Vertrouwelijkheid en informatiestromen beheren tijdens M&A

In een M&A-proces is informatie zowel de grondstof als de grootste afzonderlijke bron van risico. Dezelfde documenten waarmee een bestuursraad een deal kan beoordelen, kunnen die deal doen instorten als ze in verkeerde handen vallen of op het verkeerde moment worden vrijgegeven. Een uitgelekte benadering beweegt de aandelenkoers van het doelwit en geeft de andere partij onderhandelingsmacht. Een slecht beheerde insiderlijst wordt een regelgevingsprobleem. Een vertrouwelijk document dat een partij bereikt waarvoor het niet bedoeld is, wordt een aansprakelijkheid die langer voortduurt dan de transactie. 

Voor een bestuursraad die slechts af en toe een overname doet, kan dit worden behandeld als een uitzonderlijke situatie, met verhoogde zorg voor de duur van een enkele deal. Voor een bestuursraad die een doorlopend overnameprogramma uitvoert, houdt die aanpak geen stand. Vertrouwelijkheid kan niet telkens opnieuw worden uitgevonden wanneer er een deal verschijnt, omdat het punt van de grootste blootstelling juist de vroege, informele fase is voordat specifieke controles zijn ingericht. Een koper die aan zijn achtste deal bezig is, zou een vast model voor informatiebestuur moeten hebben dat wordt geactiveerd zodra een doelwit is geïdentificeerd. De meesten bouwen dit per deal opnieuw op, en de gaten tussen deals zijn waar lekken ontstaan. 

Dit maakt informatiemanagement tot een onderwerp op het niveau van de bestuursraad, niet tot een puur administratieve taak. De bestuursraad en de bedrijfssecretaris zijn verantwoordelijk voor de integriteit van het proces en voor het naleven van de wettelijke verplichtingen die aan voorwetenschap verbonden zijn. Dit artikel beschrijft de belangrijkste risico’s en de bestuurspraktijken die ze beheersen, als een herhaalbare capaciteit in plaats van een eenmalige inspanning. 

De bredere vraag hoe een bestuursraad toezicht houdt op een deal, en waar zijn hefboom in het hele proces ligt, behandelen we in ons artikel over de rol van de bestuursraad bij M&A. Dit stuk richt zich specifiek op informatie en vertrouwelijkheid. 

In dit artikel: 

• De drie informatierisico’s die een deal het vaakst in gevaar brengen: voortijdige openbaarmaking, voorwetenschap en documentbeveiliging tussen partijen 
• Drie praktijken die vertrouwelijkheid veranderen in een herhaalbare bestuurscapaciteit, in plaats van haastwerk 
• Waarom de vroege, informele fase van een deal het meeste risico draagt, en hoe u die kloof sluit 
• Welke verantwoordelijkheid de bestuursraad en de bedrijfssecretaris elk dragen bij het beheren van informatiestromen 

De belangrijkste risico’s rond vertrouwelijkheid in dealprocessen 

Drie risico’s veroorzaken het grootste deel van de schade. Ze versterken elkaar naarmate een deal meer partijen omvat en langer loopt, waardoor ze moeilijker te beheren zijn in een actief programma dan in een enkele transactie. 

Voortijdige openbaarmaking en marktgevoeligheid 

Wanneer een partij bij de deal beursgenoteerd is, is het bestaan van een lopende benadering meestal koersgevoelig. Voortijdige openbaarmaking heeft directe gevolgen: een bewegende aandelenkoers, een sterkere tegenpartij, een aangemoedigde concurrent of een toezichthouder die vragen stelt. 

Het regelgevingskader verschuift hier ook, en dat verdient de aandacht van de bestuursraad. Onder een hervorming van de EU Market Abuse Regulation die in juni 2026 van kracht wordt, hoeven uitgevende instellingen in een langdurig proces zoals een fusie doorgaans alleen de eindgebeurtenis openbaar te maken, en niet elke tussenstap. Dat verandert de timingafweging rond een deal. Wat niet verandert, is de verplichting om de informatie ondertussen te controleren en een insiderlijst bij te houden zolang deze vertrouwelijk blijft. De praktische taak van de bestuursraad is zorgen voor een duidelijk, overeengekomen standpunt over wat wordt bekendgemaakt, wanneer en door wie, vooraf besloten in plaats van onder druk wanneer een lek de vraag afdwingt. 

Voorwetenschap en handelsbeperkingen 

Zodra een deal voorwetenschap vormt, draagt iedereen die deze informatie bezit wettelijke verplichtingen, en het bedrijf draagt de verplichting om te weten wie deze personen zijn. Hier wordt informele informatiestroom een nalevingsrisico in plaats van alleen een risico voor de deal. 

De bestuursraad en de bedrijfssecretaris moeten vertrouwen hebben op drie punten: 

• Wie op de insiderlijst staat, dat deze accuraat is en dat deze wordt bijgewerkt wanneer personen worden toegevoegd of verwijderd 
• Dat iedereen met toegang zijn of haar verplichtingen begrijpt, inclusief de beperkingen op handel in de relevante effecten 
• Dat het bedrijf achteraf kan aantonen wie wanneer toegang had tot wat, omdat dat controlelogboek is wat een toezichthouder zal vragen 

Het derde punt is het punt dat stilletjes faalt wanneer dealinformatie via e-mail en informele gesprekken beweegt. Een bestuursraad kan geen accuraat toegangsregister reconstrueren uit een inbox, en in een actief programma, waar dezelfde mensen tussen deals bewegen, moet het register per deal worden bijgehouden en niet algemeen. 

Documentbeveiliging tussen meerdere partijen 

Een deal betrekt adviseurs, juridische raadslieden, de tegenpartij en interne teams die eerder niet binnen de scope vielen, terwijl het volume aan gevoelig materiaal dat tussen hen beweegt groot is. Elke overdracht is een punt waarop een document iemand kan bereiken die het niet zou mogen ontvangen, en het risico is zelden een dramatische inbreuk. Het is de alledaagse fout: een antwoord aan allen, een doorgestuurde bijlage, een document dat toegankelijk blijft nadat iemands rol in de deal is beëindigd. 

De dealpraktijk zelf plaatst beveiliging inmiddels bovenaan haar eisen. In Datasite’s onderzoek uit 2026 onder de 1.000 dealmakers, uitgevoerd met FT Longitude, waren beveiliging en nauwkeurigheid de twee belangrijkste eigenschappen die dealmakers wilden bij het uitvoeren van taken gedurende de hele deallevenscyclus, vóór snelheid. Die prioriteitsvolgorde is de juiste voor een bestuursraad: in informatiemanagement is een snel proces dat lekt slechter dan een gecontroleerd proces dat een dag langer duurt. 

3 manieren om effectieve informatiebestuur voor M&A in te richten 

De drie praktijken hieronder veranderen vertrouwelijkheid van iets waarvan een bestuursraad hoopt dat het goed gaat, in iets dat hij heeft ontworpen. Eenmaal ingericht, gelden ze voor elke deal in een programma. 

1. Definieer wie toegang heeft tot wat, en wanneer 

In veel organisaties is de standaard dat de bestuursraad als geheel bestuursmateriaal ziet. In een deal is die standaard verkeerd. Toegang moet worden afgebakend tot de specifieke personen die een bepaald document nodig hebben voor hun rol in de transactie, en moet veranderen naarmate de deal beweegt. 

In de praktijk betekent dit: 

• Toegang op het niveau van het individuele bestuurslid of een commissie, niet de bestuursraad als vaste groep, zodat een bestuurslid dat vanwege een conflict is uitgesloten geen materiaal ontvangt dat hij of zij niet zou mogen zien 
• Toegang die kan worden aangepast en ingetrokken wanneer rollen veranderen, zonder documenten opnieuw uit te geven of te hopen dat een e-mail niet wordt doorgestuurd 
• Een duidelijk, actueel overzicht van wie wat kan zien, dat tegelijk dient als het controlelogboek dat de verplichtingen rond voorwetenschap vereisen 

Dit eenmaal definiëren als een vast model dat geldt wanneer een deal begint, sluit de kloof in de vroege fase. Het alternatief, telkens onder tijdsdruk toegang opnieuw configureren, is hoe de verkeerde persoon op een distributielijst terechtkomt. 

2. Stel duidelijke protocollen vast voor communicatie van de bestuursraad 

De meeste vertrouwelijkheidsfouten zijn niet geavanceerd. Het zijn gewone communicatiegewoonten toegepast op informatie die ze niet kan verdragen. Een vooraf overeengekomen protocol haalt de improvisatie eruit. 

Het protocol moet vastleggen waar dealbesprekingen plaatsvinden en waar niet, dat gevoelig materiaal nooit via persoonlijke e-mail of consumentenberichtenapps wordt verspreid, hoe besluiten tussen formele vergaderingen worden genomen wanneer een deal sneller beweegt dan de agenda van de bestuursraad, en wie bevoegd is om extern namens de bestuursraad te spreken. Niets hiervan is complex. De waarde ervan is dat het vóór de deal bestaat, zodat mensen onder druk een gedefinieerd proces volgen in plaats van te grijpen naar wat handig is. 

3. Gebruik alleen veilige, auditeerbare platforms voor het delen van documenten 

De meest bepalende beslissing in dealinformatiemanagement is waar de informatie zich bevindt. E-mail is de standaard en de slechtste optie: e-mail kan toegangscontrole niet afdwingen, kan niet worden ingetrokken, kan niet volgen wie wat heeft gezien en kan niet het controlelogboek produceren dat verplichtingen rond voorwetenschap vereisen. Een vertrouwelijke deal die via e-mail loopt, is een proces waarvoor de organisatie feitelijk geen verantwoording kan afleggen. 

Een veilig, doelgericht gebouwd platform verandert het beeld. Het is daarbij belangrijk dat de bestuursfase van de deal de fase is waarin gecontroleerde tools het minst zijn ingebed. Hetzelfde Datasite-onderzoek liet zien dat rapportage aan de bestuursraad en bestuur de minst gedigitaliseerde fase van de deallevenscyclus vormen, waarbij een aanzienlijk deel van de dealmakers daar helemaal geen gestructureerde tools gebruikt. Dat is precies de kloof die een bestuursraad moet sluiten, omdat dit de fase is waarin het register het sterkst moet zijn en waar een audit als eerste zal kijken. 

De vereisten zijn specifiek: controles op documentniveau over wie mag bekijken, downloaden, afdrukken of doorsturen; de mogelijkheid om toegang onmiddellijk in te trekken; watermerken voor het meest gevoelige materiaal; en een volledig, manipulatiebestendig register van elke actie. Dit zijn geen luxeopties in een dealcontext. Ze stellen een bestuursraad in staat om met vertrouwen en bewijs te zeggen dat hij zijn informatie heeft gecontroleerd. 

Hoe bestuursvergaderingen de last van informatiebestuur dragen 

Informatiebestuur wordt afgedwongen, of verloren, in de manier waarop bestuursvergaderingen zelf worden geleid. 

Leid dealmateriaal via het veilige kanaal, nooit eromheen. Op het moment dat één document per e-mail wordt verzonden omdat dat sneller was, zijn de controles weg en heeft het controlelogboek een gat. Deze discipline werkt alleen als zij absoluut is. 

Controleer de voorbereiding vóór een dealvergadering. Wanneer belangrijke documenten niet zijn gelezen, lijdt de besluitkwaliteit daaronder. Een dealbesluit dat wordt genomen door een onvoldoende voorbereide bestuursraad is zowel een  bestuursrisico als, als het later wordt betwist, moeilijk te verdedigen. Als de voorbereiding onvoldoende is, is uitstel de sterkere keuze. 

Leg vertrouwelijkheidsbesluiten vast, niet alleen dealbesluiten. Besluiten over het moment van openbaarmaking, communicatiebeperkingen en wie extern mag spreken zijn volwaardige besluiten. Ze moeten worden vastgelegd met genoemde eigenaren, zodat het protocol gedocumenteerd is in plaats van verondersteld. 

Finaliseer en onderteken de notulen snel. M&A-notulen zijn juridisch belangrijk. Ze moeten zonder vertraging worden afgerond, goedgekeurd en ondertekend, zodat er een vast verslag ontstaat van wat is besloten dat achteraf niet stilletjes kan worden aangepast. 

Controleer de verspreiding van de notulen zelf. Het verslag van een vertrouwelijke deal is zelf vertrouwelijk. De verspreiding ervan moet worden beperkt tot bevoegde ontvangers, via hetzelfde gecontroleerde kanaal als het onderliggende materiaal. 

De test van goede dealinformatiebestuur 

Vraag of de bestuursraad vandaag een accuraat overzicht kan produceren van wie toegang heeft gehad tot de documenten van een lopende deal, en wanneer. Vraag of een document kan worden ingetrokken bij iemand wiens rol in de deal is beëindigd, in minuten in plaats van helemaal niet. Vraag of het vertrouwelijkheidsprotocol vóór de deal is overeengekomen of gaandeweg wordt uitgewerkt. Als de eerlijke antwoorden een inbox en hoop bevatten, is de bestuursraad precies blootgesteld op de manier die een toezichthouder, of een lek, zal vinden. 

Hoe Sherpany veilig M&A-informatiemanagement ondersteunt 

Alles wat hierboven is vermeld, is afhankelijk van het feit dat de bestuursraad zijn dealinformatie op een plek opslaat waar hij deze daadwerkelijk kan verifiëren, in plaats van in de diverse kanalen waar een deal doorgaans overheen wordt verspreid. 

Sherpany consolideert M&A-materialen in één veilige omgeving met gedetailleerde toegangscontrole op documentniveau. Zo kan materiaal worden beperkt tot specifieke bestuursleden of een commissie en worden aangepast naarmate de deal beweegt, waardoor de onbedoelde blootstelling die e-mail uitlokt wordt voorkomen. De beveiligingsmaatregelen van de bibliotheek bepalen wie een document kan downloaden, afdrukken of doorsturen, met watermerken beschikbaar voor het meest gevoelige materiaal. Elke actie laat een auditeerbaar register achter, precies het spoor dat verplichtingen rond voorwetenschap vereisen en dat een inbox nooit kan leveren. 

Omdat deals zelden wachten op de agenda van de bestuursraad, kunnen besluiten tussen vergaderingen worden genomen via een volledig auditeerbaar digitaal goedkeuringsproces. Zo dwingt een dringend besluit de bestuursraad niet tot een onveilige workaround. En bestuursnotulen, het juridisch belangrijke verslag van wat is besloten, kunnen worden afgerond en digitaal ondertekend om een vast, manipulatiebestendig register te produceren, waarna ze alleen via hetzelfde gecontroleerde kanaal worden verspreid naar bevoegde ontvangers. 

Voor bestuursraden die willen begrijpen aan welke beveiligingsstandaarden een board platform moet voldoen, beschrijft Sherpany’s Trust Center zijn aanpak in detail. M&A-toezicht en samenstelling van de bestuursraad zijn twee van de drie gebieden die worden onderzocht in Sherpany’s gids voor strategische besluitvorming halverwege het jaar. 

Vertrouwelijkheid is een capaciteit, geen voorzorgsmaatregel 

Een bestuursraad die de vertrouwelijkheid van elke deal behandelt als een nieuwe oefening in zorgvuldigheid, krijgt vroeg of laat de deal die lekt, omdat zorgvuldigheid niet schaalt en improvisatie onder druk faalt. De bestuursraad, die zijn informatiebestuur ooit heeft gedefinieerd als een vaste instelling die ingrijpt zodra een doelwit wordt vastgesteld, heeft het merendeel van het risico weggehaald voordat de deal van start gaat. 

Dat is het verschil dat de programmakijk maakt. Voor een incidentele koper is informatiemanagement een voorzorgsmaatregel voor de duur van een transactie. Voor een koper die een programma uitvoert, is het een capaciteit die bestaat of niet bestaat, en de deals laten zien welke van de twee waar is. De praktijken zijn niet moeilijk. Wat moeilijk is, is besluiten om ze te bouwen vóór de deal die ze nodig heeft, in plaats van na de deal die hun afwezigheid heeft blootgelegd. 

Wilt u versterken hoe uw bestuursraad vertrouwelijkheid en informatiestromen over deals heen beheert? Boek vandaag een gratis consult en ontdek hoe Sherpany kan helpen.