Οι εξαγορές και συγχωνεύσεις (Mergers & Acquisitions – M&A Transactions) https://www.gov.gr/media/sdg_files/2022/07/11/FEK-2019-Tefxos_A-00044-downloaded_-11_07_2022_NeMyPKl.pdf αποτελούν διαχρονικά έναν από τους σημαντικότερους μηχανισμούς εταιρικής ανάπτυξης και μετασχηματισμού, αναδιάρθρωσης και προσέλκυσης επενδύσεων. Παραδοσιακά, η επιτυχία μιας συναλλαγής εξαρτιόταν κυρίως από οικονομικούς δείκτες, φορολογικά δεδομένα, συμβατικές υποχρεώσεις και την εταιρική κατάσταση της εταιρείας-στόχο ωστόσο, η ψηφιακή οικονομία έχει μεταβάλει ουσιωδώς τον τρόπο με τον οποίο οι επενδυτές αξιολογούν μια επιχείρηση.
Σήμερα, τα προσωπικά δεδομένα, οι ψηφιακές υποδομές, τα συστήματα τεχνητής νοημοσύνης και η ανάπτυξη συστημάτων και διασφάλισης της κυβερνοασφάλειας αποτελούν κρίσιμα περιουσιακά στοιχεία. Αντίστοιχα, η μη συμμόρφωση με το ευρωπαϊκό κανονιστικό πλαίσιο μπορεί να μετατραπεί σε σημαντική πηγή οικονομικού και νομικού κινδύνου. Η συμμόρφωση με τον GDPR (ΕΕ 2016/679, https://eur-lex.europa.eu/legal-content/EL/TXT/PDF/?uri=CELEX:32016R0679η ορθή διαχείριση διεθνών διαβιβάσεων δεδομένων, η ύπαρξη αποτελεσματικών μηχανισμών κυβερνοασφάλειας και η ετοιμότητα έναντι του EU AI Act https://eur-lex.europa.eu/legal-content/EL/TXT/PDF/?uri=OJ:L_202401689σε συστήματα υψηλού ή μη κινδύνου, δεν αποτελούν πλέον μόνο απλές υποχρεώσεις συμμόρφωσης, αλλά εξίσου παράγοντες που επηρεάζουν άμεσα την αποτίμηση, τη δομή και τη βιωσιμότητα μιας συναλλαγής.
Η κανονιστική διερεύνηση δέουσας επιμέλειας (Due Diligence) ως καθοριστικός μηχανισμός των σύγχρονων M&A
Σε κάθε συναλλαγή M&A, ο αγοραστής επιχειρεί να αξιολογήσει όχι μόνο τα οικονομικά δεδομένα της εταιρείας-στόχου αλλά και το σύνολο των νομικών και κανονιστικών κινδύνων που αναλαμβάνει μέσω της εξαγοράς.
Παραδοσιακά, o ο έλεγχος «δέουσας επιμέλειας» επικεντρωνόταν:
- στην εταιρική οργάνωση,
- στις εμπορικές συμβάσεις,
- στις εκκρεμείς δικαστικές διαφορές,
- στις φορολογικές υποχρεώσεις,
- στα εμπράγματα βάρη.
Σήμερα όμως, έχει η κανονιστική διερεύνηση δέουσας επιμέλειας έχει αποκτήσει εξίσου σημαντική θέση καθώς οι επενδυτές εξετάζουν κατά πόσον η εταιρεία είναι σε θέση να λειτουργεί νόμιμα στο αυστηρά ρυθμιζόμενο ευρωπαϊκό περιβάλλον.
Η συμμόρφωση με τον GDPR, οι υποχρεώσεις τήρησης κυβερνοασφάλειας, οι μηχανισμοί διαβίβασης δεδομένων, η διαχείριση περιστατικών παραβίασης δεδομένων και η χρήση συστημάτων τεχνητής νοημοσύνης αποτελούν πλέον βασικά σημεία ελέγχου πριν από οποιαδήποτε επένδυση.
Ο GDPR ως παράγοντας αποτίμησης (Valuation Driver)
Η αξία μιας επιχείρησης βασίζεται σε δύο βασικούς παράγοντες, αφενός στην ικανότητά της να παράγει μελλοντικές ταμειακές ροές και αφετέρου στο επίπεδο κινδύνων που συνδέεται με αυτές.
Ο Γενικός Κανονισμός Προστασίας Δεδομένων τείνει να επηρεάζει και τα δύο τόσο στενά, καθώς η συμμόρφωση ή η μη συμμόρφωση με τις απαιτήσεις του μπορεί να επηρεάσει άμεσα τόσο τη δυνατότητα μιας επιχείρησης να αξιοποιεί νόμιμα τα δεδομένα που αποτελούν κρίσιμο επιχειρηματικό της πόρο όσο και το εύρος των κανονιστικών, οικονομικών και λειτουργικών κινδύνων που αναλαμβάνει ένας επενδυτής μέσω της συναλλαγής. Μια εταιρεία που εμφανίζει σημαντικά κενά συμμόρφωσης αντιμετωπίζει αυξημένο κίνδυνο:
- διοικητικών προστίμων,
- αποζημιωτικών αξιώσεων,
- εποπτικών ερευνών,
- λειτουργικών περιορισμών,
- απώλειας εμπιστοσύνης πελατών και συνεργατών.
Στην πράξη, ο επενδυτής αποτιμά τον κανονιστικό κίνδυνο είτε μέσω μείωσης του τιμήματος εξαγοράς είτε μέσω της εισαγωγής ειδικών συμβατικών μηχανισμών προστασίας, όπως εγγυήσεις, αποζημιωτικές ρήτρες (indemnities), μηχανισμοί παρακράτησης μέρους του τιμήματος (escrow arrangements) ή αναβαλλόμενες καταβολές (deferred consideration).
Τα βασικά «κενά» του GDPR σε ένα M&A Due Diligence
- Έλλειψη νόμιμης βάσης επεξεργασίας
Ένα από τα σοβαρότερα ευρήματα αφορά την αδυναμία τεκμηρίωσης νόμιμης βάσης επεξεργασίας κατά το άρθρο 6 GDPR.
Συχνά διαπιστώνεται ότι:
- χρησιμοποιείται ελαττωματική συγκατάθεση,
- δεν τεκμηριώνεται επαρκώς το έννομο συμφέρον,
- πραγματοποιούνται επεξεργασίες χωρίς σαφή νομική βάση.
Σε εταιρείες που βασίζονται στα δεδομένα ως κύριο περιουσιακό στοιχείο, το πρόβλημα αυτό αποκτά ιδιαίτερη σημασία κυρίως εφόσον η επεξεργασία είναι παράνομη, η εμπορική αξιοποίηση των δεδομένων μπορεί να περιοριστεί σημαντικά ή ακόμη και να καταστεί αδύνατη.
- Ιστορικό περιστατικών παραβίασης δεδομένων
Οι επενδυτές εξετάζουν προσεκτικά:
- προηγούμενα data breaches,
- την ύπαρξη μη δηλωθέντων περιστατικών,
- τον χρόνο ανταπόκρισης,
- τη συμμόρφωση με τα άρθρα 33 και 34 GDPR.
Ένα ανεπαρκές incident response σύστημα θεωρείται σοβαρός δείκτης οργανωτικής αδυναμίας και ανεπαρκούς εταιρικού μηχανισμού ασφάλειας.
- Απουσία DPIA
Η έλλειψη Data Protection Impact Assessments σε επεξεργασίες υψηλού κινδύνου αποτελεί συχνό εύρημα συνεπώς αυξάνει σημαντικά το κανονιστικό ρίσκο.
Το πρόβλημα εμφανίζεται συχνότερα σε:
- profiling,
- χρήση τεχνολογιών ανάλυσης συμπεριφοράς χρηστών
- health-tech εφαρμογές,
- AI systems,
- εργαλεία παρακολούθησης εργαζομένων.
- Διεθνείς διαβιβάσεις δεδομένων
Μετά την Schrems II, οι διεθνείς διαβιβάσεις δεδομένων αποτελούν ένα από τα πιο κρίσιμα σημεία ελέγχου.
Ο αγοραστής εξετάζει:
- τη χρήση Πρότυπων Συμβατικών Ρητρών (Standard Contractual Clauses – SCCs),
- την ύπαρξη Transfer Impact Assessments(ΤΙΑ),
- τους υπεργολάβους επεξεργασίας (subprocessors) που συμμετέχουν στην επεξεργασία των δεδομένων,
- τους παρόχους υπηρεσιών υπολογιστικού νέφους (cloud providers),
- την εφαρμογή πρόσθετων μέτρων προστασίας (supplementary measures), όπως η κρυπτογράφηση, η ψευδωνυμοποίηση και λοιπά τεχνικά ή οργανωτικά μέτρα που αποσκοπούν στην ενίσχυση της προστασίας των δεδομένων κατά τις διεθνείς διαβιβάσεις.
Η ύπαρξη SCCs δεν αρκεί πλέον από μόνη της. Απαιτείται ουσιαστική αξιολόγηση της νομοθεσίας της τρίτης χώρας και των κινδύνων πρόσβασης στα δεδομένα.
Πώς τα ευρήματα του Νομικού και Κανονιστικού Ελέγχου αποτυπώνονται στη Σύμβαση Εξαγοράς Μετοχών (SPA)
Τα ευρήματα του Νομικού και Κανονιστικού Ελέγχου μεταφέρονται άμεσα στη διαπραγμάτευση της Share Purchase Agreement (SPA).
Δηλώσεις και Εγγυήσεις του Πωλητή
Στο πλαίσιο της Σύμβασης Εξαγοράς Μετοχών (Share Purchase Agreement – SPA), ο πωλητής καλείται συνήθως να παράσχει συγκεκριμένες δηλώσεις και εγγυήσεις σχετικά με τη συμμόρφωση της εταιρείας-στόχου προς το εφαρμοστέο κανονιστικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα.
Ειδικότερα, ο πωλητής δηλώνει και εγγυάται ότι:
- η εταιρεία συμμορφώνεται με τις απαιτήσεις του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR),
- διαθέτει κατάλληλες και νόμιμες βάσεις επεξεργασίας για όλες τις ουσιώδεις δραστηριότητες επεξεργασίας δεδομένων προσωπικού χαρακτήρα,
- δεν υφίστανται μη γνωστοποιημένες παραβιάσεις δεδομένων προσωπικού χαρακτήρα ή εκκρεμείς έρευνες εποπτικών αρχών που θα μπορούσαν να επηρεάσουν ουσιωδώς τη δραστηριότητα της εταιρείας,
- έχουν ληφθεί και εφαρμόζονται κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας για την προστασία των δεδομένων προσωπικού χαρακτήρα.
Η ανακρίβεια ή αναλήθεια των ανωτέρω δηλώσεων και εγγυήσεων δύναται να ενεργοποιήσει συμβατικούς μηχανισμούς ευθύνης υπέρ του αγοραστή, συμπεριλαμβανομένων αξιώσεων αποζημίωσης ή άλλων προβλεπόμενων συμβατικών δικαιωμάτων.
Indemnities (αποζημιωτικές ρήτρες)
Σε περιπτώσεις αυξημένου κινδύνου, ο αγοραστής ζητά ειδικές indemnities για:
- πρόστιμα GDPR,
- αποζημιώσεις υποκειμένων,
- έξοδα αποκατάστασης,
- εποπτικές έρευνες.
Escrow Mechanisms (Μηχανισμοί Δέσμευσης ή Μεσεγγύησης Μέρους του Τιμήματος)
Προκειμένου να αντιμετωπιστεί η αβεβαιότητα ως προς την έκταση υφιστάμενων ή δυνητικών κανονιστικών κινδύνων, μέρος του τιμήματος μπορεί να κατατεθεί σε ειδικό λογαριασμό μεσεγγύησης (escrow account) και να αποδεσμευθεί μετά την πάροδο συγκεκριμένης περιόδου ή υπό την προϋπόθεση ότι δεν θα ανακύψουν αξιώσεις σχετικές με παραβάσεις κανονιστικών υποχρεώσεων. Με τον τρόπο αυτό επιτυγχάνεται αποτελεσματικότερη κατανομή του κινδύνου μεταξύ πωλητή και αγοραστή.
Ο AI Act ως νέος παράγοντας κινδύνου στις συναλλαγές
Η υιοθέτηση του AI Act μεταβάλλει σημαντικά το ρυθμιστικό περιβάλλον των τεχνολογικών συναλλαγών.
Κατά το due diligence εξετάζονται πλέον:
- η ταξινόμηση των AI systems,
- οι υποχρεώσεις provider και deployer,
- η ποιότητα των δεδομένων εκπαίδευσης,
- οι μηχανισμοί καταγραφής συμβάντων και λειτουργιών του συστήματος,
- οι διαδικασίες και οι δικλίδες ανθρώπινης εποπτείας,
- το πλαίσιο διακυβέρνησης και εσωτερικού ελέγχου των συστημάτων τεχνητής νοημοσύνης.
Όταν η εταιρεία βασίζει τη λειτουργία ή την επιχειρηματική της δραστηριότητα σε συστήματα τεχνητής νοημοσύνης υψηλού κινδύνου, ο επενδυτής αξιολογεί το πρόσθετο κόστος συμμόρφωσης, τις πιθανές κανονιστικές ευθύνες και τον σχετικό λειτουργικό κίνδυνο, παράγοντες που δύνανται να επηρεάσουν το τίμημα, τις εγγυήσεις και τους μηχανισμούς κατανομής κινδύνου της συναλλαγής.
Κυβερνοασφάλεια, NIS2 και DORA
Η κυβερνοασφάλεια αποτελεί πλέον αναπόσπαστο μέρος του νομικού και κανονιστικού ελέγχου (due diligence) που διενεργείται στο πλαίσιο μιας συναλλαγής εξαγοράς ή συγχώνευσης.
Στο πλαίσιο αυτό, οι επενδυτές αξιολογούν μεταξύ άλλων:
- το πλαίσιο πολιτικών και διαδικασιών κυβερνοασφάλειας που εφαρμόζει η εταιρεία,
- τα αποτελέσματα δοκιμών διείσδυσης και αξιολόγησης ευπαθειών των πληροφοριακών συστημάτων,
- το ιστορικό περιστατικών κυβερνοασφάλειας, συμπεριλαμβανομένων επιθέσεων κακόβουλου λογισμικού και επιθέσεων τύπου ransomware,
- τα σχέδια επιχειρησιακής συνέχειας και ανάκαμψης από καταστροφές,
- τις διαδικασίες διαχείρισης κινδύνων που συνδέονται με τρίτους παρόχους και εξωτερικούς συνεργάτες,
- καθώς και το συνολικό επίπεδο επιχειρησιακής και ψηφιακής ανθεκτικότητας του οργανισμού.
Η συμμόρφωση με τις απαιτήσεις της Οδηγίας NIS2 και του Κανονισμού DORA αποκτά ολοένα μεγαλύτερη σημασία, ιδίως για οργανισμούς που δραστηριοποιούνται στους τομείς των χρηματοπιστωτικών υπηρεσιών, των ψηφιακών υποδομών και της τεχνολογίας, συνεπώς υπό αυτήν έννοια, η ύπαρξη σοβαρών περιστατικών κυβερνοασφάλειας, η ανεπαρκής διαχείριση κινδύνων ή η απουσία ώριμων μηχανισμών προστασίας και ανθεκτικότητας δύνανται να επηρεάσουν ουσιωδώς την αποτίμηση της εταιρείας-στόχου, να αυξήσουν το κανονιστικό και λειτουργικό ρίσκο της επένδυσης και να οδηγήσουν σε αναπροσαρμογή των όρων της συναλλαγής.
Το μέλλον των M&A: Από τον Οικονομικό Έλεγχο Δέουσας επιμέλειας στον Νομικό και κανονιστικό έλεγχο
Η παραδοσιακή προσέγγιση που εστίαζε αποκλειστικά στα οικονομικά μεγέθη δεν επαρκεί πλέον με συνέπεια η πραγματική αξία μιας επιχείρησης να εξαρτάται από:
- τη δυνατότητα νόμιμης αξιοποίησης των δεδομένων,
- την κυβερνοασφάλεια,
- την ανθεκτικότητα των συστημάτων,
- τη συμμόρφωση με το ευρωπαϊκό κανονιστικό πλαίσιο,
- την ικανότητα διαχείρισης κινδύνων τεχνητής νοημοσύνης.
Ο Νομικός που συμμετέχει σε συναλλαγές δεν αρκεί πλέον να γνωρίζει εταιρικό και συμβατικό δίκαιο αλλά οφείλει να κατανοεί ταυτόχρονα το οικοσύστημα GDPR, AI Act, NIS2 και DORA και να μπορεί να μεταφράζει τον κανονιστικό κίνδυνο σε οικονομικό κίνδυνο.
Συμπέρασμα
Στη σημερινή ψηφιακή οικονομία, η αξία μιας επιχείρησης συνδέεται άμεσα με την ικανότητά της να διαχειρίζεται νόμιμα, με ασφάλεια και με διαφάνεια τα δεδομένα, τις ψηφιακές υποδομές και τα συστήματα τεχνητής νοημοσύνης που υποστηρίζουν τη λειτουργία της.
Οι πρόσφατες εξελίξεις στην παγκόσμια αγορά εξαγορών και συγχωνεύσεων καταδεικνύουν ότι το επίκεντρο των συναλλαγών μετατοπίζεται σταδιακά από την αποκλειστική αξιολόγηση οικονομικών μεγεθών προς μια ευρύτερη αξιολόγηση κανονιστικών, τεχνολογικών και επιχειρησιακών κινδύνων. Οι τάσεις του 2026 αναδεικνύουν την αυξανόμενη σημασία του νομικού και κανονιστικού ελέγχου, με την προστασία δεδομένων, την κυβερνοασφάλεια, τη διαβίβαση δεδομένων σε τρίτες χώρες και τη συμμόρφωση με το αναδυόμενο κανονιστικό πλαίσιο της τεχνητής νοημοσύνης να αποτελούν πλέον βασικά στοιχεία της επενδυτικής αξιολόγησης.
Στο περιβάλλον αυτό, η συμμόρφωση με τον GDPR, τον AI Act, την NIS2 και το DORA δεν λειτουργεί αποκλειστικά ως μηχανισμός περιορισμού του κανονιστικού κινδύνου, αντιθέτως, συνιστά ολοένα και περισσότερο παράγοντα εταιρικής αξίας, καθώς παρέχει στους επενδυτές μεγαλύτερη ασφάλεια ως προς τη βιωσιμότητα του επιχειρηματικού μοντέλου, τη διαχείριση κρίσιμων ψηφιακών υποδομών και την ικανότητα της επιχείρησης να ανταποκρίνεται στις αυξανόμενες κανονιστικές απαιτήσεις.
Η εξέλιξη αυτή είναι ιδιαίτερα εμφανής σε τομείς όπως η τεχνολογία, η κυβερνοασφάλεια, οι χρηματοπιστωτικές υπηρεσίες, η υγεία και οι επιχειρήσεις που βασίζονται στην αξιοποίηση δεδομένων και συστημάτων τεχνητής νοημοσύνης, όπου η κανονιστική ωριμότητα και η ψηφιακή ανθεκτικότητα επηρεάζουν άμεσα την αποτίμηση, τους συμβατικούς μηχανισμούς κατανομής κινδύνου και τη διαπραγματευτική θέση των μερών.
Η δυνατότητα μιας επιχείρησης να αποδεικνύει υψηλό επίπεδο συμμόρφωσης, ισχυρή διακυβέρνηση δεδομένων, αποτελεσματική κυβερνοασφάλεια και αξιόπιστη διαχείριση συστημάτων τεχνητής νοημοσύνης αναμένεται να αποτελέσει έναν από τους σημαντικότερους παράγοντες δημιουργίας υπεραξίας στις συναλλαγές των επόμενων ετών.