En bref : L’analyse d’écarts TGV est la deuxième des cinq étapes de la certification : elle mesure, critère par critère sur les 382 critères de la grille, l’écart entre l’état réel d’un produit et les exigences du Bureau de certification de Santé Québec, avant que la moindre remédiation ne commence.
La TGV, la Trousse globale de vérification, est le processus qui certifie les produits technologiques destinés au réseau de la santé du Québec. Nous décrivons l’ensemble de son parcours en cinq étapes dans Certification TGV : les 5 étapes, du dépôt à la décision. Ce billet reste sur une seule étape, celle où le dossier cesse d’être une intention et devient une mesure.
Si vous n’avez pas encore fait de premier passage sur la grille, commencez par l’autoévaluation en 7 familles : elle prépare le terrain que l’analyse d’écarts vient ensuite formaliser.
La différence entre les deux exercices tient à la rigueur, pas à l’intention. L’autoévaluation donne un premier portrait, souvent estimé de mémoire par une seule personne. L’analyse d’écarts exige une preuve pour chaque cote attribuée, critère par critère, et un livrable que d’autres personnes de votre organisation, et éventuellement le Bureau de certification, peuvent relire sans avoir à vous appeler pour comprendre.
Dans cet article
Le « gap analysis » et l’analyse d’écarts, est-ce la même chose ?
Oui. « Gap analysis » est le terme que vous entendrez le plus souvent de la bouche d’un consultant ou d’un vérificateur externe, en anglais même au milieu d’une conversation en français. Analyse d’écarts est la traduction que nous utilisons dans ce blogue.
Les deux désignent le même exercice : comparer, critère par critère, ce que votre produit démontre aujourd’hui à ce que la grille exige. Le terme importe peu. Ce qui compte, c’est ce que l’exercice produit : une photographie honnête, pas une intention polie.
Pourquoi commencer la remédiation avant l’analyse d’écarts est-il une erreur ?
C’est l’erreur la plus coûteuse que nous observons chez les fournisseurs qui abordent la TGV pour la première fois. Une équipe technique, pressée par un appel d’offres, se met à corriger ce qu’elle croit être des lacunes évidentes : elle ajoute du chiffrement ici, une politique là, avant même d’avoir mesuré l’ensemble des 382 critères.
Le problème n’est pas l’effort, c’est la direction. Sans mesure préalable, rien ne garantit que les efforts investis touchent les critères qui comptent le plus pour votre dossier. Réparer une fissure qu’on n’a pas encore localisée, c’est repeindre par-dessus le mur en espérant qu’elle n’y était pas.
L’analyse d’écarts produit d’abord la carte. La remédiation vient ensuite, jamais avant, avec un ordre de priorité établi sur cette carte et non sur une impression.
Un exemple concret revient souvent dans nos échanges avec des dirigeants. Une entreprise qui découvre, en pleine remédiation, qu’un critère de la famille intelligence artificielle exigeait une politique de transparence des décisions automatisées se retrouve à réécrire un document qu’elle croyait terminé, en plein appel d’offres. Le même critère, repéré dès l’analyse d’écarts, se planifie sans urgence.
Qui doit réaliser l’analyse d’écarts ?
Trois options existent, et aucune n’est mauvaise en soi.
- À l’interne, avec votre équipe technique et votre responsable conformité
- Accompagné par un consultant externe qui structure l’exercice sans se substituer à vos décisions
- Une combinaison des deux, l’accompagnement portant sur les familles où votre équipe manque de recul
Un choix mérite d’être fait consciemment. Confier l’exercice à la seule équipe de développement, sans impliquer qui pilote la conformité et la protection des renseignements personnels dans votre organisation, produit un portrait technique incomplet. Plus de la moitié des 382 critères touchent la sécurité et les renseignements personnels, deux familles qui dépassent largement le code.
Votre CTO, le responsable technique de votre produit, connaît l’architecture. Votre responsable conformité connaît les processus et les preuves documentaires. L’analyse d’écarts a besoin des deux regards, dans la même pièce, pas en silos.
Un accompagnement externe apporte surtout une chose : un regard qui a déjà vu la grille sur d’autres dossiers et qui sait où les cotes optimistes ne tiennent généralement pas. Il ne remplace pas votre équipe et il ne garantit rien sur l’issue de la certification, qui reste une décision du Bureau de certification et de lui seul. Un consultant structure l’exercice, pose les bonnes questions, documente proprement. La lecture du dossier, elle, appartient toujours à votre organisation.
Comment structurer le livrable, famille par famille ?
La grille TGV en vigueur compte 382 critères répartis en 7 familles, définis dans l’orientation du MSSS sur la certification TGV (publication 24-715-38W). Un livrable sérieux d’analyse d’écarts TGV respecte cette structure plutôt que de la contourner : chaque critère reçoit une cote parmi quatre, couvert, partiellement couvert, écart, ou non applicable, avec la preuve ou la justification qui l’accompagne.
Voici la répartition des 382 critères par famille, la base de mesure de votre livrable :
| Famille | Critères | Ce que l’analyse mesure en priorité |
|---|---|---|
| Sécurité | 112 | Contrôles techniques, gestion des accès, chiffrement, journalisation |
| Protection des renseignements personnels | 108 | Conformité à la Loi 25, inventaire des données, gestion du consentement |
| Intelligence artificielle | 69 | Gouvernance des systèmes d’IA, transparence des décisions automatisées |
| Interopérabilité | 58 | Normes d’échange de données avec le réseau de la santé |
| Technique | 26 | Architecture, environnements, gestion des changements |
| Performance | 7 | Disponibilité, capacité, temps de réponse |
| Gouvernance | 2 | Interface en français obligatoire, absence de publicité |
La non-applicabilité se documente, elle ne se décrète pas. Si un critère ne s’applique pas à votre produit, le livrable explique pourquoi, avec une justification que le Bureau de certification peut suivre sans avoir à deviner.
Le dossier, matrice d’écarts comprise, est transmis au Bureau de certification de Santé Québec, dont la page de certification des solutions numériques présente le processus et les coordonnées pour déposer une demande. C’est là que votre analyse d’écarts cesse d’être un outil interne pour devenir une pièce du dossier officiel.
Un détail de format qui coûte cher à ignorer : la grille évolue. La version qui compte 382 critères en 7 familles n’est pas figée dans le temps, et un livrable qui ne mentionne pas la version de la grille utilisée pour l’analyse devient difficile à réconcilier si une nouvelle version paraît en cours de démarche. Datez votre matrice, versionnez-la, et notez la version exacte de la grille sur chaque page du livrable.
Peut-on réutiliser des preuves d’autres certifications ?
En partie, et c’est une bonne nouvelle pour les entreprises déjà certifiées ISO 27001, conformes SOC 2 ou avancées dans leur conformité à la Loi 25. Une preuve produite pour un autre référentiel peut parfois couvrir un critère TGV directement, sans travail additionnel.
Notre cartographie interne, qui met en correspondance la grille TGV avec plusieurs référentiels que nos clients possèdent déjà, compte à ce jour 1302 correspondances documentées. Sur ce nombre, 72 seulement sont des équivalences strictes, où une preuve existante suffit telle quelle, sans adaptation. Le reste exige un ajustement, parfois mineur, parfois substantiel : une politique qui couvre l’esprit du critère TGV mais pas sa lettre, un contrôle technique qui répond à une partie seulement de l’exigence.
C’est le piège le plus fréquent de cette étape : présumer qu’un certificat externe règle automatiquement plusieurs critères d’un coup. La réutilisation s’évalue critère par critère, jamais par bloc.
Nous prévoyons publier cette cartographie en données ouvertes, pour que les fournisseurs puissent faire ce premier passage eux-mêmes avant d’aller plus loin.
Quels livrables sortent d’une analyse d’écarts complète ?
Un livrable d’analyse d’écarts TGV complet ne se résume pas à un tableau Excel envoyé par courriel. Il compte au minimum quatre pièces distinctes.
- Une matrice de couverture critère par critère, sur les 382 critères, avec la cote (couvert, partiel, écart, non applicable) et la référence de la preuve associée.
- Un registre des preuves existantes, qui indique où trouver chaque document ou contrôle déjà en place, pour éviter de le chercher deux fois.
- Un rapport de synthèse par famille, qui traduit la matrice en portrait lisible pour un dirigeant : où sont les vrais écarts, où sont les zones grises.
- Une priorisation préliminaire des écarts, par ordre d’impact et d’effort, qui sert de point de départ à l’étape suivante.
Le quatrième livrable n’est pas un plan de remédiation détaillé. C’est un tri, pas une exécution. Nous consacrerons un prochain article à la priorisation de la remédiation elle-même, une fois l’analyse d’écarts terminée.
Quels sont les pièges les plus fréquents à cette étape ?
Nous en détaillons sept dans Certification TGV : 7 erreurs qui coûtent des mois aux PME. Deux méritent d’être répétés ici parce qu’ils touchent directement l’analyse d’écarts.
Le premier : évaluer la grille en vase clos, sans consulter qui gère réellement les renseignements personnels ou l’infrastructure infonuagique dans l’organisation. Le deuxième : traiter l’exercice comme une case à cocher plutôt que comme une mesure honnête. Une cote « couvert » qui ne résiste pas à une preuve documentée coûte plus cher en vérification externe qu’un écart admis d’emblée.
Un dossier qui admet ses écarts avance. Un dossier qui les maquille recule, une fois la vérification externe entamée.
Par où commencer votre analyse d’écarts TGV ?
Si un appel d’offres est déjà sur la table, le calendrier a déjà commencé à compter à rebours pour vous. Une analyse d’écarts qui prend le temps de mesurer honnêtement, famille par famille, coûte moins cher au final qu’une remédiation lancée à l’aveugle et reprise deux fois.
Nous accompagnons des fournisseurs à cette étape précise : structurer la matrice, cartographier les preuves déjà en main, produire un rapport que votre équipe peut présenter en interne avant de passer à la remédiation. Vous pouvez confier votre analyse d’écarts à Factero : le point de départ est toujours le même, une conversation de trente minutes pour situer où vous en êtes réellement.
Pour aller plus loin avec Factero :
Foire aux questions
Combien de temps prend une analyse d’écarts TGV ?
Il n’y a pas de délai fixe. La durée dépend de la maturité de votre documentation et de la taille du produit évalué sur les 382 critères. Une entreprise qui tient déjà un inventaire de ses renseignements personnels et une certification reconnue comme ISO 27001 avance plus vite qu’une entreprise qui part d’une feuille blanche.
Combien coûte une analyse d’écarts TGV ?
Aucun chiffre fixe ne s’applique à tous les dossiers. Le coût dépend de la taille du produit, du nombre de familles concernées par des écarts réels et du choix entre équipe interne, accompagnement externe ou combinaison des deux. Une entreprise déjà certifiée ISO 27001 ou conforme SOC 2 réduit l’effort, donc le coût, grâce aux preuves réutilisables.
Faut-il refaire l’analyse d’écarts si la grille TGV change de version ?
Pas entièrement. Seuls les critères touchés par la nouvelle version doivent être réévalués, pas l’ensemble du livrable. Si une nouvelle version de la grille paraît en cours de démarche, la question du traitement des critères modifiés se pose directement au Bureau de certification, tôt plutôt que tard.
L’analyse d’écarts remplace-t-elle les tests d’intrusion obligatoires de la TGV ?
Non. Les tests d’intrusion sont un prérequis distinct de la certification TGV, réalisés par un prestataire indépendant spécialisé et répétés au moins une fois par année après l’obtention du certificat. L’analyse d’écarts prépare le dossier documentaire, elle ne teste rien techniquement et ne dispense d’aucune vérification externe exigée par le Bureau de certification.
