NCC GroupのEscode売却──最適オーナーへの譲渡で、次の成長をつくる

1. 直近の事例を調査する（企業名、事業内容、経緯を整理）

今回取り上げるのは、英国のサイバーセキュリティ企業 NCC Group が、ソフトウェアエスクロー事業 Escode を売却し、純粋なサイバーセキュリティ企業へ絞り込んだ事例です。ソフトウェアエスクローとは、企業が重要なシステムを外部ソフトウェアに頼るとき、万一ベンダーが倒産したり保守できなくなったりしても事業を止めないよう、ソースコードや関連資料を第三者が預かる仕組みです。Escode はこの領域で長く実績を持ち、法務、交通、公益、金融、政府など幅広い顧客に使われていました。
NCC Group は2026年1月21日、Escode を TDR Capital が管理する投資ファンド傘下の会社へ売却すると発表しました。企業価値は2億7500万ポンド、2025年度調整後EBITDAの約9倍という条件です。Escode は2025年度に売上高6650万ポンド、粗利率71.4％を記録し、13四半期連続で為替影響を除いた増収を続けていました。つまり、売られたのは不調な事業ではありません。むしろ、収益性が高く、買い手にとっても独立成長の余地がある事業でした。
売却は2026年5月29日に完了しました。NCC Group は、これにより「pure-play Cyber business」、つまりサイバーセキュリティとレジリエンスに特化した会社になったと説明しています。さらに6月11日には、残るサイバー事業について検討していた戦略レビューを終了し、会社全体の売却ではなく、上場会社として独立運営を続ける判断を示しました。7月7日には、Escode 売却後の資金を使い、1億7000万ポンドの公開買付型自己株取得と1500万ポンドの追加自社株買い、合計1億8500万ポンドの株主還元案を発表しました。7月23日の株主総会でその承認を求める流れです。

2. 事例を元に分析する（撤退・転換理由、市場環境、競合、内部要因、意思決定のタイミングと判断基準）

この事例の面白い点は、「良い事業を売る」判断です。Escode は利益率も成長実績もあり、単純に見れば持ち続けたくなる事業です。ただ、NCC Group が見ていたのは、個別事業の良し悪しだけではありませんでした。会社全体として、どこに経営資源を集中させると一番わかりやすく価値を作れるか、という問いです。
サイバーセキュリティ市場は、需要が強い一方で変化も速い市場です。AI、クラウド、規制対応、サプライチェーンリスク、ランサムウェアなど、企業が守るべき範囲は広がっています。ISC2 の2026年調査でも、企業がAIやクラウド領域のスキルを急いで強化していることが示されています。ENISA の脅威分析も、デジタル依存が高まるほど攻撃の影響が連鎖しやすくなると指摘しています。こうした環境では、サイバー企業に求められるのは、単発の診断や助言だけでなく、継続的に顧客のリスクを見て、対応し、改善していく力です。
一方で、Escode はサイバーと近い場所にありながら、事業の性格は少し違います。ソフトウェアエスクローは、安定的で高収益な事業ですが、顧客価値の中心は「預かる」「検証する」「継続性を担保する」ことにあります。NCC Group が伸ばしたい、技術主導の継続サービス、グローバルな提供体制、単一のテクノロジースタックとは、必要な投資や営業のリズムが必ずしも同じではありません。
タイミングも重要です。Escode は弱ってから売却されたのではなく、13四半期連続成長という強い状態で売られました。良い状態であれば、買い手は将来性に対して価格を払いやすく、従業員や顧客にも「次の成長のための所有者変更」と説明しやすい。さらに売却後すぐ、NCC Group は残るサイバー事業のレビューを終え、会社売却ではなく独立成長を選びました。これは、資産を売って終わりではなく、「残す事業をどう育てるか」まで一連で決めた点に意味があります。

3. どうすればよかったかを考える（早期シグナル、別の選択肢、リソース配分や戦略の改善点）

結果だけを見ると、NCC Group の判断はかなり整理されています。ただ、学びとして考えるなら、もっと早い段階から「隣接しているが別物の事業」を見分ける仕組みがあると、さらに意思決定は滑らかだったかもしれません。Escode はサイバーに近い名前で語れます。しかし、近いことと、同じ経営モデルで伸ばせることは違います。
早期シグナルとして見るべきだったのは、共通顧客の多さだけではなく、営業サイクル、必要人材、プロダクト投資、価格の決まり方、顧客が契約を更新する理由です。たとえば、サイバー診断やマネージドサービスでは、脅威の変化に合わせて提案内容が変わり、顧客との接点も頻繁になります。エスクローでは、信頼性や継続性が大切で、急激な機能追加よりも、安定した運用と検証品質が価値になります。この違いが大きくなるほど、同じ会社の中で優先順位をつけるのは難しくなります。
別の選択肢としては、完全売却ではなく、Escode を独立子会社化して一部持分を残す方法もありました。そうすれば安定収益を一部取り込みながら、外部資本で成長させる道もあったでしょう。ただし、その場合は親会社の注意が残り、投資家から見ると「結局どの会社なのか」がぼやける可能性があります。NCC Group は、わかりやすさを選んだとも言えます。
リソース配分の改善点は、売却後のサイバー事業にどのような投資基準を置くかです。資金が入ると、買収や新サービス開発を急ぎたくなります。しかし、事業を絞った直後ほど、「成長するものなら何でも買う」のではなく、既存の顧客基盤、技術基盤、営業体制と本当に重なるかを厳しく見る必要があります。撤退や売却のあとに大切なのは、空いた場所をすぐ埋めることではなく、集中した意味を守ることです。

4. 今後の道筋や教訓を考えてみる（他企業への示唆、撤退を戦略的判断として捉える視点、次の挑戦への教訓）

NCC Group の事例から得られる教訓は、撤退とは「悪い事業を片づけること」だけではない、ということです。むしろ、良い事業であっても、会社の次の姿に合わなくなったら、よりふさわしい所有者に渡すほうが価値を生むことがあります。これは少し勇気のいる判断です。なぜなら、利益を出している事業を手放すと、短期的には売上もEBITDAも小さく見えるからです。
ただ、企業価値は大きさだけで決まりません。投資家、顧客、従業員にとって、「この会社は何で勝つのか」が明確なことも大切です。NCC Group は、Escode という強い事業を売ることで、サイバーセキュリティとレジリエンスに集中する会社だと示しました。そして売却資金の大きな部分を株主に返しつつ、残る資金を将来の成長やM&Aに使える余地も残しました。
他企業への示唆は、ポートフォリオを点検するときに「赤字か黒字か」だけで判断しないことです。黒字でも、経営陣の時間を分散させている事業はあります。成長していても、主戦場と顧客価値の作り方が違う事業もあります。反対に、今は小さくても、将来の中核になる事業もあります。大切なのは、それぞれの事業が会社の未来像にどうつながるかを、定期的に言葉にすることです。
撤退や売却は、過去を否定する行為ではありません。Escode は NCC Group の中で育ち、顧客の信頼を積み重ね、強い状態で次の所有者へ移りました。これは失敗ではなく、成熟した事業を次の成長環境へ送る判断です。企業が次の挑戦に向かうとき、必要なのは「全部を抱え続ける力」ではなく、「何を残し、何を託すか」を静かに決める力なのだと思います。
---

English Version

1. Reviewing the Recent Case

This column looks at NCC Group, the UK-based cybersecurity company, and its decision to sell Escode, its software escrow business, while narrowing its identity into a pure-play cybersecurity and resilience company. Software escrow is a service that helps companies maintain access to business-critical software and data if a vendor fails, stops supporting a product or can no longer meet its obligations. Escode had a long track record in this field and served customers across legal services, transport, utilities, fintech, government and other sectors.
On January 21, 2026, NCC Group announced that it had agreed to sell Escode to companies controlled by funds managed by TDR Capital. The transaction valued Escode at GBP 275 million, or around nine times FY2025 adjusted EBITDA. Escode was not a weak business. In FY2025, it generated revenue of GBP 66.5 million, maintained a gross margin of 71.4%, and had achieved thirteen consecutive quarters of constant-currency revenue growth.
The sale was completed on May 29, 2026. NCC Group said the transaction sharpened its focus as a pure-play cyber security and resilience provider. On June 11, the company concluded its strategic review of the remaining Cyber business and decided that staying listed and independent was in shareholders' best interests at that time. On July 7, it proposed returning GBP 185 million to shareholders through a GBP 170 million tender offer and a GBP 15 million buyback programme, subject to approvals including the general meeting scheduled for July 23, 2026.

2. Analysis of the Case

The most interesting feature of this case is that NCC sold a good business. Escode was profitable, growing and strategically adjacent to cybersecurity. Yet the central question was not whether Escode was good. It was where NCC Group could create the clearest value as a whole.
Cybersecurity is a strong but fast-changing market. AI, cloud migration, regulation, supply-chain exposure and ransomware are expanding what customers need to protect. In this environment, cybersecurity companies are expected to provide continuous services, risk visibility and rapid response, rather than only one-off consulting. Escode, by contrast, was a stable, high-margin resilience business focused on custody, verification and continuity. It was related to cyber resilience, but its operating rhythm, investment needs and customer value proposition were not exactly the same.
Timing also mattered. Escode was sold while it was strong. That likely helped NCC receive a clearer valuation and made the change easier to explain to customers and employees as a move toward the next stage of growth. NCC then closed the strategic review of its remaining Cyber business and chose independent execution rather than pursuing a company sale. In that sense, this was not just an asset sale. It was a sequence of choices about what kind of company NCC wanted to become.

3. What Could Have Been Done Better

The case appears well structured, but it still offers a useful lesson. Companies need a way to distinguish between businesses that are close in theme and businesses that truly share the same operating model. Escode could be described as adjacent to cyber. But adjacency does not always mean that the same sales motion, technology stack, talent base or investment cycle will work.
Early signals would include customer overlap, renewal reasons, product development rhythm, pricing logic and the type of talent required. A managed cybersecurity service may need frequent customer contact and constant adaptation to new threats. An escrow business may place more value on stability, trust and verification quality. As those differences widen, prioritization inside one group becomes harder.
NCC could theoretically have kept a minority stake or created a more independent subsidiary structure. That might have preserved some exposure to Escode's stable earnings. But it also would have left complexity behind. By choosing a clean sale, NCC made the message simpler: the remaining company is a cybersecurity and resilience specialist.

4. Future Path and Lessons

The lesson is that withdrawal is not only about fixing failure. Sometimes a strong business can create more value under a different owner if it no longer fits the next shape of the company. That is a difficult decision because selling a profitable unit can make revenue and EBITDA look smaller in the short term.
But corporate value is not only about size. Clarity also matters. Investors, customers and employees need to understand where a company intends to win. NCC Group used the Escode sale to clarify its focus, return a large portion of proceeds to shareholders and keep room for future investment in cyber growth.
For other companies, the practical message is to review portfolios by strategic fit, not only by profitability. A profitable business may still dilute management attention. A growing business may still have a different customer logic from the core. Conversely, a small business may deserve more investment if it points toward the future core.
Selling or exiting a business does not have to deny the past. Escode was built inside NCC Group, earned customer trust and moved to a new owner while it was still strong. That is not failure. It is a way of placing a mature business in a setting where it may continue to grow. The next challenge for NCC Group is to prove that focus can become momentum.
---

参考資料 / References

• NCC Group: NCC Group completes sale of Escode
• London South East RNS: NCC announces Sale of Escode Business
• London South East RNS: NCC Group unaudited interim results, 11 June 2026
• Investegate: Conclusion of the Cyber Strategic Review
• Investegate: Capital Reduction and Tender Offer
• ISC2: 2026 Security Training Trends
• ENISA: Threat Landscape 2025 press release