En bref : Conformité santé numérique données : 1302 correspondances relient la grille TGV, ses 382 critères, à 13 référentiels internationaux, et seulement 72 d’entre elles, soit 5,5 %, atteignent le niveau d’équivalence stricte. Le paysage normatif de la santé numérique se concentre autour de quelques référentiels généralistes, et aucun cadre étranger ne couvre la grille TGV en entier.
Ce chiffre de 1302 est apparu pour la première fois dans notre guide La TGV face à 13 référentiels, publié le 29 juillet 2026. La méthode derrière le décompte, elle, est détaillée dans Correspondance, recoupement, équivalence stricte. Cet article ne reprend ni l’un ni l’autre. Il prend du recul et pose une question différente : une fois les chiffres mis côte à côte, qu’est-ce qu’ils disent du paysage de la conformité en santé numérique dans son ensemble, au-delà du cas particulier de la TGV ?
Trois lectures se dégagent, chacune appuyée sur un calcul vérifiable à partir des mêmes données brutes.
Dans cet article
Conformité santé numérique données : pourquoi lire ces correspondances comme un portrait du marché ?
Un tableau de correspondances répond à une question précise : à quoi sert ma certification actuelle pour la TGV ? Une lecture d’ensemble répond à une autre question, plus utile pour qui pilote un programme de conformité sur plusieurs référentiels à la fois : qu’est-ce que la forme de ces données révèle sur la façon dont l’industrie a construit ses normes ?
Trois traits reviennent, une fois qu’on regarde les 1302 correspondances comme un ensemble plutôt que ligne par ligne :
- Concentration : une poignée de référentiels absorbe l’essentiel des correspondances, la majorité en absorbe peu.
- Rareté des équivalences strictes : le volume brut de correspondances ne se traduit pas en un volume comparable d’équivalences complètes.
- Absence d’un référentiel universel : aucun des 13, même le mieux classé, ne couvre la grille TGV en entier.
Que révèle la concentration des correspondances autour de quelques référentiels ?
Les 13 référentiels comparés ne se valent pas en volume de correspondances, loin de là. Le tableau suivant regroupe les extrêmes.
| Groupe de référentiels | Correspondances | Part des 1302 |
|---|---|---|
| Les 3 premiers (SOC 2, NIST SP 800-66 r2, ISO/IEC 27001) | 504 | 38,7 % |
| Les 5 premiers (les 3 précédents, ISO/IEC 27701, ISO/IEC 42001) | 738 | 56,7 % |
| Les 3 derniers (EU AI Act, HDS v2, ISO 22301) | 62 | 4,8 % |
| Ensemble des 13 référentiels | 1302 | 100 % |
Le calcul est direct : 3 référentiels sur 13, soit moins du quart de l’échantillon, produisent 38,7 % des correspondances. Cinq référentiels en produisent 56,7 %, plus de la moitié. À l’autre bout, les 3 référentiels les plus étroits, EU AI Act, HDS v2 et ISO 22301, n’en produisent ensemble que 4,8 %.
L’écart entre les extrêmes individuels est encore plus net. SOC 2, le référentiel le mieux représenté avec 220 correspondances, en compte 31 fois plus qu’ISO 22301, le moins représenté avec 7. Ce n’est pas une mesure de rigueur, c’est une mesure de largeur de champ.
SOC 2 couvre un vaste territoire de contrôles de sécurité et d’exploitation, adopté massivement par les fournisseurs technologiques nord-américains. ISO 22301 couvre un territoire étroit et précis, la continuité des activités, qui ne recoupe qu’une petite partie de la grille TGV. Un dirigeant qui compare deux référentiels sur le seul nombre de correspondances compare deux instruments qui ne mesurent pas la même chose.
Pourquoi les équivalences strictes restent-elles si rares ?
Sur 1302 correspondances repérées, 72 atteignent le niveau d’équivalence stricte, celui où le référentiel comparé couvre le critère TGV dans son intégralité. Faites le calcul vous-même : 72 divisé par 1302, cela donne 5,5 %. Autrement dit, 94,5 % des correspondances de notre cartographie exigent un complément de preuve, parfois mineur, parfois substantiel, avant de satisfaire le texte exact de la grille TGV.
Ce chiffre bas n’est pas un accident de méthode, il reflète la nature de la grille. Une partie des 382 critères TGV encode des choix propres au Québec, sans miroir dans les référentiels internationaux. Le critère G01, qui exige une interface en français, n’a pas d’équivalent dans un référentiel de sécurité générique : la langue n’y est simplement pas un objet de certification. Une bonne partie des critères de protection des renseignements personnels, calqués sur la Loi 25 et sur les orientations propres au réseau de la santé, suit la même logique.
La famille intelligence artificielle, avec ses 69 critères, ajoute une deuxième explication : elle est récente. La plupart des référentiels comparés n’ont pas encore encadré la gouvernance de l’IA avec la même précision que la grille TGV. Un recoupement partiel, oui, fréquemment. Une équivalence stricte, rarement.
Pourquoi aucun des 13 référentiels ne couvre-t-il les 7 familles de la grille ?
Aucun des 13 référentiels ne couvre les 7 familles de la grille TGV parce que chacun mesure un objet distinct, sécurité, vie privée, intelligence artificielle ou continuité, jamais l’ensemble à la fois. La grille TGV additionne des exigences qui, ailleurs, vivent dans des référentiels séparés : sécurité, vie privée, IA, interopérabilité, technique, performance et gouvernance. Aucun des 13 référentiels analysés ne réunit ces sept objets sous un même toit, y compris SOC 2, le mieux représenté.
Le calcul confirme l’ampleur de cette dispersion. Additionnez les 13 chiffres du tableau comparatif de notre pilier sur les référentiels, 220, 149, 135, 119, 115, 113, 110, 101, 95, 83, 43, 12 et 7, vous retombez exactement sur 1302. Chaque correspondance appartient à un seul référentiel, sans double compte, ce qui confirme que le total mesure bien une somme de contributions distinctes, pas un chiffre agrégé approximatif. En moyenne, chaque critère TGV entre en résonance avec 3,4 exigences réparties dans l’ensemble des référentiels comparés, 1302 divisé par 382. Cette moyenne cache des écarts considérables.
Les deux critères de la famille gouvernance, l’interface en français et l’absence de publicité, n’en trouvent aucun dans les 13 référentiels analysés. Aucun cadre de sécurité, de vie privée ou d’intelligence artificielle étranger ne s’intéresse à ces deux points, parce que ce ne sont pas des enjeux de sécurité au sens où ces référentiels les définissent. Ce sont des choix de marché, propres au Québec. Un fournisseur qui empile des certifications étrangères, aussi solides soient-elles individuellement, ne recompose pas la grille TGV par simple addition.
Quelles leçons pour un RSSI qui bâtit un programme de conformité des données sur plusieurs référentiels ?
Conformité santé numérique données : cinq constats se dégagent de cette lecture d’ensemble, directement utiles à qui pilote un programme de conformité sur plusieurs cadres normatifs à la fois, pas seulement pour la TGV.
- Une correspondance qualifiée n’est pas une preuve acceptée. Elle indique où chercher en premier, elle ne dispense pas de vérifier le texte exact du critère visé.
- Le classement général des référentiels par volume de correspondances importe moins que votre portefeuille réel. Un éditeur déjà certifié SOC 2 part d’un point différent d’un éditeur certifié HDS v2, même si les deux détiennent une certification reconnue.
- Traitez la famille gouvernance et la famille intelligence artificielle comme des chantiers à part. Ce sont les deux zones de la grille TGV les moins couvertes par les référentiels internationaux les plus répandus.
- Documentez vos écarts avec un niveau de confiance explicite plutôt qu’un pourcentage global : équivalence stricte, recoupement partiel ou renvoi contextuel, chacun implique un effort de démonstration différent.
- Une cartographie de correspondances se périme. Les référentiels étrangers évoluent, la grille TGV aussi. Un exercice fait une fois pour toutes vieillit mal.
Le dépôt de données ouvertes change-t-il le paysage de la certification en santé numérique ?
Depuis le 28 août 2026, cette cartographie n’est plus un tableau interne à Factero. Elle est publiée en données ouvertes, sous licence CC BY 4.0, sur le portail public du dépôt Correspondances TGV. L’histoire de sa construction, depuis la remise de la matrice à Santé Québec jusqu’à sa mise en ligne publique, est racontée dans Genèse du dépôt Correspondances TGV.
Un dépôt de données ouvertes n’est pas un raccourci clé en main, c’est un inventaire de pièces détachées. Il permet à quiconque de recompter nos 1302 correspondances, de contester une qualification précise, ou de croiser ces données avec un référentiel qui ne figure pas dans notre liste de 13. Le fichier brut, avec le détail critère par critère et référentiel par référentiel, vit sur le dépôt GitHub tgv-msss-crosswalk, sous la même licence.
Conformité santé numérique données : c’est précisément ce qui distingue cette analyse d’une affirmation marketing, chaque chiffre de cet article se recalcule à partir d’un fichier public, pas d’un pourcentage annoncé sans méthode. Si votre organisation veut faire le même exercice avec ses propres certifications, sur son propre produit, avant un dépôt de dossier TGV, notre accompagnement à la certification TGV part exactement de cette cartographie comme point de départ.
Pour aller plus loin avec Factero :
- obtenir la certification TGV avec un accompagnement
- bâtir un SGSI ISO 27001
- accompagnement SOC 2 readiness
Foire aux questions
SOC 2 est-il équivalent à ISO 27001 pour la conformité TGV ?
Non. SOC 2 est le référentiel le mieux représenté dans notre cartographie, avec 220 correspondances sur les 382 critères TGV, contre 149 pour NIST SP 800-66 r2 et 135 pour ISO/IEC 27001. Un volume élevé de correspondances ne signifie pas une couverture équivalente : sur les 1302 correspondances totales, seulement 72, soit 5,5 %, atteignent le niveau d’équivalence stricte. Les deux certifications restent des points de départ, pas des substituts l’une de l’autre pour la TGV.
Une certification ISO 27001 ou SOC 2 dispense-t-elle du test d’intrusion annuel exigé pour la TGV ?
Non. Le Bureau de certification exige au moins un test d’intrusion par année, réalisé par une firme indépendante répondant à ses critères, peu importe les certifications déjà détenues par le fournisseur. C’est un engagement contractuel du formulaire d’autodéclaration TGV, pas un critère qu’une correspondance avec un autre référentiel peut satisfaire par équivalence. Une correspondance qualifiée oriente la recherche de preuves, elle ne remplace jamais cet engagement explicite.
Le dépôt de données CC BY 4.0 peut-il être réutilisé à des fins commerciales ?
Oui. La licence CC BY 4.0 autorise la réutilisation commerciale, y compris la modification et la redistribution, à la seule condition de créditer la source. C’est la licence appliquée au dépôt Correspondances TGV, publié en données ouvertes depuis le 28 août 2026. Un cabinet-conseil ou un fournisseur peut donc intégrer ces données à son propre travail d’analyse, à condition de mentionner l’origine et de ne pas laisser croire à une validation officielle du Bureau de certification.
La cartographie des correspondances TGV est-elle un document officiel de Santé Québec ?
Non. Factero est un cabinet-conseil privé en gouvernance TI, pas un organisme public, et la cartographie n’a reçu aucune validation du Bureau de certification ni de Santé Québec. La matrice de correspondances a été remise à Santé Québec le 28 juillet 2026, puis publiée en données ouvertes le 28 août 2026, sous licence CC BY 4.0. Elle sert de point de repère indépendant, pas de référence opposable devant le Bureau de certification.
