La facture AWS, Azure ou Google Cloud arrive. Elle a doublé sans que le chiffre d'affaires ait suivi. Personne dans l'équipe ne sait dire pourquoi. Le dirigeant voit un PDF de 18 pages. Le profil technique voit 200 lignes de produits aux noms opaques. Les deux ont raison d'être perdus : le cloud facture à l'usage, et l'usage non gouverné dérive.
Le réflexe dangereux, c'est d'éteindre « ce qui a l'air gros » un vendredi soir. On coupe un disque encore attaché à la production, ou on laisse allumé l'environnement de recette qui tourne depuis 14 mois. Le FinOps (gouvernance des coûts cloud) commence par comprendre, puis par étiqueter, puis seulement par éteindre.
Pourquoi la facture grimpe sans projet visible
Nous retrouvons les mêmes familles, sur AWS comme ailleurs.
- Ressources orphelines. Disques non attachés, adresses IP élastiques, snapshots oubliés, load balancers devant zéro instance. Ça facture. Ça ne sert plus.
- Recette allumée 24/7. Un staging copie de la prod, même taille, même week-end. Personne n'a posé un arrêt programmé.
- Mauvais dimensionnement. Une base surdimensionnée « pour plus tard ». Un disque gp2 jamais revu. Du transfert inter-régions que personne n'avait budgété.
- Licences et support. Un contrat Enterprise collé à un compte sandbox. Des logs trop verbeux envoyés dans un service payant au Go.
- Absence d'étiquettes. Impossible de dire quel service, quelle équipe, quel client. Donc impossible de recadrer.
Rien de tout cela n'est une « arnaque du cloud ». C'est un SI sans propriétaire de coût. On-premise, le serveur acheté était un budget annuel visible. Dans le cloud, chaque oubli est une ligne mensuelle.
Ce que l'on audite avant d'éteindre
Un audit FinOps chez nous, ce n'est pas un tableau Excel de promesses. C'est un accès console (lecture), une cartographie, et des économies chiffrées avant action.
Ordre de travail :
- Qui paie quoi. Comptes, organisations, devises (EUR ou CHF, le TJM est le même : 1000 HT / jour).
- Quoi tourne. Instances, bases, stockage, réseau. Âge, tags, owners.
- Quoi ne devrait plus. Orphelins, recette hors horaires, snapshots hors politique de rétention.
- Quoi garder, moins cher. Réservations, savings plans, droitsizing, classes de stockage. On ne réserve pas à l'aveugle : un engagement sur une instance que vous allez migrer dans trois mois est une fausse économie.
Le profil technique veut des graphiques Cost Explorer ou Azure Cost Management. Le dirigeant veut un montant : « voilà une part récupérable sans toucher à la prod, voilà une part qui demande un arrêt validé ». Nous parlons les deux langues dans le même compte-rendu. Nous ne citons pas un pourcentage miracle : chaque compte est différent. Un SaaS qui sert des clients 24/7 n'a pas les mêmes leviers qu'un batch nocturne oublié.
Un autre angle, souvent ignoré : la devise et le périmètre. Un compte AWS payé en dollars, un autre Azure en euros, des factures Infomaniak à côté. Le comité de direction additionne mal. Nous ramenons le lisible : par environnement (prod, recette, sandbox), par application, par mois. Ensuite seulement les actions.
FinOps n'est pas une migration
Beaucoup de dossiers mélangent trois sujets. Il faut les séparer.
La migration déplace des workloads. L'optimisation de perf (auto-scaling, cache) rend le service plus rapide. Le FinOps tient la facture. On peut faire du FinOps sur un compte mal migré. On peut migrer sans jamais regarder la facture. Les deux se paient.
Nous intervenons en France et en Suisse, à distance sur les consoles, sur site si le dossier le justifie. OpenStack et le cloud privé ont leurs propres compteurs : moins de surprise à la ligne, plus de capacité achetée d'avance. Le diagnostic n'est pas le même. Le principe si : un propriétaire, des étiquettes, une revue mensuelle.
Kubernetes, Lambda, GKE : le serverless et les conteneurs n'annulent pas le sujet. Ils le déplacent (requêtes, egress, nœuds sous-utilisés). Nous ne posons pas un cluster « parce que c'est moderne » pour ensuite découvrir la facture des nœuds idle.
Comment nous procédons
Accès en lecture, souvent sous cinq jours une première carte. Pas de coupure sans votre feu vert. Les actions à fort impact et faible risque (volumes orphelins, IP, recette la nuit) passent en premier. Les droitsizing de production passent après mesure.
Le run quotidien, si vous le souhaitez, se discute une fois les uns stables : maintenance cloud, pas un TJM infini. Le conseil au jour le jour reste à 1000 HT.
Côté AWS, Azure ou GCP, les leviers se ressemblent (tags, budgets, alertes de seuil). Les pièges diffèrent : IAM trop ouvert qui crée des ressources à l'insu du DSI, projets Google orphelins, souscriptions Azure collées à un tenant M365 que plus personne n'administre. L'audit commence par les identités, pas par le plus gros EC2.
Si votre facture est devenue illisible, envoyez-nous le dernier relevé (hors secrets). Nous vous disons s'il y a matière à un audit, ou si le montant est simplement le prix réel de ce que vous faites tourner.