Maîtriser les budgets cloud dans Azure : consommation, remises et trafic sortant

Sans mesure continue, pas de budget

Dans le cloud, les coûts sont générés par la consommation, et non par l'achat. L'Association suisse des banquiers décrit le cloud computing selon la définition du NIST (NIST SP 800-145) comme un modèle permettant d'accéder à tout moment et en tout lieu, via un réseau, à un pool partagé de ressources informatiques configurables – réseaux, serveurs, systèmes de stockage, applications et services. Ces ressources peuvent être provisionnées rapidement et avec un effort administratif minimal.

Le PFPDT décrit cette même caractéristique sous l'angle applicatif : les logiciels, les capacités de stockage, les outils de développement ainsi que la puissance réseau ou informatique sont fournis par le prestataire selon les besoins. Celui qui ne mesure pas sa consommation en continu ne connaît ses coûts qu'à la réception de la facture.

CloudOps cadre cette tâche sur le plan opérationnel : il s'agit des procédures et des outils de surveillance, de sécurisation et d'optimisation des logiciels et des services au sein de l'infrastructure cloud. La mesure de la consommation n'est donc pas un inventaire ponctuel, mais une tâche récurrente d'exploitation avec des responsabilités clairement définies.

La base de mesure est fournie par le Cloud Monitoring. Nutanix définit ce terme comme les stratégies et procédures permettant aux entreprises d'analyser, de suivre et de gérer l'état, les performances, la disponibilité et la sécurité de leurs services et applications basés sur le cloud. Sous forme de logiciel automatisé, il offre aux administrateurs une vue d'ensemble complète de l'état et des performances, aidant à détecter et corriger précocement les faiblesses avant qu'elles n'affectent l'expérience des utilisateurs finaux.

Nutanix exige notamment l'intégration des outils de surveillance avec différents fournisseurs cloud. Pour ceux qui s'approvisionnent auprès de plusieurs prestataires, cette intégration est indispensable afin de rendre la consommation et les coûts comparables dans une vue unique.

Quatre instruments portent la gestion budgétaire, chacun avec son propre nom : le Cloud Monitoring pour la série de mesures, Microsoft Cost Management pour l'analyse et les prévisions de dépenses, Azure Budgets pour la définition des limites par unité, et Azure Copilot pour une vue consolidée des coûts. Qui ne sépare pas la mesure de la décision ne peut pas justifier une réservation.

Les données de consommation ne servent de levier de pilotage que si elles fournissent quatre éléments : le type de ressource, l'affectation, la référence temporelle et la qualité des données. Le type de ressource englobe la puissance de calcul, le stockage, le réseau et le trafic sortant. L'affectation se fait par client, projet ou centre de coûts. La référence temporelle distingue la charge de base stable des pics ; la qualité des données doit être fiable.

Aproda intègre la validation, le contrôle des doublons et la cohérence comme une phase distincte de la gestion des données. Sans affectation, un chiffre de consommation reste un nombre sans destinataire – et donc sans impact budgétaire.

Les données de consommation proviennent de plusieurs points de collecte. Aproda cite les ERP, les CRM, les boutiques en ligne, les appareils IoT et les applications mobiles, et structure la gestion des données en six phases : collecte des données, architecture des données, stockage des données, qualité des données, analyse et reporting, ainsi que gouvernance et sécurité.

Celui qui ne capture, ne structure et n'analyse pas systématiquement les données provenant de sources diverses prend des décisions à l'aveugle. Cela vaut tant pour l'exploitation que pour le budget.

Le PFPDT souligne que les services cloud se distinguent par leur fourniture sous forme de solutions standardisées. Les prestations standardisées peuvent être mesurées de manière uniforme et comparées entre prestataires et dans le temps. C'est uniquement cette comparabilité qui transforme les données de consommation en une grandeur budgétaire.

Le PFPDT cite comme applications typiques Office 365, les outils de collaboration en ligne, les systèmes CRM en ligne et le téléchargement de fichiers sur un serveur distant. Chacune génère une consommation continue et donc un poste de coût récurrent.

Microsoft Cost Management propose cinq fonctions nommées : l'analyse des coûts, les budgets, les alertes de coûts, l'allocation des coûts et les exportations. L'analyse des coûts catégorise les dépenses par groupe de ressources, service, emplacement ou balise.

Microsoft Cost Management suit la consommation, surveille les dépenses, identifie les anomalies de coûts et établit des prévisions de dépenses. L'analyse des coûts catégorise les coûts cloud par groupe de ressources, service, emplacement ou balise. Azure Copilot consolide les coûts, compare la consommation et isole les fluctuations.

Microsoft Cost Management renforce la responsabilité grâce aux budgets, à l'allocation des coûts et aux politiques de gouvernance. Les données de consommation obtiennent ainsi une adresse où elles deviennent pertinentes pour le budget.

Surveillance et alertes budgétaires adaptées à l'exploitation

Une solution de surveillance pour les PME et les prestataires de services IT doit mesurer de manière granulaire, afficher de façon centralisée et alerter de manière fiable. Le prestataire Naveum exploite le logiciel de surveillance PRTG en tant que service hébergé et propose des capteurs pour les systèmes, les appareils et les applications : Ping, http, SMTP, FTP, POP3, reniflage de paquets ainsi que des capteurs SQL pour Oracle, MS-SQL et MySQL.

Dans Azure Budgets, chaque budget nécessite au moins un seuil de coût exprimé en pourcentage du budget et une adresse e-mail. Il est possible de définir jusqu'à cinq seuils et cinq adresses e-mail par budget. Dans l'exemple de Microsoft, une alerte e-mail est générée lorsque 90 pour cent du budget sont atteints.

Les sondes distantes (Remote Probes) collectent les données localement chez le client ; l'ensemble est présenté sur une seule plateforme de surveillance basée sur le web. Selon le prestataire, les notifications sont envoyées par e-mail ou via Microsoft Teams ; des forfaits économiques sont disponibles à partir de 100 capteurs.

La surveillance est exploitée en tant que service : le prestataire fournit les serveurs, exploite et met à jour le logiciel. Selon Naveum, la plateforme repose entièrement dans des centres de données suisses. Cela favorise la souveraineté des données et permet de planifier les efforts d'exploitation, car aucune infrastructure matérielle propre ni travail de mise à jour n'incombe au client.

Les budgets se réinitialisent automatiquement au même montant à la fin d'une période – mensuelle, trimestrielle ou annuelle. Si les montants budgétisés des périodes futures diffèrent, des budgets séparés doivent être créés. Lorsqu'un seuil est atteint, les notifications par e-mail sont généralement envoyées dans l'heure suivant l'évaluation.

Pour les prestataires de services IT, un deuxième effet s'ajoute : les données de surveillance permettent de prouver le respect des SLA (accords de niveau de service) et offrent aux clients une transparence sur la disponibilité (uptime).

Avant la mise en place, il convient de clarifier ses propres exigences : quels systèmes et applications sont critiques pour l'activité ? Quelles métriques en découlent ? Par quel canal les alertes sont-elles transmises, où les données de mesure sont-elles hébergées, et qui intervient en dehors des heures ouvrables ?

Pour la gestion budgétaire, la surveillance fournit la série de mesures, pas la décision. Celui qui peut documenter la charge de base et les pics sur plusieurs mois est en mesure de justifier la part qu'il engage de manière fixe et celle qu'il approvisionne selon les besoins.

Du chiffre à la décision : identifier les valeurs aberrantes

Une mesure continue ne devient un outil de pilotage que lorsque les écarts sont repérés. Le Cloud Monitoring peut être mis en œuvre sous forme de logiciel automatisé qui surveille en continu et offre aux administrateurs cloud une vue d'ensemble complète de l'état et des performances. La détection d'anomalies signifie que ce n'est pas la valeur absolue qui déclenche l'alerte, mais l'écart par rapport au schéma connu d'un système ou d'un client.

Outre la détection d'anomalies et les données en temps réel, les processus automatisés font partie des moyens disponibles. Pour le budget, cela signifie qu'un écart détecté déclenche une étape prédéfinie, au lieu de se contenter de générer un message.

En plus des coûts réels, un budget peut aussi réagir aux prévisions. Un seuil prévu est configuré en pourcentage du budget ; l'alerte est émise lorsque la prévision de coûts dépasse cette valeur. Ainsi, une évolution est repérée avant que l'argent ne soit dépensé.

Les mêmes mécanismes s'appliquent aux coûts : une augmentation inhabituelle de la consommation ou du trafic sortant est repérée le jour de son apparition, et non à la fin du mois sur la facture.

En pratique, deux niveaux sont nécessaires : les seuils d'alerte avertissent immédiatement, en cas de dépassement, là où une réaction effective est possible – par exemple par e-mail ou dans un canal Teams. Les alertes de tendance signalent une évolution progressive avant qu'une limite ne soit atteinte. Celui qui ne consulte la facture qu'à la fin du mois ne peut corriger ni une configuration erronée ni un pic de charge inattendu durant cette période.

Les canaux d'alerte sont définis : Naveum notifie par e-mail ou Microsoft Teams, Azure Budgets par e-mail, SMS ou webhook. Via Azure Automation et Azure Logic Apps, un événement budgétaire déclenche une action, comme l'arrêt de machines virtuelles. Celui qui doit être joignable en dehors des heures ouvrables définit le canal et la personne cible avant la première alerte.

Cela implique un rythme d'évaluation fixe : celui qui vérifie les alertes de tendance chaque semaine repère un glissement avant qu'il ne se reflète dans la facture mensuelle. Sans ce rythme, la détection d'anomalies reste sans conséquence.

Pour l'évaluation, Aproda cite Power BI, les tableaux de bord et le Self Service BI comme composants de l'analyse et du reporting. Dans l'écosystème Microsoft, Aproda mentionne Microsoft Dataverse pour le travail opérationnel et Microsoft Fabric comme plateforme analytique. Aproda AG accompagne les PME suisses en tant qu'intégrateur Microsoft Dynamics 365, de la stratégie à la mise en œuvre jusqu'à l'exploitation courante.

Azure Budgets définit des limites pour les dépenses cloud : période, montant et seuil d'alerte. Les alertes sont basées sur les coûts réels ou prévus et sont envoyées par e-mail, SMS ou webhook. Intégrés à Azure Automation et Azure Logic Apps, ils permettent de déclencher des actions, telles que l'arrêt de machines virtuelles lors de l'atteinte d'une limite de dépenses.

Les Azure Budgets peuvent être créés à plusieurs niveaux : pour l'abonnement entier, un groupe de ressources ou des ressources individuelles. Chaque unité reçoit ainsi sa propre limite, au lieu que toute l'organisation ne soit mesurée sur un budget global.

Trois modèles d'application reviennent régulièrement : un budget mensuel pour les environnements de développement, un pour les environnements de production et un pour les environnements de test. Dans les environnements de test, les ressources inutilisées sont arrêtées automatiquement en dehors des heures ouvrables ; cela réduit les dépenses sans modifier le pilotage.

Microsoft Cost Management propose des alertes de coûts pour les pics ou les baisses de dépenses. Les exportations créent des rapports personnalisés et intègrent les données de coûts dans d'autres systèmes d'entreprise. Ainsi, le rythme d'évaluation issu de la mesure est directement repris dans la comptabilité ou le controlling.

Azure Budgets fait partie de Microsoft Cost Management. Les limites de dépenses, les alertes de coûts, l'allocation des coûts et les exportations accèdent donc à la même vue des coûts.

Approvisionnement selon les besoins ou fixation de la capacité

L'approvisionnement selon les besoins est la marque distinctive du cloud. L'Association suisse des banquiers cite la définition du NIST : à la demande, il est possible d'accéder à tout moment et en tout lieu, via un réseau, à un pool partagé de ressources informatiques configurables. Celles-ci peuvent être mises à disposition rapidement et avec un effort administratif minimal, ou avec une interaction réduite avec le fournisseur de services.

L'Association des banquiers cite comme avantages : les nouvelles technologies telles que l'intelligence artificielle sont utilisables sans investissements majeurs dans son propre matériel et logiciels. De grands volumes de données peuvent être analysés en temps réel. Le développement et les tests d'applications apportent des gains d'efficacité.

Ce qui peut être réservé dépend du mode d'approvisionnement. L'Association des banquiers cite trois variantes d'utilisation – Infrastructure as a Service, Platform as a Service et Software as a Service – ainsi que quatre modes de déploiement : cloud privé, communautaire, public et hybride. Plus le service approvisionné est standardisé, plus il est facile de chiffrer les besoins à l'avance.

La capacité réservée est le modèle opposé à l'approvisionnement spontané. Avec une réservation Azure, on s'engage à utiliser un type spécifique d'instance de calcul ou une famille d'instances dans une région Azure donnée pour une période déterminée, par exemple une VM D2v4 pendant un an. Ce calcul n'est viable que si les données de mesure attestent d'une demande stable ; sinon, on paie pour une puissance inutilisée.

La base de décision est fournie par la surveillance : niveau et stabilité de la charge de base sur plusieurs mois, l'évolution attendue, la durée de l'engagement et les coûts de changement. Il faut également clarifier pour quelle région et quel fournisseur la réservation s'applique, et ce qui advient en cas de non-utilisation.

Avant de s'engager, la série de mesures doit être examinée : ce n'est que lorsque la charge de base et les pics sont documentés sur plusieurs mois que la part à réserver peut être justifiée. En l'absence de ces données, la réservation relève de la supposition et non du calcul.

Pour les charges fluctuantes, Microsoft propose des plans d'épargne (Savings Plans) : on s'engage pour 1 ou 3 ans à un montant fixe en dollars par heure ; un engagement non utilisé durant une heure est perdu. Avec un plan d'épargne pour le calcul, on économise jusqu'à 65 % sur les tarifs de facturation à l'usage, et avec un plan d'épargne pour les bases de données jusqu'à 35 %. Les réservations offrent des remises plus élevées en cas d'utilisation stable.

Un instrument pour cet examen est le guide cloud de l'Association suisse des banquiers. Il montre aux banques des approches de solution réalisables pour concrétiser et opérationnaliser les exigences légales et réglementaires par des mesures techniques et organisationnelles. Celui qui engage de la capacité sur une durée fixe a besoin de cette concrétisation avant de donner son accord.

Microsoft Cost Management établit des prévisions de dépenses sur la base de la consommation antérieure. Cette prévision fournit les chiffres pour la décision de réservation : niveau et stabilité de la charge de base sur plusieurs mois. Sans prévision fiable, toute réservation reste une hypothèse.

Microsoft Cost Management répartit les coûts cloud sur les unités commerciales, les projets ou les clients via des règles d'allocation des coûts. La part réservée peut ainsi être attribuée à une unité, au lieu de charger toute l'organisation.

Pour la décision de réservation, trois composants nommément désignés s'emboîtent : la série de mesures issue du Cloud Monitoring, la prévision de dépenses de Microsoft Cost Management et la limite définie dans Azure Budgets.

Trafic sortant et localisation des données comme facteurs de coût et de risque

Chaque mouvement de données franchissant une limite système – entre régions, zones ou fournisseurs – constitue un poste de coût distinct et une question de protection des données. Le PFPDT cite trois points nécessitant une attention particulière lors de l'utilisation de services cloud : le recours à des sous-traitants et sous-sous-traitants, la sécurité du traitement des données, le transfert de données personnelles vers des pays tiers. En cas de communication de données à l'étranger, le PFPDT indique qu'il convient de vérifier avant la communication si elle satisfait aux exigences légales.

Poste de coût et poste de risque constituent le même mouvement de données, simplement évalué différemment. En tant que poste de coût, il apparaît dans l'analyse des coûts de Microsoft Cost Management ; en tant que poste de risque, la question se pose de savoir si une communication de données à l'étranger satisfait aux exigences légales. Des responsabilités séparées pour ces deux vues masquent le trafic sortant.

Le PFPDT cite comme exemples d'utilisation du cloud, entre autres, le téléchargement de vidéos sur des plateformes de streaming et le téléchargement de fichiers sur un serveur distant. Ces deux opérations déplacent des données au-delà d'une limite système et génèrent ainsi du trafic sortant en tant que poste de coût distinct.

Le coût du trafic sortant est indiqué dans la liste de prix Azure pour la bande passante. Les données entrantes et les transferts au sein de la même zone de disponibilité sont gratuits. Pour les transferts interrégionaux au sein de l'Europe, le coût est de 0,02 $ par Go, et de 0,05 $ par Go de l'Europe vers d'autres continents. Les transferts entre services Azure dans la même région ne sont pas facturés.

Pour le budget, les mêmes quatre exigences s'appliquent que pour toute autre ressource : type de ressource, affectation, référence temporelle et qualité des données. Le trafic sortant doit être géré comme un type de ressource, affecté à un centre de coûts, ventilé dans le temps et enregistré avec une qualité fiable. Sinon, il ne peut être ni limité ni budgétisé.

Pour le trafic Internet sortant depuis l'Europe via le réseau Microsoft, les premiers 100 Go par mois sont gratuits. Ensuite, les 10 To suivants coûtent 0,087 $ par Go, les 40 To suivants 0,083 $, les 100 To suivants 0,07 $ et les 350 To suivants 0,05 $ par Go. Les mouvements de données doivent donc figurer comme une ligne distincte dans l'analyse des coûts.

Du point de vue des coûts, il en découle une règle d'architecture simple : laisser le traitement autant que possible là où les données sont générées, limiter la réplication au strict nécessaire et regrouper les exportations au lieu de transférer en continu. Celui qui sait quelles données vont où peut limiter le trafic sortant. Celui qui l'ignore ne peut ni le budgétiser ni le justifier auprès des mandants.

La localisation des données va dans le même sens. Les régions Azure Suisse Nord et Suisse Ouest appartiennent à la zone de facturation 1 avec l'Amérique du Nord et l'Europe ; les mêmes prix de trafic sortant s'y appliquent donc que pour les autres régions européennes.

Pour les fournisseurs livrant des autorités, l'exigence est devenue plus stricte. Bär & Karrer renvoie à la résolution de privatim, la Conférence suisse des responsables de la protection des données, publiée en novembre 2025. Bär & Karrer cite également l'appel d'offres de l'OFSP pour l'infrastructure SwissHDS de février 2026. Elle exige que tous les composants d'infrastructure ne présentent aucune dépendance technique ou juridique vis-à-vis de juridictions étrangères – par exemple du US CLOUD Act.

Celui qui sert de tels mandants doit pouvoir attester de la localisation des données et de la dépendance juridique des composants utilisés.

Le PFPDT renvoie à la fiche d'information révisée de privatim « Risques spécifiques au cloud et mesures » (2022). Il cite également deux brochures de l'Office fédéral allemand de la sécurité des technologies de l'information : « Utilisation sûre des services cloud – Pas à pas, de la stratégie à la fin du contrat » (2016) et la « Liste de contrôle pour le choix d'un service cloud » (2022).

Microsoft Cost Management catégorise les coûts cloud par service et emplacement. Celui qui gère le trafic sortant comme un service distinct le voit dans l'analyse des coûts comme un poste séparé. L'allocation des coûts l'affecte ensuite à un centre de coûts.

Qui porte la responsabilité dans l'exploitation

Les rôles sont définis par le droit de la protection des données. Selon le PFPDT, le fournisseur cloud agit généralement en tant que sous-traitant du client au sens de l'art. 9 LPD. Le client peut être responsable du traitement des données ou lui-même sous-traitant.

Rôles et mesure vont de pair : celui qui définit les seuils, acquitte les alertes et décide des réservations doit être désigné avant la première consommation. Sans cette attribution des responsabilités, les données de mesure restent un sous-produit de l'exploitation.

En tant que responsable, il doit s'assurer et garantir contractuellement que les exigences relatives au sous-traitement selon l'art. 9 LPD sont respectées. Il porte la responsabilité que les traitements effectués sur mandat soient conformes à la protection des données et que les droits des personnes concernées ne soient pas lésés. Le sous-traitement, les sous-sous-traitants et la communication de données à l'étranger doivent donc figurer dans chaque accord cloud avant que la première consommation ne survienne.

Sur le plan technique, les droits d'accès, le chiffrement et la conformité sont centraux. Aproda les traite comme une phase distincte « Gouvernance et sécurité » dans la gestion des données et rappelle que la loi fédérale révisée sur la protection des données (revLPD, depuis 2023) ainsi que le RGPD exigent une conformité démontrable.

Microsoft indique pour son cloud une capacité de 34'000 ingénieurs dédiés exclusivement aux initiatives de sécurité, ainsi que 15'000 partenaires disposant de compétences spécialisées en sécurité. S'y ajoutent plus de 100 certifications de conformité, dont plus de 50 spécifiquement orientées vers des régions et des pays globaux.

Concrètement, cela signifie : limiter les rôles et autorisations au strict nécessaire et journaliser l'accès aux données de production. Le chiffrement doit être défini pour les données au repos et en transit. Les journaux doivent être évalués périodiquement.

La gouvernance inclut la gestion de la dépendance envers le fournisseur. L'Association suisse des banquiers souligne que les banques dans le cloud doivent notamment respecter le secret professionnel selon la Loi sur les banques. Elles doivent prendre en compte les prescriptions en matière de protection des données, garantir la sécurité des données et la résilience. Les dépendances vis-à-vis de fournisseurs cloud individuels doivent être activement pilotées pour éviter toute perte de contrôle.

En dehors du secteur financier, la même question se pose sous une forme atténuée : existe-t-il un scénario de sortie, les données peuvent-elles être exportées dans un format utilisable, et les interfaces sont-elles documentées ?

Il n'existe pas de variante sans risque. Bär & Karrer analyse l'utilisation du cloud par les autorités suisses. Conclusion : chaque option nécessite des pesées d'intérêts au cas par cas entre fonctionnalité, sécurité, souveraineté et effort d'exploitation. Les options incluent un service cloud américain, un prestataire suisse ou européen, une solution sur site (on-premises) ou open source.

L'effort d'exploitation fait partie des critères de pondération. Bär & Karrer le cite aux côtés de la fonctionnalité, de la sécurité et de la souveraineté. Celui qui compare des options compare donc aussi l'effort pour l'exploitation, la preuve et la sortie.

La souveraineté numérique ne signifie ni autarcie ni isolement, mais la capacité de piloter et de contrôler de manière responsable l'utilisation de prestations numériques externes.

La décision concernant une réservation est une question de gouvernance : elle engage des moyens sur une durée fixe et nécessite une responsabilité nommément désignée.

Microsoft Cost Management répartit les coûts cloud sur les unités commerciales, les projets ou les clients. Catégorisez les ressources et créez des règles d'allocation des coûts pour répartir les dépenses ou les déplacer entre les ressources. Ainsi, l'affectation requise dans la gestion des données devient opérationnelle.