Certification TGV 2027 : l’état des lieux pour décideurs

En bref : La certification TGV 2027 repose sur une grille qui évalue tout produit technologique destiné au réseau de la santé du Québec : 382 critères répartis en 7 familles. Depuis juillet 2026, Factero a cartographié 1302 correspondances entre cette grille et 13 référentiels internationaux, dont 72 équivalences strictes. La décision de certifier appartient exclusivement à Santé Québec.

Près de cinq mois se sont écoulés depuis la refonte de la grille. Si vous dirigez une entreprise technologique qui vend au réseau de la santé du Québec, ou si vous siégez à un conseil d’administration qui surveille ce dossier de loin, voici où en sont les choses, sans détour ni mise en scène.

Ce bilan n’annonce rien de nouveau. C’est précisément son intérêt. Après une année marquée par une refonte majeure de la grille et par la publication d’une cartographie internationale inédite, un décideur a besoin d’un point d’appui stable pour planifier, pas d’une nouvelle actualité à chaque lecture. C’est ce que ce texte offre : une photographie fidèle du dossier, avec des liens vers le détail de chaque volet pour qui veut aller plus loin.

Quel est l’état de la certification TGV 2027, résumé en un coup d’œil ?

Le tableau suivant réunit les chiffres qui comptent pour un décideur à la mi-septembre 2026. Chacun est détaillé dans les sections qui suivent.

Élément	État à la mi-septembre 2026
Grille de vérification	382 critères, 7 familles
Processus de certification	5 étapes, du dépôt à la décision
Référentiels internationaux cartographiés	13
Correspondances documentées	1302
Équivalences strictes	72
Autorité de décision	Santé Québec, exclusivement

Aucune de ces lignes n’a bougé depuis nos derniers billets sur le sujet. Ce n’est pas un signe d’immobilisme : c’est le signe que la grille publiée en avril a fini de se stabiliser, et que le travail de cartographie que nous avons remis en juillet est maintenant public. Un dossier TGV entamé aujourd’hui repose sur des repères fixes, ce qui n’était pas le cas il y a un an.

Pour un conseil d’administration qui approuve un budget de conformité, cette stabilité a une valeur concrète. Un projet lancé en 2025, quand la grille comptait encore 254 critères et qu’aucune cartographie internationale n’existait, ne s’estimait pas de la même façon qu’un projet lancé aujourd’hui. Les inconnues qui gonflaient les échéanciers d’il y a un an, l’ampleur exacte de la grille, l’absence de repères pour réutiliser des certifications existantes, sont en grande partie résorbées.

Qu’est-ce qui a changé dans la grille depuis sa refonte d’avril ?

Rien dans la structure. La grille en vigueur depuis le 24 avril 2026 reste celle décrite dans notre guide C’est quoi la TGV ? : 382 critères répartis en sept familles.

• Sécurité : 112 critères
• Protection des renseignements personnels : 108 critères
• Intelligence artificielle : 69 critères
• Interopérabilité : 58 critères
• Technique : 26 critères
• Performance : 7 critères
• Gouvernance : 2 critères, dont l’obligation d’une interface en français et l’interdiction de toute publicité

Sécurité et protection des renseignements personnels concentrent à elles deux plus de la moitié de l’ensemble. La famille intelligence artificielle, avec ses 69 critères, demeure la nouveauté qui distingue cette version de celle qu’elle a remplacée. Le cadre reste décrit dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W), la source que nous citons dans chacun de nos articles sur le sujet.

Le processus n’a pas bougé non plus. Cinq étapes séparent toujours le dépôt d’un dossier de la décision du Bureau de certification :

1. Préparation du dossier.
2. Dépôt auprès du Bureau de certification.
3. Vérification externe, incluant les tests d’intrusion obligatoires.
4. Analyse du dossier par le Bureau.
5. Décision de certifier ou non.

Un fournisseur qui a mis sa démarche en pause au printemps, le temps de digérer la nouvelle grille, peut la reprendre exactement là où il l’a laissée.

Ce qui a changé, en revanche, c’est le contexte autour de la grille. Les fournisseurs qui préparent un dossier aujourd’hui disposent d’un outil qui n’existait pas il y a six mois : une cartographie publique de la grille contre les référentiels internationaux les plus courants.

L’année 2026 a donc été une année de refonte, la première depuis longtemps. L’année qui suit devrait être une année d’exécution : les fournisseurs qui ont attendu la stabilisation de la grille avant d’entamer leur dossier n’ont plus de raison d’attendre davantage. Ceux qui avaient commencé sur l’ancienne grille et migré leur préparation, comme nous en avons documenté la démarche au moment de la refonte, ont désormais une longueur d’avance sur ceux qui partent aujourd’hui de zéro. Viser la certification TGV 2027 avec cet acquis change la suite du calendrier.

Que montre la comparaison avec les 13 référentiels internationaux ?

Le 28 juillet 2026, nous avons remis à Santé Québec une matrice de correspondance entre la grille TGV et 13 référentiels de sécurité et de protection des renseignements personnels utilisés à l’international. Le 28 août, cette matrice est devenue publique : 1302 correspondances, en licence ouverte CC BY 4.0, consultables dans le dépôt ouvert Correspondances TGV.

La TGV face à 13 référentiels, notre guide pilier sur le sujet, explique la méthode complète. Le chiffre à retenir pour un dirigeant est plus étroit : sur ces 1302 correspondances, 72 seulement sont des équivalences strictes, c’est-à-dire des cas où une preuve déjà produite pour un autre référentiel suffit telle quelle pour un critère TGV. Les autres correspondances sont partielles : elles indiquent une parenté utile pour orienter votre travail, pas un raccourci qui vous dispense de le faire.

Concrètement, si votre produit détient déjà une certification SOC 2 ou ISO 27001, la matrice vous dit précisément où cette certification vous avance et où elle ne vous avance pas. C’est un gain de temps réel dans la phase de cartographie. Ce n’est pas une équivalence automatique, et personne au Bureau de certification ne la traite comme telle.

Les fournisseurs qui en profitent le plus sont ceux qui vendent déjà ailleurs qu’au Québec, en Europe, aux États-Unis, ou dans le reste du Canada, et qui abordent la TGV comme un marché de plus à ouvrir plutôt que comme leur seul marché. Pour eux, la matrice évite de recommencer une démonstration de conformité déjà faite pour un client étranger. Pour un éditeur qui vend uniquement au réseau québécois, l’intérêt existe aussi, mais il est plus modeste : la matrice sert alors davantage à structurer le dossier qu’à en réduire le volume.

Où en sont les critères d’intelligence artificielle, quatre mois après leur entrée en vigueur ?

La famille intelligence artificielle compte 69 critères sur la gouvernance des systèmes d’IA, la transparence des décisions automatisées et l’encadrement de l’utilisation des données. Notre guide sur les 69 critères d’IA les détaille un à un, avec les 13 référentiels qui n’en couvrent aucun de façon stricte.

C’est le point le plus délicat pour beaucoup de fournisseurs, et pas seulement ceux qui vendent un produit vitrine d’IA générative. Un logiciel de gestion de dossiers qui s’appuie sur un composant d’automatisation, même discret, peut se retrouver à devoir démontrer sa conformité à cette famille. Les fournisseurs qui ont commencé leur cartographie tôt, avant même la refonte d’avril, ont eu quatre mois de plus pour comprendre l’ampleur réelle de l’exercice. Ceux qui l’ont reportée le découvrent maintenant, souvent à la lecture d’un appel d’offres.

Le piège le plus fréquent tient à la sous-estimation. Une équipe technique qui n’a pas encadré son usage de l’IA, faute de gouvernance écrite, ne le découvre habituellement pas au moment de développer le produit : elle le découvre au moment de documenter, critère par critère, comment ses décisions automatisées sont expliquées et tracées. C’est un exercice de documentation autant qu’un exercice technique, et il se planifie en amont, pas au moment du dépôt. Un fournisseur qui vise la certification TGV 2027 a intérêt à documenter cette gouvernance dès maintenant, pas à la veille du dépôt.

La certification TGV 2027 est-elle garantie si vous cochez toutes les cases ?

Cette réalité ne change pas avec le temps ni avec la publication de nouveaux outils. Elle vaut autant pour un dossier déposé en 2026 que pour un dossier déposé après une refonte future de la grille.

Comment la TGV pour dirigeants se traduit-elle en trois gestes concrets ?

Trois gestes, selon où vous en êtes.

1. Si vous n’avez pas encore commencé, partez du tableau ci-dessus et de notre guide C’est quoi la TGV ? : la grille et le processus y sont expliqués dans l’ordre. La page de certification des solutions numériques de Santé Québec reste le point de dépôt officiel une fois votre dossier prêt.
2. Si vous détenez déjà une certification internationale (SOC 2, ISO 27001, ou une autre parmi les 13 référentiels cartographiés), consultez le dépôt ouvert Correspondances TGV avant de refaire un travail déjà fait ailleurs. Cherchez les équivalences strictes en premier, elles valent le détour.
3. Si un appel d’offres du réseau est déjà sur votre table, comptez à rebours depuis sa date de clôture. Le calendrier décide de la suite, pas vos préférences.

Nous accompagnons des fournisseurs vers la certification TGV 2027 à chacune de ces étapes, de la cartographie initiale jusqu’à la décision du Bureau. Notre rôle reste celui du guide local : structurer, cartographier, rédiger, coordonner. Vous validez, vous décidez. Passer de la lecture à la démarche tient en un appel exploratoire de trente minutes, suffisant pour situer votre écart et vos options.

Pour aller plus loin avec Factero :

• lancer votre démarche de certification TGV
• certification ISO 42001 pour vos critères IA
• démarche ISO 27001 en parallèle

Foire aux questions

La certification TGV est-elle obligatoire pour vendre au réseau de la santé du Québec ?

Oui, dès que le produit permet de collecter, conserver, utiliser, modifier, communiquer ou détruire des renseignements de santé, ou qu’il s’intègre à un actif informationnel commun déployé dans plusieurs établissements avec accès web. La page de certification des solutions numériques de Santé Québec précise ces critères. Un produit qui ne touche à aucune donnée de santé et reste hors des systèmes partagés n’est généralement pas visé.

Combien coûte la certification TGV ?

Les coûts sont entièrement assumés par le fournisseur du produit ou service, jamais remboursables, et varient selon la complexité du produit et ses objectifs d’interopérabilité, précise Santé Québec. Aucun chiffre fixe n’est publié : le montant dépend du dossier. Prévoyez aussi le coût des tests d’intrusion annuels obligatoires, facturés séparément par un prestataire indépendant.

Combien de temps prend le processus, du dépôt à la décision ?

Santé Québec évalue la phase de préparation du dossier à 1 à 6 semaines selon la maturité du produit, puis la vérification externe, tests d’intrusion inclus, à 30 jours ouvrables. Le délai total dépend ensuite du temps d’analyse du Bureau de certification, non chiffré publiquement. Un dossier bien préparé en amont raccourcit surtout la première étape, la seule que le fournisseur contrôle entièrement. Pour un dossier visant la certification TGV 2027, cette étape mérite d’être entamée sans attendre.

Que risque un fournisseur si le Bureau de certification retire sa certification ?

Le retrait suit généralement un manquement aux engagements pris à la certification : absence de test d’intrusion annuel, dépassement de l’échéance de remédiation convenue avec le Bureau, ou omission de déclarer un changement majeur. Les conséquences vont d’une vérification ciblée à la publication d’une non-conformité sur le site du Bureau, jusqu’au retrait pur et simple.

La certification TGV doit-elle être renouvelée chaque année ?

Elle est valide cinq ans, mais exige une autodéclaration annuelle déposée au moins 15 jours avant la date anniversaire, confirmant le respect des engagements pris (tests d’intrusion, remédiation, mises à jour déclarées). Sans cette autodéclaration, le Bureau de certification peut considérer la reconduction comme non acquise. C’est un suivi actif, pas un certificat qu’on obtient puis qu’on oublie pendant cinq ans.

Sources citées

• Dépôt ouvert Correspondances TGV (CC BY 4.0)
• Page de certification des solutions numériques (Santé Québec / MSSS)
• Orientation — Certification TGV (MSSS, publication 24-715-38W)