AI技術デューデリジェンス
AI技術デューデリジェンス
RIKKA M&Aは、
売主にとっては、事業の価値を客観的に示し、より高く売るための裏付けを。買主にとっては、決算書に現れない技術負債を可視化し、取引の安心を。
財務諸表だけでは、その事業が「技術資産として健全か」「買ったあと本当に引き継げるか」は分かりません。
RIKKA M&Aは、ソースコードを実際に分析する技術デューデリジェンスを標準で備えています。
GitHubと連携して、あなたのリポジトリ（private可）をその場で診断。登録不要・無料。
サイト売買・事業買収で、なぜ技術デューデリジェンスが要るのか
デジタル事業の価値は、その大半がコードとインフラに宿ります。にもかかわらず、 従来のM&Aは財務諸表という共通言語の上で完結し、「動いている」ことを品質と取り違えがちでした。 ハードコードされたAPIキー、移管できないアカウント依存、属人化したコード ── こうした決算書に現れない技術負債は、買収後に表面化します。
財務系の仲介がこの領域を扱えないのは、能力ではなく業態の構造によるものです。 詳しくは 財務系M&A仲介が技術DDを永遠にできない構造 で解説しています。RIKKA M&Aは、この穴を埋めるために生まれました。
売主にとっては、事業の価値を客観的に示し、より高く売るための裏付けを。買主にとっては、決算書に現れない技術負債を可視化し、取引の安心を。
何を診るのか ── 3層のチェック
売主がGitHubリポジトリを連携すると、所有者確認のうえでコードを自動分析します。 静的なパターン検出とAI分析を組み合わせ、次の3層で評価します。
Layer 1 全スタック共通
シークレットの混入
APIキー・アクセスキー・トークンのハードコードを、代表的なシークレットパターンで検出します。
機密ファイルの同梱
.env などの環境変数ファイルがリポジトリにコミットされていないか。
依存関係の固定状況
composer.json / package.json / requirements.txt のバージョン固定とロックファイルの有無。
ライセンス
LICENSE の有無・種別。特に AGPL など、SaaS 運用でソース提供義務が生じるライセンスの有無。
ドキュメント
README・セットアップ手順・.env.example の整備状況（引き継ぎ可能性の指標）。
CI / CD
デプロイ自動化の有無。整備されていれば引き継ぎやすさの強みとして評価します。
テスト
テストコードの有無と種類。整備されていれば強みとして評価します。
Layer 2 スタック別の固有チェック
検出したスタックに応じて、固有の観点で診ます。例えばWordPressでは次のような点を確認します。
- SQLインジェクション
- クロスサイトリクエストフォージェリ
- 権限チェック欠落
- 入力サニタイズ
- 未エスケープ出力（XSS）
- 危険な実行系
- 廃止済み関数
その他のスタックの診方:
モバイルアプリ（iOS / Android）
ストア移管の前提（署名鍵・Developer アカウント名義）、GoogleService-Info.plist / google-services.json など設定ファイルのコミット、APIキーのハードコード、最小 SDK バージョンを確認します。
その他のフレームワーク（Laravel / Django / Next.js 等）
検出したフレームワークの構成を AI が解析し、セキュリティ・保守性・移管性の観点で評価します。
Layer 3 AIによるコード評価
パターン検出では捉えきれない設計品質を、AIが事業の種別に応じた観点で評価します。
セキュリティ
認証・認可の設計、入力の検証、シークレット管理などの安全性。
コード品質
コーディング規約準拠、設計、エラーハンドリング、ロギング。
アーキテクチャ
拡張性、API 設計、キャッシュ戦略。
保守性
ドキュメント整備、設定値のハードコード、属人化リスク。
外部依存
外部 API・SDK への依存の深さ、バージョン固定リスク、ライセンス。AIプロダクトでは LLM API のコストとベンダーロックインも見ます。
ビジネスロジック
課金・返金ロジックの正しさ、冪等性、通貨計算。
WordPress 互換性
WordPress 案件では、nonce・権限・prepare() などプラグイン/テーマ固有の観点も評価します。
コードだけでなく事業面の健全性は、対となる事業健全性スコアで評価します。技術DDレポートが公開されている案件一覧もご覧いただけます。
主要な技術スタックを自動判定
リポジトリの構成から、使われている技術スタックを自動で見分け、その種別にあった基準で評価します。 複数の技術が組み合わさった構成（例: WordPress 本体とカスタムプラグイン）も判別します。
PHP 系
- WordPress
- Drupal
- Laravel
- Symfony
- EC-CUBE
- CakePHP
- CodeIgniter
- Magento
- Joomla
- WooCommerce
Node.js / JavaScript 系
- Next.js
- Nuxt.js
- SvelteKit
- Astro
- Remix
- NestJS
- Express
- Electron
Python 系
- Django
- FastAPI
- Flask
- Streamlit
- Gradio
- LangChain
- LlamaIndex
その他言語
- Ruby on Rails
- Sinatra
- Go
- Spring Boot
- Rust
- ASP.NET Core
インフラ / 静的サイト
- Docker
- GitHub Actions
- Vercel
- Netlify
- Terraform
- Hugo
- Jekyll
- Gatsby
レポートでわかること
深刻度付きの指摘
検出事項を critical / high / medium / low / info に分類して提示。
強み・リスク
コードから読み取れる長所と、引き継ぎ前に把握すべき懸念点。
引き継ぎに必要なスキル
運用・改修に求められる技術スタックと専門性。
修正コスト概算
critical 対応・全体改修の目安を人日で提示。
調査範囲の明示
AI が実際に精査した範囲と、対象外とした範囲を明示。
指摘は深刻度で分類して提示します。
- critical 即時対応必須 シークレット漏洩・重大脆弱性など。
- high 引き継ぎ前に修正推奨 放置すると買収後にリスク化する事項。
- medium 把握しておくべき事項 価格交渉・改修計画の材料。
- low 軽微・改善余地 コード品質上の軽微な改善点。
- info 参考情報 判断の補助となる事実。
実際の出力を、そのまま公開しています
当社が過去に運用していたコーポレートサイト（WordPress・現在は稼働していません）を診断した結果です。 指摘の内容・件数・深刻度は書き換えていません。
レポートのサンプルを見るRIKKA M&Aの診断思想
採点はカスタムコードのみ
vendorやプラグインなどサードパーティの問題は参考情報として分けて扱い、その事業が自ら書いたコードを評価します。
AIに最終判断はさせない
AI分析は参考指標です。指摘が見つかっても自動で却下・非公開になることはなく、最終的な投資判断は買主が行います。
費用はプラットフォーム負担
技術デューデリジェンスは売主の任意で、追加費用はかかりません。実施しても結果の公開可否は売主が選べます。
できることと、できないことを明示
本診断は最新時点のコードを対象とし、git履歴のシークレットスキャンはスコープ外です。限界も含めて正直に示します。