Secteur Startups innovantes

Startups innovantes, PME innovantes et spin-off universitaires

Accompagnement des startups et PME innovantes, des spin-off universitaires et des incubateurs certifiés : qualification et obligations dans la section spéciale du registre des entreprises, avantages fiscaux, préparation à la due diligence des investisseurs, protection des données et sécurité du produit numérique.

Registro delle imprese – section spéciale
MIMIT – ministère italien des Entreprises
Agenzia delle entrate – fiscalité (Italie)
Garante privacy – données personnelles
Consob – marchés financiers (Italie)
ACN – cybersécurité (Italie)
D.L. italien 179/2012 (conv. L. 221/2012) – startups innovantes
D.L. italien 3/2015 (conv. L. 33/2015) – PME innovantes
L. italienne 193/2024 – loi annuelle sur le marché et la concurrence 2023
RGPD – Règl. (UE) 2016/679
NIS2 – D.Lgs. 138/2024
AI Act – Règl. (UE) 2024/1689

Demander conseil

Les enjeux du secteur

Les points critiques

Une qualification à conserver, pas seulement à obtenir

L’inscription à la section spéciale du registre des entreprises suppose la réunion simultanée de plusieurs conditions prévues par le D.L. italien 179/2012, ainsi que d’au moins un des critères alternatifs portant sur la recherche et développement, le personnel qualifié ou les titres de propriété industrielle et les programmes d’ordinateur enregistrés. Le maintien doit être confirmé par des attestations périodiques : si une condition n’est plus remplie, les avantages qui y sont liés tombent avec elle.

Des avantages qui dépendent des éléments de preuve

Incitations fiscales pour ceux qui investissent au capital, work for equity, Fondo di garanzia per le PMI (le fonds public italien de garantie pour les PME), appels à projets et dispositifs publics : chaque avantage repose sur des conditions propres au bénéficiaire, des décisions des organes sociaux et une documentation à produire et à conserver. Une comptabilisation approximative des dépenses de recherche et développement met en péril l’avantage de l’investisseur, et pas seulement celui de la société.

La due diligence des investisseurs

Un tour de table se joue sur ce qui est documentable : cap table et instruments convertibles, pactes d’actionnaires, titularité de la propriété intellectuelle développée par les fondateurs, les salariés, les indépendants et les fournisseurs, contrats clients, conformité du produit en matière de données personnelles. Les lacunes découvertes dans la data room se traduisent en décote sur le prix, en garanties ou en conditions suspensives.

Évaluer une entreprise sans historique

Avant les revenus récurrents, la valeur ne se lit pas dans les comptes passés : elle se construit sur le plan d’affaires, les indicateurs du produit et la comparaison avec des transactions comparables, avec des hypothèses explicites. Term sheet, clauses de liquidation préférentielle, d’anti-dilution et options doivent être compris avant d’être signés, car ils pèsent sur le contrôle et sur le retour financier des fondateurs.

La sécurité exigée par le marché avant la loi

Le premier client grand compte arrive avec un questionnaire de sécurité, la demande d’un accord de traitement des données et souvent l’attente d’une certification ISO/IEC 27001 ; les marchés publics posent des exigences analogues. Pour une petite entreprise, il s’agit d’une contrainte commerciale immédiate, et non d’un sujet à traiter plus tard.

Des obligations qui se déclenchent avec la croissance

Les fournisseurs de services cloud, de centres de données ou de services gérés peuvent relever du périmètre NIS2 : en principe lorsque le type de service et les seuils de taille sont réunis, mais le D.Lgs. 138/2024 prévoit aussi des critères d’inclusion indépendants de la taille, si bien que l’applicabilité doit être vérifiée au cas par cas. L’entreprise qui développe ou intègre des systèmes d’intelligence artificielle doit établir le rôle qu’elle assume, fournisseur ou déployeur, et le niveau de risque dont relève le système, car ces deux qualifications déterminent les obligations applicables. Un modèle 231 devient pertinent dès la participation à des marchés publics ou l’entrée d’investisseurs institutionnels.

Domaines d’intervention

Comment nous intervenons, concrètement

Qualification, section spéciale et obligations périodiques

Nous vérifions la réunion des conditions dans la version en vigueur du dispositif, préparons la documentation d’inscription à la section spéciale et établissons le calendrier des confirmations et des mises à jour périodiques, avec les éléments de preuve à l’appui de chaque critère alternatif. Si le maintien arrive à échéance ou si une condition est menacée, la question se traite en amont, quand elle est encore maîtrisable.

Avantages fiscaux, financement et dispositifs publics

Nous dressons le cadre des avantages applicables : incitations fiscales pour ceux qui investissent au capital, work for equity pour les dirigeants, les collaborateurs et les fournisseurs, equity crowdfunding sur des plateformes autorisées, Fondo di garanzia per le PMI, appels à projets et dispositifs d’aide. Nous veillons aux conditions, aux délibérations et à la documentation à conserver, afin que l’avantage résiste à un contrôle ultérieur.

Préparation du tour de table et évaluation d’entreprise

Nous mettons en ordre ce que l’investisseur vérifiera : cap table, instruments convertibles, pactes d’actionnaires, chaîne de titularité de la propriété intellectuelle, contrats avec les fondateurs et les collaborateurs, contrats clients, conformité en matière de données personnelles. Nous construisons l’estimation de la valeur avec plusieurs méthodes et des hypothèses explicites, et accompagnons les fondateurs dans la lecture du term sheet.

Privacy by design dans le produit numérique

Nous intégrons la protection des données au cycle de développement : base légale des traitements, mentions d’information et consentements dans le produit, minimisation et durées de conservation, registre des traitements, analyse d’impact lorsqu’elle est nécessaire. Nous définissons le rôle de l’entreprise lorsqu’elle traite des données pour le compte de ses clients, ainsi que les contrats qui en découlent, avec la cartographie des transferts hors UE et des sous-traitants ultérieurs.

Sécurité applicative et certifications demandées par les clients

Nous soumettons le produit, les API et l’infrastructure cloud à une évaluation des vulnérabilités et à des tests d’intrusion, avec un plan de remédiation classé par priorité. Là où le marché l’exige, nous accompagnons l’entreprise vers un système de management de la sécurité de l’information conforme à l’ISO/IEC 27001 et préparons les réponses aux questionnaires de sécurité des clients.

NIS2, AI Act et modèle 231 lorsqu’ils deviennent pertinents

Nous vérifions si l’entreprise relève du périmètre du D.Lgs. 138/2024 au regard du secteur, de la taille et de la classification et, le cas échéant, suivons l’enregistrement auprès de l’ACN (l’agence italienne de cybersécurité), les mesures de gestion du risque et la notification des incidents. Pour les systèmes d’intelligence artificielle, nous déterminons le rôle et le niveau de risque au sens du règlement (UE) 2024/1689. Le modèle 231 intervient quand les marchés publics ou les investisseurs le rendent nécessaire.

Procédures et contrôles proportionnés à la taille

Nous rédigeons les quelques procédures réellement utiles : gestion des accès, développement et mise en production, gestion des incidents, intégration des fournisseurs et des collaborateurs, documentation contractuelle récurrente. Avec les associés, nous convenons de quelques indicateurs lisibles, par exemple les incidents ouverts et clos, les accès révoqués à la cessation des relations contractuelles, les contrats signés avec des dérogations non autorisées, et nous les actualisons au rythme des réunions du conseil.

Le contexte

En Italie, une startup innovante n’est pas une catégorie commerciale : c’est un statut juridique. Le D.L. 179/2012 (converti par la L. 221/2012) a institué la section spéciale du Registro delle imprese (le registre italien des entreprises) et, dans sa version aujourd’hui en vigueur, subordonne l’inscription à la réunion simultanée de plusieurs conditions : société de capitaux non cotée de dimension micro, petite ou moyenne, objet social innovant à haute valeur technologique, valeur de la production dans la limite fixée par la loi, interdiction de distribuer des bénéfices et au moins un des critères alternatifs portant sur la recherche et développement, le personnel qualifié ou les titres de propriété industrielle.

Des conditions en partie analogues, avec des différences qui ne sont pas secondaires, s’appliquent aux PME innovantes (D.L. 3/2015, converti par la L. 33/2015). Les incubateurs certifiés répondent à des exigences d’une autre nature, portant sur les locaux, les compétences de l’équipe de direction et les liens avec la recherche ; dans les spin-off universitaires, les règlements de l’université sur les participations et sur la titularité des résultats comptent également.

Le statut doit être confirmé dans le temps : l’attestation périodique des conditions et la mise à jour des informations au registre sont la condition du maintien dans la section spéciale. La loi annuelle sur le marché et la concurrence 2023 (L. 193/2024) est intervenue sur les conditions d’accès et sur la durée du maintien : la version en vigueur doit donc être lue au cas par cas.

Autour du statut s’organise un système d’avantages, des incitations fiscales pour ceux qui investissent au capital-risque jusqu’au Fondo di garanzia per le PMI, le fonds public italien de garantie pour les PME : chaque bénéfice repose sur des conditions et sur une documentation, et sa solidité se mesure lors d’un contrôle ultérieur.

Vient ensuite la conformité que le marché impose avant la loi : un produit numérique traite des données personnelles, souvent pour le compte des clients, et la position de l’entreprise, responsable du traitement ou sous-traitant, doit être qualifiée avant toute signature. Les garanties sont exigées par le contrat avant de l’être par la norme, au moyen d’accords de traitement des données et de questionnaires de sécurité. Avec la croissance, d’autres obligations peuvent se déclencher : la NIS2 (D.Lgs. 138/2024) pour les fournisseurs de services cloud, de centres de données ou de services gérés, dès que les conditions prévues par le décret sont réunies, celui-ci tenant compte du type de service, de la taille et aussi de critères indépendants de celle-ci ; l’AI Act (règlement (UE) 2024/1689) pour ceux qui développent ou intègrent des systèmes d’intelligence artificielle ; le modèle 231 lorsqu’arrivent les marchés publics ou les investisseurs institutionnels.

Notre accompagnement

Nous travaillons avec les fondateurs et le premier noyau de management, non à leur place. Le point de départ est la phase que traverse l’entreprise : inscription, premier tour de table, premiers clients structurés, augmentation de capital. De là naît un plan articulé autour de quelques priorités, avec des responsabilités et des échéances, plutôt qu’un programme de conformité qui consomme les ressources nécessaires au produit.

Le critère est la proportionnalité. Dans les jeunes entreprises, le risque n’est pas l’absence de règles, mais la présence de règles écrites pour d’autres : des manuels recopiés que personne n’applique et qui, dans une due diligence, documentent l’écart entre ce qui est écrit et ce qui se passe. Nous n’écrivons donc que les procédures que les processus réels exigent, avec les contrôles placés dans les outils déjà utilisés.

Sur le capital, nous travaillons sur deux fronts : les éléments de preuve que l’investisseur demandera en data room et l’estimation de la valeur par des méthodes explicites lorsque l’historique est court, comme dans la fiche évaluation et acquisition d’entreprise. Sur le produit, nous réunissons données et sécurité dans un seul parcours, parce que la conformité RGPD et les tests de sécurité répondent aux mêmes questions des clients et des investisseurs.

Le périmètre se définit ensemble et peut évoluer : une intervention ponctuelle avant un tour de table ou un contrat important, un suivi périodique des obligations, ou encore un accompagnement continu pendant que la structure se met en place. Les décisions restent du ressort des fondateurs : nous apportons la lecture réglementaire, la méthode et la capacité d’exécution.

Pourquoi un partenaire unique

Un pilotage unique sur des sujets qui s’entrelacent : statut et avantages, capital, données, sécurité et processus concernent la même entreprise et le même produit ; traités ensemble, ils évitent des documents qui se contredisent.
Prêts au contrôle de ceux qui comptent : les mêmes éléments de preuve servent à l’investisseur en due diligence, au client dans le questionnaire de sécurité et à l’administration qui contrôle un avantage.
La proportionnalité : des procédures calibrées sur la taille actuelle, conçues pour grandir avec l’entreprise et non pour être réécrites au premier tour de table.
La continuité : le régime des entreprises innovantes et le cadre européen sur les données et l’intelligence artificielle changent souvent ; nous restons aux côtés de l’entreprise pour actualiser conditions et éléments de preuve.

Questions fréquentes

Les réponses aux questions les plus courantes

Comment le statut de startup innovante se conserve-t-il dans le temps ?

Par un suivi continu, et non par une formalité annuelle expédiée à la hâte. Les conditions doivent être vérifiées sur les données réelles de la société : valeur de la production, dépenses de recherche et développement effectivement engagées et documentées, composition du personnel qualifié, titularité, dépôt ou licence des titres de propriété industrielle et titularité des droits sur d’éventuels programmes d’ordinateur enregistrés, sans oublier l’interdiction de distribuer des bénéfices. Sur cette base, nous préparons l’attestation périodique et la mise à jour des informations au registre des entreprises, et tenons à jour un dossier d’éléments de preuve. Le dispositif ayant été revu par la loi annuelle sur le marché et la concurrence 2023 (L. 193/2024), conditions et durée du maintien doivent être lues dans la version en vigueur et appliquées à la société considérée : lorsqu’une condition est menacée, il vaut mieux décider tôt de la manière d’intervenir.

Quels documents un investisseur demande-t-il en due diligence et comment s’y préparer ?

Dans l’ordre : cap table à jour avec les instruments convertibles et les plans d’intéressement, statuts et pactes d’actionnaires, décisions des organes sociaux, chaîne de titularité de la propriété intellectuelle (contrats avec les fondateurs, les salariés, les indépendants et les agences, licences open source utilisées dans le produit), contrats clients et niveaux de service promis, documentation du produit en matière de données personnelles, état des avantages obtenus, contentieux, situation fiscale et sociale. La préparation consiste à réunir ces éléments dans une data room ordonnée, à corriger ce qui peut encore l’être et à documenter de façon transparente ce qui subsiste : un risque déclaré se négocie, un risque découvert par l’investisseur pèse sur le prix et sur les garanties.

Comment évaluer une société qui n’a pas encore de revenus significatifs ?

Non par une formule unique, mais par une fourchette de valeur construite sur plusieurs méthodes et des hypothèses déclarées : plan d’affaires et flux attendus, multiples de transactions comparables sur le même segment, méthodes qui pondèrent la probabilité de différents scénarios, analyses de sensibilité sur les variables qui comptent vraiment (taux de conversion, attrition des clients, coût d’acquisition). Le résultat sert à deux choses : donner aux fondateurs une référence défendable dans la négociation et éclairer la décision sur la part de capital à céder. Le prix final reste l’issue de la négociation, et le term sheet doit être lu en entier, car les clauses de préférence, d’anti-dilution et les options pèsent sur le retour plus que quelques points de valorisation.

La certification ISO 27001 est-elle nécessaire pour vendre à des clients grands comptes ?

Ce n’est pas une obligation légale, mais dans de nombreuses négociations c’est une exigence de fait : les grands clients et les pouvoirs adjudicateurs la demandent pour qualifier les fournisseurs qui traitent leurs données. La séquence utile est progressive : mesurer d’abord l’état réel de la sécurité par une évaluation des vulnérabilités et des tests d’intrusion sur le produit et l’infrastructure, mettre ensuite en ordre les procédures essentielles, construire enfin le système de management et passer l’audit de l’organisme de certification. Entre-temps, on répond aux questionnaires de sécurité avec des éléments de preuve vérifiables, ce qui permet, dans bien des négociations, d’avancer alors que la démarche de certification est encore en cours.

Un modèle 231 a-t-il un sens pour une société de quelques salariés ?

Le D.Lgs. 231/2001 sur la responsabilité administrative des personnes morales n’impose pas l’adoption d’un modèle d’organisation, mais un modèle adéquat et effectivement mis en œuvre constitue la principale défense de la personne morale en cas d’infraction commise dans son intérêt. Pour une petite société, la question devient concrète dans des situations précises : participation à des marchés et à des financements publics, entrée d’investisseurs institutionnels qui le demandent en due diligence, relations avec l’administration publique, exposition aux infractions informatiques ou fiscales. Dans ces cas, nous construisons un modèle proportionné, avec des protocoles calibrés sur les processus réellement en place et un organisme de surveillance compatible avec la structure, en évitant les documents standard qui ne résisteraient pas à un examen devant le juge.

Services liés

Les compétences Nexaura pour ce secteur

Stratégie

M&A : évaluation et acquisition

Accompagnement stratégique dans les opérations de haut de bilan : évaluation d’entreprise, due diligence, négociation et intégration post-acquisition.

Gouvernance

Conformité RGPD

Mise en conformité avec le règlement (UE) 2016/679 et le Code italien de la protection des données : audit, registre des traitements, DPIA, politiques et formation.

Cybersécurité

Tests d’intrusion et vulnérabilités

Contrôles techniques de sécurité sur les réseaux, les applications et les infrastructures : nous identifions les vulnérabilités avant qu’un attaquant ne le fasse.

Durabilité

Certifications ISO

Conception, mise en œuvre et maintien de systèmes de management certifiables : ISO 9001, 14001, 45001, 27001, 37001, 50001 et les principaux schémas sectoriels et de filière.

Stratégie

Ingénierie des processus

Cartographie, analyse et refonte des processus d’entreprise : nous éliminons les gaspillages, réduisons les risques opérationnels et préparons la digitalisation.

Parlons-en

Construisons ensemble votre avenir.

Parlez-nous des priorités de votre entreprise : lors d’un premier échange sans engagement, nous analysons le contexte et vous proposons un parcours concret, avec des délais et des résultats mesurables.

Demander conseil

info@nexaura.it