En bref : Coût certification TGV : au moins 44 500 $ CAD en frais tiers obligatoires, soit les tests d’intrusion, l’audit de conformité et la plateforme de preuves, taxes et honoraires de conseil en sus. Le budget réel dépend de l’écart entre votre produit et les 382 critères de la grille, et il se répète chaque année pour maintenir la certification.
Si un appel d’offres du réseau de la santé vient de mettre ce chiffre entre vos mains, ou si votre équipe de développement vous demande un budget pour « la TGV » sans plus de détails, ce guide décompose la facture poste par poste. Pas de fourchette vague : les montants réels des postes obligatoires, ce qui revient chaque année une fois certifié, et ce qui fait varier le total d’une entreprise à l’autre.
Dans cet article
Coût certification TGV : quels postes sont obligatoires ?
Trois postes de dépense s’appliquent à toute démarche de certification TGV, sans égard à la nature de votre produit. Ils viennent de firmes externes, pas de votre équipe interne, et ils ne se négocient pas à la baisse.
| Poste de dépense | Fournisseur | Montant approximatif (CAD) | Moment de la démarche |
|---|---|---|---|
| Tests d’intrusion obligatoires | Firme reconnue par le Bureau de certification | ≈ 17 500 $ | Vérification externe, puis chaque année |
| Audit de conformité | Firme tierce experte TGV | ≈ 15 000 $ | Vérification externe |
| Plateforme GRC et espace de preuves | Fournisseur de plateforme | ≈ 12 000 $ | Pour la durée du mandat |
| Frais administratifs | Bureau de certification de Santé Québec | Aucun tarif public | Dépôt et décision |
Ce total de 44 500 $ CAD couvre uniquement les trois premiers postes, avant taxes et avant tout honoraire de conseil. La TPS à 5 % et la TVQ à 9,975 % s’ajoutent. Les frais administratifs du Bureau, eux, ne sont publiés nulle part : la question se pose directement au moment du dépôt du dossier.
Coût certification TGV : un plancher, pas un plafond. Il suppose un produit raisonnablement prêt pour la vérification. L’écart entre votre produit aujourd’hui et les 382 critères de la grille est ce qui fait grimper la facture, pas les trois postes du tableau.
Un point qui échappe souvent aux directions financières : ces trois fournisseurs ne sont pas interchangeables et vous ne magasinez pas librement parmi n’importe quelle firme sur le marché.
- Firme de pentest : doit être reconnue par le Bureau de certification.
- Firme d’audit : doit être experte de la grille TGV elle-même.
- Plateforme de preuves : doit produire un dossier dans un format que le Bureau accepte.
Le nombre de fournisseurs qualifiés est restreint, ce qui limite votre marge de négociation sur ces trois postes.
Pourquoi le pentest TGV coûte-t-il plus cher qu’un test d’intrusion générique ?
Parce que ce n’en est pas un. L’orientation officielle du MSSS sur la certification TGV impose des exigences précises à la firme qui réalise le test d’intrusion :
- Un représentant légal autorisé à exercer au Canada.
- Du personnel muni d’attestations d’absence d’antécédents judiciaires.
- Une double spécialisation, en cybersécurité et en protection de la vie privée.
- Un rapport livré en français.
- Un test en boîte blanche, sur un environnement représentatif de la production. La boîte noire est refusée.
Cette double compétence en cybersécurité et en vie privée s’explique par la nature des données en jeu : des renseignements de santé, encadrés à la fois par la grille et par la Loi 25.
Concrètement, une firme généraliste ou une firme américaine ne qualifie généralement pas. Le bassin de fournisseurs capables de livrer ce mandat est plus restreint que celui des tests d’intrusion ordinaires. Le prix s’en ressent.
Combien coûte le maintien de la certification après l’obtention ?
Coût certification TGV : la facture de l’année 1 n’est pas celle des années suivantes, et elle n’est pas nulle non plus.
Une fois certifié, votre produit reste soumis à des obligations récurrentes. Le pentest annuel est obligatoire, réalisé par une firme indépendante reconnue, au même tarif approximatif de 17 500 $ par année. Une autodéclaration est due au moins 15 jours avant la date anniversaire de votre certification. Toute vulnérabilité relevée par le pentest doit être corrigée suivant une échéance convenue avec le Bureau ; une vulnérabilité critique impose un signalement dès qu’on en a connaissance, avec un plan de mitigation déposé sous 3 jours ouvrables. Un exercice de relève est exigé tous les deux ans.
Budgéter uniquement la première année, puis découvrir ces obligations en cours de route, est une erreur fréquente. Le maintien de la certification a un coût récurrent, année après année, et il se planifie dès le dépôt du dossier initial, pas après la décision du Bureau.
L’exercice de relève mérite une mention à part. C’est un test de votre capacité à reprendre le service après un incident, pas un simple document à signer. Selon l’ampleur de votre infrastructure, il mobilise du temps interne, parfois un accompagnement externe, et ce temps a un coût même s’il ne figure sur aucune facture de firme externe.
Qu’est-ce qui fait varier la facture d’une entreprise à l’autre ?
Coût certification TGV : deux entreprises avec un produit comparable sur papier peuvent recevoir deux factures très différentes. L’écart entre le produit tel qu’il est et les 382 critères répartis en 7 familles de la grille est le premier déterminant du budget. Plus votre documentation, votre sécurité et votre conformité à la Loi 25 sont déjà en place, moins la démarche coûte cher en remédiation.
La réutilisation de preuves compte aussi. Une entreprise déjà certifiée ISO 27001, ISO 27017, ISO 27018, ou détentrice d’un rapport SOC 2, ne repart pas de zéro : une partie de ses preuves existantes s’applique à des critères de la grille. Cela réduit l’effort, ça ne l’élimine pas. Chaque critère reste à démontrer dans le format attendu par le Bureau, avec des preuves propres à la TGV.
Nous construisons actuellement une cartographie interne entre les critères de la grille et les référentiels de certification les plus courants, justement pour aider les fournisseurs à repérer ces zones de réutilisation plus vite. Cette cartographie sera publiée en données ouvertes le moment venu.
Le nombre de produits à certifier joue également. Chaque produit suit sa propre démarche, ses propres preuves, sa propre facture. Trois produits, ce n’est pas trois fois la même charge de travail, mais ce n’est pas un rabais de volume non plus.
La maturité de votre gouvernance interne pèse aussi lourd que la technique. Une entreprise qui a déjà un inventaire de ses renseignements personnels, des politiques écrites et un registre des incidents arrive au pentest avec beaucoup moins à corriger qu’une entreprise qui découvre ces exigences en cours de démarche. La remédiation coûte toujours plus cher en fin de parcours qu’en préparation.
Faut-il budgéter un accompagnement externe ?
C’est optionnel. C’est aussi rarement absent des dossiers qui aboutissent dans un délai raisonnable.
Un accompagnement externe couvre typiquement plusieurs tâches :
- Structurer la cartographie des écarts entre le produit et la grille.
- Préparer les preuves dans le format attendu par le Bureau.
- Coordonner le pentest et l’audit avec les firmes externes retenues.
- Anticiper les questions du Bureau avant qu’elles ne deviennent des refus.
Son coût varie selon l’ampleur de l’écart, le nombre de produits visés et le degré de prise en charge souhaité, d’un appui ponctuel sur certains critères jusqu’à un mandat clé en main.
Les honoraires d’accompagnement ne se publient pas en chiffre unique. Ils dépendent de l’ampleur de l’écart à combler, du nombre de produits visés et du niveau de prise en charge choisi : aucun dossier ne ressemble assez à un autre pour justifier un tarif universel.
Une chose ne varie jamais, et elle mérite d’être dite sans détour. La décision de certifier appartient au Bureau de certification de Santé Québec, à personne d’autre. Aucun accompagnement, aussi bien structuré soit-il, n’achète cette décision : c’est une obligation de moyens, pas une obligation de résultat. Un budget plus élevé réduit le risque de refus, il ne le supprime pas. Méfiez-vous de quiconque vous dit le contraire.
Par où commencer pour bâtir son budget ?
Coût certification TGV : dans l’ordre, quatre gestes suffisent à sortir de l’incertitude.
- Faites l’autoévaluation de votre produit contre les 7 familles de la grille. Le portrait honnête de votre écart précède tout chiffrage sérieux.
- Ajoutez les trois postes obligatoires du tableau ci-dessus, plus les taxes, à votre plancher de budget.
- Confirmez les frais administratifs directement auprès du Bureau de certification au moment du dépôt.
- Décidez du niveau d’accompagnement dont vous avez besoin, puis provisionnez le maintien annuel dès la première année, pas seulement le dépôt.
Le calendrier de votre appel d’offres, si vous en avez un sur la table, dicte souvent le rythme plus que le budget lui-même. Nous détaillons le déroulement complet dans Certification TGV : les 5 étapes, du dépôt à la décision, et le délai réel de la certification TGV fait l’objet d’un article à part.
Si vous voulez une évaluation budgétaire adaptée à votre produit plutôt qu’une fourchette générale, vous pouvez planifier un appel exploratoire avec Factero. Un premier échange suffit pour situer votre écart et vos postes de coût réels.
Pour aller plus loin avec Factero :
Foire aux questions
Les frais de certification TGV sont-ils remboursables si le dossier est refusé ?
Non. Le Bureau de certification de Santé Québec est clair sur ce point : les coûts liés à la certification sont assumés par le fournisseur et ne sont pas remboursables, peu importe l’issue du dossier. Un refus ou un retrait ne rembourse ni le pentest, ni l’audit, ni la plateforme de preuves. C’est un argument de plus pour arriver à la vérification externe avec un produit déjà proche des 382 critères de la grille.
Les taxes sont-elles incluses dans les 44 500 $ du tableau ?
Non. La TPS à 5 % et la TVQ à 9,975 % s’ajoutent aux trois postes du tableau, comme à toute facture de service au Québec. Sur les 44 500 $ de plancher, cela représente environ 6 660 $ de taxes en sus, avant même d’ajouter les honoraires d’un accompagnement externe. Confirmez ce calcul avec votre équipe finance avant de présenter un budget total à votre direction.
Y a-t-il des frais cachés, en plus des trois postes obligatoires ?
Un seul poste échappe à un chiffre précis : les frais administratifs du Bureau de certification de Santé Québec, pour lesquels aucun tarif n’est publié. Le reste n’est pas caché, mais souvent sous-estimé : le temps interne pour préparer les preuves, la remédiation si le pentest trouve des failles, et l’exercice de relève biennal une fois certifié. Confirmez les frais administratifs directement auprès du Bureau au moment du dépôt.
Qui paie la remédiation si le pentest détecte des vulnérabilités ?
Le fournisseur, toujours. Le Bureau fixe une échéance de correction selon la gravité trouvée ; une vulnérabilité critique doit être signalée dès qu’on en a connaissance, avec un plan de mitigation déposé sous 3 jours ouvrables. Ce coût de correction ne figure dans aucun des trois postes du tableau : il dépend entièrement de ce que le test révèle sur votre produit.
