la période de transaction et l'état de remplacement. Le code déterministe exécute les totaux, les jointures, les conversions de devises et les rapprochements. Les agents organisent, analysent et rédigent à partir de ces objets contrôlés.
Anthropic documente une boucle agentique dans laquelle le modèle demande un outil et l'application renvoie le résultat [34,35]. La documentation de Claude sur les agents gérés expose également des politiques d'autorisation et des connexions MCP [36]. Il s'agit de capacités de la plateforme. Un environnement VDD de production doit ajouter des contrôles d'identité propre à la transaction, d'autorisation, de séparation, de journalisation, de conservation, de suspension de destruction, de revue et d'exportation.
Contrat d'outil
Chaque outil nécessite un contrat à périmètre restreint. Un outil de listage de documents peut renvoyer des identifiants et des classifications. Un outil de lecture de documents peut autoriser des dossiers sélectionnés et refuser les éléments privilégiés ou restreints. Un outil de rapprochement de balance générale peut accepter un identifiant de balance générale versionné et une table de correspondance, puis renvoyer les écarts exacts. Un outil de rédaction de constatations peut créer une constatation proposée avec citations, tandis qu'une action distincte contrôlée par un humain l'accepte dans un rapport.
Les recommandations d'autorisation MCP exigent des jetons liés à l'audience et rejettent la transmission de jetons [41]. Les recommandations de sécurité MCP traitent des risques de mandataire confus et d'accès [42]. Les bonnes pratiques des clients exigent une identité de serveur claire et un contrôle par l'utilisateur [43]. Les annotations d'outils peuvent indiquer des caractéristiques de lecture seule, destructives, idempotentes et de monde ouvert [44]. Le tutoriel d'autorisation du protocole ajoute un contexte pratique de mise en œuvre [45]. Ces principes justifient une règle selon laquelle un agent de due diligence reçoit la capacité minimale nécessaire à la tâche en cours.
Séparation
Les recommandations NIST sur le zéro confiance concentrent les décisions d'accès sur les utilisateurs, les actifs et les ressources, sans confiance implicite fondée sur l'emplacement réseau [47,48]. Les recommandations NCSC secure-AI organisent les contrôles sur l'ensemble de la conception, du développement, du déploiement et de l'exploitation et identifient les risques d'injection de prompt, d'empoisonnement des données et de chaîne d'approvisionnement [32,33]. Ces principes sont directement pertinents pour un environnement VDD contenant des documents précieux et confidentiels.
Aucune divulgation autonome
Un agent ne doit jamais ajouter un document à une salle destinée à l'acheteur, envoyer une réponse de due diligence, modifier un enregistrement source financier, altérer un registre de propriété ou approuver un rapport. Une publication nécessite un manifeste approuvé contenant l'identifiant du document, la version, le hachage, la classification, l'état de revue juridique, le propriétaire métier et l'audience de divulgation. La salle publiée doit être reproductible à partir de ce manifeste.
Figure 3. Automatisation de la construction de la data room avec provenance et contrôle de publication
Source : cadre Matchpoint ; contexte des preuves, de la confidentialité et de la sécurité [8,9,19-23,32,33].
Objet de preuve canonique
Schéma minimal
Chaque entrée utilisée dans une constatation doit être représentée par un objet de preuve. L'objet peut pointer vers un document entier, un tableau, une ligne, une clause contractuelle ou le résultat d'un registre externe. Il sépare ce que dit la source de la manière dont un analyste l'interprète.
Les orientations de la PCAOB indiquent que la fiabilité des informations produites par une société dépend des contrôles sur l’exactitude et l’exhaustivité, et que les informations électroniques peuvent nécessiter une évaluation supplémentaire [21,23]. Cette logique justifie des contrôles au niveau de la population avant qu’un agent n’analyse un export de feuille de calcul. Une empreinte établit l’identité des octets acquis. Elle n’établit ni la véracité, ni l’exhaustivité, ni le traitement comptable correct.
Hiérarchie des éléments de preuve
Les documents signés, les registres des autorités de régulation ou des registres publics, les relevés bancaires, les déclarations déposées et les comptes statutaires approuvés ont généralement une autorité de source plus forte que les ébauches non signées, les feuilles de calcul, les courriels ou les souvenirs de la direction. Le contexte compte. Un contrat signé peut avoir été modifié. Un relevé bancaire peut exclure un autre compte. Un registre peut être obsolète. La hiérarchie doit guider l’examen et ne jamais résoudre silencieusement une contradiction.
Contradictions et remplacement de version
Lorsque deux sources sont en désaccord, le système crée un enregistrement de contradiction. Il identifie les deux objets de preuve, l’assertion concernée, l’importance relative, le responsable, la résolution proposée et l’état actuel. Supprimer ou écraser l’enregistrement le plus faible détruit un historique de due diligence utile. Les liens de remplacement conservent la version antérieure et la raison pour laquelle le nouvel enregistrement fait foi.
Enregistrements électroniques
UAE Le décret-loi fédéral n° 46 de 2021 dispose qu’un document électronique ne perd pas sa force juridique du seul fait qu’il est électronique et traite du stockage, des signatures, des sceaux et des services de confiance [8]. La loi soutient l’infrastructure des transactions électroniques. Les conseils de l’opération doivent déterminer le traitement probatoire d’une signature, d’un document ou d’une exigence juridictionnelle particulière. Le registre VDD doit conserver le statut de signature, les informations de certificat et les éléments de preuve de validation lorsqu’ils sont pertinents.
Figure 4. Chaîne de traçabilité des preuves, de l’assertion à la source d’origine et au réviseur
Source : cadre des éléments de preuve Matchpoint ; contexte des éléments probants d’audit et de la documentation [21-24].
Éléments de preuve de la data room, financiers et de propriété
Taxonomie de la data room et automatisation de sa construction
Taxonomie
Une taxonomie utile suit les questions de l’acheteur tout en préservant la structure des sources du vendeur. Le niveau supérieur peut couvrir la société et la propriété ; la finance ; la fiscalité ; le commercial ; les clients ; les fournisseurs ; les opérations ; les biens immobiliers et actifs ; le personnel ; les retraites et avantages ; la technologie et la cybersécurité ; la propriété intellectuelle ; la confidentialité ; la réglementation et les licences ; les litiges ; l’assurance ; ESG ; et les documents propres à l’opération.
Chaque dossier doit comporter un énoncé de périmètre, un responsable, une classe de divulgation et une liste de contrôle d’acceptation. Un dossier vide doit correspondre à l’un de trois états déclarés : aucun élément pertinent ; éléments demandés et en attente ; ou accès restreint. Un dossier vide ne doit jamais être interprété automatiquement comme « non applicable ».
Acquisition automatisée
Les tâches d’acquisition doivent être déterministes et idempotentes. Elles capturent les métadonnées source, conservent les octets d’origine, calculent un hachage, analysent les logiciels malveillants, classent le contenu et créent une entrée d’index proposée. Les sorties OCR et l’extraction de tableaux restent des artefacts dérivés. L’original reste disponible pour examen. Les documents numérisés, protégés par mot de passe, corrompus ou à faible niveau de confiance sont orientés vers un traitement manuel.
Classification et contrôle des doublons
Le hachage exact détecte les doublons octet par octet. La détection de quasi-doublons peut identifier des copies renommées, des versions numérisées ou des documents dont les en-têtes ont été modifiés. Un agent peut proposer que deux éléments soient des doublons. Un réviseur détermine s’ils sont juridiquement ou commercialement équivalents. Un accord signé et une copie de travail non signée peuvent contenir un texte identique et avoir un statut probatoire différent.
Manifestes d’exhaustivité
Chaque flux de travail tient un manifeste de population attendue. Pour les comptes bancaires, la population peut partir du plan comptable, de la liste de trésorerie, des confirmations bancaires et des informations des déclarations fiscales. Pour les contrats clients, elle peut partir du grand livre des produits et du système de gestion des contrats. L’exhaustivité signifie que ces populations indépendantes ont été rapprochées ou que les écarts sont explicitement consignés.
Protection de la vie privée dès la conception
Le cadre de protection des données UAE traite du consentement ou d’autres conditions de traitement, des droits des personnes concernées et des exigences de transfert transfrontalier [9]. Les orientations de l’ICO M&A conseillent aux organisations d’établir quelles données personnelles sont transférées, pourquoi elles ont été collectées, la base légale, la documentation, la sécurité et la transparence [19]. Les principes de protection des données de l’UE incluent la limitation des finalités, la minimisation, la limitation de la conservation, l’exactitude, la confidentialité et la responsabilité [20]. La salle de due diligence devrait donc recourir à l’occultation au niveau des champs, à un accès contrôlé, à des limites de temps et à la consignation des finalités plutôt qu’à une copie généralisée.
Moteur de rapprochement financier
Graphe de rapprochement
Le contrôle financier central est un graphe, et non un simple tableur. Il relie le grand livre et la balance générale aux comptes statutaires, aux comptes de gestion, aux déclarations fiscales, aux comptes bancaires, aux sous-grands livres des produits, aux créances, aux dettes fournisseurs, à la paie, aux stocks et aux données de prévision. Chaque passerelle enregistre la correspondance, la période, la devise, la méthode comptable, l’ajustement manuel, la source, le responsable et le réviseur.
Un calcul déterministe doit effectuer le rapprochement. Un agent peut expliquer les écarts et rassembler les éléments probants à l’appui. Les réponses numériques doivent être produites par du code validé, avec une précision et un arrondi déclarés. Un calcul libre par le modèle crée un risque évitable.
De la balance générale aux résultats publiés
Le système prouve d’abord que la balance générale est exhaustive pour chaque entité et chaque période. Il fait ensuite correspondre les codes de compte aux lignes des états financiers et du reporting de gestion. Les écritures de consolidation, les éliminations, les écarts de change, les écritures tardives, les ajustements de périodes antérieures et les reclassements font l’objet d’objets probants distincts. Une passerelle qui compense des éléments sans lien peut masquer la cause d’un écart.
Produits et trésorerie
L’analyse des produits doit relier le contrat, la commande, l’exécution, la facture, le grand livre, la créance et la trésorerie. Le chemin disponible diffère selon le modèle économique. L’exhaustivité de la population, la séparation des exercices, les avoirs, les remises, les retours, les parties liées et les écritures manuelles inhabituelles sont importantes. L’IAS 2 est pertinente pour l’évaluation des stocks et la comptabilisation des coûts lorsque la cible détient des stocks [26]. Le référentiel de reporting et la méthode applicables exigent un examen professionnel.
Qualité des résultats
Les ajustements de qualité des résultats doivent être représentés sous forme d’enregistrements proposés plutôt que de modifications de la source EBITDA. Chaque enregistrement contient le montant déclaré, l’ajustement proposé, la catégorie, la période, l’évaluation du caractère récurrent, l’effet sur la trésorerie, l’effet fiscal, les éléments probants, le point de vue de la direction, l’avis du conseiller et le statut de contrôle. Les ajustements liés au rythme de croisière (run-rate), aux synergies et aux prévisions doivent être libellés particulièrement clairement, car ils vont au-delà de l’historique comptabilisé.
Besoin en fonds de roulement et dette nette
L’analyse du besoin en fonds de roulement doit préserver les définitions au niveau des comptes, la saisonnalité, le périmètre de l’opération, la date d’arrêté et la méthode de normalisation. L’analyse de la dette nette doit identifier séparément la trésorerie, les emprunts, les intérêts courus, les contrats de location, les soldes avec les actionnaires, la contrepartie différée, les garanties, la trésorerie restreinte et les propositions assimilables à de la dette ou à de la trésorerie. La classification est une question de négociation et de conseil. L’agent peut produire le tableau des éléments probants et la correspondance proposée.
Figure 5. Graphique de rapprochement financier et registre des exceptions Source : Matchpoint cadre financier ; contexte de reporting [21-28].
Fiscalité, parties liées et restructuration
Dossiers d’impôt sur les sociétés
Le ministère des Finances UAE définit le cadre fédéral de l’impôt sur les sociétés, et l’Autorité fiscale fédérale publie des orientations et des FAQ en matière d’impôt sur les sociétés [10,11]. Une data room fiscale doit relier l’enregistrement, la période d’imposition, la déclaration, les états financiers, les choix fiscaux, les calculs, le paiement, la correspondance et les points en suspens. Un récépissé de dépôt prouve le dépôt. Il ne prouve pas que la position fiscale est correcte.
Prix de transfert et parties liées
Le guide de la FTA en matière de prix de transfert traite du principe de pleine concurrence et de la documentation [11]. Le moteur de VDD doit rapprocher les parties liées entre le grand livre, les registres d’actionnariat, les déclarations des administrateurs, les contrats, la documentation fiscale et les confirmations de la direction. Il doit signaler les transactions dépourvues de conventions, de justificatifs de prix, de preuves de règlement ou d’une identité cohérente de contrepartie. Le conseiller fiscal détermine la position et les mesures correctives.
Restructuration préalable à la cession
Les réorganisations peuvent modifier l’actionnariat, la base fiscale, les licences, les contrats et les relations avec les salariés. Les décisions du ministère des Finances UAE traitent des transferts intragroupe, du revenu imposable et de l’allégement de restructuration [12]. Un transfert préalable à la cession envisagé doit donc être représenté sous forme de graphe de dépendances avec les étapes juridiques, les conditions fiscales, les écritures comptables, les approbations et les preuves d’achèvement. Un agent peut suivre les conditions. Il ne doit pas conclure que l’allégement s’applique.
Signaux d’alerte fiscaux
Actionnariat, prête-noms et gouvernance familiale
Bénéficiaires effectifs
La décision du Conseil des ministres n° 109 de 2023 exige une analyse des personnes physiques fondée sur la propriété, les droits de vote ou le contrôle, avec un seuil de 25 % et une remontée à travers un nombre quelconque de personnes morales [1]. Elle prend également en compte le droit de nommer ou de révoquer la majorité des administrateurs et prévoit un mécanisme de repli sur la direction générale lorsque le bénéficiaire effectif ne peut être identifié [1,2]. La Recommandation 24 du GAFI et ses orientations appellent à des informations sur les bénéficiaires effectifs adéquates, exactes et à jour [3,4].
Le graphe de détention de la VDD doit modéliser les propriétaires juridiques, les bénéficiaires effectifs, les entités intermédiaires, les trusts ou fondations le cas échéant, les accords de vote, les options, les nantissements, les droits de nomination au conseil, les rôles de prête-nom et les changements dans le temps. Chaque lien doit être associé à un document source et à une date d'effet. Un organigramme fondé uniquement sur des pourcentages peut manquer le contrôle.
Contrôles relatifs aux administrateurs prête-nom
La décision UAE définit et encadre les administrateurs prête-nom et fixe les délais de notification [1]. Le glossaire du GAFI distingue les prête-noms des bénéficiaires effectifs et met l'accent sur les instructions de la personne qui les nomme [5]. Le workflow agentique doit comparer les registres des sociétés, les procès-verbaux du conseil, les procurations, les contrats de service, la correspondance et les déclarations afin de repérer les indices que le titre formel et l'instruction réelle divergent. Chaque signal de ce type exige un examen par le conseil juridique et la direction.
Gouvernance des entreprises familiales
Le décret-loi fédéral n° 37 de 2022 vise à encadrer la détention et la gouvernance des entreprises familiales, à faciliter la transmission générationnelle et à soutenir leur continuité [6]. La préparation à la sortie doit recenser le memorandum, les pactes d'actionnaires, la charte familiale le cas échéant, les restrictions de cession, le droit de préemption, les mécanismes de valorisation, les clauses de règlement des litiges, les modalités de succession et les autorisations. L'opération envisagée peut nécessiter des décisions familiales et sociales selon des calendriers distincts.
Sanctions et lutte anticorruption
L'évaluation du programme de conformité du DOJ demande comment une entreprise conduit sa due diligence M&A, intègre les entités acquises et gère les risques liés aux technologies émergentes, notamment AI [13]. Le guide FCPA du DOJ et de la SEC traite de la responsabilité du successeur et de la conformité M&A [14]. Le cadre de conformité de l'OFAC appelle à une évaluation des risques de sanctions et à l'intégration de la conformité dans M&A [15]. Les orientations de l'OFSI accordent une place importante à une due diligence raisonnable et documentée sur la propriété et le contrôle [16]. Les documents de l'OCDE soutiennent une due diligence complète fondée sur les risques dans les transactions d'entreprise [17,18].
Ces sources sont propres à chaque juridiction et dépendent des faits. Elles étayent une catégorie de contrôle, et non une conclusion juridique pour chaque opération. Le vendeur doit consigner la source de filtrage, les paramètres de recherche, la date, l'analyse de la détention, la personne chargée de la revue, la résolution des faux positifs et l'escalade.
Figure 6. Graphe de détention et de contrôle par prête-noms avec signaux d'alerte étayés par des éléments probants
Source : cadre de détention Matchpoint ; UAE et exigences du GAFI [1-7,52].
Chantiers commerciaux, juridiques et de traitement des signaux d'alerte
Analyse commerciale, opérationnelle et contractuelle
Populations de clients et de fournisseurs
La due diligence commerciale commence par des populations reproductibles. Les référentiels clients et fournisseurs doivent être rapprochés du chiffre d'affaires, des créances clients, des achats, des dettes fournisseurs, des contrats et des justificatifs bancaires. Les noms nécessitent une table de résolution d'entités contrôlée. Le système doit conserver la dénomination juridique d'origine, le nom commercial, la relation de groupe, le pays, l'identifiant et le niveau de confiance de chaque correspondance proposée.
Extraction de contrats
Un agent peut proposer l’extraction des parties, de la durée, du renouvellement, de la résiliation, du changement de contrôle, de la cession, de l’exclusivité, du prix, de l’indexation, du volume, du niveau de service, de la responsabilité, du droit applicable et des clauses de notification. Le conseil juridique examine les clauses importantes et l’effet des avenants. La confiance de l’extraction doit être propre à chaque champ. Une confiance moyenne élevée peut masquer une clause décisive à faible confiance.
Concentration et attrition
Le code déterministe doit calculer la concentration du chiffre d’affaires, la rétention, l’attrition, les effets prix-volume-mix et les indicateurs de cohortes à partir de populations approuvées. Les explications de la direction, les motifs de perte de clients et la classification du pipeline restent des éléments qualitatifs distincts. Le rapport doit préciser le dénominateur, la devise, la période, l’ensemble des entités et le traitement des acquisitions ou des activités abandonnées.
Déclarations opérationnelles
Les déclarations opérationnelles telles que la capacité, le taux d’utilisation, la livraison à temps, le taux de défauts, le carnet de commandes, les revenus récurrents ou le nombre de clients actifs exigent des définitions et des contrôles des sources. Un agent peut comparer les déclarations entre les dossiers du conseil, les supports commerciaux et les systèmes sources, puis créer des enregistrements de contradictions. Il ne doit pas sélectionner le chiffre le plus favorable.
Passerelle de prévisions
La prévision doit établir une passerelle entre le rythme d’exploitation historique et les hypothèses de prix, de volume, de clients, de produits, de capacité, de recrutement, de dépenses d’investissement et de fonds de roulement. Chaque hypothèse stocke le responsable, la source, l’approbation et la sensibilité. L’agent peut déterminer si une prévision dépend de contrats non signés, d’une capacité indisponible ou d’un financement non résolu. Le conseil d’administration et les conseillers conservent la responsabilité de la prévision.
Chantiers juridique, RH, PI, confidentialité et cybersécurité
Documents juridiques
La préparation juridique comprend la constitution, les documents constitutifs, l’actionnariat, les approbations du conseil d’administration et des actionnaires, les licences, les contrats importants, le financement, les garanties, les actifs, les biens, les litiges, l’assurance et la correspondance réglementaire. La loi sur les sociétés commerciales et ses amendements ultérieurs fournissent le contexte UAE de droit des sociétés [7]. Les règles propres aux zones franches, aux zones franches financières et à chaque émirat peuvent également s’appliquer. Le conseil juridique doit définir le régime applicable à chaque entité.
L’agent peut indexer des documents, extraire des dates et des parties, comparer des registres, identifier des signatures manquantes et acheminer les anomalies. Il ne doit jamais décider du secret professionnel, du caractère significatif, de l’opposabilité, du caractère suffisant de la communication ou de l’exposition juridique. Les documents couverts par le secret professionnel restent en dehors du contexte ordinaire du modèle, sauf si le conseil juridique crée expressément un flux de travail contrôlé.
Personnel et emploi
Le chantier RH doit rapprocher les données maîtresses des salariés, la paie, les avantages, les visas, les contrats, les dispositifs d’intéressement, les congés acquis, les ruptures et les litiges. Les données personnelles doivent être minimisées avant l’accès au modèle. Les données nominatives des salariés peuvent être inutiles pour de nombreuses analyses agrégées. Des éléments expurgés ou pseudonymisés peuvent étayer des tests de population tout en conservant une clé distincte sous contrôle restreint.
Propriété intellectuelle
La chaîne de preuves en matière de propriété intellectuelle relie la création, la cession, l'enregistrement, la licence, le référentiel de code source ou de contenu, les conditions applicables aux prestataires et la dépendance à l'égard des revenus. Un agent peut identifier les personnes ou les fournisseurs associés au développement substantiel et les comparer aux registres de cession. Le conseil juridique détermine la propriété et les mesures correctives.
Confidentialité et cybersécurité
Le volet confidentialité devrait identifier les catégories de données personnelles, les finalités, les systèmes, les sous-traitants, les partages, la conservation, les incidents et les flux transfrontaliers. Le volet cybersécurité devrait cartographier les actifs critiques, les identités, la journalisation, les sauvegardes, la gestion des vulnérabilités, les incidents, les tiers et les tests de restauration. Le cadre de cybersécurité 2.0 du NIST et les publications sur la confiance zéro fournissent des structures de gouvernance et de contrôle d'accès [46-48]. Les orientations AI du NCSC ajoutent des contrôles pour les risques liés aux modèles, aux données et à la chaîne d'approvisionnement [32,33].
Utilisation de AI au sein de la cible
L'évaluation de conformité du DOJ de septembre 2024 demande comment la direction évalue les risques liés à AI, les intègre à la gestion des risques d'entreprise, encadre l'utilisation de AI et prévient les usages abusifs [13]. Un vendeur prêt à céder devrait tenir à jour un inventaire des systèmes AI, la finalité métier, les sources de données, la dépendance à l'égard des fournisseurs et des modèles, la supervision humaine, les tests, l'historique des incidents et la position contractuelle. Les activités dans l'UE peuvent également nécessiter une évaluation de l'applicabilité de la loi AI ; le règlement (UE) 2024/1689 établit un cadre centré sur l'humain et fondé sur les risques, avec une application échelonnée [49]. Un avis juridique est requis pour déterminer le champ d'application et les obligations.
Moteur de détection des signaux d'alerte
Fiche de constat
Un signal d'alerte est une exception étayée par des preuves susceptible d'affecter la valeur, le calendrier, la structure, la divulgation ou la confiance de l'acheteur dans une transaction. Le dossier doit séparer la détection de la conclusion. Un test automatisé détecte un signal. Un analyste l'évalue. Un professionnel ou un responsable métier détermine la réponse et la divulgation.
Familles de détection
Les règles déterministes conviennent aux tests exacts : numéros de séquence manquants, paiements en double, écarts de solde, déclarations tardives, contrats non signés, licences expirées, variations négatives du fonds de roulement ou pourcentages de détention qui ne totalisent pas correctement. Les méthodes statistiques peuvent prioriser des journaux comptables, marges, clients, transactions ou modes d'accès inhabituels. Les modèles de langage peuvent identifier des incohérences sémantiques entre récits et documents. Chaque méthode nécessite une évaluation documentée des faux positifs et des faux négatifs.
Exemples de signaux d'alerte
Exemple illustratif Un distributeur à capitaux familiaux présente une personne physique comme actionnaire. Le registre du commerce, le pacte d'actionnaires et la correspondance du conseil d'administration indiquent un montage de prête-nom et des droits de nomination détenus par un autre membre de la famille. L'agent crée un signal reliant les dossiers. Le conseil juridique détermine l'analyse de la détention et de la divulgation.
Exemple illustratif Les comptes de gestion affichent AED 6 million de EBITDA ajusté. Le rapprochement de la balance générale contient AED 1.2 million de retraitements proposés, dont une rémunération du propriétaire, un coût de conseil ponctuel et une remise annuelle client non signée. Le système conserve les trois propositions séparément. Le conseiller VDD évalue la récurrence et les preuves ; le rapport ne convertit jamais automatiquement les trois en EBITDA accepté.
Exemple illustratif Le référentiel clients affiche 420 clients, tandis que la population des revenus facturés contient 447 entités juridiques. La résolution d'entités identifie les noms de groupe et les variantes orthographiques, laissant 11 entités facturées non appariées. Le rapprochement reste ouvert jusqu'à ce que la fonction finance confirme la population et le traitement.
Triage
La gravité doit combiner la qualité des preuves, l'impact plausible, l'urgence et la réversibilité. Une qualification de gravité ne doit jamais être générée uniquement à partir de la confiance du modèle. L'extraction à haut niveau de confiance d'un point mineur peut être sans importance commerciale. L'identification à faible niveau de confiance d'un possible problème de propriété ou de sanctions peut nécessiter un examen humain immédiat.
Figure 7. Processus de détection, d'arbitrage et de clôture des signaux d'alerte
Source : Matchpoint cadre de contrôle des constats [13-24,29-33].
Rédaction, revue, sécurité et acceptation
Processus de rédaction du rapport Vdd
Rédaction fondée sur les affirmations
Le générateur de rapport doit fonctionner à partir d'un registre d'affirmations approuvées. Chaque affirmation contient un énoncé, un périmètre, une période, des unités, des citations de preuves, un identifiant de calcul, un statut, un réviseur et des limites. L'agent de rédaction convertit les affirmations acceptées en texte narratif et en tableaux. Il ne peut pas créer d'affirmation à incidence importante sans citation.
Rôles des sources
Le rapport doit distinguer quatre rôles de sources :
Fait consigné : directement étayé par une source contrôlée.
Résultat calculé : produit par une logique déterministe approuvée à partir d'entrées contrôlées.
Explication de la direction : attribuée à la direction et étayée ou non corroborée en l'état.
Constat du conseil : analyse professionnelle dans le cadre d'une mission et d'un processus de revue.
Cette séparation empêche qu'une explication de la direction soit reformulée comme un fait établi de manière indépendante. Elle permet également au lecteur de reproduire un tableau calculé et d'identifier la date d'arrêté des données utilisée.
Contrôles de rédaction
Le contexte du modèle ne doit contenir que les preuves approuvées et l’ensemble de déclarations approuvées pour la section en cours. Le prompt de rédaction doit interdire toute inférence non énoncée, exiger des identifiants de preuve intégrés et faire ressortir les contradictions. Un post-processeur déterministe doit vérifier chaque chiffre par rapport au registre de calcul, chaque période définie par rapport au périmètre et chaque citation par rapport à une source publiée.
Cycle de revue
La norme PCAOB AS 1215 exige une documentation suffisante pour comprendre les procédures, les éléments probants et les conclusions dans un contexte d’audit [22]. Elle ne qualifie pas le rapport VDD d’audit.
Recours et contrôle des versions
Le rapport émis reçoit une version, une date, un périmètre, un destinataire, une position de recours et un hash. Les modifications après émission nécessitent un supplément contrôlé ou une réémission. Un tableau de bord en temps réel peut aider à suivre les mises à jour, mais le lecteur doit toujours savoir quelles preuves et quelle version du rapport ont fondé une décision.
Revue humaine et validation
Contrôle à quatre yeux
Chaque constat significatif doit avoir un préparateur et un réviseur indépendant. L’indépendance est fondée sur le rôle et tient compte des conflits d’intérêts. Un administrateur système qui maintient le flux de travail peut confirmer l’exécution mais ne peut pas se substituer au réviseur financier, juridique ou fiscal. Le dossier d’acceptation nomme chaque rôle et conserve des preuves horodatées.
Actions réservées
Les actions réservées comprennent la définition du périmètre de l’opération ; la détermination de la propriété juridique et de la propriété effective ; l’approbation des ajustements comptables ; l’expression de conclusions fiscales, juridiques ou de valorisation ; la décision en matière de secret professionnel ; l’acceptation d’une déclaration de la direction ; l’approbation de la communication d’informations ; l’émission du rapport VDD ; et la réponse à un acheteur sur un point significatif. Les autorisations des outils doivent rendre ces actions techniquement indisponibles à l’agent.
Escalade
Les règles d’escalade doivent être explicites. Citons par exemple une contradiction de propriété, une correspondance possible avec des sanctions, des preuves de manquement, un compte bancaire manquant, une lacune significative dans les déclarations fiscales, une suspicion de violation de données, une dépendance des prévisions à un contrat non signé ou une instruction d’omettre un élément pertinent. Le flux de travail arrête la sortie concernée et achemine les preuves vers le responsable approprié. Il doit conserver le déclencheur et la réponse sans exposer de contenu restreint à des utilisateurs non autorisés.
Déclarations de la direction
Les registres de déclarations de la direction doivent indiquer la question exacte, la personne qui répond, son pouvoir, la date, la réponse, les réserves et les éléments probants à l’appui. Une réponse issue d’une messagerie copiée dans un rapport manque de contexte adéquat. Le système peut organiser et comparer les déclarations dans le temps. Il doit signaler les réponses modifiées et conserver les deux versions.
Sécurité, MCP et conception des autorisations
Identité
Chaque humain, agent, service et outil reçoit une identité distincte. Les comptes partagés empêchent l’attribution. Des jetons de courte durée, liés à l’audience, et des portées spécifiques à l’usage sont conformes aux recommandations d’autorisation MCP [41]. L’environnement d’exécution doit rejeter la transmission directe de jetons et empêcher un serveur MCP d’utiliser un jeton client auprès d’un service en aval pour lequel il n’a pas été émis.
Matrice de permissions
Injection de prompt et preuves empoisonnées
Un document peut contenir des instructions destinées à manipuler un modèle. Les recommandations du NCSC identifient les menaces d’injection de prompt et d’empoisonnement des données [32,33]. La couche d’ingestion doit traiter le texte du document comme des données non fiables, séparer les instructions système du contenu, désactiver les appels d’outils arbitraires pendant l’extraction, restreindre les connexions sortantes et exiger des sorties valides au regard du schéma. Un document contenant « ignorez les instructions précédentes » reste un texte de preuve.
Perte et exfiltration de données
Le système doit empêcher la copie, le téléchargement, l’accès web et la conservation par le modèle sans restriction. La journalisation doit consigner l’acteur, l’outil, les identifiants de preuve, la finalité, l’identifiant de sortie et la décision de politique. Les journaux doivent disposer de leurs propres contrôles de confidentialité, d’intégrité et de conservation. Le résultat d’un outil doit renvoyer le minimum de champs nécessaires à la tâche.
Risque lié aux fournisseurs et aux modèles
Les travaux d’Anthropic sur les agents dignes de confiance, la mesure de l’autonomie et le désalignement agentique simulé étayent une supervision explicite, des tests et de la prudence dans les environnements sensibles [38-40]. Les travaux sur le désalignement rapportent des expériences simulées et indiquent que les auteurs n’avaient pas connaissance de ce comportement dans des déploiements réels [40].
Figure 8. Matrice des permissions et des autorisations de transaction selon le principe du moindre privilège
Source : cadre de sécurité Matchpoint ; recommandations MCP, NIST et NCSC [32,33,41-48].
Évaluation et acceptation des agents
Unités d’évaluation
L’évaluation des agents doit utiliser des tâches représentatives des transactions plutôt que des benchmarks linguistiques généraux. Les unités comprennent la classification de documents, l’extraction de clauses, le rapprochement de populations, la détection de constats, l’exactitude des citations, la gestion des contradictions, la sélection d’outils, l’abstention et l’escalade. Les recommandations d’Anthropic sur l’évaluation des agents mettent l’accent sur les tâches, les évaluateurs et l’analyse empirique [37]. Le RMF du NIST AI et le profil Generative AI organisent la gouvernance, la cartographie, la mesure et la gestion des risques [29-31].
Vérité de référence
Un évaluateur qualifié crée ou approuve la réponse de référence. Les cas difficiles ou ambigus doivent conserver un enregistrement d’arbitrage. La vérité de référence peut inclure des variantes de réponse acceptables et une abstention explicite. L’ensemble d’évaluation doit représenter des documents numérisés, des avenants, des dossiers multilingues, des tableaux, des pages manquantes, des quasi-doublons, des preuves contradictoires et des fichiers à accès restreint.
Indicateurs
Tests adversariaux
La suite doit inclure l’injection de prompt dans les documents, des noms de fichiers trompeurs, du texte masqué, des fichiers corrompus, des demandes non autorisées, des registres obsolètes, des contrats contradictoires, des totaux manipulés, des exports partiels et un outil qui renvoie une erreur. L’agent doit préserver l’incertitude et suspendre les conclusions concernées. Une démonstration réussie sur des documents propres ne satisfait pas au critère d’acceptation.
Seuil d’acceptation
Les seuils dépendent de l’impact de la tâche. Les totaux financiers exacts doivent exiger une concordance déterministe. Un outil d’extraction de clauses juridiques peut exiger un rappel très élevé et une revue obligatoire. Une suggestion de dossier à faible risque peut tolérer davantage d’erreurs. Le registre de publication doit indiquer le jeu de données, la version, le modèle, les prompts, les outils, les seuils, les résultats, les limites connues et l’approbateur.
Feuille de route, cas opérationnel et limites
Feuille de route de préparation sur douze mois
Calendrier conditionné par les preuves
L’analyse considère une feuille de route de douze mois compressée par des flux de travail agentiques. Aucune donnée observée du programme n’a été fournie pour établir un ratio de compression. Les équipes peuvent exécuter des flux de travail indépendants en parallèle une fois les dépendances et la capacité connues. Les jours écoulés réels, les heures de revue, les reprises, les exceptions et les résultats des transactions doivent être consignés.
Parallélisation
Le travail en parallèle est sûr lorsque les flux de travail disposent de sources indépendantes et d’interfaces claires. L’extraction de contrats peut avancer pendant que le mappage de la balance générale est examiné. L’analyse de l’actionnariat peut bloquer les conclusions sur les parties liées et les sanctions. Le rapprochement financier historique doit précéder les conclusions sur la qualité des résultats. La classification de confidentialité doit précéder l’accès étendu au modèle ou aux conseillers.
Cible de vitesse machine
« Vitesse machine » doit désigner l’exécution rapide d’une tâche contrôlée et répétable une fois que des preuves approuvées sont disponibles. Les exemples incluent le hachage de 10 000 fichiers, le test d’une population de grand livre, la comparaison de champs définis ou la régénération d’un projet cité. Cela ne doit pas impliquer un jugement professionnel instantané, une correction des sources, une réponse de la direction ou un accord de l’acheteur.
Registre des capacités
Le programme enregistre le temps d’exécution machine, le temps de revue, le temps des responsables des sources, l’arriéré d’exceptions et les reprises. Une automatisation qui réduit le temps d’extraction et augmente le bruit de revue peut accroître l’effort total. L’unité valide est la preuve acceptée ou le constat accepté par heure de bout en bout, avec les critères de qualité et de risque satisfaits.
Figure 9. Calendrier de préparation, flux de travail parallèles et jalons d'acceptation
Cas opérationnel illustratif
Scénario
L'exemple illustratif A : un groupe familial de distribution et de services dont le siège se trouve à UAE envisage une cession majoritaire. Il compte trois entités opérationnelles, deux véhicules de holding historiques, 235 employés, plusieurs montages immobiliers avec des parties liées et sept ans de données financières réparties entre deux systèmes comptables. Le scénario est fictif et illustre le cadre. Il ne s'agit ni d'un Matchpoint ni d'un cas client.
Arriéré de référence
L'inventaire initial contient 8 400 fichiers. Des hachages exacts identifient 1 120 doublons octet par octet. La logique de quasi-doublons propose 340 groupes candidats. Le système génère 460 exceptions OCR ou d'extraction à faible confiance. La fonction Finance identifie AED 2.4 million d'écarts entre la balance générale et les comptes de gestion d'une période à l'autre. Le conseil juridique identifie une déclaration de prête-nom non résolue et un bail conclu avec une partie liée. Ces chiffres sont illustratifs et ne représentent pas des performances observées.
Exécution contrôlée
Le service d'ingestion conserve les originaux et crée des entrées d'index proposées. Le code déterministe de la fonction Finance mappe la balance générale, et l'agent rédige des explications pour chaque écart à partir du registre des preuves. Le conseil juridique examine le graphe de détention et crée la description autorisée. Les conseillers fiscaux examinent les documents et déclarations relatifs aux parties liées. L'agent de rédaction de la VDD ne reçoit que les assertions acceptées.
Périmètre des résultats
Le scénario peut illustrer la comptabilisation de la charge de travail sans revendiquer de bénéfice. Supposons 1 000 unités de tâches automatisées, 180 exceptions de revue et 35 constats significatifs. Ces chiffres ne servent qu'à la planification des capacités. Toute affirmation de temps économisé exigerait une base manuelle comparable, un périmètre identique, un ajustement de qualité, du temps de travail enregistré et des résultats observés. Toute affirmation de valeur préservée exigerait un dossier de transaction approuvé et établissant un lien de causalité.
Décision
Le jalon de préparation reste fermé tant que la question du prête-nom, les écarts financiers et le bail avec une partie liée ne font pas l'objet de conclusions approuvées. L'automatisation a rendu les points ouverts visibles et reproductibles. Elle n'a pas résolu leur signification juridique, comptable ou commerciale.
Économie, capacités et mise en œuvre
Cadre de mesure
Un dossier d'analyse économique de la mise en œuvre devrait mesurer le coût d'acquisition, le coût de la plateforme et des modèles, l'intégration, la sécurité, l'évaluation, la revue professionnelle, la remédiation des sources, l'exploitation continue et la réponse aux incidents. Les bénéfices peuvent s'observer sous forme de moins d'heures de bout en bout pour un livrable accepté, d'un délai écoulé plus court entre les jalons approuvés, de moins de retraitements, d'une couverture de population plus élevée ou de moins de questions des acheteurs dues à des lacunes de preuves évitables. Chaque indicateur nécessite une base de référence et un responsable de validation.
Statuts des preuves
Aucune référence client approuvée en conditions réelles, base de référence de temps de travail, résultat de transaction ou résultat financier attribué n'a été fourni. Aucun résultat financier de Matchpoint ou d'un client n'est revendiqué.
Démarrage de la mise en œuvre en quatre-vingt-dix jours
Les jours 1 à 15 définissent les pouvoirs, le périmètre, les classes de données, les actions interdites et les tâches d’évaluation. Les jours 16 à 30 constituent le registre des preuves et un connecteur en lecture seule. Les jours 31 à 45 mettent en œuvre un rapprochement déterministe et un registre des exceptions. Les jours 46 à 60 ajoutent un agent à périmètre limité pour la classification et la rédaction avec citations. Les jours 61 à 75 réalisent une évaluation adversariale et une revue professionnelle. Les jours 76 à 90 pilotent un flux de travail contrôlé et décident si les preuves justifient une extension.
Périmètre minimum viable
Le premier périmètre de production devrait porter sur une seule entité, une seule période historique, un seul système source et un seul flux de travail, avec un réviseur qualifié. Un exemple approprié est le rapprochement entre la balance générale et les comptes de gestion ou un contrôle d’exhaustivité des documents sociaux. Le périmètre devrait exclure l’émission du rapport final, la communication avec l’acheteur et la divulgation autonome.
Acheter, construire ou s’associer
Le choix opérationnel dépend de la sensibilité des données, de la disponibilité des connecteurs, de l’architecture de sécurité, de la capacité de revue, du flux de travail personnalisé, du volume et de la fréquence des transactions. Les affirmations des fournisseurs doivent être testées dans l’environnement du vendeur. La revue du contrat doit couvrir l’utilisation des données, la conservation, les sous-traitants ultérieurs, l’entraînement des modèles, la localisation géographique, la sécurité, la réponse aux incidents, la disponibilité, l’exportation, la suppression et les droits d’audit.
Limites et conclusion
Limites
Cet article est un cadre de conception. Les cas illustratifs n’établissent pas de performances. Les exigences juridiques, fiscales, comptables, d’audit, de valorisation, de sanctions, de confidentialité et d’emploi dépendent des faits, de la juridiction, du mandat et du droit en vigueur. Les systèmes sources peuvent être incomplets ou erronés. Les capacités des modèles et des fournisseurs évoluent. L’acheteur conserve le droit d’effectuer sa propre due diligence.
Conclusion
Les flux de travail agentiques peuvent soutenir la préparation à la cession lorsque chaque résultat significatif reste lié à des preuves contrôlées, à un calcul déterministe et à une autorité humaine nommément désignée. L’actif central est le graphe de preuves : source, empreinte, périmètre, transformation, contradiction, réviseur et état de publication. La data room, le registre de rapprochement, le registre des signaux d’alerte et le rapport deviennent alors des vues sur le même enregistrement gouverné.
Le cadre place la rapidité après l’admissibilité. Un dossier peut être traité rapidement et rester inutilisable. Un rapport peut être rédigé rapidement et rester non étayé. Un programme de douze mois peut être réorganisé en jalons de preuves parallèles, tandis que l’amélioration des délais écoulés doit être mesurée. La position la plus solide du vendeur est un exposé exact et reproductible de ce qui est connu, de ce qui est calculé, de ce que la direction déclare et de ce qui reste non résolu.
La recommandation de mise en œuvre est un flux de travail à périmètre limité : une entité, une période, un registre des preuves, un rapprochement déterministe, un assistant agentique, un réviseur professionnel et un enregistrement d’acceptation. L’extension suit la qualité mesurée, le respect des autorisations, la capacité de revue et la valeur approuvée. L’autorité de transaction reste auprès de la direction et des professionnels désignés.
