En bref : La FAQ certification TGV répond aux questions les plus posées sur la Trousse globale de vérification, la grille de critères du ministère de la Santé et des Services sociaux du Québec en sécurité, protection des renseignements personnels et intelligence artificielle. Cette page réunit les réponses courtes, du premier appel jusqu’à la décision du Bureau de certification.
Dans cet article
C’est quoi, la certification TGV, exactement ?
La TGV encadre l’entrée de tout produit ou service technologique dans le réseau de la santé et des services sociaux du Québec. Le fournisseur démontre, critère par critère, que son produit respecte la grille en vigueur. Une firme externe vérifie cette démonstration. Le Bureau de certification de Santé Québec rend ensuite sa décision.
Nous avons consacré un guide complet à cette question : C’est quoi la TGV ? Le guide pour la santé numérique. Cette page-ci rassemble les réponses courtes, avec des renvois vers nos articles détaillés pour qui veut creuser un point précis.
Qui doit obtenir la TGV ?
Toute entreprise dont le logiciel, la plateforme ou le service infonuagique est destiné à être acheté, déployé ou utilisé par un établissement du réseau de la santé québécois. Dans les faits, l’exigence rejoint le plus souvent les fournisseurs par un appel d’offres, parfois tard dans le cycle de vente.
Deux précisions reviennent constamment, dans nos échanges avec des dirigeants comme dans cette FAQ certification TGV.
La certification vise un produit, pas une entreprise. Si vous avez trois produits, vous menez trois démarches distinctes, chacune avec son propre dossier. Et elle vise une version précise du produit : une évolution majeure peut exiger une mise à jour de la certification, un élément à planifier dès la conception plutôt qu’à découvrir en fin de cycle de développement.
Combien de critères contient la grille, et comment sont-ils répartis ?
La grille en vigueur compte 382 critères, répartis en 7 familles.
| Famille | Nombre de critères |
|---|---|
| Sécurité | 112 |
| Protection des renseignements personnels | 108 |
| Intelligence artificielle | 69 |
| Interopérabilité | 58 |
| Technique | 26 |
| Performance | 7 |
| Gouvernance | 2 |
La sécurité et la protection des renseignements personnels forment à elles deux plus de la moitié de la grille. La famille intelligence artificielle, absente de l’ancienne version, compte 69 critères sur la gouvernance des systèmes d’IA, la transparence des décisions automatisées et l’encadrement de l’utilisation des données. La famille gouvernance ne compte que deux critères, mais l’un d’eux exige une interface en français pour les utilisateurs : un produit anglophone qui prévoit « traduire plus tard » part déjà en retard.
L’interopérabilité, la technique et la performance complètent la grille. Selon la nature de votre produit, une partie de ces critères peut être non applicable : la non-applicabilité se documente et se justifie auprès du Bureau de certification, elle ne se décrète pas.
Qu’est-ce que la TGV n’est pas ?
Trois confusions reviennent assez souvent dans cette FAQ certification TGV pour mériter une réponse directe.
- Ce n’est pas une norme internationale. La TGV est propre au Québec. Des certifications comme ISO 27001 ou un rapport SOC 2 ne la remplacent pas, même si elles servent de preuves pour une partie des critères. L’inverse est vrai aussi : la TGV n’ouvre pas d’autres marchés que le réseau québécois.
- Ce n’est pas une case à cocher une fois pour toutes. La certification s’entretient : le fournisseur s’engage à faire réaliser au moins un test d’intrusion par année par une firme indépendante, à soumettre son autodéclaration au moins 15 jours avant la date d’anniversaire de la certification, et à corriger les vulnérabilités trouvées selon une échéance convenue avec le Bureau de certification. Une vulnérabilité critique déclenche un plan de mitigation à présenter dans les trois jours ouvrables, et un exercice de relève informatique a lieu tous les deux ans, dans un centre distinct de celui de production. La certification est valide cinq ans, avec reconduction annuelle tant que ces engagements sont respectés.
- Ce n’est pas un exercice purement technique. Une bonne partie des critères porte sur de la documentation, des processus et de la gouvernance : politiques, inventaire des renseignements personnels, encadrement de l’IA, transparence envers les utilisateurs. Confier le dossier à la seule équipe de développement, c’est le voir revenir avec des écarts.
Qui délivre la certification, et peut-on nous la garantir ?
Le Bureau de certification de Santé Québec administre le processus au complet : réception des dossiers, encadrement de la vérification externe, décision finale. Nous lui consacrons un article : Qu’est-ce que le Bureau de certification de Santé Québec ?
Un point mérite d’être dit sans détour dans cette FAQ certification TGV. La décision de certifier appartient à Santé Québec, à personne d’autre. Un consultant, une firme de vérification ou un partenaire peuvent préparer votre dossier, renforcer vos preuves, anticiper les questions. Aucun ne peut vous garantir la certification. C’est une obligation de moyens, pas une obligation de résultat, et quiconque vous promet le contraire vous dit quelque chose sur sa rigueur.
Quelles sont les grandes étapes du processus ?
À grands traits, la démarche se déroule en trois grandes phases.
- La préparation du dossier, où vous démontrez, critère par critère, la conformité de votre produit, preuves à l’appui.
- La vérification externe, réalisée par une firme spécialisée indépendante du fournisseur.
- La décision du Bureau de certification de Santé Québec.
Le passage du dépôt à la décision réunit en réalité cinq étapes distinctes, chacune avec ses délais et ses pièges propres. Nous les détaillons dans Certification TGV : les 5 étapes, du dépôt à la décision.
Un test d’intrusion fait partie de cette vérification externe. C’est un prérequis à l’obtention de la certification TGV pour tout produit ou service qui utilise des données personnelles, de santé et de services sociaux, précise l’orientation du Bureau de certification et d’homologation (BCH) sur le sujet.
Le BCH n’accepte que des prestataires indépendants dont les représentants sont légalement autorisés au Canada, dont le personnel est certifié en tests d’intrusion et a fait l’objet d’une vérification d’antécédents criminels, qui répondent des résultats, y compris ceux de leurs sous-traitants, et qui remettent le rapport en français sans frais pour le Bureau. Le test se déroule en boîte blanche dans tous les cas, ou en boîte grise pour certains produits ou services technologiques non sensibles sans déploiement provincial ; la boîte noire n’est pas acceptée.
Combien coûte la certification TGV ?
Le coût dépend de l’écart entre votre produit et la grille en vigueur, pas d’un tarif fixe par produit. Une entreprise dont le produit s’appuie déjà sur un hébergeur infonuagique sérieux et qui détient des certifications reconnues comme ISO 27001 ou un rapport SOC 2 démontre une partie des critères avec des preuves qu’elle possède déjà. Une entreprise qui part de zéro sur la documentation et la gouvernance vit une démarche plus longue, donc plus coûteuse.
Nous détaillons les postes de coûts et les ordres de grandeur à prévoir dans Combien coûte la certification TGV ? Le vrai budget à prévoir.
Combien de temps faut-il prévoir ?
Le délai varie avec la maturité de votre produit, pas avec un échéancier universel. Deux entreprises avec un produit comparable sur papier peuvent vivre deux démarches de durées très différentes selon l’état de leur documentation, de leur sécurité et de leur conformité à la Loi 25.
Ce que nous observons avec constance : les écarts découverts en préparation coûtent moins de temps que les écarts découverts en vérification. Un premier passage honnête de la grille, tôt dans le projet, reste le meilleur prédicteur de délai. Si un appel d’offres est déjà sur la table, comptez à rebours depuis sa date de clôture : le calendrier décide pour vous. Nous détaillons les repères de durée dans Combien de temps pour obtenir la certification TGV ?.
Faut-il attendre l’appel d’offres pour commencer ?
Non, et c’est probablement la question la plus coûteuse à mal répondre. Attendre l’appel d’offres pour commencer, c’est démarrer la démarche avec le calendrier du client, pas le vôtre. Les écarts de sécurité et de gouvernance qui prennent des mois à combler, revoir des politiques, documenter un inventaire des renseignements personnels, encadrer l’utilisation de l’IA, ne se règlent pas dans les deux semaines d’un cycle de soumission.
Un premier passage honnête de la grille, fait tôt, change la nature de la démarche. Plutôt que de réagir sous pression à un appel d’offres déjà déposé, vous arrivez au dépôt avec un dossier déjà structuré. C’est aussi la différence entre négocier votre délai de mise en marché et le subir.
La TGV se compare-t-elle à des normes comme ISO 27001 ou SOC 2 ?
Oui, et la réponse tient en un chiffre. Notre cartographie recense 1302 correspondances entre la grille TGV et 13 référentiels de sécurité et de conformité reconnus à l’international, dont ISO 27001, SOC 2, HIPAA et le RGPD. Sur ces 1302 correspondances, 72 seulement sont des équivalences strictes : des critères où une preuve déjà produite pour un autre référentiel suffit telle quelle pour la TGV.
Le reste exige une adaptation, parfois légère, parfois substantielle. La distinction entre correspondance, recoupement et équivalence stricte est expliquée dans Correspondance, recoupement, équivalence stricte : la méthode derrière les 1302, et l’ensemble de la cartographie est détaillé dans La TGV face à 13 référentiels : 1302 correspondances analysées. Concrètement : vos certifications existantes réduisent l’effort de préparation, elles ne le remplacent pas.
Votre question n’y est pas ?
Cette FAQ certification TGV couvre les questions qui reviennent le plus souvent dans nos échanges avec des dirigeants en début de démarche. Si la vôtre n’y est pas, ou si vous voulez situer l’écart réel de votre produit plutôt qu’une réponse générique, vous pouvez planifier un appel exploratoire avec Factero. Trente minutes suffisent pour clarifier où vous en êtes et ce qu’il reste à faire.
Pour aller plus loin avec Factero :
- nos services d’accompagnement à la certification TGV
- accompagnement ISO 27001 jusqu’à la certification
- se préparer à SOC 2 avec Factero
FAQ certification TGV : d’autres questions fréquentes
La liste des produits déjà certifiés TGV est-elle publique ?
Oui. Le ministère publie un registre des produits et services technologiques certifiés, accessible depuis la section « Applications certifiées » de la page officielle de certification. Utile pour vérifier si un fournisseur, un partenaire d’intégration ou un hébergeur avec qui vous travaillez détient déjà sa certification avant de bâtir votre propre dossier autour de lui.
Certification et accréditation TGV, est-ce la même chose ?
Dans les faits, oui, et un seul terme est officiel. Les documents du ministère n’emploient que « certification » : il n’existe pas de statut distinct d’« accréditation TGV ». Le mot circule parce qu’il évoque un vocabulaire plus familier dans d’autres domaines, laboratoires ou organismes de formation, mais pour la TGV, un seul processus existe, celui décrit dans l’orientation officielle du MSSS (publication 24-715-38W).
La certification TGV relève-t-elle du MSSS ou de Santé Québec ?
Les deux noms apparaissent dans les documents officiels, sans contradiction entre eux. Le ministère (MSSS) publie l’orientation et les formulaires. L’évaluation des dossiers et la décision finale reviennent au Bureau de certification de Santé Québec. Dans vos démarches, votre interlocuteur opérationnel est ce Bureau, pas directement le ministère.
Que risque un fournisseur qui ne respecte pas ses engagements après la certification ?
Le Bureau de certification peut refuser le renouvellement, publier une non-conformité sur son site, déclencher une vérification ciblée ou retirer la certification. Ces engagements incluent le test d’intrusion annuel, l’autodéclaration transmise au moins 15 jours avant la date d’anniversaire et la correction des vulnérabilités selon l’échéance convenue avec le Bureau. Ignorer une échéance coûte toujours plus cher qu’un dossier tenu à jour.
Sources citées
- Page certification des solutions numériques (Santé Québec / MSSS)
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- Tests d’intrusion ou tests de pénétration — orientation du Bureau de certification et d’homologation (MSSS)
- Attestation de certification TGV, formulaire BC-D0001-01 (Bureau de certification de Santé Québec)
