En bref : Les erreurs certification TGV les plus fréquentes reviennent chez les PME de la santé qui préparent leur dossier : croire que leur ISO 27001 ou leur SOC 2 suffit, travailler sur une grille périmée, traiter le dossier comme un projet purement TI, corriger des écarts avant de les avoir tous recensés. Chacune de ces erreurs ajoute des mois au calendrier, sans changer la décision finale du Bureau de certification.
La TGV, la Trousse globale de vérification exigée par le ministère de la Santé et des Services sociaux (MSSS) pour tout produit destiné au réseau de la santé québécois, n’est pas un exercice compliqué en soi. Elle est exigeante, mais prévisible. Ce qui fait dérailler les échéanciers, ce n’est presque jamais un critère impossible à satisfaire. C’est une hypothèse de départ mal posée, découverte trop tard. Voici les sept erreurs certification TGV qui reviennent le plus souvent dans les dossiers que nous voyons passer.
Dans cet article
Mon ISO 27001 ou mon SOC 2 suffisent-ils pour la certification TGV ?
Non, et l’écart est plus grand que ce que la plupart des dirigeants imaginent. Notre cartographie interne entre la grille TGV et les référentiels de sécurité les plus courants montre 135 correspondances avec la norme ISO/IEC 27001:2022, dont 36 seulement sont des équivalences strictes. Avec SOC 2 (Trust Services Criteria, la norme d’audit américaine sur les contrôles de sécurité), on relève 220 correspondances.
| Référentiel externe | Correspondances relevées dans notre cartographie |
|---|---|
| ISO/IEC 27001:2022 | 135 |
| SOC 2 (Trust Services Criteria) | 220 |
Sur l’ensemble de notre cartographie, tous référentiels confondus, 1302 correspondances ont été relevées pour les 382 critères de la grille 2026, et seulement 72 sont des équivalences strictes, c’est-à-dire des critères qui se recouvrent presque mot pour mot. La raison tient au contenu même de la grille : les familles protection des renseignements personnels (108 critères) et intelligence artificielle (69 critères) totalisent à elles seules 177 des 382 critères, soit 46 %. Ce sont deux domaines qu’une certification de sécurité générale couvre peu ou pas. Une certification reconnue accélère la démonstration d’une partie du dossier, elle ne la remplace pas.
Ce travail n’est pas perdu pour autant. Les 135 correspondances avec ISO/IEC 27001 tombent surtout dans la famille sécurité (112 critères) et une partie de la famille technique (26 critères), là où les deux référentiels parlent le même langage : gestion des accès, journalisation, continuité des opérations. Une entreprise déjà certifiée y arrive avec des preuves prêtes pour ce sous-ensemble. Le reste de la grille, protection des renseignements personnels et intelligence artificielle en tête, reste à démontrer à partir de zéro.
L’ancienne grille de 254 critères convient-elle à la préparation certification TGV ?
Non, et c’est l’erreur la plus coûteuse à découvrir tard : la grille a changé le 24 avril 2026. La version qui l’a précédée comptait 254 critères, diffusée par le MSSS. Depuis cette date, la grille en vigueur en compte 382, avec une famille entièrement nouvelle consacrée à l’intelligence artificielle. Une entreprise qui a téléchargé le fichier de critères il y a plusieurs mois, ou qui reprend le tableau d’un dossier antérieur, travaille souvent sans le savoir sur une version périmée.
Vérifiez la version de votre grille. Avant de commencer une analyse d’écarts, confirmez trois choses sur le fichier que vous utilisez : – sa date de publication – le nombre total de critères qu’il contient – la présence d’une famille intelligence artificielle Si ces trois éléments ne correspondent pas à la version courante, arrêtez et reprenez le fichier à la source.
Les différences entre les deux versions, famille par famille, sont détaillées dans notre comparatif 254 → 382 critères.
Une certification TGV couvre-t-elle toute mon entreprise ?
Non, et c’est une confusion qui coûte cher en temps de planification. La certification vise un produit précis, dans une version précise, pas votre organisation dans son ensemble. Si vous exploitez trois produits, chacun suit sa propre démarche. Si votre produit connaît un changement de version substantiel pendant le processus, la certification peut devoir être reprise en partie.
Les entreprises qui traitent leur premier dossier TGV comme un précédent réutilisable pour tous leurs produits futurs se retrouvent souvent à refaire un travail qu’elles croyaient réglé. Une entreprise qui prévoit plusieurs produits destinés au réseau de la santé, ou un rythme de versions rapproché, a intérêt à intégrer ce coût récurrent dans sa planification budgétaire dès la première démarche, pas à le découvrir au moment de la deuxième. Nous détaillons cette logique produit par produit dans notre guide sur la certification TGV.
La certification TGV est-elle un projet purement technique ?
Non. Une bonne partie de la grille porte sur des politiques, un inventaire des renseignements personnels, une gouvernance de l’intelligence artificielle et de la transparence envers les utilisateurs, pas sur du code. La famille gouvernance ne compte que deux critères, mais ils sont éliminatoires : interface en français obligatoire, aucune publicité dans le produit.
Confier tout le dossier à l’équipe de développement, sans impliquer la direction ni les responsables de la protection des renseignements personnels, produit un dossier technique solide et incomplet ailleurs. Le Bureau de certification lit les deux volets.
L’inventaire des renseignements personnels traités par le produit en est un bon exemple. C’est un document que la Loi 25 exige déjà de la plupart des entreprises québécoises, indépendamment de la TGV. Une entreprise qui l’a fait sérieusement pour se conformer à la Loi 25 arrive à cette portion de la grille avec un document réutilisable. Une entreprise qui ne l’a jamais fait découvre les deux obligations en même temps, sous pression d’échéance.
Faut-il commencer à corriger les écarts dès qu’on les trouve ?
C’est tentant, et c’est l’une des erreurs certification TGV les plus faciles à commettre. Corriger un écart avant d’avoir terminé le passage complet de la grille mène souvent à refaire deux fois le même chantier : un écart découvert plus tard change parfois la solution retenue pour un écart déjà corrigé.
La bonne séquence est simple à énoncer, moins simple à suivre sous pression d’échéance : d’abord un passage honnête de l’ensemble des 382 critères (couvert, partiellement couvert, écart, non applicable), ensuite une priorisation des écarts selon leur ampleur, puis la remédiation. Notre guide d’autoévaluation en 7 familles détaille cette première étape.
Un exemple concret revient souvent. Une équipe corrige un écart de journalisation dès qu’elle le trouve, avec la solution la plus rapide sous la main. Trois semaines plus tard, le passage complet de la grille révèle un écart voisin, dans la même famille sécurité, qui aurait dû se régler avec la même solution, plus large. Le premier correctif est repris, pas complété.
Le test d’intrusion, c’est juste une formalité ?
Non, et le sous-estimer est l’une des erreurs certification TGV qui coûtent le plus cher en toute fin de parcours. La vérification externe de votre dossier comprend un test d’intrusion obligatoire, réalisé par une firme spécialisée, distinct de l’analyse d’écarts que vous avez menée en interne. Un produit qui semblait conforme sur papier peut révéler des vulnérabilités techniques que seul un test réel expose.
Ce test se prépare, il ne se subit pas au dernier moment. Trois conditions font une différence réelle sur le résultat :
- un environnement stable
- des systèmes à jour dans leurs correctifs
- l’absence de développement en cours sur les composantes testées
Notre article sur la vérification externe explique comment s’y préparer et ce qu’il faut avoir réglé avant que la firme n’entre en scène.
Peut-on attendre l’appel d’offres sans risquer l’échec certification TGV ?
On peut, mais rarement sans conséquence. La démarche prend du temps et comprend plusieurs étapes obligées :
- l’analyse d’écarts
- la remédiation
- la constitution du dossier
- la vérification externe
- la décision du Bureau
Une entreprise qui attend la publication d’un appel d’offres pour ouvrir son dossier TGV compte souvent à rebours depuis une date de clôture déjà fixée par quelqu’un d’autre.
Personne ne garantit une certification. Un consultant, une firme de vérification ou un partenaire peuvent structurer votre dossier, renforcer vos preuves, anticiper les questions du Bureau. Aucun ne peut vous promettre la décision : c’est une obligation de moyens, pas de résultat. Si quelqu’un vous dit le contraire, c’est un signal sur sa rigueur, pas sur vos chances.
Comment éviter les erreurs certification TGV dès le départ ?
Trois gestes réduisent la plupart de ces risques, dans l’ordre.
- Confirmez la version de la grille avant toute chose : date du fichier, nombre de critères, présence de la famille intelligence artificielle.
- Faites le passage complet des 382 critères avant de corriger quoi que ce soit, avec les bonnes personnes autour de la table, pas seulement l’équipe technique.
- Planifiez la vérification externe, test d’intrusion compris, comme une étape du calendrier plutôt qu’un imprévu de fin de parcours.
Si un appel d’offres est déjà sur la table, ces trois gestes se font en accéléré, pas en les sautant. Nous accompagnons des fournisseurs technologiques dans cette démarche, de la cartographie initiale jusqu’à la décision du Bureau de certification. Vous pouvez planifier un appel exploratoire avec Factero pour situer votre dossier par rapport à ces sept erreurs certification TGV avant qu’elles ne coûtent des semaines.
Pour aller plus loin avec Factero :
- éviter l’échec de votre certification TGV
- certification ISO 27001 par tiers accrédité
- préparation SOC 2 Type 1 et Type 2
Foire aux questions
La certification TGV est-elle obligatoire pour vendre un produit numérique au réseau de la santé québécois ?
Oui, pour tout produit ou service technologique destiné au réseau de la santé québécois qui traite des données personnelles, de santé ou de services sociaux. C’est une exigence du ministère de la Santé et des Services sociaux, pas une certification volontaire réservée aux entreprises qui veulent se distinguer. Un produit hors de ce périmètre n’a pas à s’y soumettre.
Combien de temps prend la certification TGV, du début à la décision du Bureau ?
Le Bureau de certification annonce deux étapes chronométrées : la préparation, entre une et six semaines selon la maturité du dossier, puis la vérification externe par une firme spécialisée, sur 30 jours ouvrables. Ce calendrier officiel ne compte pas le temps de remédiation des écarts trouvés en cours de route, qui varie selon leur nombre. Ce sont les sept erreurs de cet article qui transforment ces semaines annoncées en mois réels.
Qui paie les coûts de la certification TGV ?
Le fournisseur du produit ou service technologique, pas le ministère ni le Bureau de certification de Santé Québec. La page officielle du processus est explicite sur ce point : les coûts liés à la certification sont assumés par les fournisseurs. Le site ne publie pas de grille tarifaire fixe ; le budget à prévoir dépend du dossier et sort du cadre de cet article.
Le test d’intrusion doit-il être repris chaque année après l’obtention de la certification ?
Oui. L’engagement signé à l’obtention de la certification prévoit au moins un test d’intrusion par année auprès d’une firme indépendante, avec les résultats transmis au plus tard en même temps que l’autodéclaration annuelle. Ce n’est pas laissé à la discrétion du fournisseur : c’est une condition du maintien de la certification, distincte du test initial exigé avant l’obtention.
Que se passe-t-il en cas d’échec ou de non-conformité à la certification TGV ?
La grille détaille surtout les conséquences après l’obtention, pas le refus initial : un manquement aux engagements signés, test d’intrusion annuel manqué, vulnérabilité non corrigée, autodéclaration en retard, peut mener à une vérification ciblée, une réévaluation, la publication d’une non-conformité sur le site du Bureau, ou le retrait de la certification. Le processus de refus initial, lui, se confirme directement avec le Bureau de certification.
