En bref : Par où commencer certification TGV : une autoévaluation famille par famille, pas un appel direct au Bureau de certification. Cet exercice mesure l’écart entre l’état réel de votre produit et les 382 critères de la grille de vérification de Santé Québec, répartis en sept familles : sécurité, protection des renseignements personnels, intelligence artificielle, interopérabilité, technique, performance et gouvernance.
Si votre entreprise vend un produit ou un service technologique au réseau de la santé du Québec et que vous n’avez jamais entamé de démarche de certification, ce guide vous donne le point de départ concret : par où commencer certification TGV, famille par famille, sans y perdre des mois.
Dans cet article
Par où commencer certification TGV avant de contacter le Bureau de certification ?
Le Bureau de certification de Santé Québec évalue des dossiers, il ne les prépare pas pour vous. Avant d’y déposer quoi que ce soit, vous devez savoir où votre produit se situe par rapport à la grille en vigueur. Le Bureau publie aussi une page dédiée à la certification des solutions numériques, qui détaille les grandes étapes du processus et donne ses coordonnées.
Une autoévaluation honnête sert deux objectifs. Elle vous donne un portrait réel de votre écart, sans lequel toute planification de budget et d’échéancier reste approximative. Elle vous prépare aussi à répondre aux appels d’offres du réseau, qui posent de plus en plus souvent la question de la certification directement dans leurs exigences.
L’erreur classique consiste à sauter cette étape et à foncer directement vers la vérification externe. Les écarts découverts à ce moment coûtent plus cher, en temps et en argent, que les mêmes écarts découverts trois mois plus tôt sur un tableur.
Quelles sont les 7 familles de la grille TGV ?
La grille TGV compte 382 critères répartis en 7 familles depuis sa mise à jour du 24 avril dernier, contre 254 critères dans la version précédente. Le tableau suivant présente le nombre de critères par famille.
| Famille | Nombre de critères |
|---|---|
| Sécurité | 112 |
| Protection des renseignements personnels | 108 |
| Intelligence artificielle | 69 |
| Interopérabilité | 58 |
| Technique | 26 |
| Performance | 7 |
| Gouvernance | 2 |
Deux familles, la sécurité et la protection des renseignements personnels, forment à elles seules plus de la moitié de la grille. Si votre produit s’appuie déjà sur un hébergeur infonuagique sérieux et que votre entreprise applique la Loi 25 depuis un moment, une partie de ces critères se démontre avec des preuves qui existent déjà chez vous.
L’intelligence artificielle est la famille la plus récente, avec 69 critères sur la gouvernance des systèmes d’IA, la transparence des décisions automatisées et l’encadrement de l’utilisation des données. Si votre produit n’intègre aucune IA, cette famille peut être largement non applicable, mais la non-applicabilité se documente, elle ne se décrète pas.
La liste complète des 382 critères est publiée par le MSSS sur la page de l’orientation officielle sur la certification TGV (publication 24-715-38W). Les sections qui suivent proposent un point de départ pour chaque famille, sous forme de questions à vous poser avant de remplir quoi que ce soit.
Comment évaluer la famille Sécurité (112 critères) ?
C’est la plus grande famille de la grille, et la plus proche des préoccupations habituelles d’une équipe TI. Un premier passage honnête répond à des questions comme :
- Vos données sont-elles chiffrées au repos et en transit ?
- La gestion des accès repose-t-elle sur des rôles définis, avec révocation rapide au départ d’un employé ?
- Vos incidents de sécurité sont-ils journalisés et font-ils l’objet d’un processus de réponse documenté ?
- Vos sauvegardes sont-elles testées, pas seulement exécutées ?
Une bonne partie de ces réponses existe déjà dans vos politiques internes ou dans les rapports de votre hébergeur. Le travail consiste à les rassembler, pas à les inventer.
Comment évaluer la famille Protection des renseignements personnels (108 critères) ?
Cette famille recoupe largement des obligations déjà en vigueur en vertu de la Loi 25. Les questions de départ :
- Tenez-vous un inventaire des renseignements personnels que votre produit traite ?
- Le consentement des utilisateurs est-il documenté, et retirable aussi facilement qu’il a été donné ?
- Une politique de conservation et de destruction des données existe-t-elle, et est-elle appliquée dans les faits ?
- Savez-vous précisément où vos données sont hébergées, et qui y a accès ?
Si votre entreprise a déjà traversé un exercice de conformité à la Loi 25, une partie de ce travail est déjà faite. Il reste à la traduire dans le vocabulaire de la grille.
Comment évaluer la famille Intelligence artificielle (69 critères) ?
Nouvelle depuis le 24 avril, cette famille vise les produits qui intègrent des composantes d’intelligence artificielle, du simple algorithme de tri au modèle génératif. Les questions de départ :
- Un utilisateur peut-il savoir qu’une décision ou une recommandation provient d’un système automatisé ?
- Les données utilisées pour entraîner ou alimenter le système sont-elles encadrées par une politique claire ?
- Une supervision humaine existe-t-elle sur les décisions qui ont une conséquence pour un patient ou un usager ?
- Votre produit n’intègre-t-il aucune intelligence artificielle ? Documentez cette réponse, elle rend probablement toute la famille non applicable.
Comment évaluer la famille Interopérabilité (58 critères) ?
Cette famille mesure la capacité de votre produit à échanger des données avec les systèmes du réseau, plutôt qu’à fonctionner en silo. Les questions de départ :
- Votre produit échange-t-il des données selon des standards reconnus dans le secteur de la santé ?
- Les formats d’exportation de vos données sont-ils documentés et stables d’une version à l’autre ?
- Une intégration avec un système tiers du réseau a-t-elle déjà été testée, même partiellement ?
Comment évaluer la famille Technique (26 critères) ?
Plus courte, cette famille couvre l’architecture et l’exploitation du produit. Les questions de départ :
- Vos environnements de développement, de test et de production sont-ils clairement séparés ?
- Le déploiement d’une nouvelle version est-il documenté et reproductible ?
- Un plan de continuité existe-t-il en cas de panne prolongée ?
Comment évaluer la famille Performance (7 critères) ?
Sept critères seulement, mais rarement couverts par une simple bonne intention. Les questions de départ :
- Vos temps de réponse sous charge normale sont-ils mesurés, pas seulement estimés ?
- Un engagement de disponibilité existe-t-il envers vos clients, et le respectez-vous dans les faits ?
Comment évaluer la famille Gouvernance (2 critères) ?
Deux critères seulement, mais éliminatoires si on les découvre trop tard. Le produit doit offrir une interface en français à ses utilisateurs, et il ne doit présenter aucune publicité. Un produit anglophone qui prévoit traduire plus tard, ou qui affiche des bannières publicitaires, n’est pas prêt à déposer un dossier.
Quels sont les angles morts les plus fréquents dans la préparation d’une certification TGV ?
Par où commencer certification TGV une fois les sept familles passées en revue ? Par les angles morts qu’une équipe pressée oublie de vérifier. Trois reviennent régulièrement dans les autoévaluations que nous voyons passer.
- Confier tout l’exercice à l’équipe de développement : une bonne partie des 382 critères porte sur des politiques, des processus et de la documentation, pas seulement sur du code. Sans quelqu’un qui pilote la gouvernance et la conformité, la moitié de la grille reste dans l’angle mort.
- Évaluer le produit tel qu’il devrait être plutôt que tel qu’il est : une politique qui existe sur papier mais qu’aucune équipe n’applique ne passe pas une vérification externe.
- Sous-estimer les critères de la famille intelligence artificielle parce qu’ils semblent flous au premier regard : ils ne le sont pas pour l’équipe qui devra les vérifier.
Nous détaillons ces pièges, et quatre autres, dans Certification TGV : 7 erreurs qui coûtent des mois aux PME.
Quelles preuves faut-il commencer à rassembler ?
Un critère « couvert » sans preuve associée n’en est pas un, ni pour vous ni pour un vérificateur externe. Pour chaque famille, rassemblez au fur et à mesure ce qui existe déjà :
- Politiques signées et datées
- Captures d’écran de configuration
- Rapports d’audit ou certifications de votre hébergeur
- Extraits de contrats avec vos fournisseurs
- Journaux d’incidents
Classez ces preuves par famille dès le départ. Un dossier de certification bien construit, c’est essentiellement une bibliothèque de preuves organisée selon la structure de la grille. L’organiser tôt évite de la reconstituer sous pression, quelques semaines avant une date de clôture d’appel d’offres.
Que faire une fois l’autoévaluation TGV terminée ?
Une fois le premier passage complété, trois gestes structurent la suite.
- Notez chaque critère selon quatre statuts : couvert, partiellement couvert, écart, non applicable. Ne visez pas la perfection au premier passage, visez un portrait honnête.
- Rassemblez, pour chaque critère couvert, la preuve qui le démontre. Un critère marqué « couvert » sans document à l’appui reste un écart, il ne le sait simplement pas encore.
- Priorisez les écarts selon votre échéancier. Si un appel d’offres est déjà sur la table, comptez à rebours depuis sa date de clôture, le calendrier décidera de vos priorités.
Par où commencer certification TGV ne s’arrête donc pas au premier passage : la priorisation des écarts fait partie du même exercice.
L’analyse d’écarts qui suit votre autoévaluation est la deuxième étape du processus officiel de certification. Nous détaillons l’ensemble du parcours, de l’autoévaluation à la décision du Bureau, dans Certification TGV : les 5 étapes, du dépôt à la décision. Pour comprendre précisément ce qui a changé entre l’ancienne et la nouvelle grille, notre comparaison 254 → 382 critères détaille famille par famille les ajouts du 24 avril.
De notre côté, nous cartographions actuellement la nouvelle grille vers 13 référentiels reconnus en sécurité et en protection des renseignements personnels. Les résultats seront publiés en données ouvertes, dans une parution à venir.
Si vous voulez qu’un regard externe valide votre autoévaluation avant de la déposer, ou qu’il vous aide à combler les écarts identifiés, vous pouvez planifier un appel exploratoire avec Factero. Trente minutes suffisent pour situer votre écart réel.
Pour approfondir une famille en particulier, notre analyse de la famille la plus imposante de la grille est disponible dans Famille Sécurité de la TGV : 112 critères au cœur de la grille.
Pour aller plus loin avec Factero :
- valider votre autoévaluation avec notre accompagnement TGV
- mise en conformité Loi 25 de vos données
- gouvernance de l’IA et ISO/IEC 42001
Foire aux questions
Combien de temps faut-il pour faire l’autoévaluation TGV ?
Cela dépend de la maturité de vos politiques existantes. Une équipe qui a déjà ses documents de sécurité et de protection des renseignements personnels à jour peut couvrir les 382 critères en quelques semaines. Une équipe qui part de zéro compte plutôt en mois, surtout si personne ne pilote la collecte des preuves à temps plein.
Faut-il embaucher un consultant pour l’autoévaluation TGV ?
Non, le premier passage se fait à l’interne, en réunissant les bonnes personnes autour de la table : pas seulement le développement, aussi la gouvernance et la conformité. Un regard externe devient utile pour valider le résultat avant le dépôt, ou pour combler les écarts qui dépassent l’expertise interne : c’est le rôle de l’accompagnement à la certification TGV de Factero.
L’analyse d’écarts TGV est-elle obligatoire après l’autoévaluation ?
Oui. L’autoévaluation n’est qu’une première étape interne : le processus officiel de certification TGV enchaîne ensuite avec une analyse d’écarts formelle, avant le dépôt du dossier au Bureau de certification. Notre article Certification TGV : les 5 étapes, du dépôt à la décision détaille cette suite du parcours.
Une famille entière de la grille TGV peut-elle être non applicable à mon produit ?
Oui. Un produit qui n’intègre aucune composante d’intelligence artificielle peut voir la totalité des 69 critères de cette famille jugés non applicables. La non-applicabilité se documente et se justifie pour chaque critère, elle ne s’affirme pas sans preuve à l’appui.
Par où commencer la TGV si mon échéance est déjà courte ?
Par les familles Sécurité et Gouvernance. La première pèse le plus lourd dans la grille avec 112 critères, la seconde n’en compte que deux, mais ils sont éliminatoires et rapides à vérifier. Éliminer ces angles morts en premier évite qu’un dossier autrement complet échoue sur un détail découvert trop tard. Notre inventaire des 7 erreurs qui coûtent des mois complète cette liste de priorités.
