En bref : Le 23 juillet 2026, nos correspondances TGV Santé Québec, soit la matrice qui met en vis-à-vis chaque critère de la grille TGV (Trousse globale de vérification) et 13 référentiels reconnus, ont été transmises au ministère de la Santé et des Services sociaux (MSSS) et à Santé Québec. Nous comptons la rendre accessible à l’ensemble du réseau en données ouvertes.
Dans cet article
Qu’est-ce que la TGV ?
La TGV est le processus de certification du ministère de la Santé et des Services sociaux du Québec. Tout produit ou service technologique destiné au réseau de la santé doit démontrer sa conformité à une grille de critères avant d’obtenir sa certification du Bureau de certification de Santé Québec. Le cadre est décrit dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W). La démarche touche la sécurité de l’information, la protection des renseignements personnels au sens de la Loi 25, l’interopérabilité et, depuis avril 2026, la gouvernance de l’intelligence artificielle.
Si ce contexte vous est nouveau, ce billet reste lisible sans lui. Retenez simplement ceci : la grille TGV est un document précis, et la comparer à d’autres référentiels reconnus exige un travail méthodique, critère par critère, pas une impression générale de conformité.
Correspondances TGV Santé Québec : qu’est-ce que Factero a remis au MSSS ?
Le 23 juillet 2026, nous avons transmis notre matrice de correspondances au ministère de la Santé et des Services sociaux et à Santé Québec, à la suite d’une rencontre tenue la veille, le 22 juillet 2026, avec des représentants des deux organisations. La matrice met en vis-à-vis chaque critère de la grille TGV et les exigences équivalentes dans 13 autres référentiels reconnus en sécurité de l’information et en protection des renseignements personnels.
Nous ne détaillerons pas le contenu de cette rencontre ni la composition d’un éventuel comité de travail. Ce n’est pas le sujet de ce billet.
Le fait est simple : une rencontre a eu lieu, un document est passé de nos mains à celles du ministère, et ce document existe désormais indépendamment de nous.
Qu’est-ce qu’une matrice de correspondances TGV, concrètement ?
Une matrice de correspondances met en vis-à-vis, critère par critère, chaque exigence de la grille TGV et son équivalent dans un autre référentiel reconnu. La grille TGV elle-même est la liste des critères contre lesquels un produit technologique destiné au réseau de la santé est vérifié avant sa certification par le Bureau de certification de Santé Québec. Depuis le 24 avril 2026, elle compte 382 critères répartis en 7 familles.
| Famille | Nombre de critères |
|---|---|
| Sécurité | 112 |
| Protection des renseignements personnels | 108 |
| Intelligence artificielle | 69 |
| Interopérabilité | 58 |
| Technique | 26 |
| Performance | 7 |
| Gouvernance | 2 |
Un fournisseur qui détient déjà une certification ISO 27001, une attestation SOC 2 ou qui répond aux exigences de HIPAA a déjà, dans les faits, satisfait une partie de ces 382 critères sans le savoir précisément. Le problème, c’est que rien ne relie explicitement un contrôle ISO 27001 à un critère TGV donné.
Chaque fournisseur qui veut réutiliser ses certifications existantes doit normalement faire ce rapprochement lui-même, critère par critère, référentiel par référentiel. Une matrice de correspondances fait ce travail une fois, pour un référentiel donné, plutôt que de le laisser à chaque fournisseur de le refaire. Notre matrice couvre 13 référentiels, parmi lesquels ISO 27001, SOC 2, HIPAA et le RGPD.
Une correspondance n’est pas toujours une équivalence complète, et c’est là que le travail devient délicat. Un contrôle de sécurité générique d’un référentiel international peut couvrir l’esprit d’un critère TGV sans en couvrir toutes les exigences précises. La protection des renseignements personnels en est l’exemple le plus net : la Loi 25 impose au Québec des obligations qui n’ont pas d’équivalent exact dans un référentiel bâti pour un autre cadre juridique, même quand les deux poursuivent le même objectif de fond. Une bonne matrice documente cet écart plutôt que de le maquiller en équivalence parfaite.
Pourquoi remettre ce travail au ministère plutôt que le garder pour nous ?
Pour éviter que chaque cabinet, fournisseur ou équipe interne du réseau refasse la même cartographie. Nous aurions pu garder cette matrice comme un outil propriétaire, réservé aux mandats que nous accompagnons ; ce n’est pas ce que nous avons choisi de faire.
Si chaque cabinet, chaque fournisseur et chaque équipe interne referait la même cartographie entre les mêmes 382 critères et les mêmes référentiels courants, le réseau de la santé perdrait collectivement un temps considérable à répéter un exercice qui ne change pas d’un fournisseur à l’autre. Un critère de sécurité TGV correspond, ou ne correspond pas, à un contrôle ISO 27001 donné : ce constat ne dépend pas de qui pose la question.
Nous avons donc transmis notre matrice au MSSS et à Santé Québec, et notre cartographie sera publiée en données ouvertes, pour que plus personne n’ait à refaire ce travail de zéro.
Le coût de cette répétition ne retombe pas seulement sur les fournisseurs. Un établissement du réseau qui évalue plusieurs produits comparables finit, lui aussi, par recevoir des dossiers de correspondances construits différemment d’un fournisseur à l’autre, avec des méthodes et un niveau de rigueur inégaux. Un point de référence commun, même imparfait, comme nos correspondances TGV Santé Québec, rend ces dossiers plus faciles à comparer.
La matrice remplace-t-elle une vérification indépendante ?
Non. Une matrice de correspondances situe où vos certifications existantes couvrent des critères TGV, mais elle ne remplace ni la vérification externe obligatoire, ni les tests d’intrusion réalisés par une firme spécialisée, ni la décision du Bureau de certification de Santé Québec. C’est une distinction sur laquelle nous ne transigeons pas.
Personne ne garantit une certification, ni nous, ni quiconque prépare votre dossier. C’est une obligation de moyens, pas une obligation de résultat. Si quelqu’un vous promet une certification, méfiez-vous : c’est exactement le genre de promesse que la rigueur du dossier ne permet pas de tenir.
Est-ce que cette remise de correspondances TGV change notre rôle ou celui de Santé Québec ?
Non, et il faut le dire clairement.
Nous n’avons reçu aucune approbation formelle de notre méthodologie, aucun mandat et aucune confirmation que le ministère utilisera notre matrice telle quelle. Le Bureau de certification de Santé Québec conserve l’entière autorité sur la décision de certifier un produit, et notre travail ne change rien à ça.
Nous ne sommes pas :
- un évaluateur accrédité,
- un revendeur de produits,
- rémunérés par une commission liée à une certification.
Documenter un travail et le rendre disponible, sans en garder l’exclusivité, correspond à la manière dont nous travaillons depuis le début : avec les équipes en place, jamais à leur place.
Que contient la matrice, en dehors des détails des échanges ?
Nos correspondances TGV Santé Québec couvrent les 382 critères de la grille TGV et les exigences équivalentes de 13 référentiels reconnus. Nous préparons deux billets pour aller plus loin.
Le premier présentera notre analyse des correspondances entre la TGV et les 13 référentiels retenus, référentiel par référentiel. Le second détaillera la méthodologie que nous avons utilisée pour distinguer une correspondance partielle d’une équivalence complète, une distinction qui compte plus qu’elle n’y paraît.
Voici, en résumé, la chronologie de cette démarche :
- 22 juillet 2026 : rencontre avec des représentants du MSSS et de Santé Québec.
- 23 juillet 2026 : transmission de notre matrice de correspondances.
- À venir : publication de la matrice en données ouvertes, pour l’ensemble du réseau.
Qu’est-ce que ça change si vous développez une technologie de santé ?
Rien d’automatique.
Cette remise ne raccourcit la démarche de certification TGV d’aucun fournisseur, la vôtre y compris. Une matrice de correspondances vous aide à situer où vos certifications existantes couvrent déjà des critères TGV et où il vous reste un écart réel à combler. Elle ne remplace ni la vérification externe, ni les tests d’intrusion obligatoires, ni la décision du Bureau de certification.
Si votre produit détient déjà une certification ISO 27001, une attestation SOC 2 ou répond aux exigences HIPAA ou du RGPD, une partie de votre démarche TGV consiste à documenter ce que vous avez déjà, pas à repartir de zéro. C’est exactement le type d’écart que nous cartographions avec les fournisseurs que nous accompagnons, avant même de discuter de correspondances entre référentiels.
En attendant que notre matrice soit publique, trois questions permettent déjà de situer votre position :
- Quelles certifications ou attestations mon produit détient-il aujourd’hui, et sur quelle version exactement ?
- Ai-je un inventaire à jour des renseignements personnels traités par mon produit, conforme aux exigences de la Loi 25 ?
- Si un appel d’offres du réseau de la santé exigeait la certification TGV demain, combien de temps me faudrait-il pour déposer un dossier complet ?
La troisième question compte le plus. Un dossier ne se prépare pas entre le moment où un appel d’offres l’exige et sa date de clôture : il se prépare avant, pendant que le calendrier ne presse encore personne.
Si vous voulez savoir où en est votre produit avant la publication de nos correspondances TGV Santé Québec, vous pouvez discuter de la réutilisation de vos certifications lors d’un appel exploratoire : trente minutes suffisent pour situer votre écart.
Pour aller plus loin avec Factero :
- accompagnement à la certification TGV
- accompagnement ISO 27001 pour votre SGSI
- accompagnement à la préparation SOC 2
Foire aux questions
Mon produit est déjà certifié ISO 27001 ou détient une attestation SOC 2 : est-ce que ça compte pour la certification TGV ?
Oui, en partie. Votre démarche TGV consiste alors à documenter des contrôles que vous avez déjà, pas à les bâtir de zéro. Une correspondance n’est pas toujours une équivalence complète : un contrôle générique d’ISO 27001 peut couvrir l’esprit d’un critère TGV sans en couvrir toutes les exigences précises, notamment celles propres à la Loi 25. Ça ne dispense d’aucune étape de la certification elle-même.
Combien de temps prend la certification TGV ?
Le Bureau de certification de Santé Québec compte deux étapes : une préparation de 1 à 6 semaines selon la maturité du produit, puis une vérification de 30 jours ouvrables. Ces délais partent d’un dossier complet. Un dossier incomplet, ou déposé au dernier moment avant un appel d’offres, allonge d’autant l’attente avant la décision du Bureau.
Qui paie les coûts de la certification TGV ?
Le fournisseur, pas le ministère ni Santé Québec. Les coûts ne sont pas remboursables et varient selon la complexité du produit et les objectifs d’interopérabilité visés. Il faut aussi prévoir, en plus des frais du Bureau de certification, les dépenses pour adapter le produit lui-même aux exigences du secteur de la santé.
Quand la matrice de correspondances sera-t-elle publiée ?
Aucune date précise n’est fixée pour l’instant. Notre cartographie sera publiée en données ouvertes, pour que les fournisseurs du réseau de la santé n’aient pas à refaire cette cartographie chacun de leur côté. Nous annoncerons la publication ici même, dès qu’elle sera prête.
