技术尽职调查

让你看清自己究竟在买什么的技术尽职调查。

在投资、收购或批准一个平台之前，先弄清演示背后到底是什么。我们审查约定范围内的代码、架构、安全状况和交付流程，然后交付一份书面报告，对风险排序，并说明修复它们意味着什么。

讨论技术尽调范围 →

服务概要

技术尽职调查是在投资、收购或董事会决策之前，对公司或产品背后的软件进行的独立审查。最终交付的是一份写明严重程度、证据和修复方案的书面风险报告，而不是法律或财务意见。

适合这些情况

在做决定前，需要从外部视角评估软件资产的投资人、收购方和董事会
希望在投资人提问之前，先让自己的平台接受审查的创始人

其他服务可能更合适

法律、税务或财务尽职调查，或对估值发表意见
在更换供应商后接手并持续运营代码

从报告要支撑的决策开始

融资前的投资人、签约前的收购方，以及审查自家平台的董事会，需要的深度各不相同。开始前，我们会约定这次决策、纳入范围的系统和代码仓库、可获得的访问权限以及报告接收方。商业、法律、税务和财务尽调仍由你的律师和顾问负责。如果某项技术发现涉及他们的工作，例如代码归属不清或开源许可义务，报告会为他们标注出来，但不作法律结论。

审查覆盖哪些方面

覆盖范围以约定为准。每个方面都会记录我们检查了什么、哪些内容无法访问，以及结论的可信程度。

代码与架构

结构、测试覆盖率与测试质量、文档、对关键人员的依赖，以及系统修改的难度。

安全状况

代码和基础设施的访问权限、密钥管理、存在漏洞的依赖和明显的暴露面。这是一次审查，不是渗透测试。

交付流程与团队

变更如何进入生产环境、发布与回滚做法、事故记录，以及关键知识掌握在谁手里。

扩展性、运维与成本

托管方式、监控、恢复能力，以及产品背后的基础设施和第三方服务成本。

AI 相关证据

对 AI 产品，审查评估设计、模型与提示词记录、对单一供应商的依赖、故障处理和单任务成本。我们的[AI MVP 技术尽调清单](/zh/blog/technical-due-diligence-ai-mvp/)列出了我们会查看的证据。

依赖与技术债务

过时的框架、已停止支持的组件，以及会拖慢路线图的技术债务，并粗略说明处理每一项大致需要多少投入。

一份对风险排序、而不是罗列一切的报告

每项发现都写明严重程度、支撑证据、对商业论证的可能影响，以及切实可行的修复方案。如果你需要修复工作量，我们会给出区间，并明确标注为基于本次合作约定假设的估算，而不是报价。报告会把与交易相关的风险和日常工程维护事项分开，并列出管理层仍需回答的问题。报告不预测估值、交易条款或交易结果。

一次技术尽调如何进行

范围、时间安排和固定价格会在开始前通过签署的工作说明书约定。所需时间取决于系统规模，以及访问权限和访谈能多快到位。

确定范围与访问
约定决策、系统、报告接收方和保密要求。获得代码仓库、数据室和相关文档的只读访问权限。
审查与访谈
检查代码和基础设施，并与构建和运营系统的人员交流。待解答的问题以书面形式提交给管理层。
报告与讲解
你会收到书面报告，并与我们一起逐项讲解。被审查公司提出的事实更正，按事先约定的方式处理。

报告之后，选择合适的下一步

技术尽调以报告结束。如果之后你要接手代码或更换供应商，收回访问权限和稳定系统属于软件接手。持续的发布测试属于软件质量保障。AI 功能的对抗性测试和加固由AI 安全服务负责，运行中的云环境由云安全服务负责。如果产品是用 Lovable、Bolt 或类似工具构建的并需要修复，请看 Vibe Coding Rescue。如果公司在融资或出售期间需要一位站在自己这边的技术负责人，那是兼职 CTO的职责。如果我们之后有可能为修复工作报价，会在审查开始前说明。

为自己的公司做好尽调准备

创始人可以在融资前，针对自己的平台委托同样的审查。目的是趁还有时间，找出差距并加以弥补或作出解释。有帮助的材料包括：注明日期的架构图、依赖清单、归属公司账户的访问权限、发布和事故记录，以及 AI 产品的版本化评估结果。如果产品出自 AI 应用生成工具，请先阅读Lovable、Bolt 和 Replit 应用尽职调查。

// 实证

现有项目中的评估工作

以下案例都不是正式的投资或并购尽职调查。Cedars 记录了一次技术评估，包括架构与需求文档、针对性的源代码审查、范围明确的 AI 审查，以及附带复查标准的优先行动。Polity 记录了一项可追溯的分析，在七个服务中识别并排序了需要修复的问题。Soundromeda 记录了在资助评审委员会审查版本之前，对原型进行的风险分级与加固。这些案例展示的是审查方法，而不是尽调结论。