În culisele Carrefour România după preluarea de către Dedeman. Ce se întâmplă în spatele tranzacției

Preluarea Carrefour de către Dedeman reprezintă una dintre cele mai mari și mai importante tranzacții din istoria pieței de retail din România și a fost finalizată în mijlocul anului 2026. Valoarea acesteia trece de 820 milioane de euro.

Pentru angajați și clienți, schimbarea proprietarului poate să nu fie evidentă imediat, însă în spatele companiei trebuie reorganizate servicii și sisteme care până atunci erau gestionate la nivelul grupului internațional. Procesul, cunoscut în industria IT sub denumirea de „carve-out”, și este una dintre componentele mai puțin vizibile ale unei tranzacții de acest tip.

Acesta poate începe cu luni înainte de schimbarea efectivă a acționariatului și poate continua mult timp după ce tranzacția este finalizată, spune Mihai Petrov, IT Director & CISO al Carrefour România.

Pentru o companie de dimensiunea Carrefour, o parte dintre serviciile IT și de securitate cibernetică erau furnizate centralizat, la nivelul grupului, iar noul proprietar Dedeman trebuie să ajungă să le opereze independent sau să le preia prin alte soluții.

Grupul Carrefour operează în 113 orașe din România 470 de magazine multi-format, sub formă de hipermarketuri (Carrefour), magazine de tip supermarket (Carrefour Market), magazine de proximitate (Carrefour Express) și magazine de tip discount (Supeco).

Printre capabilitățile care puteau fi asigurate la nivel de grup se numără, de exemplu, serviciile de monitorizare a securității informatice (SOC), licențele și alte servicii comune. În momentul în care compania este desprinsă de grup, acestea trebuie înlocuite, transferate sau reorganizate.

„Carve-out-ul nu se întâmplă peste noapte în Day 1, cum spunem noi, ziua în care entitatea respectivă este efectiv, adică s-a schimbat acționariatul la data X”, explică Mihai Petrov, în cadrul conferinţei organizate de furni­zorul de servicii de securitate cibernetică FORT.

Ce înseamnă, de fapt, un „carve-out”

În cazul unei companii care este desprinsă dintr-un grup internațional, „Day 1” este momentul în care schimbarea de acționariat devine efectivă. Însă pregătirea tehnică și operațională începe înainte de această dată.

„Carve-out-ul se pregătește dinainte, poate în cazul unei organizații mature, pregătești un carve-out înainte să se pună problema să existe un carve-out”, spune Petrov (foto).

Potrivit acestuia, într-o tranzacție de acest tip, informația privind o posibilă schimbare de acționariat poate deveni publică cu cel puțin șase luni înainte de momentul în care aceasta devine efectivă, dacă sunt îndeplinite condițiile unei organizații relativ simple. Pentru organizații mai complexe, procesul poate dura mai mult.

Acest interval le permite echipelor IT să identifice ce servicii sunt furnizate de grup, ce trebuie separat și ce soluții trebuie construite pentru compania care va funcționa independent.

„Practic informația există, iar tu poți să te apuci să-ți pregătești acest carve-out mult înainte ca el să fie necesar. Sau poți să ți-l pregătești chiar preventiv”, explică reprezentantul Carrefour România.

Ce se întâmplă cu sistemele și securitatea informatică

Pentru un responsabil de securitate informatică, una dintre principalele provocări este tocmai desprinderea capabilităților care până atunci erau comune întregului grup.

În cazul Carrefour România, o parte importantă din capabilitățile de securitate erau furnizate la nivel de grup. Odată cu desprinderea companiei, trebuie stabilit ce servicii rămân disponibile, ce servicii trebuie înlocuite și cum sunt adaptate procesele și furnizorii la noua structură. De asemenea, procesul nu se încheie însă în momentul schimbării acționariatului.

„Pentru că, practic, asta-i realitatea în care trăim: tranzacțiile se întâmplă. Și nu se oprește carve-out-ul la ziua 1. Carve-out-ul durează mult după ziua 1”, spune Petrov.

El explică faptul că o parte din responsabilitatea echipei este să pregătească din timp toate elementele care trebuie să fie disponibile în momentul desprinderii, astfel încât tranziția să se poată face fără întreruperi.

„Puterea este a noastră, să pregătim cât de bine putem înainte de ziua 1 aspectele de care depinde să fie furnizate și iar cele care rămân să fie rezolvate sau, mă rog, rezolvate poate nu-i cuvântul potrivit pentru că ele n-au fost o problemă, să fie tratate cu mai mult calm, să spun așa”, afirmă el.

Schimbarea proprietarului poate aduce și alte obligații

Trecerea Carrefour România sub acționariat românesc poate avea implicații și dincolo de sistemele informatice. Dacă în urma reorganizării compania își schimbă activitățile, dimensiunea sau modul în care operează anumite servicii, poate fi necesară și reevaluarea obligațiilor pe care le are în materia securității cibernetice.

Gabriel Dinu, director adjunct al Directoratului Național de Securitate Cibernetică (DNSC), prezent la discuție, explică faptul că, în general, organizațiile trebuie să raporteze anumite schimbări care le pot modifica încadrarea în legislația privind securitatea cibernetică. Printre acestea se pot număra schimbarea formei juridice, a sediului, a persoanei responsabile sau trecerea într-o altă categorie de dimensiune a companiei.

În anumite situații, chiar și o activitate nouă introdusă în cadrul companiei poate schimba încadrarea companiei sub directiva NIS.

Un exemplu este cel al unei companii care decide să instaleze și să opereze stații de încărcare pentru mașini electrice. Dacă activitatea este destinată exclusiv consumului propriu și rămâne în limitele aplicabile prosumatorilor, situația poate fi diferită față de cazul în care compania începe să furnizeze energie pe piață.

„Dacă vor să devină jucători în piață, atunci o să intre sub Directiva NIS”, explică Gabriel Dinu.

Diferența poate fi importantă pentru companie, deoarece intrarea într-o categorie reglementată poate aduce obligații suplimentare de securitate cibernetică. De aceea, DNSC spune că încearcă să evite situațiile în care unei organizații i se aplică măsuri care nu sunt justificate de activitatea pe care o desfășoară.

„Noi încercăm să evităm, să găsim o soluție care să evite să aplicăm măsuri nejustificate asupra unor organizații”, mai spune directorul adjunct al DNSC.

Una dintre variantele luate în calcul poate fi separarea activității care intră sub incidența reglementării de restul organizației, inclusiv prin externalizarea ei către o altă companie, dacă aceasta este soluția pe care managementul o consideră potrivită în urma analizei de risc.

„O soluție elegantă, ca să spunem așa, este pur și simplu externalizarea serviciului respectiv către o altă companie, se înregistrează compania respectivă la noi și rămâne activitatea care nu face obiectul directivei separată, dacă asta este opțiunea pe care și-o alege și-și face analiza de risc managementul și decide așa”, afirmă Gabriel Dinu.

În caz contrar, organizația poate fi tratată ca un întreg, iar nivelul obligațiilor de conformitate va fi stabilit în funcție de activitatea și categoria în care se încadrează potrivit directivei NIS.

Carrefour a intrat în România în 2001 și a fost pionier în formatul de hipermarket. Carrefour SA, cea mai mare companie din România a grupului francez, care înglobează toate magazinele lanțului exceptând cele sub brandul Supeco și fostele Cora, a trecut anul trecut, pentru prima dată în istorie, pe pierdere.

Vorbim despre un minus de 64,3 milioane de lei la o cifră de afaceri de 14,1 miliarde de lei, în creștere față de 2024 cu peste 13%. Fostele Cora au avut, de asemenea, vânzări la minimum și au concediat aproape 1.000 de persoane.

Afacerile grupului au sărit de 15 miliarde de lei, plasându-se pe poziția a patra, între comercianții alimentari, după Ahold-Delhaize, proprietarul Mega Image și Profi, Lidl și Kaufland.