¿Qué incluye el servicio?
La due diligence de seguridad no es una auditoría de mejora: es una auditoría de riesgo inversor. Su objetivo no es proponer mejoras a la empresa target, sino proporcionar al comprador una valoración económica de los pasivos de seguridad que va a heredar y los elementos necesarios para tomar una decisión informada sobre precio, garantías o viabilidad de la operación. CEASI entrega informes con el formato y el rigor que exigen los procesos de M&A.
Evaluación del estado real de los sistemas de seguridad física de la empresa target: CCTV, control de accesos, protección perimetral, sistemas de alarma, medios de protección y adecuación a la normativa aplicable. Identificación de inversiones obligatorias inmediatas, valoración económica de los pasivos físicos y clasificación por nivel de riesgo para el inversor.
Análisis exhaustivo de los contratos de seguridad privada vigentes en la empresa target: verificación de la autorización de las empresas contratadas, habilitaciones del personal, cumplimiento de la Ley 5/2014, situación de los expedientes sancionadores en curso y valoración del riesgo de responsabilidad solidaria que asume el comprador al heredar estos contratos.
Verificación del estado de cumplimiento de todas las obligaciones normativas de seguridad de la empresa target: designación y situación del operador crítico (Ley 8/2011), estado del PPE y del PAO, cumplimiento del RD 43/2021, normativa sectorial aplicable (nuclear, energía, transporte) y valoración del pasivo regulatorio y sancionador potencial.
Auditoría del cumplimiento del RGPD y el ENS en la empresa target: estado del registro de actividades de tratamiento, evaluaciones de impacto pendientes o no realizadas, brechas de seguridad no notificadas a la AEPD, situación de los contratos con encargados del tratamiento, adecuación de las medidas técnicas y organizativas, y cuantificación del riesgo sancionador acumulado.
Elaboración del informe ejecutivo de riesgo en materia de seguridad para el comprador, el banco de inversión o el comité de inversión: resumen ejecutivo con semáforo de riesgos, valoración económica de pasivos por categoría, impacto estimado en el precio de la operación, cláusulas de garantía recomendadas y condiciones precedentes al closing relacionadas con seguridad.
Evaluación del estado de la ciberseguridad de la empresa target en el contexto de la operación M&A: análisis de la arquitectura de seguridad TI, estado de la adecuación al ENS y a la Directiva NIS2, historial de incidentes de seguridad, vulnerabilidades conocidas no remediadas, dependencias críticas de terceros y valoración del riesgo cibernético que hereda el comprador.