Due diligence per startup: la guida pratica e operativa per founder

Perché prepararsi alla due diligence (e quando farlo)

La due diligence non è un controllo finale riservato ai grandi round: è il meccanismo con cui un investitore verifica ogni affermazione del tuo pitch. Essere pronti accelera i tempi di closing, riduce il rischio di ribassi sulla valutazione e dà fiducia ai potenziali lead. Idealmente la versione «sales-ready» della data room viene predisposta prima della firma del term sheet; una versione completa va aggiornata durante il periodo di closing.

Cosa vogliono vedere gli investitori: gli elementi non negoziabili

• Team e governance: CV, accordi tra soci, verbali e patti parasociali.
• Cap table pulito: esercizi, strike price, SAFE/convertible e opzioni documentate.
• Traction e numeri verificabili: fatturato, ARR/MRR, tassi di crescita, metriche unit economics.
• IP e ownership del codice: accordi di cessione delle invenzioni, contratti con consulenti e sviluppatori.
• Contratti chiave: clienti, fornitori, partner tecnologici e contratti cloud.
• Sicurezza e compliance: evidenze operative (pen test, politiche di accesso, backup), soprattutto se trattate dati personali o finanza.
• Architettura e affidabilità: diagrammi, recovery plan, costi cloud e SLAs con clienti.

Due diligence tecnica: checklist operativa

Codice e repository

• Accesso leggibile ai repository (branch, tag, history) + README aggiornato e documentazione di setup.
• CI/CD: pipeline documentate, test automatici, quality gates.
• Qualità: report di static analysis e code-quality (es. SonarQube o equivalente), copertura minima dei test per le parti critiche.
• Dipendenze: scansioni SCA per vulnerabilità e licenze (problemi di copyleft sono red flag).

Architettura, infrastruttura e operazioni

• Diagrammi high-level e dettagliati: flow dati, stadi (dev/staging/prod) e responsabilità.
• Infrastructure as Code (Terraform/Pulumi o simili) versionata e riutilizzabile.
• Gestione segreti (Vault, AWS Secrets Manager o simili), politiche IAM e principle of least privilege.
• Backup, disaster recovery e RTO/RPO documentati e testati.
• Costi cloud e pratiche di ottimizzazione (report e trend mensili).

Sicurezza e supply‑chain

• Penetration test recente (o piano in corso) e remediation tracker.
• SAST/DAST integrati nella pipeline; SCA per terze parti e GitHub Dependabot o strumenti equivalenti abilitati.
• Policy per gestione delle vulnerabilità: SLA per patching, CVE triage, responsabilità.
• Lista dei componenti open source e report di compliance/licensing (SBOM dove possibile).

Observability e reliability

• Metriche e logging (Prometheus/Grafana, Datadog, Sentry o analoghi): SLOs, error budget e recent incident post‑mortem.
• Runbook operativi e on‑call roster con escalation chiare.

MLOps e prodotti AI (se applicabile)

• Tracciabilità dei dataset, versioning dei modelli, testing per deriva e metriche di performance.
• Documentazione su prompt, filtri, limiti d’uso e gestione dei dati sensibili (se il modello usa dati personali).

Due diligence legale, IP e privacy

• IP: certificati/domande di brevetto, marchi, registrazioni di copyright e contratti di cessione/inventor assignment per tutti i founder e dipendenti/consulenti che hanno scritto codice o contributi tecnici.
• Contratti commerciali: condizioni, termini di pagamento, clausole di recesso, clausole di responsabilità; evidenze di renewals e churn.
• Privacy & data transfers: registro dei trattamenti, DPIA dove richiesto, nomina DPO (se obbligatoria) e misure tecniche organizzative per GDPR (incl. transfer mechanism come SCCs per trasferimenti extra‑UE).
• Compliance: evidenze su normative specifiche del settore (es. fintech, health), certificazioni in corso o ottenute (SOC 2, ISO 27001 sono segnali positivi se rilevanti).

Due diligence finanziaria e cap table

• Cap table aggiornato con tutte le emissioni, vesting, SAFE/convertible note e piani stock option correttamente documentati.
• Riconciliazione contabile: estratti conto, fatture, riconciliazione revenue vs sistemi (Stripe/ERP), politica di revenue recognition.
• Forecasts strutturati, burn rate, runway e sensitivities; indicazione di milestone finanziarie raggiunte e gap.

Organizzare la data room: struttura e priorità

Un data room funzionale ha cartelle chiare e ownership assegnata. Esempio di struttura minima:

• 1_Corporate (statuti, minutes, shareholder agreements)
• 2_CapTable & Equity (opzioni, SAFE, note)
• 3_Financials (P&L, cash flow, forecasts)
• 4_Customer & Contracts (contratti chiave, SLA)
• 5_Technical (architettura, repo access, runbooks)
• 6_Security & Compliance (pen test, policy, certificazioni)
• 7_IP & Legal (patents, assignments)

Permessi: read‑only per la maggior parte degli analisti, logging delle attività e watermarking dei documenti sensibili. Mantieni una lista dei documenti mancanti e una persona responsabile per ogni cartella.

Red flags comuni e come risolverli rapidamente

• Cap table sporca: correggi con una tabella sintetica, nota esplicativa e, se serve, un aggiustamento legale documentato.
• Dipendenze vulnerabili: applica patch, crea pull request automatizzati e documenta il piano di mitigazione.
• Mancata cessione IP da contractor: chiedi l’assegnazione retroattiva o valuta giudizio legale; almeno documenta i rischi per l’investitore.
• Assenza di backup o runbook: crea i runbook per le operazioni critiche e testa un restore in 48–72 ore.

Tool essenziali per preparare e accelerare la diligenced

• Data room e document sharing: Google Drive, Notion, o VDR professionali per round più grandi.
• Code quality & security: SonarQube (static analysis), Snyk o FOSSA/Mend (SCA/licensing), Dependabot per aggiornamenti automatici.
• Infra & IaC: Terraform/Pulumi + pipeline CI (GitHub Actions/GitLab CI).
• Observability: Prometheus/Grafana o Datadog; error tracking con Sentry.
• Secrets & IAM: Vault, AWS Secrets Manager; gestione accessi basata su ruoli.

Conclusione: priorità e mindset

La due diligence non è una checklist passiva: è un investimento di credibilità. Priorità pratiche per un founder sono tre: (1) pulire il cap table e i contratti, (2) mostrare numeri verificabili, (3) eliminare i rischi tecnologici critici (vulnerabilità note, dipendenze copyleft, mancanza di backup). Piccoli sforzi di organizzazione e automazione (pipeline, scansioni automatiche, policy documentate) si ripagano con closing più rapidi e migliori condizioni. Preparati oggi per risparmiare settimane domani.