Data room levée de fonds : checklist 90 jours pour passer la due diligence sans accroc

Une data room professionnelle ne se construit pas en deux semaines après la signature de la term sheet. Elle se prépare 90 jours en amont, en parallèle des conversations VC et avant même la term sheet. Les fondateurs qui anticipent gagnent en moyenne 4 à 6 semaines sur le closing et évitent les renégociations à la baisse déclenchées par des angles morts dévoilés tardivement.

Ce guide s'adresse aux dirigeants de startups préparant une Série A ou B (mais s'applique à tous les stades à partir du Seed sérieux). Il détaille la checklist exhaustive, l'organisation pratique, les indicateurs financiers à modéliser et les pièges fréquents observés en mission.

Pour le diagnostic des signaux rouges en due diligence comptable, consultez notre article dédié Due diligence comptable : 12 signaux rouges.

• Une data room c'est 8 chapitres : corporate, finance, fiscal, social/RH, juridique/contractuel, IT/sécurité, commercial, PI.
• Le timing optimal : commencer 90 jours avant la term sheet espérée, finaliser 30 jours avant le closing.
• Les 3 chapitres les plus souvent défaillants : finance (réconciliation comptable et reporting), fiscal (CIR, TVA, BSPCE), juridique (contrats clients et propriété intellectuelle).
• Une data room bien préparée raccourcit le closing de 4 à 6 semaines et limite la renégociation à la baisse (typiquement 5 à 15 % de valorisation).

Trois raisons font des 90 jours la fenêtre optimale :

1. Construction progressive : monter une data room exhaustive demande 80 à 150 heures de travail réparties entre les fondateurs, le DAF (ou DAF externalisé) et l'expert-comptable. Trop vite = trous documentaires ; trop tôt = données obsolètes.
2. Itération avec les conseils : avocat, expert-comptable, conseil M&A passent en revue les pièces et identifient les zones à renforcer avant ouverture aux investisseurs.
3. Synchronisation avec le reporting : la data room doit refléter une réalité comptable arrêtée, idéalement avec un arrêté intermédiaire révisé 30 jours avant l'ouverture.

Outils#

Plateformes recommandées 2026 : Drooms, Datasite, Intralinks, Firmex, iDeals. Pour les startups en pré-Série A, des solutions plus légères type DocSend, Sharetribe ou Notion + Google Drive avec gestion fine des permissions peuvent suffire si la maturité juridique est encadrée.

Arborescence#

L'arborescence reproduit les 8 chapitres ci-dessous, avec :

• Numérotation 2 niveaux (1.1, 1.2, 2.1...) ;
• Un fichier index.xlsx à la racine listant chaque pièce avec auteur, date, version, notes ;
• Un dossier Q&A log pour tracer les questions investisseurs et réponses.

Permissions#

• Lecture seule par défaut ;
• Watermark personnalisé par investisseur ;
• Restriction de téléchargement sur les pièces les plus sensibles (contrats clients, code source) ;
• Logs d'accès et alertes si un fichier sensible est consulté plusieurs fois (signal d'investisseur sérieux ou de fuite).

Phasage#

• Phase 1 (J-90 à J-60) : construction interne avec conseils.
• Phase 2 (J-60 à J-30) : revue qualité, comblement des trous, indexation finale.
• Phase 3 (J-30 à J-0) : ouverture progressive aux investisseurs sélectionnés (lead d'abord, puis co-investisseurs).
• Phase 4 (closing) : versions finales gelées, attestations conformité.

• Statuts à jour et toutes les versions historiques ;
• Kbis récent (< 3 mois) ;
• Registre des décisions des associés et procès-verbaux d'assemblées ;
• Registre des bénéficiaires effectifs ;
• Cap table à jour (Excel + diagramme) avec historique des opérations en capital ;
• Pacte d'associés en vigueur + avenants ;
• Promesses de cession, options, BSPCE émis (avec leur historique) ;
• Conventions réglementées entre la société et les dirigeants/associés ;
• Délégations de pouvoir et procurations en vigueur.

Piège fréquent : cap table Excel non synchronisée avec les statuts. Tout écart est un signal rouge majeur.

• 3 derniers comptes annuels (bilan, compte de résultat, annexes) ;
• Liasses fiscales déposées ;
• Comptes intermédiaires de l'année en cours (idéalement révisés) ;
• Reporting mensuel des 24 derniers mois (P&L, cash, KPI) ;
• Plan financier 3 à 5 ans (P&L, cash flow, BFR, capex) ;
• Détail de la trésorerie : relevés bancaires, dépôts à terme, lignes de crédit non tirées ;
• État des dettes (emprunts, leasing, BSA, OBSA, comptes courants associés) ;
• État des créances et balance âgée ;
• Politique de provisions, dépréciations, amortissements ;
• Réconciliations bancaire / comptable des 12 derniers mois.

Piège fréquent : MRR / ARR / churn présentés en pitch deck non réconciliables avec les comptes. Préparer une note de réconciliation explicite.

• IS : déclarations 2065 + 2058 / 2059 ;
• TVA : déclarations CA3, états déductifs, contrôles TVA passés ;
• CFE / CVAE / IFER ;
• Crédit d'Impôt Recherche (CIR) : déclarations 2069-A, justificatifs scientifiques et financiers, attestations expert(e) ;
• BSPCE / AGA : décisions, registres, attestations fiscales ;
• Statut JEI : conditions de maintien, attestations URSSAF ;
• Notifications de redressement ou contrôles fiscaux en cours ou passés ;
• Conventions fiscales (intégration fiscale, conventions de prix de transfert si applicable).

Piège fréquent : dossier CIR mal documenté côté scientifique (pas de mémoire technique annuel à jour, pas de feuilles de temps des chercheurs). En due diligence, c'est une cause majeure de provision pour risque fiscal dans la valorisation.

• Registre du personnel (art. L. 1221-13 du Code du travail) ;
• Contrats de travail de tous les salariés (avec annexes BSPCE/AGA si applicable) ;
• Convention collective applicable et accord d'entreprise s'il existe ;
• DSN des 24 derniers mois ;
• Audit URSSAF passé et notifications de contrôle ;
• Politique de rémunération : grille, primes, bonus, intéressement ;
• Plan de formation et taxe d'apprentissage ;
• Procédures disciplinaires en cours, ruptures conventionnelles récentes ;
• Représentation du personnel (CSE, élections).

Piège fréquent : usage abusif du statut freelance pour des collaborateurs en réalité subordonnés. Risque de requalification en contrat de travail (URSSAF + prud'hommes), provisionné en due diligence.

• Contrats clients : tous les contrats des 20 plus gros clients en CA, plus modèles types ;
• Contrats fournisseurs critiques (cloud, infra, partenaires data) ;
• Baux commerciaux ;
• Contrats de licence logicielle (software in / software out) ;
• Conditions générales de vente et d'utilisation ;
• Litiges en cours et passés (tableau de suivi, provisions correspondantes) ;
• Garanties et engagements donnés par la société (cautions, garanties d'actif et de passif) ;
• Assurances : RC pro, RC mandataires, cyber, dommages aux biens.

Piège fréquent : clauses de changement de contrôle chez les clients ou fournisseurs critiques. Une clause obligeant à notifier ou résilier en cas de changement de capital peut bloquer la levée. À cartographier en amont.

• Cartographie SI (architecture cloud, dépendances, fournisseurs) ;
• Politique de sécurité : accès, authentification, chiffrement ;
• Plan de continuité / reprise d'activité (PCA / PRA) ;
• Tests d'intrusion / pentests récents ;
• Conformité RGPD : registre des traitements, DPIA, conventions DPO si externalisé, mentions légales ;
• Sous-traitants RGPD : DPA signés ;
• Fuites de données passées et notifications CNIL ;
• Documentation AI Act si système d'IA à haut risque (depuis août 2026).

Piège fréquent : registre RGPD inexistant ou non à jour. La CNIL impose un registre des traitements. Son absence est un signal rouge en due diligence et un risque réputationnel.

• Pipeline commercial avec probabilités pondérées ;
• Cohortes de clients (rétention, expansion, churn) ;
• KPI marketing (CAC, LTV, ratio LTV/CAC, payback) ;
• Stratégie produit et roadmap ;
• Études de marché commandées et benchmarks concurrence ;
• Listes des partenaires stratégiques et conditions ;
• Plan marketing 12-24 mois et budget associé.

Piège fréquent : CAC sous-estimé parce que les coûts indirects (salaires sales, outils) ne sont pas alloués. Préparer un CAC fully loaded documenté.

• Marques déposées (INPI / EUIPO) ;
• Brevets et demandes en cours ;
• Dépôts de logiciels (APP, enveloppe Soleau) ;
• Cessions de droits d'auteur entre cofondateurs / freelances / employés et la société (point critique) ;
• Open source : inventaire des licences utilisées et conformité (GPL, AGPL, MIT) ;
• Domaines internet et marques ombrelles.

Piège fréquent : PI développée par un freelance sans cession explicite. Sans contrat de cession écrit, la PI reste à l'auteur. Ce point fait dérailler des deals à un stade avancé.

Pour une Série A SaaS B2B 2026, les investisseurs attendent au minimum :

Documenter chacun avec formule, source comptable, hypothèses. C'est ce qui distingue une data room « pro » d'une data room « amateur ».

En mission, nous adoptons systématiquement la séquence en 3 vagues :

• Vague 1 (J-90) : audit pré-data-room. Repérage des trous documentaires, des risques fiscaux et juridiques, des incohérences comptables.
• Vague 2 (J-60) : remise en ordre. Rédaction du dossier CIR, mise à jour du registre RGPD, réconciliation des KPI commerciaux avec la comptabilité, alignement de la cap table avec les statuts.
• Vague 3 (J-30) : indexation finale, rédaction des notes de synthèse par chapitre, ouverture progressive aux investisseurs.

Cette séquence transforme une due diligence subie en due diligence pilotée par les fondateurs. La différence est mesurable : closing plus rapide, valorisation tenue, conditions de term sheet préservées.

Trois angles morts récurrents :

• Cohérence inter-chapitres : les chiffres doivent être identiques entre comptabilité, fiscal, social, commercial. Une masse salariale différente entre DSN et compte de résultat = signal rouge majeur.
• Antériorité des KPI : présenter des KPI uniquement sur 6 mois est suspect. Les VC veulent voir 24 mois minimum pour juger les tendances et la saisonnalité.
• Documentation des hypothèses du business plan : un BP non documenté (sans backup des hypothèses CAC, churn, recrutement) sera systématiquement retoqué.

• Lancer la préparation data room dès J-90 par rapport à la date cible de term sheet.
• Désigner un responsable data room interne (souvent CFO / DAF externalisé) avec un budget de 80 à 150 heures.
• Faire auditer la data room par l'expert-comptable et l'avocat 30 jours avant ouverture.
• Anticiper les questions investisseurs en préparant des notes de synthèse par chapitre.

• AI Act européen : depuis août 2026, certaines obligations s'appliquent aux startups développant ou intégrant des systèmes d'IA à haut risque. Documenter dès la data room.
• Facturation électronique 2026-2027 : à partir du 1er septembre 2026, les grandes entreprises doivent émettre en e-invoicing. Toute startup B2B en relation avec des grands comptes est concernée par la réception. Préparer un plan d'adaptation.
• NIS 2 : transposition française effective ; certaines startups B2B peuvent être qualifiées d'« entité essentielle » ou « importante » et soumises à des obligations de cybersécurité. À vérifier en data room.
• CIR : doctrine BOFiP 2024-2026 plus stricte sur la nature des travaux R&D éligibles. Revoir le mémoire technique avec un expert agréé.
• RGPD post-Schrems II : tout transfert de données vers les USA via un sous-traitant doit être documenté avec clauses contractuelles types et analyse d'impact.