On gastar el 2025: el framework d'un CTO per assignar el pressupost TI amb criteri
La majoria de converses de pressupost que té un CTO al Q1 sonen igual. Finances demana un full de càlcul. Enginyeria demana més headcount. El CEO pregunta per la IA. Algú del consell pregunta per què les partides de ciberseguretat no paren de créixer. I s'espera que el CTO ho tradueixi tot en un pla defensable: tècnicament sòlid, justificat comercialment i capaç de sobreviure políticament.
He tingut aquesta conversa des de la cadira de CTO, i el problema no és que els CTOs no sàpiguen gastar diners. És que el panorama ha canviat tan de pressa que la lògica d'assignació de l'any passat ja és obsoleta. El playbook del 2023 — muntar una squad de cloud, contractar dos enginyers d'ML, comprar un SIEM — no encaixa en un món on la GenAI reescriu les decisions de build-vs-buy cada trimestre i els agents autònoms són una partida pressupostària, no un experiment de laboratori.
Gairebé tots els CTOs i CIOs amb qui parlo tenen una cosa en comú aquest any: el pressupost puja. Les previsions del sector situen el creixement de la despesa global en TI al voltant d'un 4% interanual. Però la pujada és desigual, i la història de debò és cap a on es mouen aquests diners.
Per què el 2025 és diferent del 2024
Tres canvis estructurals han trencat els frameworks d'assignació de sempre:
La GenAI ha passat d'experiment a cost operatiu. El 2023, la IA generativa era una partida exploratòria — projectes pilot, formació d'equips, quatre crèdits d'API. El 2025 és un cost d'infraestructura recurrent: despesa en APIs de LLM, hosting de bases de dades vectorials, eines de desenvolupament augmentades amb IA (Copilot, Cursor, Claude Code), plataformes de governança i, cada cop més, fine-tuning de models propis. El que abans era R+D ara és OpEx.
La ciberseguretat s'ha tornat estructuralment més cara. Les estimacions situen el cost del cibercrim al voltant de l'1% del PIB mundial. Protegir-se encareix més de pressa que atacar, perquè els defensors necessiten sistemes en capes i als atacants els basta una sola via d'explotació. El pressupost de seguretat ja no és un percentatge fix de la despesa en TI — escala amb la superfície d'atac, que creix cada vegada que publiques una nova integració, una API o un agent d'IA.
El deute tècnic es va acumular durant l'expansió de l'era ZIRP. Els equips que van anar de pressa entre el 2020 i el 2023 ara estan pagant la factura. El refactoring, la modernització i la retirada de sistemes legacy estan passant de «coses que farem quan tinguem temps» a «coses que ens bloquegen el roadmap d'IA». El deute tècnic ja és una categoria pressupostària, no un punt aspiracional del backlog.
Si la teva assignació del 2025 s'assembla a la del 2024, o estàs invertint poc en IA, o tens la seguretat infrafinançada, o ignores un deute que l'any que ve costarà més. Normalment, totes tres coses alhora.
Un framework és una disciplina per forçar trade-offs, no un repartiment de percentatges
El framework correcte no és un repartiment rígid de percentatges: és un conjunt de categories, una lògica de ponderació que s'ajusta a l'etapa de l'empresa i una disciplina per forçar trade-offs. Aquesta és l'estructura que faig servir a la majoria de contextos de startup i scale-up.
Cinc categories, ponderades per maduresa
| Categoria | Fase inicial (pre-Sèrie A) | Fase de creixement (Sèrie A–B) | Mid-market |
|---|---|---|---|
| Run-the-business (infra, SaaS, plataforma) | 25–30% | 30–35% | 35–40% |
| Talent d'enginyeria (salaris, contractors, nearshore) | 40–50% | 35–45% | 30–35% |
| IA i tecnologia emergent (GenAI, agents, infra) | 10–15% | 15–20% | 15–20% |
| Ciberseguretat i compliment normatiu | 5–10% | 8–12% | 10–15% |
| Deute tècnic i modernització | 5–10% | 5–10% | 10–15% |
Són xifres orientatives, no prescriptives. El que importa és la disciplina d'encabir cada partida en un d'aquests calaixos i defensar-ne el percentatge davant dels altres quatre.
Les preguntes que forcen una assignació honesta
Abans de fixar cap xifra, passa cada calaix per les mateixes tres preguntes:
- Què hi vam gastar el 2024, i què en vam treure? Si no saps descriure el resultat, no ho estàs mesurant bé — i segurament vas gastar de més.
- Si ho retallem un 25%, què deixa de funcionar, exactament? Si la resposta és vaga, el pressupost està inflat. Si la resposta fa feredat, la categoria està estructuralment infrafinançada.
- Si ho dobléssim, on aniria el pròxim dòlar? Això destapa si la categoria té marge real d'expansió o només consum latent.
No són preguntes de finances. Són preguntes de CTO — i les respostes acostumen a ser prou incòmodes perquè la majoria d'equips directius se les saltin.
Categoria 1 — Run-the-business: el risc ocult més gran
Aquesta és la categoria on el pressupost s'infla en silenci. Factures de cloud, subscripcions SaaS, plataformes d'observabilitat, infraestructura de CI/CD, llicències — són partides que creixen amb el headcount i amb l'ús, però que gairebé mai es tornen a avaluar.
La disciplina del 2025:
- FinOps no és opcional. Si gastes més de 20.000 $ al mes en cloud i no tens un responsable de FinOps designat (encara que sigui el 20% del temps d'una persona), estàs perdent entre un 15 i un 30% en malbaratament. Reserved instances sense optimitzar. Recursos orfes. Entorns de non-prod sobredimensionats.
- Auditoria de SaaS cada sis mesos. Les eines es compren i s'obliden. Plataformes d'analítica redundants, infraestructura de test abandonada, eines de gestió de projectes que van perdre la guerra interna. Elimina-les.
- Consolida l'observabilitat. Datadog + New Relic + PagerDuty + tres plataformes de logs + un stack de Grafana acaben sumant. Tria'n una de principal i negocia.
L'heurística: el run-the-business hauria de créixer més a poc a poc que els ingressos. Si creix més de pressa, hi ha una fuita en algun lloc.
Categoria 2 — Talent d'enginyeria: on es trenca la lògica d'assignació
Salaris, beneficis, contractors, contractes nearshore, consultoria — acostuma a ser el calaix més gran de tots, i el més difícil d'optimitzar sense quedar-te curt de recursos o pagar de més.
El patró dolent és tractar el talent com un cost fix que escales linealment amb l'ambició de producte. El patró bo és ajustar el model de talent a la forma de la càrrega de feina:
- Sèniors en plantilla per a la feina de plataforma core — decisions d'arquitectura, sistemes crítics per a la seguretat, el codi que no pots deixar en mans de ningú més.
- Extensió d'equip nearshore per a velocitat sostinguda — lliurament de funcionalitats, serveis de suport, línies de treball escalables que demanen criteri sènior però no exigeixen antiguitat a la casa.
- Squads dedicades per a iniciatives acotades — una nova línia de producte, un projecte de modernització, un programa d'integració d'IA de sis mesos. Equip complet desplegat, posat a règim i retirat quan toca.
- Expertesa fraccionada per a buits especialitzats — seguretat, compliance, dominis concrets d'ML — que no justifiquen una contractació a jornada completa.
El canvi del 2025: cada cop més CTOs combinen aquests models de manera deliberada, en lloc de contractar-ho tot en plantilla per inèrcia. Per la meva experiència, una combinació ben dissenyada retalla el cost total entre un 30 i un 50% mentre augmenta la capacitat de lliurament, perquè dimensiones cada contracte segons la càrrega de feina real en lloc de mantenir capacitat fixa per a una demanda variable.
El contraargument honest: un model combinat afegeix sobrecost de coordinació, i una combinació mal gestionada surt més cara que l'equip intern que substituïa. La combinació només guanya si algú s'encarrega de les costures — interfícies, guàrdies, propietat del codi. Si no se n'encarrega ningú, contracta en plantilla i assumeix el sobrepreu.
L'heurística: si no pots justificar per què cada rol és permanent en lloc de flexible, probablement no ho hauria de ser.
Categoria 3 — IA i tecnologia emergent: la categoria on tothom gasta massa o massa poc
És la categoria més volàtil del 2025. Hi ha empreses que gasten 500.000 $ l'any en infraestructura de GenAI per a funcionalitats que cap usuari ha demanat. N'hi ha d'altres que encara tracten la IA com un problema d'altri mentre la competència publica productes AI-native.
El framework que separa la despesa útil en IA del teatre:
Tier 1 de despesa: productivitat del desenvolupador (ROI més alt, risc més baix).
- Assistents de codi amb IA per a tota l'organització d'enginyeria (Copilot, Cursor, Claude Code, Codeium)
- Eines de testing, revisió i documentació augmentades amb IA
- Cost típic: 20–80 $ per desenvolupador i mes
- Resultat esperat: guany de velocitat del 20–40% en tasques ben definides, mesurable en 60 dies
Tier 2 de despesa: integració de producte (risc mitjà, ROI variable).
- Pressupost d'API de LLM per a funcionalitats de cara a l'usuari
- Infraestructura de bases de dades vectorials, retrieval i RAG
- Plataformes de gestió i avaluació de prompts
- Cost típic: molt variable, però hauria de tenir un impacte mesurable en els unit economics
- Resultat esperat: funcionalitats concretes i acotades que millorin les mètriques core del producte
Tier 3 de despesa: feina amb models propis (risc més alt, ROI especulatiu).
- Fine-tuning, pre-entrenament propi, models específics de domini
- Talent especialitzat en ML
- Reserves de GPU
- Cost típic: 100.000 $ de mínim, sovint set xifres
- Resultat esperat: indefinit, tret que estiguis construint un moat concret
La disciplina: primer el tier 1, el tier 2 quan hi hagi un cas d'ús provat, i el tier 3 només quan tinguis el business case i el talent per executar-lo. La majoria d'empreses haurien d'assignar el 60% del pressupost d'IA al tier 1, el 30% al tier 2, i un 10% — o un 0% — al tier 3.
L'heurística: si el teu pressupost d'IA és sobretot tier 3 i no ets una empresa d'IA, estàs construint experiments de laboratori, no producte.
Categoria 4 — Ciberseguretat: la conversa de pressupost que ningú guanya
El pressupost de seguretat és aquell on cada stakeholder té un model mental diferent. El CEO vol «prou per dormir tranquil». El CFO vol un percentatge fix. El consell vol zero incidents. L'equip de seguretat sempre en vol més. Cap d'aquestes coses és un framework d'assignació.
L'enquadrament útil per al 2025:
- El sòl: els controls bàsics que qualsevol empresa de més de 10 enginyers ha de tenir. Gestió d'identitats i accessos, protecció d'endpoints, escaneig de vulnerabilitats, SIEM o equivalent, pla de resposta a incidents, tests de penetració trimestrals. És innegociable i acostuma a costar entre 50.000 i 200.000 $ l'any, segons la complexitat de l'stack.
- L'escala: els controls que creixen amb la superfície d'atac. Gestió de secrets, seguretat d'API, cloud security posture management, DLP, gestió del risc de tercers, automatització del compliment normatiu. Escalen amb la teva superfície d'integració.
- L'estratègic: inversions en defensa AI-native. Detecció basada en comportament, eines de SOC amb IA, sistemes de resposta autònoms. És on els pressupostos del 2025 creixen més de pressa — i on encara hi ha molta despesa teatral en lloc d'efectiva.
Abans de comprar cap eina de seguretat AI-native, fes dues preguntes: (1) quin atac evita aquesta eina que el teu stack actual no eviti, i (2) quina taxa de falsos positius té amb les teves dades? Una eina que fa saltar 200 falses alarmes al dia et costarà més en hores de SOC del que t'estalvia.
L'heurística: el pressupost de seguretat hauria d'escalar amb la superfície d'atac, no amb el headcount. API nova = més pressupost. Integració d'IA nova = més pressupost. Règim de compliment nou = més pressupost.
Categoria 5 — Deute tècnic: el calaix que ningú vol defensar
Pregunta a deu CTOs quin és el seu obstacle més gran i nou et diran que el deute tècnic. La majoria no hi assignen res en concret. Aquest buit és el motiu més habitual pel qual els roadmaps es retarden el 2025.
L'enfocament del 2025 que funciona:
- Dedica-hi un percentatge de la capacitat d'enginyeria, no un pressupost a part. Un 15–25% de la capacitat de l'equip en modernització, refactoring i retirada de deute funciona millor que un «sprint de deute» cada sis mesos.
- Mesura el cost compost. Cada desplegament bloquejat pel deute, cada pipeline lent, cada incident amb l'arrel en codi legacy és un número. Compta'ls, i el deute deixa de semblar una preocupació abstracta.
- Finança la feina de deute igual que finances les funcionalitats. Enginyers assignats, resultats amb seguiment, impacte mesurable en velocitat o fiabilitat. La feina de deute que no se segueix no es fa.
La IA ha canviat l'economia d'aquest calaix. Els assistents de codi moderns poden accelerar la feina de deute entre 2 i 4 vegades en refactoring rutinari, millores de cobertura de tests i migracions de llenguatge. Retirar deute és més barat el 2025 que mai. Però això no serveix de res si no hi reserves temps.
L'heurística: si el teu pressupost del 2025 no té capacitat explícita de reducció de deute, el del 2026 farà més mal a la vista.
La disciplina d'assignació que la majoria de CTOs es salten
Una assignació de pressupost val tant com la disciplina de revisar-la. El mode de fallada habitual és aprovar un pla al gener i no tornar-lo a mirar fins al novembre.
La pràctica que separa els bons CTOs dels excel·lents: revisions trimestrals de reassignació amb tres regles.
- Torna a fer totes les preguntes. Què hi vam gastar el trimestre passat, i què en vam treure? Retalla el que no va funcionar. Reforça el que sí.
- Força una reordenació. Ordena les cinc categories per retorn marginal esperat. Mou un 5–10% del pressupost de baix de tot cap amunt.
- Documenta els trade-offs. Cada moviment té un cost. Dir sí a la ciberseguretat és dir no a una altra cosa. Apunta què has sacrificat, perquè quan la conversa torni recordis per què.
Això no és burocràcia financera — és disciplina executiva. Els CTOs que ho fan són els que poden defensar la seva assignació davant de qualsevol stakeholder en qualsevol trimestre. Els que no, són els que al Q4 han d'explicar per què el pressupost no ha donat el que van prometre al Q1.
On importen de debò els diners el 2025
Si la paràlisi d'assignació et té encallat, aquestes són les apostes que jo faria primer:
- Assistents de codi amb IA per a tot l'equip d'enginyeria. No un pilot — un estàndard. El guany de velocitat és mesurable i el cost és trivial al costat dels salaris d'enginyeria.
- Una funció de FinOps, encara que sigui fraccionada. Si gastes més de 250.000 $ l'any en cloud, s'amortitza en un trimestre.
- Capacitat per a deute tècnic, assignada explícitament. No una etiqueta al backlog — un percentatge real del temps de l'equip, amb seguiment.
- Capacitat d'enginyeria nearshore o flexible per als pics de feina. El mercat de talent és massa car i massa competitiu per contractar només personal permanent en plantilla.
- Security posture management que escali amb la teva superfície d'integració. Les grans bretxes del 2025 no vindran d'atacs directes — vindran d'una integració de tercers o d'una eina d'IA que et vas oblidar de passar pel threat model.
La resta és execució.
Estàs planificant l'assignació del 2025 i vols una segona opinió sobre la part de talent d'enginyeria? Parla amb un CTO que pugui modelar la combinació entre plantilla, nearshore i flexible per a la teva etapa concreta.
