En bref : Préparer certification TGV 2027, soit la Trousse globale de vérification, consiste à séquencer quatre étapes sur douze mois : autoévaluation complète de la grille de 382 critères, analyse d’écarts priorisée, remédiation ciblée et vérification externe. L’écart initial entre votre produit et la grille détermine le rythme ; la décision finale appartient toujours à Santé Québec.
Dans cet article
Préparer certification TGV 2027 : pourquoi commencer maintenant ?
La certification TGV n’est pas un exercice qui se boucle en quelques semaines. Le processus complet, du dépôt du dossier à la décision du Bureau de certification et d’homologation (BCH), se découpe habituellement en cinq étapes. Cette feuille de route couvre les quatre premières, celles que vous maîtrisez directement ; la cinquième, la décision, appartient à Santé Québec et suit son propre délai.
Préparer certification TGV 2027 commence dès 2026 si votre produit vise le réseau de la santé et des services sociaux du Québec. Attendre l’appel d’offres pour commencer, c’est subir le calendrier plutôt que le maîtriser.
La grille en vigueur compte 382 critères répartis en 7 familles :
- sécurité : 112 critères
- protection des renseignements personnels : 108 critères
- intelligence artificielle : 69 critères
- interopérabilité : 58 critères
- technique : 26 critères
- performance : 7 critères
- gouvernance : 2 critères
Ce dernier volet, malgré son nombre restreint de critères, est éliminatoire : une interface qui n’est pas offerte en français ou un produit qui présente de la publicité ne franchit pas cette étape, peu importe la qualité du reste du dossier.
Comment démarrer sa certification TGV ?
Par une autoévaluation honnête de votre produit contre la grille complète, famille par famille. Pas une estimation à distance faite par la direction : un passage réel, mené avec les équipes qui connaissent le produit, critère par critère.
Nous détaillons la méthode dans Par où commencer la TGV : l’autoévaluation en 7 familles. L’objectif de cette première étape n’est pas de tout corriger, c’est de savoir où vous en êtes réellement : couvert, partiellement couvert, écart, non applicable.
Cette autoévaluation est le point de départ de tout le reste. Sans elle, l’analyse d’écarts qui suit travaille sur des suppositions, et une remédiation bâtie sur des suppositions coûte cher à corriger en cours de route.
Comment planifier sa conformité TGV 2027, trimestre par trimestre ?
Quatre étapes, réparties sur quatre trimestres, pour une démarche qui vise une certification effective l’année suivante. C’est un calendrier de référence, à ajuster selon l’écart réel révélé par votre autoévaluation et selon vos échéances contractuelles.
| Trimestre | Étape | Ce qui s’y joue |
|---|---|---|
| T1 (janvier à mars) | Autoévaluation complète | Passage de la grille des 382 critères, famille par famille, avec les équipes produit |
| T2 (avril à juin) | Analyse d’écarts | Priorisation des écarts par risque et par effort, plan de remédiation chiffré |
| T3 (juillet à septembre) | Remédiation | Correctifs techniques, documentation, politiques de gouvernance et de protection des renseignements personnels |
| T4 (octobre à décembre) | Vérification externe et dépôt | Tests d’intrusion obligatoires, constitution du dossier, dépôt auprès du BCH |
En texte simple : l’année commence par savoir où vous en êtes, se poursuit par décider quoi corriger en premier, se consacre ensuite à corriger, et se termine par faire vérifier et déposer. La décision du BCH suit le dépôt, avec un délai qui lui appartient et qui déborde généralement sur l’année suivante.
Un produit qui intègre de l’intelligence artificielle ne suit pas un calendrier différent, mais son T1 et son T2 pèsent plus lourd : la famille intelligence artificielle compte à elle seule 69 critères, souvent les moins documentés dans les entreprises qui n’ont jamais formalisé la gouvernance de leurs modèles.
Un produit déjà certifié ISO 27001 ou couvert par un rapport SOC 2 n’entre pas dans cette feuille de route en partant de zéro. Une partie des critères des familles sécurité et protection des renseignements personnels se démontre avec des preuves que vous détenez déjà, dont celles de votre conformité à la Loi 25. Le premier trimestre sert alors à cartographier ce qui existe contre la grille, pas à tout redocumenter. Cela ne dispense d’aucune famille : l’interopérabilité, la performance et la gouvernance restent à couvrir avec des preuves propres à la TGV.
Quels jalons budgétaires accompagnent chaque étape ?
Trois postes de dépenses composent le budget d’une démarche TGV, répartis sur l’année plutôt que concentrés en une seule ligne :
- le temps interne mobilisé à l’autoévaluation et à la remédiation
- l’accompagnement externe, si vous en retenez un
- les tests d’intrusion obligatoires, réalisés par une firme spécialisée avant le dépôt
Nous détaillons les fourchettes réelles dans Combien coûte la certification TGV ? Le vrai budget à prévoir. Le point à retenir ici : provisionner le budget par trimestre, au rythme des étapes, évite la surprise d’un poste de dépense concentré en fin d’année, au moment où votre échéance est la plus serrée.
Préparer certification TGV 2027 sans provisionner ces trois postes à l’avance revient à concentrer la facture en fin d’année, au moment où l’échéance est la plus serrée.
Le budget de la première année n’est pas non plus celui des suivantes. La certification s’entretient : une autodéclaration annuelle et des tests d’intrusion à refaire périodiquement font partie des engagements du fournisseur une fois certifié. Une feuille de route qui s’arrête au dépôt du dossier oublie cette portion récurrente, qu’il vaut mieux provisionner dès le calendrier initial.
Comment structurer l’analyse d’écarts qui suit l’autoévaluation ?
L’autoévaluation vous dit où sont les écarts. L’analyse d’écarts vous dit dans quel ordre les traiter. Ce n’est pas la même étape, et confondre les deux fait perdre un trimestre.
Un écart dans la famille sécurité qui touche l’authentification des utilisateurs n’a pas le même poids qu’un écart de documentation dans la famille performance. Prioriser par risque et par effort, pas par ordre de la grille, fait la différence entre une remédiation qui avance et une remédiation qui s’éparpille.
La méthode complète, avec les livrables attendus à cette étape, est dans Analyse d’écarts TGV : méthode, livrables et pièges.
Qui décide, au bout du compte, si votre produit est certifié ?
Santé Québec, à travers son BCH. Personne d’autre. Une feuille de route bien construite réduit le risque, resserre le calendrier et solidifie le dossier, mais elle ne remplace pas la décision.
C’est une obligation de moyens, pas une obligation de résultat. Quiconque vous promet la certification en échange d’un mandat vous dit quelque chose sur sa rigueur, pas sur vos chances réelles. Une feuille de route sérieuse se construit avec cette réalité en tête dès le premier trimestre, pas comme un aveu tardif au moment du dépôt.
Que faire si un appel d’offres arrive avant votre échéance prévue ?
Il arrive qu’un appel d’offres impose une date de clôture plus rapprochée que votre feuille de route initiale. Dans ce cas, le calendrier de l’appel d’offres devient votre nouveau point de départ : vous comptez à rebours depuis sa date de clôture, pas depuis le trimestre où vous aviez prévu commencer.
Cette situation resserre l’ordre des priorités, elle ne change pas la séquence. L’autoévaluation reste la première étape, même compressée. Sauter directement à la remédiation sans savoir où sont réellement les écarts est le raccourci qui coûte le plus cher, parce qu’il corrige souvent ce qui n’était pas prioritaire.
Quelles décisions prendre avant de lancer votre feuille de route ?
- Fixez la date cible. Une certification visée pour le début de 2027 impose de lancer l’autoévaluation dès le premier trimestre de 2026. Reculez à partir de votre échéance réelle, pas à partir d’une date confortable.
- Nommez un responsable interne. La démarche touche la sécurité, la protection des renseignements personnels, la gouvernance et parfois l’intelligence artificielle. Sans une personne qui coordonne ces volets, chaque équipe avance à son rythme et personne ne voit l’ensemble.
- Décidez du niveau d’accompagnement externe. À l’interne, accompagné, ou les deux : la bonne réponse dépend de la maturité de votre documentation et de votre échéance réelle, pas d’une préférence de principe.
Une quatrième réalité mérite d’être actée dès ce moment. Une partie des 382 critères peut être non applicable à votre produit ; la non-applicabilité se documente et se justifie auprès du BCH, elle ne se décrète pas dans un coin de tableau au moment du dépôt.
Préparer certification TGV 2027 tient dans ces quatre décisions, prises tôt plutôt qu’en réaction à un appel d’offres qui impose son calendrier.
Nous accompagnons des fournisseurs technologiques dans la construction de cette feuille de route, du premier passage de la grille jusqu’au dépôt du dossier. Le cadre reste celui de l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W) et de la page de certification des solutions numériques de Santé Québec. Si vous visez 2027, vous pouvez inscrire la TGV à votre plan et planifier un appel exploratoire : trente minutes suffisent pour situer votre écart et bâtir un calendrier réaliste.
Pour aller plus loin avec Factero :
- préparer votre certification TGV avec un accompagnement
- feuille de route TI réaliste, trimestre par trimestre
Foire aux questions
Combien de temps prend la certification TGV après le dépôt du dossier ?
Selon la page officielle de certification de Santé Québec, le processus se déroule en deux temps chronométrés : une préparation accompagnée par le Bureau de certification, de 1 à 6 semaines selon la maturité du produit, puis une vérification externe par une firme spécialisée, en 30 jours ouvrables. Ce délai s’ajoute au travail interne d’autoévaluation et de remédiation que cette feuille de route organise sur l’année, il ne le remplace pas.
Quels produits ou services doivent obtenir la certification TGV ?
Toute organisation technologique qui satisfait au moins un de trois critères, selon la page officielle de certification de Santé Québec : le produit collecte, conserve ou modifie des renseignements de santé et de services sociaux, il s’arrime à un actif informationnel commun qui traite ces renseignements, ou il se déploie dans plus d’un établissement de santé québécois avec accès Web. Un seul critère suffit à rendre la certification obligatoire.
Que risque un fournisseur qui ne respecte pas ses engagements après la certification ?
Le Bureau de certification peut refuser le renouvellement annuel, publier la non-conformité sur son site, déclencher une vérification ciblée, réévaluer le dossier ou retirer la certification. La certification n’est pas un acquis permanent : elle dépend d’une autodéclaration annuelle et d’au moins un test d’intrusion par année, transmis au Bureau avant chaque anniversaire.
Quel type de test d’intrusion est accepté pour la certification TGV ?
La boîte blanche est acceptée dans tous les cas. La boîte grise n’est admise que pour certains produits non sensibles sans déploiement provincial, et la boîte noire n’est pas acceptée par le BCH. Le prestataire doit aussi avoir des représentants légalement autorisés au Canada et du personnel certifié en tests d’intrusion, avec preuves d’antécédents criminels pour ce personnel.
