En bref : Vendre logiciel santé Québec exige la certification TGV (Trousse globale de vérification) dès qu’un établissement du réseau achète le produit, peu importe où l’éditeur est établi. Ce guide explique qui est visé, ce que la grille exige et comment réutiliser des certifications existantes, SOC 2, ISO 27001, NIST, grâce à un dépôt de 1302 correspondances vérifiées.
Vous dirigez une entreprise de santé numérique établie ailleurs qu’au Québec. Un appel d’offres, un partenaire ou un client potentiel vient de vous écrire ces trois lettres, TGV, et vous découvrez que votre feuille de route pour ce marché dépend maintenant d’un processus que vous n’aviez jamais eu à traverser ailleurs. Ce guide part de zéro et va droit à ce qui compte pour vous : êtes-vous visé, que faut-il démontrer, et qu’est-ce que vos certifications actuelles vous font gagner.
Dans cet article
Pourquoi la certification TGV bloque-t-elle mon entrée sur le marché de la santé au Québec ?
Le réseau de la santé et des services sociaux du Québec achète des technologies qui touchent des dossiers de patients, une des catégories de renseignements les plus sensibles qui soient. Le ministère de la Santé et des Services sociaux (MSSS) a donc mis en place une évaluation centralisée : chaque fournisseur démontre une fois sa conformité à une grille de critères, vérifiée par une firme externe, et la certification vaut ensuite pour l’ensemble du réseau.
Nous décrivons le mécanisme au complet dans C’est quoi la TGV ? Le guide pour la santé numérique. Le cadre est fixé par l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W). Ce document ne fait aucune distinction entre un éditeur d’ici et un éditeur d’ailleurs. La TGV s’applique au produit, pas au siège social de l’entreprise qui le vend.
Suis-je visé si je veux vendre mon logiciel de santé au Québec ?
Oui, si un établissement du réseau québécois achète, déploie ou utilise votre logiciel, votre plateforme ou votre service infonuagique en santé. Le lieu d’incorporation de votre entreprise, l’emplacement de votre équipe ou la devise dans laquelle vous facturez n’entrent pas en ligne de compte.
Trois précisions changent souvent la planification d’un éditeur étranger :
- La certification suit le produit, pas l’entreprise : une multinationale qui vend cinq produits distincts au réseau québécois mène cinq démarches distinctes, pas une seule.
- La certification suit une version : si votre cycle de livraison pousse des versions majeures tous les trimestres, une évolution significative peut rouvrir la question de la certification, un élément de calendrier à intégrer avant de signer un contrat, pas après.
- L’hébergement hors Québec n’est pas une disqualification automatique, mais c’est un point examiné de près : la localisation des données et les garanties qui l’accompagnent font partie des critères de protection des renseignements personnels de la grille, dans un contexte où la Loi 25 encadre déjà la gestion des renseignements personnels au Québec. Si votre architecture repose sur une infrastructure américaine ou européenne, identifiez cet écart dès le départ : c’est souvent structurel, donc long à corriger si vous le découvrez tard.
Vendre logiciel santé Québec commence donc par confirmer ces trois points avant de chiffrer quoi que ce soit.
Que contient exactement la grille de vérification ?
Depuis le 24 avril 2026, la grille en vigueur compte 382 critères, répartis en 7 familles.
| Famille | Nombre de critères |
|---|---|
| Sécurité | 112 |
| Protection des renseignements personnels | 108 |
| Intelligence artificielle | 69 |
| Interopérabilité | 58 |
| Technique | 26 |
| Performance | 7 |
| Gouvernance | 2 |
Pour un dirigeant qui découvre ce tableau de l’extérieur, deux familles méritent une attention particulière.
La famille gouvernance ne compte que deux critères, mais un éditeur étranger les manque plus souvent qu’un éditeur d’ici : l’un exige une interface en français pour les utilisateurs, l’autre interdit toute publicité dans le produit. Un logiciel qui n’existe qu’en anglais et qu’on prévoit « traduire plus tard » n’est pas prêt à déposer un dossier.
La famille intelligence artificielle, 69 critères, porte sur la gouvernance des systèmes d’IA, la transparence des décisions automatisées et l’encadrement des données utilisées pour entraîner ou faire fonctionner un modèle. Si votre produit intègre de l’IA et que vous détenez déjà une démarche structurée autour de la norme ISO/IEC 42001:2023 sur la gestion de l’intelligence artificielle, une partie de cette famille se documente avec des preuves que vous possédez déjà.
Puis-je réutiliser mes certifications existantes plutôt que de partir de zéro ?
En partie, oui, et c’est probablement la question qui vous intéresse le plus si vous arrivez d’un marché où SOC 2, ISO 27001 ou le cadre américain NIST 800-66 font déjà partie de votre quotidien.
Nous avons comparé la grille TGV à 13 référentiels internationaux et documenté 1302 correspondances entre leurs exigences respectives. Le détail complet est dans La TGV face à 13 référentiels : 1302 correspondances analysées. Les meilleures couvertures observées :
| Référentiel que vous détenez peut-être déjà | Correspondances avec la TGV |
|---|---|
| SOC 2 | 220 |
| NIST 800-66 | 149 |
| ISO 27001 | 135 |
Une correspondance n’est pas une équivalence automatique. Certaines exigences se recoupent presque mot pour mot, d’autres se ressemblent en surface mais demandent une preuve additionnelle propre au contexte québécois. Traitez ces correspondances comme un point de départ pour votre analyse d’écarts, pas comme un résultat final que vous pouvez déposer tel quel.
Nous publions ces correspondances en données ouvertes, sous licence CC BY 4.0, dans le dépôt Correspondances TGV. Si votre équipe de conformité veut faire son propre pré-mappage avant de nous parler, c’est exactement l’outil pour ça.
Qui décide si mon produit est certifié ?
Le Bureau de certification de Santé Québec, et personne d’autre. Vendre logiciel santé Québec veut dire accepter cette règle dès le départ : personne d’autre que le Bureau ne peut décider à sa place. Nous lui consacrons un article complet : Qu’est-ce que le Bureau de certification de Santé Québec ?
Un point à dire sans détour, surtout à un éditeur qui arrive d’un marché où les consultants promettent parfois un résultat. Un cabinet de conseil, une firme de vérification ou un partenaire local peuvent préparer votre dossier, renforcer vos preuves et anticiper les questions. Aucun ne peut vous garantir la certification. C’est une obligation de moyens, pas une obligation de résultat. Si quelqu’un vous promet une certification en échange d’un chèque, c’est un signal sur sa rigueur, pas sur vos chances réelles.
Comment se déroule le processus, étape par étape ?
Le parcours complet se déroule en cinq étapes, du dépôt du dossier jusqu’à la décision du Bureau de certification. Nous les détaillons dans Certification TGV : les 5 étapes, du dépôt à la décision. En résumé, pour une entreprise qui planifie depuis l’extérieur du Québec :
- Vous constituez un dossier qui démontre, critère par critère, la conformité de votre produit, avec preuves à l’appui.
- Le dossier passe une vérification externe, qui inclut des tests d’intrusion obligatoires réalisés par une firme spécialisée.
- Le Bureau de certification rend sa décision.
- Une fois certifié, votre produit entre dans un cycle d’obligations récurrentes : autodéclaration annuelle, tests d’intrusion périodiques.
- Une évolution majeure du produit peut rouvrir tout ou partie de la démarche.
Pour une équipe basée à des fuseaux horaires de distance, l’étape la plus sous-estimée est la première : réunir des preuves qui existent souvent, mais dispersées entre plusieurs équipes, plusieurs outils et parfois plusieurs langues internes.
Qu’est-ce qui surprend le plus un éditeur qui arrive de l’extérieur du Québec ?
Trois choses reviennent presque systématiquement dans nos échanges avec des éditeurs qui découvrent la TGV pour la première fois :
- La TGV n’est pas une norme internationale : vos certifications ISO 27001 ou vos rapports SOC 2 ne la remplacent pas, même s’ils accélèrent une partie du dossier. À l’inverse, la TGV ne vous ouvre aucun marché en dehors du réseau québécois, c’est un droit d’entrée local, pas un passeport.
- Le français n’est pas une option de configuration à activer plus tard : l’interface en français est un critère de la famille gouvernance, et ce n’est pas le seul endroit où le français apparaît, une partie de la documentation attendue par le Bureau de certification l’est aussi.
- La démarche demande des gens, pas seulement du code : une bonne partie des 382 critères porte sur de la documentation, des politiques et de la gouvernance (inventaire des renseignements personnels, encadrement de l’IA, transparence envers les utilisateurs). Si votre seul interlocuteur pour ce dossier est votre équipe de développement, prévoyez d’y ajouter quelqu’un qui parle conformité et confidentialité, sans quoi le dossier revient.
Vendre logiciel santé Québec : par où commencer ?
Trois gestes, dans l’ordre, avant même de parler à qui que ce soit :
- Lisez l’orientation officielle du MSSS et procurez-vous la grille de critères en vigueur sur la page de certification des solutions numériques de Santé Québec. C’est le document de référence, tout le reste en est un commentaire.
- Faites un premier passage honnête de vos certifications existantes contre le dépôt de correspondances : ce que vos preuves SOC 2, ISO 27001 ou NIST couvrent déjà, et ce qui reste ouvert. Ne cherchez pas la perfection à cette étape, cherchez le portrait réel.
- Comptez à rebours depuis la date de clôture de votre appel d’offres, pas depuis aujourd’hui. Le calendrier d’un dossier TGV se planifie en mois, rarement en semaines, et un délai découvert tard coûte plus cher qu’un délai anticipé.
Vendre logiciel santé Québec ne s’improvise pas depuis l’extérieur. Nous accompagnons des éditeurs établis hors Québec dans cette démarche, de la cartographie initiale jusqu’à la décision du Bureau. Notre rôle est celui du guide local dans un processus étranger à votre équipe : structurer le dossier, traduire les exigences en tâches concrètes, coordonner la vérification externe. Vous gardez la décision, nous structurons le chemin pour y arriver. Si votre produit est visé par la TGV, vous pouvez planifier un appel exploratoire pour situer votre écart avant de vous engager dans un appel d’offres.
Pour aller plus loin avec Factero :
- accompagnement à la certification TGV pour éditeurs
- valoriser votre rapport SOC 2
- réutiliser votre certification ISO 27001
Foire aux questions
La certification TGV s’applique-t-elle si mon entreprise n’a pas d’établissement au Québec ?
Oui. La TGV vise le produit acheté par un établissement du réseau, pas le siège social de l’entreprise qui le vend, aucune présence physique au Québec n’est exigée pour déposer un dossier. Une seule contrainte touche votre localisation indirectement : le test d’intrusion obligatoire doit être réalisé par un prestataire dont les représentants sont légalement autorisés au Canada, pas nécessairement par votre propre équipe.
Mes certifications SOC 2 ou ISO 27001 me dispensent-elles d’une partie de la démarche ?
Elles accélèrent une partie du dossier, elles ne le remplacent pas. Le dépôt de 1302 correspondances documentées entre 13 référentiels et la grille TGV montre où vos preuves existantes couvrent déjà des critères, SOC 2 en compte 220 à lui seul, mais chaque correspondance doit être vérifiée dans le contexte précis de votre produit avant d’être invoquée dans votre dossier.
Combien de temps un éditeur hors Québec doit-il prévoir avant un appel d’offres ?
Il n’existe pas de délai fixe. Il dépend de l’écart entre votre produit actuel et la grille de 382 critères, de la maturité de votre documentation, et du délai pour obtenir un test d’intrusion réalisé par une firme indépendante, une étape qui se planifie elle-même en semaines. Commencez l’analyse dès qu’un appel d’offres apparaît à l’horizon, pas quand sa date de clôture est déjà proche.
Le logiciel doit-il être offert en français pour être certifié TGV ?
Oui. La famille gouvernance de la grille, même si elle ne compte que deux critères sur 382, exige une interface utilisateur en français : c’est le critère G01. Un logiciel qui n’existe qu’en anglais et qu’on prévoit traduire après l’obtention de la certification ne respecte pas cette exigence au moment du dépôt. Le second critère de cette famille, G02, interdit toute publicité dans le produit.
Une fois obtenue, combien de temps la certification TGV reste-t-elle valide ?
Cinq ans, avec reconduction tacite d’un an à chaque anniversaire, dès que le Bureau de certification accepte votre formulaire d’autodéclaration et que vous respectez vos engagements. Cette autodéclaration doit être soumise au moins 15 jours avant la date d’anniversaire, accompagnée des résultats d’au moins un test d’intrusion réalisé dans l’année. Un manquement peut mener à une réévaluation ou au retrait de la certification.
