企业官网建设流程全解析

技术尽职调查：5天、3份清单、1张评分卡完成标的技术盘点

【免费下载链接】awesome-ctoA curated and opinionated list of resources for Chief Technology Officers, with the emphasis on startups项目地址: https://gitcode.com/GitHub_Trending/aw/awesome-cto

你有没有在签完条款清单后才发现，标的的核心系统撑不过交割后的第一次扩容？我把带过的6次技术尽职调查压缩成了这套动作：一条5天时间线、3份清单、1张评分卡，从启动到定价直接照做。

一、尽调启动前：用1小时定好“看什么”

按交易类型区分重点清单

用同一份清单打所有交易，是最常见的浪费。三类交易的重心完全不同：

• 战略并购：优先看架构兼容性与数据迁移成本，因为你买的是“能不能并进来”，不是“现在跑得多好”。
• 财务投资：重点看技术团队和核心壁垒，架构瑕疵在早期不致命，但团队断层会。
• IPO前合规：聚焦数据安全与知识产权完整性，一条红线不过，上市节奏直接停摆。

先分清楚的原因很简单：范围决定时间分配。给财务投资花半天评估集成兼容性，等于把评分和复核的时间挤没了。

资料室文档申请清单：先要这6份

进场前把这份清单发过去，缺项就先记录，不要催：

1. 架构图与系统上下文图（带更新时间）
2. 最近一次渗透测试或安全报告
3. 生产环境资源清单与云成本明细
4. CI/CD 配置及近30天发布记录
5. 开源组件清单与许可证声明
6. 核心模块负责人与人员结构表

这6份覆盖大部分初筛风险，而且缺项本身就是信号——连资源清单都拿不出来的公司，通常也没有成本治理。仓库里的 README.md 设有专门的 “Due Diligence” 条目，收录了多份现成的尽调清单与问题集，搭自己的清单时可以拿来做交叉核对。

技术尽调5天排期表：每天干什么

• Day 1：读架构文档，完成 CTO 访谈
• Day 2：代码与流水线穿行，跑扫描
• Day 3：打分，复核红线项
• Day 4：安全合规与人员访谈
• Day 5：写报告，出定价建议

排期必须写死时间盒。经验上，没有时间盒的架构访谈一拖就是两天，最后被压缩的永远是评分和复核。

二、Day 1-2：两天怎么读一个陌生代码库

读架构图的90分钟：8问清单

让对方的架构师把图投出来，你按顺序过这8个问题，每个问题控制在10分钟内：

1. 有多少个独立服务？哪3个承载主要流量？
2. 用户数据、支付数据、日志分别存在哪里？
3. 单点在哪？挂掉之后的降级路径是什么？
4. 部署在哪家云？换云最难拆的3个组件是什么？
5. 最近一次压测是什么时候？瓶颈在哪条链路？
6. 发布流程什么样？上次回滚花了多久？
7. 有没有“只有一个人懂”的模块？
8. 当前技术债清单里，最贵的3项是什么？

前4问决定集成的成本上限，后4问决定隐性成本，所以顺序不能颠倒：先定上限，再摸窟窿。

查 CI/CD 流水线：打开3个地方，记2个数字

别听“我们有完整自动化”，直接打开3个地方：流水线配置、近30天发布记录、环境列表。然后只记2个数字：部署频率、变更前置时间。

某次 SaaS 交易中，团队声称每周发版，发布记录里两个月只有3次，其中2次依赖手工改库。口头和记录的差距，让交付维度从4分打到2分，整合成本储备里多算了一笔。这一条的重要性在于：发布记录不会说谎，演示会。

问 CTO 的5个问题

访谈通常只有45分钟，5个问题刚好：

1. 明年预算翻倍，你最想解决的3个技术问题是什么？
2. 你最后悔的一个架构决策是什么？
3. 如果某位核心工程师明天离职，哪个模块会出问题？
4. 用户量6个月翻倍，哪条链路先崩？
5. 你最希望投资方知道的一件事是什么？

第3题考关键人依赖，第4题考架构弹性。这两个问题的答案，会原样落进后面评分卡的两个维度里。

三、Day 3 上午：先打分，再下结论

5项技术评分卡：权重与判分标准

打分必须在听访谈、看完代码之后、下任何结论之前。这是整个环节最重要的纪律——先形成印象再打分，分数就只会被用来解释你的偏见。

每项打分必须写证据来源（哪份文档、哪次扫描、哪次访谈），没有证据的分一律记3分。

加权总分怎么算：A-D 四档

总分 = 各维度得分 × 权重之和，四档对应四种动作：

• A 档（≥4.0）：🟢 正常推进，不做重大价格调整
• B 档（3.0~3.9）：🟡 降价或附加交割条件
• C 档（2.0~2.9）：🔴 大幅调价加特别约定，或放弃
• D 档（<2.0）：建议放弃

某家数据分析公司总分 2.8，其中安全维度只有1分：高危漏洞未修复、无渗透报告。最后落地是降 8% 加两条交割条件——交割前完成高危修复、交割后6个月内交付灾备方案。分数的价值就在这里：它把“感觉有风险”变成了可谈判的数字。

风险三层分类：红线、估值调整、整合成本

打完分，把发现的风险按“能不能用钱解决”分三层：

为什么分三层：红线项是二元判断，只回答“过或不过”；后两类是连续量，可以折算成钱。混在一起谈，要么谈崩，要么漏掉。

四、Day 3-4：三条能直接终止交易的红线

红线1：开源许可与代码权属

对核心仓库跑一次许可证扫描（scancode 这类工具就够），重点找 GPL/AGPL 这类 copyleft 协议。某次跨境电商交易里，审计发现商业版用了3个 GPL 组件，需要代码剥离并购买商业许可，整改周期2-3个月，最后写成特别约定并降了 6%。这条红线之所以致命：copyleft 可能要求整个产品开源，动摇的不是工程质量，是商业模式。

红线2：安全漏洞与数据流向

看3个地方：近12个月渗透报告、依赖与镜像漏洞扫描结果（Trivy 或 OWASP Dependency-Check）、敏感数据访问权限与跨境流向说明。一支从来没有渗透记录团队的，问题不在于“省了这笔钱”，而在于没有安全体系——这意味着漏洞是系统性存在的。

红线3：人员协议与关键人依赖

确认两件事：关键技术人员是否签署知识产权归属与竞业条款；核心模块能否在30天内由第二人接管。这一条值一场单独访谈，因为评分卡里“团队与关键人依赖”维度的分，基本就靠它定。

五、常见坑 Top 5：3个评估错误，2个流程错误

评估层面的3个错误

1. 看 demo 不跑压测。演示环境永远顺滑，用 k6 对核心链路压30分钟，真实水位立刻现形——demo 和压测的差距，就是估值调整的空间。
2. 把“之后会重构”当答案。让对方给出重构清单和成本估算。给不出估算的“之后”，在评分卡上记0。
3. 只看现状不看趋势。当前架构合理不等于合理：把它叠加未来18个月的增长曲线再看一次，很多“还行”会当场变成“不够”。

流程层面的2个错误

4. 只让创始人回答。至少安排两场与中层工程师的访谈。经过创始人过滤的信息有系统性乐观偏差，工程师的原话才配进报告。
5. 评分不落回钱上。如果评分卡最终没对应到调价、交割条件或整合储备里，它就只是摆设——报告结论必须能回答“这对价格意味着什么”。

六、报告怎么写：把分数变成价格

技术尽调报告的四段式模板

1. 1页执行摘要：总档位、Top 3 风险、一句话定价建议
2. 评分卡：5项得分，每项附证据来源
3. 红线清单：三条红线逐项过/不过，附扫描截图
4. 定价建议：调整幅度与对应条件

结构这么小的原因：报告读者是决策者，不是你的团队。他只有3分钟，第1页必须能独立支撑决策。

评分卡与交易价格的三种挂钩方式

• 直接调价：C 档整体，下调 15%~30%，或要求股权补偿
• 交割条件：B 档且缺陷明确，写入交割前提，如“交割前完成高危漏洞修复”
• 整合储备：价格不动，交易文件里加一笔技术整合储备金

某数据分析公司整体 B 档，重构成本估算约占估值 7%，最后选了第二种：价格不降，但加了6个月免费工程支持与2个交割后整合里程碑。选哪种不是技术问题：直接调价最容易被对手方反推，储备金方式最不容易谈崩，交割条件居中。

什么时候该说“不投”

三个条件满足任意一个，就在执行摘要里直接写建议放弃：任一红线项不过；总分低于2.0；整改成本超过交易金额的 20%。写“建议放弃”不丢分——报告的价值包括帮客户省下不该花的钱。

七、30分钟快速上手：拿到尽调任务的第一反应

第1步（0-10分钟）：只读3份文档

1. 在架构图上标出3个单点
2. 记下最近一次安全报告的日期，数一下近30天 CI 发布次数

第2步（10-20分钟）：跑一轮红线扫描

3. 对核心仓库扫一遍 copyleft 组件
4. 对生产镜像跑一次漏洞扫描

第3步（20-30分钟）：出一页结论

5. 填评分卡算出总分，写下一句话：“该档位对应 X% 调价或 N 个交割条件”

做到这5条，你就有了开场谈判的底盘：后续所有深挖，都围绕这30分钟暴露出来的疑点展开，而不是从零开始。

【免费下载链接】awesome-ctoA curated and opinionated list of resources for Chief Technology Officers, with the emphasis on startups项目地址: https://gitcode.com/GitHub_Trending/aw/awesome-cto