Guides

Où Dépenser en 2025 : le Framework du CTO pour une Allocation Intelligente du Budget IT

Par Marc Molas·26 janvier 2025·11 min de lecture

La plupart des conversations budgétaires d'un CTO au T1 se ressemblent. La finance demande un tableur. L'ingénierie demande plus de postes. Le CEO demande ce qu'on fait sur l'IA. Quelqu'un au board demande pourquoi les lignes cybersécurité ne cessent de gonfler. Et on attend du CTO qu'il traduise tout cela en un plan défendable, techniquement solide, commercialement justifié et politiquement tenable.

Le problème n'est pas que les CTOs ne savent pas où dépenser. C'est que le paysage a bougé assez vite pour rendre la logique d'allocation de l'année dernière déjà obsolète. Le playbook de 2023 — monter une squad cloud, recruter deux ingénieurs ML, acheter un SIEM — ne colle pas à un monde où la GenAI rebat les cartes du build-vs-buy chaque trimestre et où les agents autonomes deviennent une ligne de budget, pas un projet de laboratoire.

Voici ce que 90 % des CTOs et CIOs ont en commun cette année : ils augmentent leur budget. La prévision du secteur est une hausse de 8 % des dépenses IT mondiales en glissement annuel. Mais la hausse est inégale, et la vraie histoire, c'est là où cet argent se déplace.

Pourquoi 2025 Est Différent de 2024

Trois changements structurels ont fait exploser les anciens frameworks d'allocation :

La GenAI est passée de l'expérimentation au coût opérationnel. En 2023, l'IA générative était une ligne exploratoire — projets pilotes, formations d'équipe, quelques crédits API. En 2025, c'est un coût d'infrastructure récurrent : dépenses en API LLM, hébergement de bases de données vectorielles, outils de développement augmentés par IA (Copilot, Cursor, Claude Code), plateformes de gouvernance et, de plus en plus, fine-tuning de modèles personnalisés. Ce qui relevait de la R&D est désormais de l'OpEx.

La cybersécurité est devenue structurellement plus chère. La cybercriminalité approche 1 % du PIB mondial. Le coût pour se protéger croît plus vite que le coût pour attaquer, parce que les défenseurs ont besoin de systèmes en couches tandis que les attaquants n'ont besoin que d'une seule faille. Le budget sécurité n'est plus un pourcentage fixe des dépenses IT — il évolue avec la surface d'attaque, qui grandit chaque fois que vous livrez une nouvelle intégration, une API ou un agent IA.

La dette technique s'est accumulée pendant la période ZIRP. Les équipes qui ont livré vite entre 2020 et 2023 paient aujourd'hui la facture. Refactoring, modernisation, retrait du legacy passent de « choses qu'on fera quand on aura le temps » à « choses qui bloquent notre roadmap IA ». La dette technique est désormais une catégorie budgétaire, pas un backlog aspirationnel.

Si votre allocation 2025 ressemble à votre allocation 2024, c'est que vous sous-investissez dans l'IA, sous-financez la sécurité ou ignorez une dette qui coûtera plus cher l'année prochaine. Généralement les trois à la fois.

Le Framework d'Allocation

Le bon framework n'est pas une répartition rigide en pourcentages — c'est un ensemble de catégories, une logique de pondération qui s'ajuste au stade de l'entreprise, et une discipline pour forcer des arbitrages. Voici la structure qui fonctionne dans la plupart des contextes startup et scale-up.

Cinq catégories, pondérées par maturité

Catégorie	Early-stage (pré-Série A)	Growth-stage (Série A–B)	Mid-market
Run-the-business (infra, SaaS, plateforme)	25–30 %	30–35 %	35–40 %
Talents d'ingénierie (salaires, prestataires, nearshore)	40–50 %	35–45 %	30–35 %
IA et tech émergente (GenAI, agents, infra)	10–15 %	15–20 %	15–20 %
Cybersécurité et conformité	5–10 %	8–12 %	10–15 %
Dette technique et modernisation	5–10 %	5–10 %	10–15 %

Ces chiffres donnent une direction, pas une prescription. Ce qui compte, c'est la discipline de forcer chaque ligne dans l'un de ces buckets et de défendre le pourcentage face aux quatre autres.

Les questions qui forcent une allocation honnête

Avant de figer un chiffre, passez chaque bucket à la moulinette des trois mêmes questions :

Qu'avons-nous dépensé ici en 2024, et qu'avons-nous obtenu ? Si vous ne savez pas décrire le résultat, c'est que vous ne mesurez pas correctement — et vous avez probablement trop dépensé.
Si on coupait de 25 %, qu'est-ce qui cesserait précisément de fonctionner ? Si la réponse est floue, le budget est gonflé. Si la réponse est terrifiante, la catégorie est structurellement sous-financée.
Si on doublait, où irait le prochain dollar ? Cela expose si la catégorie a une vraie opportunité d'expansion ou juste une consommation latente.

Ce ne sont pas des questions de finance. Ce sont des questions de CTO — et les réponses sont souvent assez inconfortables pour que la plupart des équipes de direction les sautent.

Catégorie 1 — Run-the-Business : le plus gros risque caché

C'est là que le budget gonfle en silence. Factures cloud, abonnements SaaS, plateformes d'observabilité, infrastructure CI/CD, licences — ces lignes croissent avec les effectifs et l'usage, mais sont rarement ré-évaluées.

La discipline 2025 :

Le FinOps n'est pas optionnel. Si vous dépensez plus de 20 K$/mois en cloud et que vous n'avez pas de responsable FinOps désigné (même 20 % du temps d'une personne), vous perdez 15 à 30 % en gaspillage. Reserved instances non optimisées. Ressources orphelines. Environnements non-prod surdimensionnés.
Audit SaaS tous les six mois. Des outils sont achetés puis oubliés. Plateformes analytics redondantes, infrastructures de test abandonnées, outils de gestion de projet qui ont perdu la guerre interne. Coupez-les.
Consolidez l'observabilité. Datadog + New Relic + PagerDuty + trois plateformes de logs + une stack Grafana, ça s'additionne. Choisissez-en une comme principale et négociez.

L'heuristique : le run-the-business doit croître moins vite que le revenu. S'il croît plus vite, quelque chose fuit.

Catégorie 2 — Talents d'Ingénierie : là où la logique d'allocation déraille

Salaires, avantages, prestataires, engagements nearshore, conseil — c'est habituellement le plus gros bucket, et le plus dur à optimiser sans sous-doter ou surpayer.

Le mauvais pattern consiste à traiter les talents comme un coût fixe qu'on augmente linéairement avec l'ambition produit. Le meilleur pattern consiste à faire correspondre le modèle de talent à la forme de la charge :

Recrutements seniors permanents pour le travail de plateforme central — décisions d'architecture, systèmes critiques sur le plan sécurité, le code que personne d'autre ne devrait posséder.
Extension d'équipe nearshore pour une vélocité soutenue — livraison de fonctionnalités, services de support, flux de travail scalables qui demandent du jugement senior sans exiger un poste interne.
Squads dédiées pour des initiatives bornées — une nouvelle ligne de produit, un projet de modernisation, un programme d'intégration IA de six mois. Équipe complète déployée, montée en puissance et retirée au besoin.
Expertise fractionnelle pour des manques spécialisés — sécurité, conformité, domaines ML spécifiques — qui ne justifient pas un recrutement à temps plein.

Le basculement de 2025 : de plus en plus de CTOs mélangent ces modèles intentionnellement au lieu de se rabattre par défaut sur « on recrute tout le monde en interne ». Un blend bien conçu réduit le coût total de 30 à 50 % tout en augmentant la capacité de livraison, parce que vous dimensionnez chaque engagement à la charge réelle au lieu de maintenir une capacité fixe pour une demande variable.

L'heuristique : si vous ne pouvez pas justifier pourquoi chaque rôle est permanent plutôt que flexible, il ne devrait probablement pas l'être.

Catégorie 3 — IA et Tech Émergente : la catégorie où tout le monde sur- ou sous-dépense

C'est la catégorie la plus volatile de 2025. Certaines entreprises dépensent 500 K$/an en infrastructure GenAI pour des fonctionnalités que personne n'a demandées. D'autres traitent encore l'IA comme le problème de quelqu'un d'autre pendant que leurs concurrents livrent des produits AI-native.

Le cadre qui sépare les dépenses IA utiles du théâtre :

Tier 1 : productivité des développeurs (ROI le plus élevé, risque le plus faible).

Assistants de codage IA pour toute l'organisation d'ingénierie (Copilot, Cursor, Claude Code, Codeium)
Outils de test, de revue et de documentation augmentés par IA
Coût typique : 20 à 80 $ par développeur par mois
Résultat attendu : gain de vélocité de 20 à 40 % sur les tâches bien définies, mesurable sous 60 jours

Tier 2 : intégration produit (risque moyen, ROI variable).

Budget API LLM pour des fonctionnalités orientées utilisateur
Bases vectorielles, retrieval, infrastructure RAG
Plateformes de gestion et d'évaluation des prompts
Coût typique : très variable, mais doit avoir un impact économique unitaire mesurable
Résultat attendu : fonctionnalités spécifiques et bornées qui améliorent les métriques produit centrales

Tier 3 : travail sur modèles custom (risque maximum, ROI spéculatif).

Fine-tuning, pré-entraînement custom, modèles spécifiques à un domaine
Talent ML spécialisé
Réservations GPU
Coût typique : 100 K$ minimum, souvent 7 chiffres
Résultat attendu : indéfini sauf si un moat spécifique est en train d'être construit

La discipline : tier 1 d'abord, tier 2 quand il y a un cas d'usage prouvé, tier 3 uniquement quand vous avez le business case et le talent pour exécuter. La plupart des entreprises devraient allouer 60 % du budget IA au tier 1, 30 % au tier 2 et soit 10 % soit 0 % au tier 3.

L'heuristique : si votre budget IA est majoritairement tier 3 et que vous n'êtes pas une boîte IA, vous construisez des projets de laboratoire, pas du produit.

Catégorie 4 — Cybersécurité : la conversation budgétaire que personne ne gagne

Le budget sécurité est celui où chaque partie prenante a un modèle mental différent. Le CEO veut « assez pour dormir la nuit ». Le CFO veut un pourcentage fixe. Le board veut zéro incident. L'équipe sécurité en veut plus. Aucun de ces éléments n'est un framework d'allocation.

Le cadrage utile pour 2025 :

Socle : contrôles de base que toute entreprise au-delà de 10 ingénieurs doit avoir. Gestion des identités et accès, protection des endpoints, scan de vulnérabilités, SIEM ou équivalent, plan de réponse aux incidents, tests d'intrusion trimestriels. Non négociable et coûte typiquement 50 à 200 K$/an selon la complexité de la stack.
Montée en charge : contrôles qui grandissent avec la surface d'attaque. Gestion des secrets, sécurité API, cloud security posture management, DLP, gestion des risques tiers, automatisation de la conformité. Ces contrôles évoluent avec votre surface d'intégration.
Stratégique : investissements dans la défense propulsée par l'IA. Détection comportementale, outillage SOC propulsé par l'IA, systèmes de réponse autonomes. C'est là que les budgets 2025 croissent le plus vite — et là où beaucoup de dépenses restent théâtrales plutôt qu'effectives.

Avant d'acheter un outil de sécurité AI-native, posez deux questions : (1) quelle attaque empêche-t-il que votre stack actuelle ne prévient pas, et (2) quel est son taux de faux positifs sur vos données ? Un outil qui crie au loup 200 fois par jour vous coûtera plus en heures SOC qu'il ne vous en fera économiser.

L'heuristique : le budget sécurité doit suivre la surface d'attaque, pas les effectifs. Nouvelle API = plus de budget. Nouvelle intégration IA = plus de budget. Nouveau régime de conformité = plus de budget.

Catégorie 5 — Dette Technique : le bucket que personne ne veut défendre

91 % des CTOs citent la dette technique comme leur plus grand obstacle. La plupart n'allouent rien de spécifique pour l'adresser. Cet écart est la raison la plus fréquente pour laquelle les roadmaps glissent en 2025.

L'approche 2025 qui fonctionne :

Dédier un pourcentage de la capacité d'ingénierie, pas un budget séparé. 15 à 25 % de la capacité de l'équipe sur la modernisation, le refactoring et le retrait de dette fonctionne mieux qu'un « sprint dette » tous les six mois.
Mesurer le coût composé. Chaque déploiement bloqué par la dette, chaque pipeline lent, chaque incident enraciné dans du code legacy est un chiffre. Trackez-les, et la dette cesse d'être une préoccupation abstraite.
Financer la dette comme vous financez les fonctionnalités. Ingénieurs assignés, résultats suivis, impact mesurable sur la vélocité ou la fiabilité. La dette non trackée ne se traite pas.

L'IA a changé l'économie ici. Les assistants de code modernes peuvent accélérer le travail sur la dette d'un facteur 2 à 4 sur le refactoring de routine, l'amélioration de la couverture de tests et les migrations de langage. Le coût de retrait de la dette est plus bas en 2025 qu'il ne l'a jamais été. Cela ne sert à rien si vous n'allouez pas de temps pour le faire.

L'heuristique : si votre budget 2025 ne contient pas de capacité explicite de réduction de dette, votre budget 2026 sera encore plus moche.

La Discipline d'Allocation Que la Plupart des CTOs Sautent

Une allocation budgétaire vaut ce que vaut la discipline pour la réviser. Le mode d'échec courant est d'approuver un plan en janvier et de ne plus y toucher jusqu'en novembre.

La pratique qui sépare les bons CTOs des excellents : des revues trimestrielles de réallocation avec trois règles.

Repose toutes les questions. Qu'avons-nous dépensé ici le trimestre dernier, et qu'avons-nous obtenu ? Coupez ce qui n'a pas marché. Doublez la mise sur ce qui a marché.
Force un re-classement. Classez les cinq catégories par retour marginal attendu. Déplacez 5 à 10 % du budget du bas vers le haut.
Documente les arbitrages. Chaque déplacement a un coût. Dire oui à la cybersécurité, c'est dire non à autre chose. Écrivez ce que vous avez échangé, pour vous souvenir pourquoi quand la conversation revient.

Ce n'est pas de la finance bureaucratique — c'est de la discipline exécutive. Les CTOs qui font cela sont ceux qui peuvent défendre leur allocation devant n'importe quelle partie prenante à n'importe quel trimestre. Ceux qui ne le font pas sont ceux qui expliquent au T4 pourquoi le budget n'a pas livré ce qu'ils avaient promis au T1.

Où l'Argent Compte Vraiment en 2025

Si vous êtes bloqué dans la paralysie d'allocation, voici les paris les plus sûrs de l'année :

Les assistants de codage IA dans toute l'équipe d'ingénierie. Pas un pilote — un standard. Le gain de vélocité est mesurable et le coût est trivial comparé aux salaires d'ingénieurs.
Une fonction FinOps, même fractionnelle. Si vous dépensez plus de 250 K$/an en cloud, ça se rembourse en un trimestre.
La capacité de dette technique, explicitement allouée. Pas un label de backlog — un vrai pourcentage du temps d'équipe, tracké.
Une capacité d'ingénierie nearshore ou flexible pour les pics. Le marché du talent est trop cher et trop compétitif pour ne recruter qu'en interne permanent.
Un security posture management qui suit votre surface d'intégration. Les plus grosses brèches de 2025 ne viendront pas d'attaques directes — elles viendront d'une intégration tierce ou d'un outil IA que vous avez oublié de menacer.

Le reste, c'est de l'exécution.

Vous planifiez votre allocation 2025 et voulez un second avis sur la part ingénierie ? Parlez à un CTO qui peut modéliser le mix in-house vs. nearshore vs. flexible pour votre stade spécifique.