En bref : Processus certification TGV : la Trousse globale de vérification du réseau de la santé québécois se complète en cinq étapes, soit dépôt du dossier, analyse d’écarts, remédiation, vérification externe et décision du Bureau de certification. Chaque étape a ses exigences et ses délais propres, du dépôt jusqu’à la décision finale rendue par Santé Québec.
Si vous avez lu notre guide sur la certification TGV et que vous savez maintenant pourquoi cette démarche existe, la question suivante est pratique : à quoi ressemble concrètement le parcours ? Ce texte y répond, étape par étape, pour un responsable produit ou une direction technique qui doit décider où investir du temps et des ressources avant même d’ouvrir la grille de critères.
Nous avons aussi mis en ligne une courte vidéo qui présente ce parcours en quelques minutes, si vous préférez une vue d’ensemble avant de lire le détail de chaque étape.
Dans cet article
Processus certification TGV : quelles sont les cinq étapes ?
Le processus se résume, dans l’ordre, à ceci :
- Dépôt du dossier auprès du Bureau de certification.
- Analyse d’écarts contre la grille de critères en vigueur.
- Remédiation des lacunes relevées.
- Vérification externe, incluant un test d’intrusion obligatoire.
- Décision du Bureau de certification.
Une précision utile avant d’entrer dans le détail de chaque étape. Ce parcours n’est pas rigoureusement linéaire. Un écart découvert à l’étape 4 peut renvoyer votre dossier à l’étape 3 avant que la décision ne soit rendue. Mieux vaut le savoir dès le départ que le découvrir en cours de route.
Comment se déroule le dépôt du dossier ?
Le dépôt marque le début officiel de la démarche. Vous soumettez au Bureau de certification un dossier qui présente votre produit et qui commence à documenter sa conformité à la grille de critères en vigueur, laquelle compte 254 critères au moment d’écrire ces lignes.
Le dossier n’a pas besoin d’être complet à 100 % au dépôt, mais il doit être sérieux. Un dossier bâclé, qui laisse deviner que la démarche n’a pas été prise au sérieux en amont, s’attire davantage de questions et allonge le processus plutôt que de l’accélérer.
La grille elle-même, ainsi que le cadre général de la démarche, sont décrits dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W). C’est le document que le Bureau de certification utilise comme référence. C’est le nôtre aussi.
Le dossier se dépose sur la page de certification des solutions numériques du réseau de la santé. L’adresse exacte et la procédure de dépôt méritent d’être confirmées directement auprès du Bureau au moment où vous entamez la démarche, les modalités administratives évoluant plus vite que ce guide.
Qu’est-ce que l’analyse d’écarts et pourquoi elle change tout ?
L’analyse d’écarts consiste à confronter votre produit, critère par critère, à la grille en vigueur. Pour chaque critère, l’analyse aboutit à l’un de ces quatre statuts :
- Couvert : le produit répond déjà pleinement au critère.
- Partiellement couvert : une partie de l’exigence est en place, une partie manque.
- Écart : le critère n’est pas respecté et devra être corrigé en remédiation.
- Non applicable : le critère ne concerne pas le produit.
C’est l’étape charnière de tout le processus. Une analyse d’écarts honnête, faite tôt, transforme le reste de la démarche en exécution d’un plan. Une analyse bâclée ou optimiste transforme la vérification externe en mauvaise surprise.
La non-applicabilité d’un critère se documente et se justifie, elle ne se décrète pas. Un critère écarté sans justification écrite revient inévitablement dans les échanges avec le Bureau de certification.
Nous détaillons la méthode et les pièges de cette étape dans un article dédié : analyse d’écarts TGV, méthode, livrables et pièges.
Que couvre l’étape de remédiation ?
La remédiation, c’est le travail qui comble les écarts trouvés à l’étape précédente. Selon votre produit, cela peut prendre plusieurs formes :
- Rédiger des politiques qui n’existaient pas.
- Renforcer des contrôles de sécurité.
- Documenter un inventaire des renseignements personnels.
- Ajuster une architecture technique.
Une partie de la remédiation est technique. Une bonne partie ne l’est pas. Les critères de gouvernance et de protection des renseignements personnels se répondent avec de la documentation et des processus, pas seulement avec du code. Confier la remédiation à la seule équipe de développement, c’est risquer de la voir revenir.
Priorisez les écarts les plus structurels d’abord : un choix d’hébergement, une architecture de gestion des accès, une politique absente. Les corrections superficielles peuvent attendre. Les corrections qui touchent aux fondations de votre produit, non.
Cette étape est aussi celle où le calendrier se resserre le plus souvent. Un écart qui touche l’architecture prend des semaines à corriger, pas des jours. Un écart de documentation se comble plus vite, à condition que quelqu’un s’y consacre réellement plutôt que d’y revenir « quand il y aura du temps ».
Qui, dans mon organisation, doit être impliqué ?
La question revient presque à chaque échange exploratoire : qui doit s’asseoir à la table ? La réponse tient en une phrase : plus de monde que votre équipe technique seule.
Le responsable produit ou une direction technique porte généralement le dossier, parce qu’il connaît l’architecture et les choix qui ont façonné le produit. Mais une partie substantielle de la grille touche à la protection des renseignements personnels et à la gouvernance. Ces critères se répondent avec l’apport de qui gère la conformité et les politiques internes, pas seulement de qui écrit le code.
Selon la taille de votre organisation, cela peut vouloir dire une seule personne qui porte plusieurs chapeaux, ou une petite équipe formée pour l’occasion. Ce qui compte n’est pas le nombre de personnes autour de la table. C’est que les bonnes compétences y soient représentées avant le dépôt, pas découvertes en vérification externe.
Comment fonctionne la vérification externe, le test d’intrusion ?
La vérification externe est l’étape où votre dossier quitte vos mains. Elle comprend un test d’intrusion obligatoire, réalisé par une firme spécialisée choisie à même un bassin restreint de fournisseurs reconnus par le Bureau de certification. Vous ne choisissez pas cette firme vous-même.
Cette étape valide, de façon indépendante, ce que votre dossier affirme. Un test d’intrusion qui révèle des vulnérabilités que votre analyse d’écarts n’avait pas anticipées renvoie le dossier en remédiation. C’est la raison pour laquelle une analyse d’écarts rigoureuse en amont vaut le temps qu’elle prend : elle réduit la probabilité de mauvaises surprises à cette étape, elle ne l’élimine pas complètement.
Nous consacrons un article complet à cette étape, pour vous aider à vous y préparer avant que la firme n’arrive : vérification externe TGV, se préparer au test d’intrusion.
Qui rend la décision finale ?
Processus certification TGV, dernier arrêt : le Bureau de certification de Santé Québec rend la décision, lui seul. Ni votre équipe, ni un consultant, ni la firme qui a réalisé le test d’intrusion ne décide à sa place.
Le Bureau examine le dossier complet :
- Les preuves fournies au dépôt.
- Les correctifs apportés en remédiation.
- Les résultats de la vérification externe.
Sa décision peut être une certification, un refus, ou une demande de compléments avant de trancher.
La certification est-elle garantie une fois le dossier déposé ?
Non, et quiconque vous dit le contraire vous dit quelque chose sur sa rigueur, pas sur votre dossier.
Un consultant, une firme de vérification ou un partenaire peuvent structurer votre démarche, renforcer vos preuves et anticiper les questions du Bureau. Aucun ne peut vous garantir une décision favorable. C’est une obligation de moyens, pas une obligation de résultat. La certification revient au mérite du dossier, pas à la réputation de qui l’a préparé.
Gardez cette distinction en tête chaque fois qu’on vous vend une démarche comme « clé en main » ou « garantie ». Le Bureau de certification décide seul, et personne d’autre ne peut s’engager à sa place.
Comment obtenir la certification TGV si une échéance approche déjà ?
Processus certification TGV sous pression : tout commence par compter à rebours depuis la date de clôture de l’appel d’offres. Le calendrier, plus que n’importe quel autre facteur, dicte vos choix : combler l’écart à l’interne, vous faire accompagner, ou combiner les deux.
Une bonne première étape, peu importe l’échéance : faire l’analyse d’écarts avant de vous engager plus loin. Elle vous donne un portrait honnête de ce qui reste à faire, ce qui change autant votre calendrier que votre budget.
Si vous préférez une vue d’ensemble avant de vous lancer, notre vidéo présente le parcours en quelques minutes. Pour la suite, nous accompagnons des fournisseurs à chaque étape, de l’analyse d’écarts jusqu’à la décision du Bureau. Vous pouvez planifier un appel exploratoire sur votre certification TGV pour situer votre dossier et vos options.
Pour aller plus loin avec Factero :
Foire aux questions
Combien coûte la certification TGV ?
Le Bureau de certification facture 15 000 $ CAD au fournisseur, taxes en sus, une fois l’entente de certification signée. Cette somme couvre les frais assumés par Santé Québec pour l’étape de vérification, payable par chèque ou dépôt direct dans les 30 jours suivant la facture. Elle ne comprend ni votre analyse d’écarts interne ni le test d’intrusion, deux dépenses distinctes à prévoir avant le dépôt.
Processus certification TGV : combien de temps ça prend ?
Ça varie trop selon l’ampleur de l’écart de départ pour donner un chiffre unique valable pour tout le monde. Une fois l’entente signée, le Bureau de certification vise environ 32 jours ouvrables pour mener l’audit et communiquer sa réponse. Ce délai ne compte pas le temps que prennent votre analyse d’écarts et votre remédiation en amont, souvent la portion la plus longue du parcours.
Le test d’intrusion est-il obligatoire, ou puis-je m’en passer ?
Obligatoire, sans exception, pour tout produit qui traite des données personnelles, de santé ou de services sociaux dans le réseau. Le Bureau de certification n’accepte que des prestataires indépendants spécialisés en cybersécurité, avec du personnel certifié en tests d’intrusion et des preuves d’absence d’antécédents criminels. Un audit interne, même rigoureux, ne remplace pas ce test réalisé par une firme du bassin restreint qu’il reconnaît. Vérification externe TGV, se préparer au test d’intrusion détaille ce que la firme évalue.
Que se passe-t-il si mon produit échoue à une étape ou reçoit une non-conformité ?
Le dossier retourne en remédiation, ce n’est pas un refus définitif. Un écart relevé en vérification externe se corrige et se soumet de nouveau au Bureau, mais coûte plus cher en temps qu’un écart trouvé tôt dans votre propre analyse. Une fois la certification obtenue, un manquement aux engagements pris expose plutôt à une non-conformité publiée ou à un retrait, un scénario différent de l’itération en cours de démarche.
La certification vaut-elle pour toutes les versions futures de mon produit ?
Non. Elle vise une version précise de votre produit, celle identifiée dans l’entente de certification. Une nouvelle version majeure n’est pas automatiquement couverte : le Bureau de certification évalue avec vous si une mise à jour de la certification s’impose. Un changement d’architecture ou une refonte substantielle déclenche généralement cette réévaluation, un point à planifier dès le départ, pas à découvrir après coup.
